Die CyberTipline-Meldepflicht: was ein Betreiber von Kleinanzeigen melden muss, und was sich 2024 geaendert hat

Die Anzeige, die ein Moderator nicht einfach loeschen kann

Ein Moderator, der die Warteschlange durchgeht, oeffnet eine Anzeige, bei der etwas nicht stimmt: ein Gesicht, das juenger wirkt als das angegebene Alter, eine Telefonnummer, die in derselben Woche in Anzeigen aus drei verschiedenen Staedten aufgetaucht ist, ein Konto, das offenbar fuer mehrere verschiedene Personen zugleich postet. Der Reflex, auf dem jeder Moderationsablauf beruht, ist schnelles Handeln: Anzeige entfernen, Konto sperren, weiter zum naechsten Punkt in der Warteschlange. Bei fast jeder Kategorie problematischer Anzeigen ist dieser Reflex richtig, und die Sache ist damit erledigt.

Diese Kategorie ist anders, und der Unterschied ist nicht offensichtlich, solange niemand nachschaut. Das US-Bundesrecht behandelt diesen Fall nicht als Inhaltsentscheidung, die die Seite allein treffen darf. Es macht ihn zum Ausloeser einer spezifischen, verpflichtenden Meldung an eine gesetzlich festgelegte Stelle, mit einer eigenen Aufbewahrungspflicht fuer das Gemeldete. Das Konto zu sperren und die Anzeige zu loeschen, reflexartig und ohne weiteres, kann versehentlich genau das zerstoeren, was das Gesetz aufzubewahren verlangt.

Nichts davon betrifft das gewoehnliche Moderationsproblem gefaelschter Fotos oder Betrugsanzeigen, ein Geschaeftsrisiko, das ein Betreiber mit eigenem Urteilsvermoegen und einer Sperrfunktion steuert, behandelt in was eine gefaelschte Anzeige tatsaechlich davon abhaelt, online zu gehen. Dies ist eine einzelne, eng gefasste gesetzliche Pflicht, geschaffen durch ein bestimmtes Gesetz, die unabhaengig davon besteht, ob der Betreiber je davon gehoert hat. Der Sinn dieses Artikels ist, dass das erste Mal, wenn das vorkommt, nicht auch das erste Mal ist, dass jemand im Unternehmen das Gesetz liest.

Es ist auch eine andere Frage als die strafrechtliche Haftung, die FOSTA-SESTA fuer Inhalte im Zusammenhang mit Menschenhandel geschaffen hat: jenes Gesetz entscheidet, ob die Plattform selbst wegen dessen, was eine Anzeige sagt, verklagt oder strafrechtlich verfolgt werden kann. Diese Pflicht entscheidet nur, ob eine Meldung die richtige Bundesstelle erreicht hat, und sie gilt unabhaengig davon, wie diese andere Haftungsfrage ausgeht.

Das fragliche Gesetz ist 18 U.S.C. § 2258A, und eine Aenderung von 2024 namens REPORT Act hat genug veraendert, dass jede vor diesem Jahr verfasste Anleitung bei den wichtigsten Zahlen veraltet ist: was gemeldet werden muss, wie lange das Material aufbewahrt werden muss, und was eine unterlassene Meldung kosten kann.

Was das Gesetz tatsaechlich verlangt

Section 2258A gilt fuer einen "provider" eines elektronischen Kommunikationsdienstes oder eines der Oeffentlichkeit angebotenen Fernverarbeitungsdienstes, Begriffe, die aelterem Abhoer- und Speicherkommunikationsrecht entlehnt sind. Keine der beiden Definitionen erwaehnt Unternehmensgroesse, Umsatz oder Branche. Ein Dienst, der Nutzern Konten gibt, ihnen erlaubt, Fotos hochzuladen, oder ihnen erlaubt, sich Nachrichten zu schicken, ist genau die Art von Dienst, die diese Definitionen beschreiben sollten, und nichts im Gesetz nimmt einen kleinen Marktplatz nur deshalb aus, weil er klein ist. Ob jede Kleinanzeigenseite in jedem Detail unter diese Definition faellt, wurde vor Gericht gegen ein Unternehmen dieser Art noch nie geprueft, also sollte man die Frage als offen und nicht als geklaert behandeln und die konkrete Konfiguration von einem Anwalt pruefen lassen, statt eine Antwort anzunehmen.

Was die Pflicht ausloest, ist eng gefasst: tatsaechliche Kenntnis. Das Gesetz sagt ausdruecklich, dass nichts darin einen Provider verpflichtet, einen Nutzer zu ueberwachen, den Inhalt einer Kommunikation zu ueberwachen oder aktiv nach den Tatsachen zu suchen, zu screenen oder zu scannen, die eine Meldung ausloesen wuerden. Es gibt keine Pflicht, danach zu suchen. Die Pflicht beginnt in dem Moment, in dem jemand im Unternehmen tatsaechlich davon weiss, und ab diesem Moment sagt das Gesetz, dass die Meldung die CyberTipline des National Center for Missing and Exploited Children (NCMEC) "so bald wie vernuenftigerweise moeglich" erreichen muss.

