Vor drei Wochen hat Utah als erster US-Bundesstaat ein Gesetz durchgesetzt, das VPN-Nutzung ausdrücklich berücksichtigt. Digitalrechtsgruppen antworteten mit dem zweiten “Defend VPNs”-Aktionstag am 25. September, organisiert von Fight for the Future und unterstützt von mehr als 100 Organisationen. Keines der beiden Ereignisse verbietet VPNs. Beide zeigen aber, wohin der Streit um sie läuft.

Aus deutscher Sicht ist das Thema nicht so weit weg, wie es klingt. Die Frage, was ein Altersverifikationsgesetz mit VPNs anfangen soll, taucht in jeder Debatte über Jugendmedienschutz im Netz auf, in Brüssel wie in Berlin.

Utahs SB 73: was seit dem 3. September gilt

SB 73 ist ein Altersverifikationsgesetz. Es verpflichtet Websites, bei denen mehr als ein Drittel der Inhalte “jugendgefährdend” ist, das Alter von Nutzern aus Utah zu prüfen. Was es von Dutzenden ähnlichen Gesetzen anderer Bundesstaaten unterscheidet, ist die Definition eines Utah-Nutzers.

Wie Gizmodo erklärt, gilt jeder, der sich physisch in Utah aufhält, als Utah-Nutzer, VPN hin oder her. Wer in Salt Lake City über einen Server in Deutschland surft, ist rechtlich trotzdem in Utah. Websites, die sich nicht daran halten, drohen 2500 Dollar pro Verstoß plus zivilrechtliche Haftung.

Ursprünglich sollte das Gesetz im Mai 2026 greifen. Aylo, der Mutterkonzern von Pornhub, klagte dagegen, und Utah sagte zu, bis zum 3. September auf die Durchsetzung zu verzichten. Darüber haben wir im Juni berichtet, als die Aussetzung bekannt wurde. Diese Pause ist vorbei, das Gesetz ist durchsetzbar.

Was SB 73 für VPN-Nutzer bedeutet

Präzise bleiben, denn Schlagzeilen waren es nicht immer.

Es ist kein VPN-Verbot. VPNs bleiben in Utah für Privatsphäre, Arbeit, Reisen oder Streaming legal. Auch Gizmodo betont das.

Die Last liegt bei den Websites, nicht bei den Nutzern. Eine betroffene Seite muss herausfinden, ob ein Besucher physisch in Utah ist, auch wenn seine IP-Adresse Frankfurt oder Toronto anzeigt. Aus einer IP-Adresse allein geht das nicht zuverlässig, und genau das ist das Problem. In der Praxis prüfen Seiten dann das Alter aller Besucher, nutzen invasivere Standortsignale (GPS, Gerätedaten) oder sperren Utah und VPN-Verkehr pauschal.

VPN-Anbieter sind trotzdem nervös. NordVPN nannte den Ansatz laut Gizmodo eine “Haftungsfalle”. Wenn eine Website bestraft werden kann, weil sich ein Nutzer hinter einem VPN versteckt hat, steigt der Druck, VPN-Verkehr generell zu erkennen und zu blockieren. Das trifft jeden VPN-Nutzer, nicht nur Leute, die eine Altersprüfung umgehen wollen.

Unsere erste Analyse des Gesetzes, Utahs SB 73 erklärt, geht den Gesetzestext genauer durch.

Warum “physisch in Utah” so schwer zu prüfen ist

Das ganze Gesetz beruht auf einer Idee: Eine Website soll wissen, wo ein Besucher physisch ist. Technisch ist das viel schwieriger, als es klingt.

IP-Geolokalisierung ist das Standardwerkzeug, und genau das hebelt ein VPN absichtlich aus. Ein VPN-Nutzer in Provo erscheint mit der IP eines Servers in Denver, Paris oder Tokio.

VPN-IP-Listen sind der nächste Schritt. Kommerzielle Datenbanken markieren IP-Bereiche von VPN-Anbietern und Rechenzentren. Beliebte VPN-Server erkennen sie ganz ordentlich, Residential Proxys, Mobilfunknetze und neue IPs eher schlecht. Und sie sagen nicht, wo die Person hinter dem VPN ist, nur dass sie eines nutzt.

Gerätestandort (GPS, WLAN-Ortung) ist präzise, Browser geben ihn aber nur mit ausdrücklicher Erlaubnis weiter, und die erteilt niemand, um eine Nachrichtenseite zu lesen.

Eine Website, die bei SB 73 auf Nummer sicher gehen will, hat also drei Optionen: das Alter aller Besucher unabhängig vom Standort prüfen, allen VPN-Verkehr blockieren oder das rechtliche Risiko tragen. Jede davon trifft Menschen, die mit Utah nichts zu tun haben. Genau davor warnt die Defend-VPNs-Koalition.

Der Defend-VPNs-Aktionstag am 25. September

Fight for the Future hat den ersten Defend-VPNs-Tag im vergangenen Jahr organisiert, nach eigenen Angaben mit rund 20.000 Teilnehmenden. Die zweite Ausgabe war für den 25. September 2026 angesetzt, mit einer Koalition aus über 100 Organisationen aus Menschenrechts-, Reproduktionsrechts-, LGBTQ- und Digitalrechtsbewegung.

