US-Gericht stoppt Utahs VPN-Gesetz: Was die Entscheidung für Altersverifikation, Geolokalisierung und VPN-Nutzung konkret bedeutet

Am 24. September 2026 hat der US-Bezirksrichter David Barlow in Utah dem Antrag von Aylo stattgegeben und die sogenannte Actual-Location-Klausel des Gesetzes SB 73 per einstweiliger Verfügung gestoppt 1, 2. SB 73 sollte kommerzielle Anbieter von Erwachseneninhalten in Utah dazu zwingen, jeden Nutzer im Bundesstaat per Altersverifikation zu prüfen, selbst wenn dieser über VPN, Proxy oder andere Anonymisierungstools surft 1, 3. Das Gericht hat festgestellt, dass die Klausel in der Praxis eine Genauigkeit bei der Geolokalisierung verlangt, die nach übereinstimmender Expertenmeinung weder heute noch in absehbarer Zeit erreichbar ist 2. Aylo betreibt unter anderem Pornhub, Youporn und Redtube; nach eigenen Angaben verzeichnen die frei zugänglichen Plattformen rund 200 Millionen monatliche Besucher weltweit, etwa 86 Prozent davon außerhalb der USA, während etwa 28 Millionen monatliche Besucher aus den Vereinigten Staaten kommen 2. Die Entscheidung ist die erste größere gerichtliche Bremse für ein Gesetz, das speziell den Einsatz von VPNs gegen Altersprüfungen adressiert 1, 3.

Konkret für dich als Leser heißt das: Wer ein VPN nutzt, betreibt oder Dienste mit Altersverifikation anbietet, sollte verstehen, warum das Gericht die Klausel als technisch unmöglich eingestuft hat, welche Folgen das Urteil für vergleichbare Vorhaben hat und welche praktischen Lehren sich für Geolokalisierung, IP-Geofencing und Compliance daraus ziehen lassen. Genau das behandelt dieser Artikel.

Kurzantwort

Ein US-Bundesrichter hat Utahs SB 73 per einstweiliger Verfügung gestoppt: Die Actual-Location-Klausel verlangt technisch unmögliche Geolokalisierung. Was die Entscheidung für Seitenbetreiber, VPN-Nutzer und künftige Altersverifikations-Regeln in Deutschland und der EU praktisch bedeutet. Kurz gesagt: cybersecurity praxis ist vor allem dann relevant, wenn du schnell verstehen willst, was konkret dahinter steckt, welche Grenzen es gibt und welche Entscheidung daraus folgt. Die Details, Quellen und Einschränkungen stehen in den folgenden Abschnitten.

Was SB 73 tatsächlich verlangt

Utah hatte 2023 als einer der ersten US-Bundesstaaten eine Pflicht zur Altersverifikation für kommerzielle Anbieter von “material harmful to minors” eingeführt 2. Im März 2026 unterzeichnete Gouverneur Spencer Cox mit SB 73 (“Online Age Verification Amendments”) ein Update, das am 6. Mai 2026 in Kraft treten sollte 3. Zwei VPN-bezogene Punkte waren dabei zentral 1, 3:

1. Actual-Location-Klausel: Ein Nutzer gilt als aus Utah zugreifend, wenn er physisch dort ist, unabhängig davon, ob er VPN, Proxy oder andere Mittel zur Verschleierung des Standortes nutzt.
2. Informationsverbot: Betreiber durften keine Anleitungen zur VPN-Nutzung zur Umgehung der Altersprüfung verbreiten und keine Mittel zur Geofencing-Umgehung bereitstellen.

Die EFF stufte das Informationsverbot schon im April 2026 als problematisch ein, weil es Plattformen daran hindert, sachliche Informationen über ein legales Sicherheitswerkzeug zu veröffentlichen 3. Die Actual-Location-Klausel war der technische Kern, der jetzt per einstweiliger Verfügung gestoppt wurde 1, 2. Aylo hatte bereits am 22. April 2026 Klage eingereicht 2.