Vor 2024 waren die Kategorien, die diese Pflicht ausloesten, enger gefasst, als die meisten Betreiber vermuten wuerden: Material, das offenbar sexuellen Kindesmissbrauch zeigte. Vermuteter Kinderhandel und vermutete Anbahnung im Netz waren ueberhaupt keine Pflichtmeldekategorien, obwohl beide genau in der Art von Kontoverhalten auftauchen koennen, das das Moderationsteam einer Kleinanzeigenseite am besten zuerst bemerken kann: jemand, der die Anzeigen mehrerer Personen zugleich fuehrt, ein Minderjaehriger, der dazu gebracht wird, sich als Erwachsener auszugeben, Muster, die eher koordiniert als individuell wirken.

Diese Luecke hat der REPORT Act geschlossen, und deshalb beschreibt eine vor Mai 2024 verfasste Richtlinie das geltende Recht nicht mehr.

Was sich mit dem REPORT Act geaendert hat

Praesident Biden unterzeichnete den REPORT Act am 7. Mai 2024. Er aenderte § 2258A in vier Punkten, die direkt betreffen, wie ein Betreiber einen Prozess aufbaut, nicht nur, wie dieser Prozess heisst.

Erstens fuegte er vermuteten Kinderhandel und vermutete Online-Anbahnung eines Minderjaehrigen zu den Kategorien hinzu, die ein Provider melden muss, neben Material, das offenbar sexuellen Kindesmissbrauch zeigt. Das ist die Aenderung, die mehr als Fotografien einbezieht: ein Muster darin, wie Anzeigen veroeffentlicht und verwaltet werden, kann jetzt fuer sich genommen ein meldepflichtiger Umstand sein, unabhaengig davon, ob ein einzelnes Foto problematisch ist.

Zweitens verlaengerte er, wie lange ein Provider das mit einer Meldung verbundene Material aufbewahren muss, von 90 Tagen auf ein Jahr. Eine Seite, die etwas meldet und dann einen Monat spaeter die zugrunde liegenden Kontodaten loescht, mit der Begruendung, das Konto sei gesperrt und die Sache erledigt, befindet sich nicht mehr innerhalb des vom Gesetz verlangten Aufbewahrungsfensters.

Drittens fuegte er eine Sicherheitsanforderung fuer das Aufbewahrte hinzu: ein Provider, der Material im Zusammenhang mit einer CyberTipline-Meldung besitzt, muss es auf eine Weise sichern, die mit dem aktuellen NIST Cybersecurity Framework uebereinstimmt, mit einer Umsetzungsfrist von einem Jahr nach Inkrafttreten, also etwa Mai 2025. Das steht neben derselben Frage, die ein Betreiber bereits fuer die Ausweisdokumente, die ein Verifizierungsschritt sammelt und sicher aufbewahren muss beantworten muss: aufbewahrtes Meldematerial braucht dieselbe Art von bewusst zugangsbeschraenkter Speicherung, keinen Ordner, den jeder im Unternehmen oeffnen kann.

Viertens, und die Aenderung, die einem Betreiber wohl am ehesten auffaellt, erhoehte er die Strafe fuer eine wissentliche und vorsaetzliche unterlassene Meldung deutlich.

Was die Strafe ist, und was sie nicht ist

Vor dem REPORT Act zog eine wissentliche und vorsaetzliche unterlassene Meldung eine zivilrechtliche Geldstrafe von bis zu 150.000 Dollar fuer einen ersten Verstoss und bis zu 300.000 fuer einen wiederholten nach sich. Die neue Struktur koppelt die Obergrenze an die Groesse des Providers: eine erste wissentliche und vorsaetzliche unterlassene Meldung kann jetzt mit bis zu 600.000 Dollar bestraft werden fuer einen Provider mit weniger als 100 Millionen monatlich aktiven Nutzern, oder bis zu 850.000 fuer einen, der diese Zahl erreicht oder ueberschreitet. Ein zweiter oder weiterer Verstoss steigt auf 850.000 oder 1.000.000 Dollar nach derselben Aufteilung. Eine kleine Kleinanzeigenseite faellt in beiden Faellen in die untere Stufe, und diese untere Stufe allein ist trotzdem viermal so hoch wie das alte Maximum.

