Ein gemeinsames Erkennungssystem, Kinder dürfen weiterhin online sein
Der Oberste Gerichtshof Indiens hat die Zentralregierung angewiesen, eine nationale Datenbank mit Hashwerten und URLs einzurichten. Damit sollen Plattformen bestätigtes Material über sexuellen Missbrauch und Ausbeutung von Kindern dienstübergreifend erkennen und entfernen können. Jeder Eintrag muss von mindestens drei geschulten menschlichen Analysten unabhängig geprüft werden. Die Datenbank soll digitale Kennungen und Internetadressen enthalten, nicht jedoch die missbräuchlichen Bilder oder Videos selbst.
Inhalt
- Ein gemeinsames Erkennungssystem, Kinder dürfen weiterhin online sein
- Warum getrennte Löschungen auf einzelnen Plattformen nicht ausreichen
- So soll die nationale Datenbank funktionieren
- Drei menschliche Prüfungen vor Aufnahme eines Eintrags
- Für welche Maßnahmen gilt eine Meldefrist von zwei Stunden?
- Beschwerden müssen von einer geschulten Person bearbeitet werden
- Werbe- und Abonnementerlöse im Visier
- Warum das Gericht ein pauschales Online-Verbot für Kinder ablehnte
- Schulen sind Teil des Schutzkonzepts
- Was die Regierung bis zum 10. Dezember tun muss
- Die wichtigsten Punkte
Die 136 Seiten umfassende Anordnung vom 15. Oktober 2026 setzt für soziale Medienunternehmen außerdem Fristen für Meldungen fest, verlangt barrierearme Beschwerdesysteme und fordert digitale Sicherheitserziehung an Schulen. Die Regierung muss zum nächsten Verhandlungstermin am 10. Dezember 2026 eine eidesstattliche Erklärung zum Stand der Umsetzung vorlegen.
Die Richter J. B. Pardiwala und K. Vinod Chandran erließen die Vorgaben im Verfahren Just Rights for Children Alliance & Anr. v. S. Harish & Ors. Vorausgegangen waren Anträge, in denen Verstöße gegen das Urteil des Gerichts vom 23. September 2024 geltend gemacht wurden.
Der Senat verband strengere Pflichten für Technologieunternehmen mit einer verfassungsrechtlichen Feststellung: Kinder haben ein Grundrecht darauf, auf das Internet zuzugreifen und es zu nutzen. Pauschale altersabhängige Beschränkungen befürwortete er nicht. Stattdessen sprach er sich für elterliche Begleitung, sicherere Kontoeinstellungen und ein Vorgehen gegen diejenigen aus, die missbräuchliches Material erstellen, verbreiten oder damit Gewinne erzielen.
Warum getrennte Löschungen auf einzelnen Plattformen nicht ausreichen
Das Gericht benannte eine praktische Schwachstelle des bestehenden Systems: Erkennt ein Unternehmen missbräuchliches Material und entfernt es, kann dasselbe Bild, Video oder derselbe Link auf einer anderen Plattform weiterhin verfügbar sein, weil diese es nicht selbstständig erkannt hat.
Regel 4(4) der Information Technology (Intermediary Guidelines and Digital Media Ethics Code) Rules, 2021 bezieht sich auf Inhalte, die zuvor auf den eigenen Computerressourcen des jeweiligen Vermittlers entfernt wurden. Nach Ansicht des Senats ist dieser Ansatz zu eng, um eine koordinierte Erkennung über mehrere Dienste hinweg zu ermöglichen.
Die Anträge machten zudem auf mutmaßlich bezahlte Werbung aufmerksam, die Nutzer über Links und externe Websites zu missbräuchlichem Material führte. Von 84 in Indien untersuchten Anzeigen wurden 55 über das Meldesystem einer Plattform gemeldet. Davon galten 43 als mit deren Werberichtlinien vereinbar, also rund 78 Prozent der gemeldeten Anzeigen.
Für das Gericht ging es sowohl um wiederholte Uploads als auch um die Wege, über die Nutzer zu Ausbeutung hingelenkt wurden. Der Rahmen umfasst deshalb die Erkennung bekannten Materials, die Prüfung externer Internetadressen, Meldungen an die Polizei und die Untersuchung der mit der Verbreitung erzielten Einnahmen.