Das Urteil und seine Begründung

Die Entscheidung des Bundesbezirksgerichts für den Distrikt Utah (Fall 2:26-cv-00340-DBB-JCB, Akte 68, eingereicht am 24. September 2026) trägt den Titel “Memorandum Decision and Order Granting Plaintiff’s Motion for a Preliminary Injunction” 2. Richter Barlow kam zu vier zentralen Aussagen.

Strict liability auf Standortebene. Die Actual-Location-Klausel enthalte das Wort “reasonable” anders als die Altersverifikations-Klausel nicht, sodass sie für kommerzielle Anbieter wie Aylo praktisch eine verschuldensunabhängige Haftung dafür bedeute, den Standort jedes Nutzers exakt zu bestimmen 2. Utah hatte in der mündlichen Verhandlung argumentiert, man werde nur einen “reasonableness”-Maßstab anlegen; das Gericht lehnte eine solche verengende Auslegung ab, weil sie in den Statutstext hineingelesen wäre 2. Utah vertrat im Schriftsatz, das Gesetz verlange “reasonable age verification methods” und nicht “perfection” bei der Geolokalisierung; das Gericht folgte dem nicht und stützte sich dabei auf den plain-text-Befund 2.

Geolocation perfection ist nicht erreichbar. Das Gericht stellte unmissverständlich fest: “It is undisputed that geolocation perfection is not presently possible” 1, 2. Es zitierte zudem die Aussage von Aylos Sachverständigem Dr. Gregory J. Rattray, dass gängige Heuristiken (Gerätezeitzone, Sprache, Währung, Browser-Header, historische Aktivität) für sich genommen weder trennscharf noch zuverlässig sind 2. Aylo schätzt, dass rund 1,26 Millionen monatliche Besucher die Mountain Time Zone mit englischer Browsersprache nutzen; unter Utahs vorgeschlagenem Drei-Stufen-Verfahren würde jeder VPN-Nutzer aus dieser Gruppe als potenziell utahisch eingestuft, egal ob er tatsächlich in Salt Lake City, Colorado oder Honolulu sitzt 2. Selbst Geräte-GPS-Daten können gefälscht werden 2.

Dormant Commerce Clause. Das Gericht entschied, dass die Klausel den Handel zwischen den Bundesstaaten übermäßig belastet, weil sie in den USA rund 28 Millionen US-Besucher monatlich bei Aylo betrifft, von denen keiner mit Sicherheit als utahisch identifiziert oder ausgeschlossen werden kann 2. Das Gericht stützte sich dabei auf den Präzedenzfall ACLU v. Johnson (10th Cir. 1999), in dem ein New-Mex-Gesetz mit ähnlicher Internetstruktur für verfassungswidrig erklärt worden war, weil Geographie im Internet “a virtually meaningless construct” sei 2. Mit Pork Producers v. Ross (2023) hatte der Oberste Gerichtshof zwar die Existenz einer Quasi-per-se-Regel gegen extraterritoriale Wirkungen verneint, ließ aber laut Gericht die Tür für ein direktes Regulierungsverbot offen, wenn eine Klausel in den USA wirtschaftliche Vorgänge außerhalb des eigenen Staats direkt erfassen würde 2. Daraus ergab sich die Excessive-Burden-Prüfung nach Pike v. Bruce Church, die Aylo gewann 2.

Extraterritoriale Wirkung. Die Kläger hatten zusätzlich vorgebracht, dass Utahs Klausel de facto die Politik Colorados, Marylands und anderer Bundesstaaten unterlaufe, weil Datenverarbeitung dort teilweise stärker eingeschränkt ist als in Utah 2. Das Gericht wies diesen Einwand jedoch zurück: Mögliche Konflikte mit den Datenschutzgesetzen anderer Bundesstaaten seien hypothetisch und im Übrigen ein “Zwei-Wege-Problem”, und Aylo habe nicht dargetan, dass die Klausel eine unzulässige exterritoriale Regelung darstelle 2. Nicht entschieden wurde dagegen eine dritte Klageforderung (die Foreign Commerce Clause), weil die Commerce-Clause-Begründung für die einstweilige Verfügung bereits ausreichte 2.