Zwei Dinge relativieren, wie diese Zahl zu lesen ist. Es handelt sich um eine zivilrechtliche Geldstrafe, keine Haftstrafe im Zusammenhang mit dieser Vorschrift, und sie greift nur bei einer wissentlichen und vorsaetzlichen unterlassenen Meldung, also wenn das Unternehmen es wusste und sich entschied, nicht zu melden, nicht bei einem Fall, in dem eine Meldung wohl haette erfolgen sollen und wegen einer ehrlichen Luecke im Prozess unterblieb. Ein fahrlaessiges Versaeumnis ist nicht das, was diese Strafe bestrafen soll.

Das andere Wissenswerte, weil es aendert, wie dringlich diese Zahl zu lesen ist, ist, dass oeffentliche Berichte keinen Fall identifiziert haben, in dem das Justizministerium diese konkrete Strafe tatsaechlich gegen einen Provider verhaengt hat. Diese Abwesenheit ist kein Grund, die Pflicht als dekorativ zu behandeln. Durchsetzungsmuster bei Meldegesetzen wie diesem neigen dazu, sich in dem Moment zu verschieben, in dem ein Fall sichtbar genug wird, um ein Exempel zu statuieren, und ein Unternehmen ganz ohne Prozess ist am ehesten dasjenige, das zu diesem Exempel wird, weil ein Befund wissentlicher und vorsaetzlicher Verstoesse gegen ein Unternehmen, das ueber das Gesetz informiert war und nichts tat, viel leichter zu belegen ist als gegen eines mit einem echten Prozess, das innerhalb dessen eine vertretbare Entscheidung getroffen hat.

Das unmittelbarere Risiko ist in der Praxis nicht die Strafe. Es ist das, was mit dem Konto und seinem Inhalt in den Stunden geschieht, nachdem jemand bemerkt, dass etwas nicht stimmt, bevor irgendjemand ueberhaupt an die Meldepflicht gedacht hat.

Der Prozess, den man vor dem ersten echten Fall haben sollte

Die Loesung ist kein Ueberwachungswerkzeug. Das Gesetz stellt ausdruecklich klar, dass keines erforderlich ist, und der Aufbau eines solchen wirft eigene Datenschutz- und Kostenprobleme auf, die diese Pflicht nicht verlangt. Die Loesung ist ein kurzes, schriftliches Verfahren, das schon vor dem Tag existiert, an dem es gebraucht wird, denn der Tag, an dem es gebraucht wird, ist der schlechteste Moment, um eines zu improvisieren.

Benennen Sie eine einzelne Person oder eine klar definierte Rolle, die eine solche Eskalation entgegennimmt, statt sie demjenigen zu ueberlassen, der an diesem Tag gerade moderiert. Diese Person braucht die Befugnis, ohne Warten auf ein Meeting zu handeln, denn "so bald wie vernuenftigerweise moeglich" ist der gesetzliche Massstab, nicht "sobald wir intern darueber gesprochen haben".

Schreiben Sie auf, was das Team in dem Moment nicht tun sollte, in dem etwas falsch erscheint: nicht versuchen, das Alter der Person durch weiteren Kontakt selbst zu pruefen, den Anzeigenaufgeber nicht konfrontieren, niemandem verraten, dass das Konto ueberprueft wird, und das Konto oder seinen Inhalt nicht loeschen, bevor die Meldung eingereicht und das Material aufbewahrt ist. Jeder dieser Reflexe fuehlt sich im Moment schuetzend an, und jeder kann die Meldung untergraben oder zerstoeren, was das Gesetz aufzubewahren verlangt.

Wissen Sie im Voraus, wie eine Meldung tatsaechlich eingereicht wird: die CyberTipline des NCMEC nimmt Meldungen ueber ein dafuer gebautes Webformular entgegen, und groessere Plattformen nutzen fuer dieselbe Einreichung eine Melde-API. Ein kleiner Betreiber braucht die API nicht. Er braucht, dass die oben benannte Person bereits weiss, dass das Webformular existiert und was es abfragt, statt es mitten in einem Vorfall zu entdecken.

Legen Sie schriftlich fest, wo das aufbewahrte Material fuer das geforderte Jahr liegt und wer darauf zugreifen kann, passend zu demselben zugangsbeschraenkten Ansatz, den die Seite ihren Identitaetsverifizierungsdaten bereits schuldet. Fuehren Sie ein kurzes Protokoll dessen, was wann gemeldet wurde, nicht fuer das NCMEC, sondern damit das Unternehmen zeigen kann, falls es je gefragt wird, dass sein Prozess so ablief, wie er geschrieben war.

Nichts davon erfordert neue Software oder ein grosses Budget. Es erfordert eine geschriebene Seite, eine benannte Person, und eine Entscheidung, die jetzt und nicht mitten in einem Vorfall getroffen wird, dass eine Meldung eingereicht und das Material aufbewahrt wird, bevor irgendjemand die Loeschtaste beruehrt.