So soll die nationale Datenbank funktionieren
Die nationale Datenbank mit Hashwerten und URLs kann entweder im Sahyog-Portal des Indian Cyber Crime Coordination Centre (I4C) oder als eigenständiges Verzeichnis betrieben werden. Über Sahyog werden derzeit Beschwerden und Löschungsaufforderungen weitergeleitet. Die geplante Datenbank würde ein gemeinsames Nachschlagesystem zur Erkennung bestätigten missbräuchlichen Materials ergänzen.
Ein Hashwert ist eine digitale Kennung, die aus einer Datei erzeugt wird und mit einem Fingerabdruck vergleichbar ist. Plattformen können Kennungen abgleichen, um Material zu erkennen, das andernorts bereits identifiziert wurde. Perceptual Hashing geht noch weiter: Damit lassen sich ähnliche Bilder oder Videos auch nach Veränderungen wie einer Größenanpassung oder Neuformatierung erkennen.
Eine URL ist eine Internetadresse. Mit solchen Adressen können Plattformen gegen Links vorgehen, die Nutzer zu bekannten Orten mit missbräuchlichem Material führen. Das gilt auch, wenn das Material außerhalb der Plattform gespeichert ist, auf der der Link erscheint.
Die Regierung muss Richtlinien oder Standardverfahren für bedeutende soziale Medienintermediäre erarbeiten, die perceptual Hash Matching und URL-Verzeichnisse nutzen. Das Gericht sprach sich für Vorgaben aus, die regelmäßig an technische Veränderungen angepasst werden können.
Plattformen sollen ihre Dienste mit den Datenbankeinträgen abgleichen. Strafverfolgungsbehörden sollen mithilfe der gemeinsamen Kennungen entsprechendes Material an anderen Stellen im Internet aufspüren. Ein bestätigter Treffer kann so Maßnahmen auf mehreren Diensten ermöglichen, ohne dass jedes Unternehmen die Erkennung von vorn beginnen muss.
Drei menschliche Prüfungen vor Aufnahme eines Eintrags
Vor einer Aufnahme in die Datenbank verlangt das Gericht mehrere Prüfschritte. Software kann eine erste Sichtung übernehmen, doch mindestens drei geschulte menschliche Analysten müssen jeweils unabhängig beurteilen, ob es sich um Material über sexuellen Missbrauch und Ausbeutung von Kindern handelt, kurz CSEAM.
Einträge müssen über verschlüsselte Kanäle übermittelt werden. Das Verzeichnis darf nur die betreffenden Hashwerte und URLs speichern, ergänzt um Prüfprotokolle, Zugriffsprotokolle und unabhängige Audits. Fehlerhafte Einträge müssen unverzüglich entfernt werden.
Wer von einer auf Datenbankeinträgen beruhenden Entfernung betroffen ist, muss sich beschweren können. Löschungsmitteilungen sollten die Grundlage der Maßnahme erläutern, damit Betroffene wissen, ob sie sich an die Plattform oder die für die Datenbank zuständige Stelle wenden müssen.
Diese Schutzvorkehrungen verbinden ein leistungsfähiges gemeinsames Erkennungssystem mit einer Möglichkeit, Fehler zu berichtigen. Da ein Eintrag Maßnahmen auf mehreren Plattformen auslösen kann, wirkt sich die Genauigkeit der ersten Prüfung auf jede spätere Entfernung aus.
Für welche Maßnahmen gilt eine Meldefrist von zwei Stunden?
Das Gericht legte unterschiedliche Verfahren für neu erkanntes Material und für Material fest, das bereits in der nationalen Datenbank verzeichnet ist. Material unbekannter Herkunft bezeichnet in diesem Rahmen Inhalte, die eine Plattform im Zuge ihrer eigenen Erkennungs- oder Beschwerdeverfahren prüft. Bekanntes Material sind Inhalte, die mit einem bestätigten Datenbankeintrag übereinstimmen.
- Erkennt und entfernt eine Plattform eigenständig Material unbekannter Herkunft, muss sie die Entfernung innerhalb von zwei Stunden melden.