Die einstweilige Verfügung wurde am 24. September 2026 unterzeichnet 2. Da Aylo in seiner Klage und im Antrag ausdrücklich auf eine Anfechtung der Altersverifikations-Klausel selbst (Utah Code § 78B-3-1002(1)(a)) verzichtet hatte, wurde nur die Actual-Location-Klausel (Utah Code § 78B-3-1002(3)) blockiert 2.

Warum die Klausel technisch nicht funktionieren kann

Die EFF hat in ihren Kommentaren an das Utah Department of Commerce vom 1. Oktober 2026 dargelegt, warum die vom Bundesstaat vorgeschlagenen Heuristiken (Verbindungslatenz, Gerätezeitzone, Browser-Sprache, Währung) für eine robuste Standortbestimmung nicht ausreichen 1. Drei strukturelle Gründe sind entscheidend.

IP-Geolokalisierung ist immer unter- und überinklusiv. Schon vor SB 73 war anerkannt, dass IP-Adressen kein verlässlicher Standortindikator sind 2. VPNs, Proxies und mobile Carrier teilen IP-Bereiche dynamisch zu, und ein Nutzer aus Boston kann durchaus eine IP-Adresse erhalten, die nominell in Salt Lake City verortet ist. Alle vom Gericht befragten Sachverständigen bestätigten, dass weder VPN-Erkennung noch Standortbestimmung hinter einem VPN mit Sicherheit möglich ist 2.

Heuristiken sind leicht zu manipulieren. Verbindungslatenz schwankt mit dem Mobilfunknetz, Browser-Spracheinstellungen lassen sich in Sekunden ändern, und kommerzielle Anbieter haben ökonomische Anreize, ihre Erkennungsgenauigkeit eher als Marketing-Argument zu übertreiben 1, 2. Kingsmead Security wies darauf hin, dass Android-Apps zur Standortfälschung millionenfach heruntergeladen werden 2.

Blocklist-Whack-a-Mole. Utah schlug im Verwaltungsregelentwurf R152-78B die Pflicht zu “commercially reasonable geolocation obfuscation detection systems” vor 1, 4. EFF argumentierte, dass kommerzielle VPN-Anbieter ständig neue IP-Bereiche hinzufügen und keine erschöpfende schwarze Liste existiert 3. Wer eine solche Liste aktuell hält, läuft dem Netzwerk permanent hinterher.

Das Gericht hat diese Punkte in seine Begründung aufgenommen und kam zu dem Schluss, dass jede Compliance-Strategie faktisch darauf hinausläuft, entweder jeden Nutzer zu verifizieren oder das Risiko strenger Haftung zu tragen 2. Utah hatte vorgeschlagen, betroffene Nutzer zwischen drei Optionen wählen zu lassen (Gerätestandort freigeben, Altersnachweis erbringen, VPN deaktivieren); das Gericht erkannte an, dass jede dieser Optionen ihre eigene Fehlerklasse hat 2.

Praktische Folgen für drei Zielgruppen

Für VPN-Nutzer

Wer ein seriöses VPN nutzt, hat nach diesem Urteil kurzfristig in Utah eine sichere Position: Die Klausel, die VPN-Traffic zwangsweise hätte verifizieren oder blockieren sollen, ist per einstweiliger Verfügung gestoppt 1, 2. Das ändert aber nichts an der generellen rechtlichen Lage außerhalb der USA. EFF weist darauf hin, dass Regulierer in Großbritannien und Frankreich weiter über VPN-Beschränkungen nachdenken 3. Wer ein VPN betreibt oder einen Tunnel zu AWS, Hetzner oder einem anderen Cloud-Provider aufspannt, um Geo-Restriktionen zu umgehen, sollte sich bewusst sein, dass solche Workarounds in anderen Jurisdiktionen unter dieselbe Logik fallen können: Eine Regel, die nur funktioniert, wenn die Technik bricht, wird früher oder später politisch neu justiert. Die EFF hat dazu ein eigenes Resource-Page veröffentlicht, das die Eskalation in mehreren Ländern dokumentiert 3.