Der Tag richtete sich gegen eine Reihe von Gesetzen und Vorhaben, die den VPN-Zugang einschränken oder ausweisbasierte Altersprüfungen vorschreiben:

  • Utahs SB 73, das erste Gesetz eines US-Bundesstaats, das VPNs berücksichtigt
  • Wisconsins Altersverifikationsgesetz, das knapp an einem VPN-Verbot vorbeischrammte (wir erklärten, warum solche Klauseln scheitern)
  • Michigans geplantes vollständiges VPN-Verbot, HB 4938
  • Australiens Altersverifikationsregeln und der britische Umgang mit VPNs
  • Social-Media-Verbote für Jugendliche in Indonesien, Malaysia und den Emiraten sowie Vorhaben in Frankreich und Massachusetts

Die Kernforderung ist einfach: VPN-Zugang soll als Recht geschützt werden, nicht als Schlupfloch gelten. Kampagnenleiterin Sarah Phillips brachte es auf den Punkt: VPNs zu nutzen sei “nicht kriminell”.

Alle VPNs im direkten Vergleich? Unser vollständiger VPN-Vergleich zeigt Bewertungen nach 18 Kriterien.

Und in Europa?

Auch in der EU wird intensiv über Altersnachweise im Netz gestritten, von Plänen für eine europäische Verifikations-App bis zu nationalen Vorstößen für Social-Media-Altersgrenzen. Bislang setzen europäische Vorschläge vor allem bei Plattformen und App-Stores an, nicht bei VPN-Nutzern. Das Utah-Modell zeigt aber, wie schnell die Frage nach dem Standort hinter einem VPN zur Pflicht für Websites werden kann. Wer die Debatte hierzulande verfolgt, sollte darauf achten, ob künftige Entwürfe ähnliche Formulierungen enthalten wie “physisch anwesend” oder “unabhängig von Anonymisierungsdiensten”.

Warum gerade jetzt?

Altersverifikationsgesetze haben sich rasant verbreitet. Protons Karte zeigt, dass sie bereits Dutzende Länder erfasst haben, und das globale Bild verfolgen wir in unserem Überblick zu Altersverifikation und VPNs. Bei jeder neuen Altersprüfung schnellen die VPN-Downloads hoch, Gesetzgeber bemerken das, und der nächste Entwurf versucht, VPNs zu regeln.

Ein Gesetz hat nur wenige Möglichkeiten, mit VPNs “umzugehen”, und keine ist sauber:

  1. VPNs verbieten (Michigans Vorschlag). Schwer durchzusetzen, in den USA wohl verfassungswidrig und schädlich für Unternehmen und Sicherheit.
  2. Websites für VPN-Nutzer haftbar machen (Utah). Treibt Seiten dazu, VPN-Verkehr zu sperren oder mehr Standortdaten zu sammeln.
  3. VPN-Anbieter zu Sperren oder Kontrollen verpflichten. In diese Richtung geht der neue US-Entwurf American Copyright Protection Act, der große VPNs zum Sperren von Piratenseiten zwingen würde, ebenso wie manche europäischen Vorschläge.

Bürgerrechtsgruppen sehen ein Muster: Gesetze, die mit Kinderschutz oder Urheberrecht begründet werden, normalisieren schrittweise VPN-Erkennung und -Sperren, die dann für andere Zwecke genutzt werden. Gesetzgeber sehen in VPNs ein Loch in jeder Regel, die sie beschließen. Diese Spannung verschwindet nicht.

Was Sie konkret tun sollten

Wer in Utah ist, kann VPNs weiter legal nutzen. Es werden wohl mehr Seiten eine Altersprüfung verlangen und mehr Seiten VPN-Verbindungen ablehnen. In Deutschland ist der direkte Effekt null, der indirekte aber real: Anti-VPN-Werkzeuge, die für ein Gesetz gebaut werden, landen bei allen. Eine Nachrichtenseite, ein Forum oder ein Shop, der VPNs lieber sperrt als Ausweise zu prüfen, sperrt Sie in Köln oder Wien genauso wie in Salt Lake City.

Zwei praktische Punkte:

  • Setzen Sie weiter auf auditierte, seriöse VPNs. Druck auf die Branche treibt Nutzer zu Gratis-Apps, die niemand reguliert und niemand prüft. Für Ihre Privatsphäre ist das die falsche Richtung. Unsere Liste der auditierten No-Logs-VPNs ist der sicherere Startpunkt, angeführt von NordVPN und ProtonVPN.
  • Erwarten Sie nicht, dass ein VPN Ausweiskontrollen löst. Altersverifikation beruht auf Dokumenten oder Gesichtsscans, nicht auf dem Standort. Ein VPN ändert nichts daran, was Sie nachweisen müssen, wenn eine Seite erst einmal danach fragt.

Wer selbst eine Website betreibt, sollte das mit einem Juristen besprechen, statt pauschal alle VPNs zu sperren. Wer allen VPN-Verkehr blockiert, sperrt auch Journalisten, Menschen im Homeoffice und Angestellte hinter Firmennetzen aus. Ein hoher Preis für die Regel eines einzigen Bundesstaats.

Wir verfolgen die Durchsetzung in Utah, die Klagen und die nächste Welle an Gesetzentwürfen weiter.

Unser Fazit

Utahs SB 73 ist jetzt durchsetzbar und behandelt jeden, der sich physisch in Utah aufhält, als Utah-Nutzer, mit oder ohne VPN. VPNs verbietet es nicht, es drängt Websites aber dazu, sie zu erkennen und zu sperren. Der Defend-VPNs-Aktionstag am 25. September zeigt, wie breit der Widerstand inzwischen ist. Für Nutzer bleibt der Rat gleich: VPNs sind legal, wählen Sie einen auditierten Anbieter, und erwarten Sie nicht, dass ein VPN ausweisbasierte Kontrollen umgeht.