- Erfolgt die Entfernung aufgrund einer Beschwerde, muss die Plattform unmittelbar nach deren Bearbeitung Bericht erstatten, spätestens jedoch innerhalb von zwei Stunden nach Abschluss des Verfahrens.
- Stimmt ein Inhalt mit einem bestehenden Datenbankeintrag überein, muss die Plattform ihn unverzüglich sperren und entfernen und jede Woche einen zusammengefassten Bericht über solche Entfernungen einreichen.
Plattformen müssen neu erkanntes Material prüfen, bevor sie es im Rahmen dieses Verfahrens entfernen und melden. Sie müssen die nach indischem Recht zuständigen Behörden informieren, darunter je nach Anwendbarkeit nach Regel 11 der Protection of Children from Sexual Offences Rules, 2020 die Special Juvenile Police Unit, die örtliche Polizei oder das Cybercrime-Portal. Ist die für die Datenbank zuständige Stelle eine andere Behörde, muss auch sie informiert werden.
Die Fristen von zwei Stunden gelten für Meldungen nach einer Entfernung oder nach Abschluss der Bearbeitung einer Beschwerde. Das wöchentliche Berichtsverfahren betrifft Treffer zu Material, das bereits in der Datenbank bestätigt wurde; die Pflicht zur unverzüglichen Entfernung gilt daneben weiterhin.
Das Urteil vom September 2024 hatte die Meldepflichten bereits mit Paragraf 79 des Information Technology Act, 2000 verknüpft. Dieser Paragraf gewährt unter bestimmten Voraussetzungen Schutz vor der Haftung für von Nutzern veröffentlichte Inhalte, oft als Safe Harbour bezeichnet. Nach Auffassung des Gerichts müssen Intermediäre ihre Sorgfaltspflichten erfüllen und die Meldepflichten nach dem Kinderschutzrecht einhalten, um diesen Schutz in Anspruch nehmen zu können.
Beschwerden müssen von einer geschulten Person bearbeitet werden
Plattformen müssen eine eigene, klar bezeichnete Meldekategorie für CSEAM anbieten, die mit höchstens zwei Schritten erreichbar ist. Eine anonyme Meldung ohne verpflichtende Angabe persönlicher Daten muss möglich sein. Die Kontaktdaten der Beschwerdebeauftragten müssen auf Websites und in Apps leicht zu finden sein.
Jede Beschwerde muss innerhalb von 24 Stunden bestätigt werden und eine Referenznummer erhalten. Eine geschulte Beschwerdebeauftragte oder ein geschulter Beschwerdebeauftragter muss sie prüfen; die beschwerdeführende Person muss die Entscheidung samt Begründung erhalten. Automatisierte Werkzeuge dürfen bei der ersten Sichtung helfen, die Verantwortung für die Prüfung der Beschwerde bleibt jedoch bei einer geschulten Person.
Das Gericht forderte außerdem Berichte in einem einheitlichen, maschinenlesbaren Format. Einheitliche Meldungen würden den Behörden verwertbare Informationen liefern, statt sie dazu zu zwingen, unterschiedliche Formate der Unternehmen miteinander abzugleichen.
Die Zentralregierung soll geeignete Änderungen der IT Rules vornehmen, um die Rechenschaftspflichten auf alle Intermediäre auszuweiten. Für Nutzerinnen und Nutzer bedeutet das konkret: einen leicht zugänglichen Meldeweg, eine nachverfolgbare Beschwerde und eine begründete Entscheidung darüber, welche Maßnahmen ergriffen wurden.
Werbe- und Abonnementerlöse im Visier
Der Senat wies Intermediäre an, zu verhindern, dass CSEAM und andere verbotene schädliche Inhalte direkt oder indirekt über Bezahlschranken oder Abonnements angeboten, gehostet, hochgeladen, beworben oder verbreitet werden. Eine Bezahlschranke ist eine Zahlungshürde, die Nutzer überwinden müssen, um auf Inhalte zuzugreifen.
Das Gericht erklärte, Einnahmen aus der Verbreitung verbotener Inhalte über diese Dienste sollten eingezogen und abgeführt werden. Es forderte die Regierung auf, den dafür erforderlichen Rahmen zu schaffen und abschreckende Geldstrafen für Verstöße gegen Pflichten aus dem IT Act und den zugehörigen Regeln zu prüfen.