Für Betreiber von Plattformen mit Altersverifikation

Die wichtigste praktische Erkenntnis aus der Entscheidung ist, dass eine Compliance-Strategie, die sich auf Geolokalisierung plus Altersverifikation stützt, in einem föderalen System mit unterschiedlichen Datenschutzregeln strukturell fragil ist. Wer ein Produkt anbietet, das Erwachseneninhalte hostet oder Altersschranken umsetzt, sollte:

• Rechtswahl und Gerichtsstand prüfen. Das Urteil betrifft nur Utah. Eine Plattform, die in der EU oder in Deutschland Dienste anbietet, muss die DSGVO und den jeweiligen nationalen Jugendmedienschutz-Staatsvertrag (JMStV) separat bewerten. Das Urteil ist kein Präzedenzfall mit Bindungswirkung außerhalb der USA, dient aber als Argumentationshilfe, wenn ähnliche technische Anforderungen kommen.
• Geolokalisierung nicht überdehnen. Das Gericht hat den Punkt, an dem Geolokalisierung in “perfection” kippt, klar markiert 2. Wer in der Produktdokumentation weiterhin mit “genauer Standortbestimmung” wirbt, baut eine Angriffsfläche für Aufsichtsbehörden und Kläger auf.
• Datensparsamkeit prüfen. Die EFF-Kommentare heben hervor, dass jede zusätzliche Heuristik (Latenz, Sprache, Währung, Geräteattribute) einen weiteren Eingriff in die Privatsphäre darstellt 1. Wenn der Anbieter aus Utah aussperren will, sammelt er Daten von allen Nutzern.
• VPN-Erkennung nicht als Sicherheitsmerkmal verkaufen. Das Informationsverbot aus SB 73 wurde zwar nicht direkt von der Verfügung erfasst (Aylo focht es nicht an 2), aber Plattformen, die in einem ähnlichen regulatorischen Umfeld Tutorials oder Links zu VPNs veröffentlichen, sollten das dokumentieren und mit dem Rechtsbeistand abgleichen.

Für Leser, die Compliance-Workflows bauen

Wenn du in einem Unternehmen sitzt, das Standortdaten erhebt oder Altersverifikation implementiert, sind drei Punkte aus dem Urteil relevant.

Die Genauigkeit steht im Statut, nicht in der Technik. Das Gericht hat ausdrücklich betont, dass die strenge Haftung aus dem Statutstext folgt, nicht aus einem wie auch immer gearteten technischen Standard 2. Eine Klausel, die “reasonable” nicht enthält, kann nicht nachträglich durch Technik “vernünftig” gemacht werden.

Pike-Balancing zählt. Das Gericht hat eine klassische Abwägung nach Pike v. Bruce Church angewandt: Wie schwer wiegt die Belastung des zwischenstaatlichen Handels im Verhältnis zum lokalen Nutzen? Es kam zu dem Schluss, dass das Gesetz zwar ein “substantial safety interest” verfolgt (Schutz von Minderjährigen), aber Utah selbst eingeräumt hat, dass eine “feasible and reasonable”-Version dieselben Ziele mit weniger Belastung erreichen würde 2. Diese Begründung lässt sich direkt auf ähnliche Abwägungen in der DSGVO-Folgenabschätzung oder in einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO übertragen.

Dokumentation der technischen Grenzen. EFF hat in den Kommentaren an die Utah-Behörde ausdrücklich darauf hingewiesen, dass jede Detection-Heuristik fehleranfällig ist 1. Für eine Folgenabschätzung sollte man dokumentieren, welche Heuristik genutzt wird, wie hoch die False-Positive- und False-Negative-Raten sind und welche Maßnahmen bei Fehlklassifikation greifen.

Was als Nächstes in Utah und anderswo passieren könnte

Die einstweilige Verfügung ist kein Endurteil. Aylo und Utah werden den Fall weiterverfolgen, und das Gericht hat ausdrücklich nur die Actual-Location-Klausel blockiert, nicht die zugrundeliegende Altersverifikationspflicht 2. Utahs Abteilung für Verbraucherschutz hatte parallel den Regelentwurf R152-78B veröffentlicht, der am 1. September 2026 im Utah State Bulletin erschienen ist und ursprünglich am 8. Oktober 2026 in Kraft treten sollte 1, 4. Wegen der einstweiligen Verfügung wird die Regel nach Angaben der EFF vorerst nicht durchgesetzt 1.

