Studie: 138 Abgeordnete in Deepfake-Pornografie, New York beschlagnahmt zwölf Domains

Von 5.872 untersuchten Abgeordneten nationaler Parlamente in der EU tauchten 138 Frauen in Deepfake-Pornografie auf, gegenüber neun Männern. So steht es im Policy Paper „Who Gets Deepfaked?“, das der deutsche Thinktank Agora Digitale Transformation am 14. September veröffentlicht hat.

Verfasst hat es Benjamin Shultz, zugleich Lead Researcher beim American Sunlight Project. Zwischen 16. und 20. Juli 2026 wurden die Namen amtierender Abgeordneter aus allen 27 Mitgliedstaaten gegen 160 einschlägige Domains abgefragt, über acht Google Custom Search Engines zu je 20 Domains. Erfasst waren 94,4 Prozent der rund 6.218 Sitze. Treffer lieferten 36 der 160 Domains; validiert wurde gegen 100 erfundene Namen.

Die betroffenen Frauen verteilen sich auf 22 EU-Staaten. Umgerechnet ist eine von vierzehn Abgeordneten betroffen und einer von fünfhundert Abgeordneten. Das entspricht einer 33-fach höheren Betroffenheit, und sie bleibt bestehen, wenn man Alter, Bekanntheit, politische Ausrichtung und nationale Rechtslage herausrechnet. Wired nennt Deutschland, die Niederlande, Italien und Frankreich als am häufigsten vertreten.

Österreich kommt weder im Paper noch in der Berichterstattung vor. Ob österreichische Abgeordnete unter den 138 sind, lässt sich aus den veröffentlichten Daten nicht ablesen, weil die Länderliste nicht aufgeschlüsselt ist.

Am selben Tag gab Manhattan District Attorney Alvin L. Bragg Jr. bekannt, dass seine Behörde die Domains von zwölf Websites beschlagnahmt hat. Die Seiten verkauften nicht-einvernehmliche, KI-generierte Sexualdarstellungen von rund 1.200 realen Personen, überwiegend Frauen und öffentlich bekannte Personen aus Politik, Film, Sport, Musik und sozialen Medien. Bragg bezeichnete es als größte Beschlagnahme dieser Art. Ausgelöst wurde das Verfahren laut Pressekonferenz durch die Anzeige einer einzelnen Betroffenen.

Rechtsgrundlage ist New York Penal Law § 245.15, unlawful dissemination or publication of an intimate image, in der Fassung der Novelle S1042A vom 29. September 2023. Die Novelle erstreckte den Tatbestand ausdrücklich auf Bilder, die „created or altered by digitization“ sind, also auch auf rein KI-erzeugte Darstellungen. Der Strafrahmen liegt bei bis zu einem Jahr Haft. Festnahmen oder Anklagen gab es bisher nicht, die Ermittlungen laufen.

Die beiden Stränge berühren sich direkt. Das Agora-Paper vermerkt selbst, dass kurz vor Veröffentlichung acht der untersuchten Domains von der Manhattaner Staatsanwaltschaft beschlagnahmt wurden und damit die dokumentierte Exposition von 19 Abgeordneten entfiel. Die Aussendung der Staatsanwaltschaft spricht von zwölf Domains; die Differenz erklärt sich daraus, dass nur acht davon überhaupt in der Domainliste der Studie standen.

Dieselbe Studie zeigt auch, wo solche Beschlagnahmen enden. An der zuvor beschlagnahmten Domain CFake waren über die Google-API noch 47 indexierte Datensätze abrufbar, mehr als einen Monat nach der Beschlagnahme. Der Server ist weg, der Suchindex nicht.

Für die europäische Rechtslage lohnt sich eine Sortierung, weil dazu einiges Veraltete kursiert.

Art. 50 AI Act, die Kennzeichnung von Deepfakes und KI-Inhalten, gilt seit 2. August 2026 und wurde vom Digitalen Omnibus nicht verschoben. Für Systeme, die vor diesem Datum bereits in Verkehr waren, läuft die maschinenlesbare Kennzeichnung nach Art. 50 Abs. 2 noch bis 2. Dezember 2026, nachzulesen in Art. 111 Abs. 4 der konsolidierten Fassung.

Weiter reicht Art. 5. Der Digitale Omnibus hat mit Abs. 1 lit. ba und bb zwei neue Verbote in den AI Act geschrieben: KI-Systeme zur Erzeugung realistischer Intimdarstellungen bestimmbarer Personen ohne deren Zustimmung und solche zur Erzeugung von Missbrauchsdarstellungen Minderjähriger. Beides gilt ab 2. Dezember 2026 nach Art. 113 lit. a. Für Nudifier-Seiten ist das die schärfere Norm: Art. 50 verlangt ein Etikett, Art. 5 verbietet das Werkzeug. Ab diesem Datum ist der Betrieb solcher Systeme in der EU eine verbotene Praktik.

Der Digital Services Act greift daneben, aber an anderer Stelle. Er adressiert die Verbreitung über große Plattformen, nicht die Betreiberseiten selbst. Am 31. August hat die Kommission ChatGPT als VLOSE eingestuft sowie Reddit und Roblox als VLOP.

Bleibt das nationale Recht, und dort liegt nach wie vor der Hauptzugriff auf Betreiber und Verbreiter. Genau darauf zielt der unbequemste Befund des Papers: Staaten mit deepfake-spezifischen Strafnormen zeigten keine geringere Betroffenheit als Staaten ohne. Die Norm allein ändert nichts, wenn niemand sie anwendet.

Der Kontrast zum amerikanischen Vorgehen ist damit schwer zu übersehen. Die EU baut Verbotstatbestände mit Geltungsdatum, Kalifornien hat im September gleich dreizehn Gesetze zu KI-Chatbots und Jugendschutz unterschrieben, und New York hat zwölf Domains abgeschaltet, weil eine Betroffene Anzeige erstattet hat. Welcher dieser drei Wege in zwölf Monaten mehr Seiten aus dem Netz genommen hat, ist eine offene Frage.