Bei der Höhe der Strafen sollten die Schwere, Dauer und Wiederholung eines Verstoßes sowie Größe und Umsatz des Unternehmens berücksichtigt werden. So kann die Reaktion sowohl einem wiederholten Versäumnis als auch dem Umfang des verantwortlichen Unternehmens Rechnung tragen.
Die Anordnung erfasst auch elektronische Materialien, die Ausbeutung ermöglichen, darunter Werbung für Werkzeuge, mit denen Bilder in missbräuchliches Material umgewandelt oder Nutzer dorthin weitergeleitet werden. Das Gericht legte den Anwendungsbereich des IT Act und der zugehörigen Regeln so aus, dass er über bloße visuelle Darstellungen hinausgeht, und verwies auf Paragraf 67B(d) sowie Regel 3(1)(b).
Vor der Anordnung teilte das Ministerium für Elektronik und Informationstechnologie dem Gericht mit, es habe im Juli 2026 dem Compliance-Beauftragten von Meta wegen bezahlter Werbung für CSEAM eine Mitteilung zugestellt. Das Verfahren war noch nicht abgeschlossen. Nach Angaben der Regierung hatten sich Google und Meta nach Gesprächen bereit erklärt, Fälle direkt den indischen Strafverfolgungsbehörden zu melden.
Warum das Gericht ein pauschales Online-Verbot für Kinder ablehnte
Der Senat erkannte den Zugang zum Internet und seine Nutzung als Grundrecht nach Artikel 21 an, der Leben und persönliche Freiheit schützt, in Verbindung mit Artikel 19(1)(a), der die Meinungs- und Ausdrucksfreiheit gewährleistet. Kinder genießen diese Rechte dem Gericht zufolge unabhängig von ihrem Alter.
Die Richter Pardiwala und Chandran beschrieben in ihrer Anordnung das Verhältnis von Schutz und Zugang:
Die Sicherheit unserer Kinder und ihre Freiheit stehen nicht im Widerspruch zueinander. Unsere Kinder haben Anspruch auf beides.
Das Gericht argumentierte, Kinder könnten das Internet trotz eines Verbots heimlich weiter nutzen und dabei auf weniger regulierte Dienste ausweichen. Ein Kind, das bedroht oder manipuliert wird, könnte dann aus Angst vor Strafe zögern, Hilfe zu suchen, weil es online war.
Der Senat äußerte auch Bedenken zum Datenschutz bei Systemen, die von allen Nutzern einen Altersnachweis verlangen und dafür umfangreiche Erhebungen und die Überwachung sensibler Informationen vorsehen. Stattdessen schlug er elterliche Zustimmung, Begleitung und Aufsicht sowie einen eigenen Kindermodus vor.
Mögliche Einstellungen sind Konten, die standardmäßig privat sind, Beschränkungen für Kontaktaufnahmen durch unbekannte Erwachsene sowie Kontrollen für Werbung und Inhalte. Für Kinder unterhalb des Teenageralters schlug das Gericht verhältnismäßige Verfahren zur Überprüfung der elterlichen Zustimmung vor. Die konkreten Regelungen überließ es der Zentralregierung. Gezielte Beschränkungen für von Grund auf schädliche Angebote, darunter Websites mit Inhalten für Erwachsene, bleiben möglich.
Schulen sind Teil des Schutzkonzepts
Das Gericht ordnete an, digitale Sicherheit und altersgerechte Sexualaufklärung in den Kernlehrplan aufzunehmen. Der Unterricht soll Einwilligung, sichere und unsichere Berührungen, gesunde Beziehungen, den Schutz persönlicher Daten, Online-Ausbeutung und Möglichkeiten zur Meldung von Missbrauch behandeln.
Der National Council of Educational Research and Training und die State Councils of Educational Research and Training sollen die Inhalte gemeinsam mit Kinderpsychologen, Pädagogen und Erziehungsexperten entwickeln. Das Gericht forderte außerdem, in Schulen Telefonnummern von Beratungsstellen auszuhängen und Aufklärungsprogramme bereits in der Grundschule zu beginnen.