Der federführende Senator in Utah hat laut KSL angekündigt, das Gesetz in der nächsten Sitzungsperiode überarbeiten zu wollen 5. Die EFF sieht darin die Chance, das Statut mit einem klaren “reasonable efforts”-Standard zu versehen, statt eine verschuldensunabhängige Haftung zu schreiben 1. Andere US-Bundesstaaten beobachten die Entwicklung: Wisconsin hatte bereits 2026 einen ähnlichen Vorstoß nach Einwänden von Datenschutzseite zurückgezogen 3. Es ist plausibel, dass weitere Bundesstaaten nachziehen oder nachjustieren, sobald das endgültige Urteil in Utah vorliegt.

Für die EU und insbesondere Deutschland lässt sich aus dem Verfahren ein pragmatischer Schluss ziehen: Solange eine Altersverifikationsregel technische Perfektion bei der Geolokalisierung verlangt, ist sie vor einem Gericht, das den Pike-Test anwendet, angreifbar. Eine DSGVO-konforme Umsetzung wird typischerweise einen “reasonable efforts”-Standard wählen, weil sie sonst in eine ähnliche Begründungsnot gerät. Wer als Anbieter die Anforderungen umsetzen muss, sollte die Genauigkeit seiner Standortbestimmung dokumentieren und die Datenminimierung explizit machen.

Wo das Urteil nicht hilft

Drei Bereiche deckt das Urteil bewusst nicht ab, und sie bleiben für die Cybersecurity-Praxis relevant.

First, die Hauptwahl. Die Kläger befasst sich nur mit der Actual-Location-Klausel; die zugrundeliegende Pflicht zur Altersverifikation für utahische Nutzer bleibt bestehen 2. Plattformen, die in Utah aktiv sind, müssen also weiterhin altersverifizieren, nur eben nicht per Standort-Hochpräzisionsregel.

Zweitens, der Anwendungsbereich. Das Urteil gilt nur in Utah und nur für die konkrete Klausel. Es hat keine Bindungswirkung in der EU, in Deutschland oder in anderen US-Bundesstaaten. Wer die Argumentation aus dem Verfahren für eigene Compliance-Diskussionen nutzen will, sollte die zugrundeliegenden US-Präzedenzfälle (vor allem ACLU v. Johnson, Pork Producers, Healy v. Beer Institute) separat auswerten, weil ihre Übertragbarkeit je nach nationalem Recht variiert 2.

Drittens, die technische Entwicklung. VPN-Anbieter, Browser-Fingerprinting und residential proxy networks entwickeln sich weiter. Die EFF hat in den Kommentaren vom Oktober 2026 darauf hingewiesen, dass sich auch kommerzielle Erkennungssysteme an diese Veränderungen anpassen müssen und ihre Heuristiken entsprechend justieren 1. Ein Urteil, das “geolocation perfection” heute für unmöglich erklärt, ist nicht zwingend auch in fünf Jahren richtig, wenn sich die technische Lage verschiebt. Eine Cybersecurity-Praxis sollte diese Entwicklung beobachten und ihre Geolokalisierungsannahmen regelmäßig überprüfen.

Weiterführende Artikel

• Datenschutz-Praxis: Standort-Tracking auf dem Handy reduzieren
• Unbound bis 1.26.0: Kritische 9.8-Schwachstelle im DNSSEC-Validator beheben
• US Supreme Court: Standortdaten sind durch die Verfassung geschützt – Auch bei Kurzzeit-Überwachung
• Datenschutz in der Praxis: Warum das EU-Tool zur Altersverifikation die Privatsphäre nicht löst
• Datenlecks erkennen: So findest du heraus, wo deine Daten abfließen

Passende Produktrecherchen

Wenn du die praktische Seite vertiefen möchtest, findest du hier passende Suchpfade zum Vergleichen. Keine Kaufpflicht, keine Rangliste, sondern thematisch passende Produktrecherchen:

• Als Amazon-Partner verdiene ich an qualifizierten Verkäufen. GL.iNet Router für Testnetze und Reise-VPNs ansehen
• YubiKey und FIDO2-Security-Keys vergleichen
• FIDO2-Security-Keys für passwortlose Anmeldung vergleichen
• USB-C-Ladegeräte und Kabel für Android-Smartphones ansehen
• USB-C-Sticks für lokale Smartphone-Backups recherchieren
• Starlink-Verfügbarkeit und Konditionen prüfen

Hinweis: Als Amazon-Partner verdient kalika.de an qualifizierten Verkäufen. Für dich ändert sich der Preis nicht.

Hinweis: Dieser Link ist ein Starlink-Empfehlungslink. Wenn du darüber bestellst, können für dich und kalika.de Vorteile nach den jeweils geltenden Starlink-Bedingungen entstehen.

Entscheidungshilfe: Wann ist das sinnvoll?

Eher sinnvoll, wenn du cybersecurity praxis nicht nur als Nachricht lesen willst, sondern eine praktische Einordnung brauchst: Was ändert sich, wen betrifft es und welche nächsten Schritte sind realistisch?

Eher abwarten, wenn die Quellenlage noch dünn ist, wichtige technische Details fehlen oder der Nutzen nur aus Hersteller- oder Projektversprechen besteht. Dann ist Beobachten besser als vorschnelles Umstellen.

Worauf du achten solltest: konkrete Verfügbarkeit, nachvollziehbare Kosten, offene Einschränkungen, Sicherheits- oder Datenschutzfolgen und belastbare Quellen statt bloßer Ankündigungen.

Häufige Fragen

Was beantwortet dieser Beitrag zu US-Gericht stoppt Utahs VPN-Gesetz: Was die Entscheidung für Altersverifikation, Geolokalisierung und VPN-Nutzung konkret bedeutet?

Er ordnet die genannten Quellen ein und übersetzt sie in Prüfpunkte für die eigene Entscheidung. Er ersetzt keine individuelle Planung, Beratung oder Wirtschaftlichkeitsrechnung.

Welche Angaben sollte ich vor einer Entscheidung selbst prüfen?

Entscheidend sind die eigenen Verbrauchs- und Nutzungsdaten, Kosten, technische Voraussetzungen und die aktuell geltenden Regeln. Die Quellen am Ende zeigen, welche Aussagen aus der Meldung stammen und wo die Grenzen der Einordnung liegen.

Sind die genannten Zahlen auf jeden Haushalt übertragbar?

Nein. Umfrage- und Marktwerte beschreiben Gruppen oder Zeitpunkte. Ob eine Maßnahme im Einzelfall passt, hängt von den konkreten Voraussetzungen vor Ort ab.

Grenzen der Einordnung

Die zitierten Daten beschreiben eine Erhebung beziehungsweise einen allgemeinen Markt- oder Regelungsstand. Sie ersetzen weder eine technische Prüfung noch eine individuelle Kostenrechnung. Änderungen bei Preisen, Förderung, Netzentgelten oder Vorgaben können das Ergebnis beeinflussen; daher sollten Leserinnen und Leser die Primärquellen vor einer konkreten Entscheidung erneut prüfen.

Transparenzhinweis

Dieser Beitrag wurde mit Unterstützung künstlicher Intelligenz erstellt und automatisiert auf Quellen, Fakten und Qualitätskriterien geprüft.

Quellen

[1] Court Agrees with EFF: Utah’s VPN Law Demands a Technical Impossibility – EFF Deeplinks (Oktober 2026)

[2] Aylo Freesites v. Utah Division of Consumer Protection – Memorandum Decision and Order Granting Preliminary Injunction, US District Court for the District of Utah, Akte 68, 24.09.2026

[3] Utah’s New Law Targeting VPNs Goes Into Effect May 6th – EFF Deeplinks (April 2026, Update September 2026)

[4] Utah State Bulletin, 1. September 2026, Seite 6 – Notice of Proposed Rulemaking R152-78B

[5] Judge temporarily blocks Utah’s new age verification law in Pornhub lawsuit – KSL (25.09.2026)