Für Kinder bedeutet das, Gefahren erkennen und einer Vertrauensperson davon erzählen zu lernen, während Unternehmen technische Schutzmaßnahmen umsetzen sollen. Der Bildungsbaustein soll auch Situationen abdecken, in denen ein Kind Manipulation oder Bedrohungen erlebt, bevor eine Plattform ein Bild oder einen Link erkannt hat.
Auch die Begriffswahl des Gerichts trägt diesem Fokus auf den Schaden Rechnung. In seinem Urteil vom September 2024 forderte es das Parlament auf, eine Ersetzung des Begriffs „Kinderpornografie“ im POCSO Act durch eine Formulierung zu prüfen, die Material über sexuellen Missbrauch und Ausbeutung von Kindern beschreibt, um den Charakter der Straftaten genauer wiederzugeben.
Was die Regierung bis zum 10. Dezember tun muss
Das Ministerium für Elektronik und Informationstechnologie sowie das Ministerium für Recht und Justiz müssen die Umsetzung des Rahmens durch Richtlinien, Standardverfahren und geeignete Änderungen der IT Rules und gegebenenfalls des IT Act vorantreiben. In ihrer eidesstattlichen Erklärung muss die Regierung über den Fortschritt berichten, einschließlich der derzeit von Intermediären verwendeten technischen Werkzeuge.
Das Ministerium für Elektronik und Informationstechnologie (MeitY) hatte bereits einen gemeinsam mit dem Ministerium für Frauen und Kindesentwicklung, dem Innenministerium, dem Telekommunikationsministerium und weiteren Beteiligten erarbeiteten Verfahrensentwurf vorgelegt. Generalstaatsanwalt Tushar Mehta bat um mehr Zeit, um ihn fertigzustellen.
Das Verfahren hat sich in mehreren Etappen entwickelt:
- 23. September 2024: Der Oberste Gerichtshof verkündete sein früheres Urteil zu CSEAM, einschließlich der Meldepflichten für Intermediäre.
- Februar 2026: Die Regierung änderte die Regeln für Intermediäre und ergänzte konkrete Sorgfaltspflichten im Zusammenhang mit CSEAM.
- Juli 2026: MeitY stellte dem Compliance-Beauftragten von Meta wegen bezahlter Werbung für solches Material eine Mitteilung zu.
- 14. August 2026: Das Gericht äußerte erhebliche Bedenken wegen schwerwiegender Versäumnisse bei der Einhaltung der Vorschriften.
- 15. Oktober 2026: Der Senat legte den Rahmen für Datenbank, Meldungen, Bildung und Rechenschaftspflichten fest.
- 10. Dezember 2026: Für diesen Tag ist eine weitere Anhörung angesetzt; bis dahin muss die Regierung ihre eidesstattliche Erklärung zum Umsetzungsstand vorlegen.
Die Anordnung nennt weder einen Starttermin für die Datenbank noch konkrete Beträge für Geldstrafen. Bei der Anhörung im Dezember muss die Regierung erläutern, welche Schritte sie für eine gemeinsame Erkennung, verlässliche Meldungen und einen sichereren Internetzugang für Kinder unternommen hat.
Die wichtigsten Punkte
- Eine nationale Datenbank soll Hashwerte und URLs von bestätigtem Material über sexuellen Missbrauch und Ausbeutung von Kindern speichern, nicht das Material selbst.
- Mindestens drei geschulte menschliche Analysten müssen jeden vorgeschlagenen Eintrag unabhängig prüfen.
- Bestimmte Entfernungen müssen innerhalb von zwei Stunden gemeldet werden; Treffer zu bestehenden Datenbankeinträgen erfordern eine unverzügliche Entfernung und wöchentliche Berichte.
- Plattformen müssen Beschwerden innerhalb von 24 Stunden bestätigen und eine Prüfung durch geschultes Personal ermöglichen.
- Das Gericht untersagte die Verbreitung über Bezahlschranken und Abonnements und forderte einen Rahmen für Strafen und den Umgang mit verbotenen Einnahmen.
- Kinder behalten ein Grundrecht auf Internetzugang. Gezielte Schutzmaßnahmen haben Vorrang vor pauschalen Verboten.
- Die Regierung muss zum Verhandlungstermin am 10. Dezember 2026 über den Umsetzungsstand berichten.
