Die 48-Stunden-Löschpflicht des TAKE IT DOWN Act: Was jedes kleine Unternehmen, das Nutzerinhalte hostet, 2026 tun muss, um konform zu sein

Wenn Ihr kleines Unternehmen eine Plattform betreibt, die Nutzerinhalte hostet – ein Community-Forum, einen Marktplatz mit Verkäuferbildern, eine Social-App, eine Jobbörse mit Profilfotos oder sogar einen Discord-ähnlichen Chat für Kunden – unterliegen Sie seit dem 19. Mai 2026 einer bundesweiten 48-Stunden-Löschfrist. Verpassen Sie diese, kann die FTC das Versäumnis als unlautere oder täuschende Praxis behandeln, mit Geldstrafen von bis zu 51.744 $ pro Verstoß.

Das Gesetz ist der TAKE IT DOWN Act (TIDA 2025), der 2024 unterzeichnet wurde und seit dem 19. Mai 2026 durchsetzbar ist. Er zielt auf nicht einvernehmliche intime Bildnisse (NCII), einschließlich KI-generierter Deepfakes identifizierbarer Personen. Das Gesetz, das weithin als Schutzmaßnahme für Opfer gelobt und wegen des Risikos übermäßiger Löschungen genau beobachtet wird, passierte den Senat einstimmig und das Repräsentantenhaus mit 409–2 Stimmen. Für betroffene Plattformen sind die Compliance-Pflichten konkret und das Zeitfenster ist kurz: Stellen Sie einen klaren Weg für Menschen bereit, eine Löschung zu beantragen, und entfernen Sie das Bild sowie alle identischen Kopien innerhalb von 48 Stunden nach einer gültigen Anfrage.

Hier erfahren Sie, wer betroffen ist, was der Anfrageprozess leisten muss und wie ein kleines Unternehmen einen verteidigungsfähigen 48-Stunden-Workflow implementieren kann, bevor der nächste Warnbrief eintrifft.

Wer ist betroffen​

Das Gesetz definiert eine "betroffene Plattform" wie folgt:

• Eine Website, ein Onlinedienst, eine Online-Anwendung oder eine mobile Anwendung, die der Öffentlichkeit dient und in erster Linie ein Forum für nutzergenerierte Inhalte bietet – einschließlich Nachrichten, Videos, Bildern, Spielen und Audiodateien; oder
• Ein Onlinedienst, dessen Geschäft darin besteht, Inhalte zu veröffentlichen, zu kuratieren, zu hosten oder bereitzustellen, die nicht einvernehmliche intime visuelle Darstellungen sind.

Dieser Umfang ist breiter als soziale Medien. Ein Nischenmarktplatz, auf dem Verkäufer Lifestyle-Bilder ihrer Produkte hochladen, eine Fitness-App, in der Mitglieder Fortschrittsfotos teilen, eine lokale Nachrichtenseite mit Nutzerkommentaren, die Bild-Uploads ermöglichen, oder ein SaaS-Forum, in dem Nutzer Screenshots posten, können alle darunterfallen, wenn sie öffentlich sind und hauptsächlich von Nutzerinhalten geprägt werden. Rein interne Tools hinter einem Login fallen im Allgemeinen nicht unter die Definition, aber alles Öffentliche und Partizipative sollte als betroffen angenommen werden, bis eine schriftliche Analyse etwas anderes ergibt.

Die Größe befreit Sie nicht. Das Gesetz gilt für kleine Unternehmen, die betroffene Plattformen betreiben, nicht nur für die großen Tech-Konzerne. Die Warnbriefe der FTC vom Mai 2026 gingen an ein Dutzend Websites unterschiedlicher Größe – ein Zeichen dafür, dass sich die Durchsetzung nicht auf bekannte Namen beschränken wird.

Was das Gesetz verlangt – Veröffentlichungsverbot plus Löschpflicht​

Zwei Verbote greifen ineinander:

1. Veröffentlichen Sie keine nicht einvernehmlichen intimen Bilder. Das Gesetz macht es illegal, intime visuelle Darstellungen einer identifizierbaren Person ohne deren Einwilligung zu veröffentlichen – einschließlich KI-generierter digitaler Fälschungen. Dies gilt für die eigene Veröffentlichung der Plattform und für Nutzerbeiträge, die die Plattform hostet.
2. Entfernen Sie auf Anfrage innerhalb von 48 Stunden. Nach Eingang einer gültigen Anfrage von einem Opfer (oder einem autorisierten Vertreter) muss eine betroffene Plattform die gemeldete NCII und alle bekannten identischen Kopien innerhalb von 48 Stunden entfernen.

Die 48-Stunden-Frist beginnt mit dem Eingang einer gültigen Anfrage, nicht mit Ihrem nächsten Werktag. Wochenenden zählen. Die FTC setzt Abschnitt 3 des Gesetzes durch und hat erklärt, dass sie die Nichteinhaltung als unlautere oder täuschende Praxis im Rahmen ihrer bestehenden Befugnisse behandeln wird, mit zivilrechtlichen Strafen und in schwerwiegenden Fällen einer Überweisung wegen strafbarer Verbreitung.

Was als gültige Anfrage gilt​

Eine Anfrage ist gültig, wenn sie genügend Informationen enthält, damit die Plattform den Inhalt identifizieren und entfernen kann, ohne dass das Opfer Ermittlungsarbeit leisten muss:

• Identifizierung der abgebildeten Person und eine Erklärung, dass die Darstellung nicht einvernehmlich ist (das Gesetz verlangt nicht, dass das Opfer nachweist, dass es nie eingewilligt hat – seine Erklärung ist die Grundlage)
• Ort des Inhalts – URL, Beitrags-ID oder anderer Locator, der es der Plattform ermöglicht, die Datei zu finden
• Kontaktinformationen für Rückfragen

Die Plattform darf die Entfernung nicht davon abhängig machen, dass das Opfer der Öffentlichkeit einen amtlichen Ausweis vorlegt, und sie darf auch nicht verlangen, dass das Opfer eine Gebühr zahlt oder Kontakt mit der Person aufnimmt, die den Inhalt gepostet hat. Eine Umsetzung nach Treu und Glauben bedeutet, den Anfragekanal leicht auffindbar zu machen – klar auf der Plattform kommuniziert, nicht dreistufig im Hilfezentrum versteckt.

KI-Deepfakes sind ausdrücklich eingeschlossen. Ein digital gefälschtes intimes Bild einer identifizierbaren Person – mit getauschtem Gesicht oder synthetisch generiert – fällt in gleichem Maße darunter wie ein authentisches Foto. Ihr Moderationsprozess muss sie identisch behandeln.

Der 48-Stunden-Workflow, den kleine Unternehmen benötigen​

Sie benötigen keine Enterprise-Trust-and-Safety-Tools, um konform zu sein, aber Sie benötigen einen dokumentierten, fristgetriebenen Workflow, der einer FTC-Untersuchung standhält.

1. Veröffentlichen Sie einen Kanal für Löschungsanfragen​

Erstellen Sie einen dedizierten, klar gekennzeichneten Pfad – z. B. "Nicht einvernehmliches intimes Bild melden" –, der auf jeder Seite sichtbar ist, die Nutzerinhalte hostet, sowie in Ihren AGB oder Community-Richtlinien. Der Kanal sollte:

• Ohne Login zugänglich sein, da das Opfer oft kein Nutzer ist
• Anfragen rund um die Uhr über ein Formular annehmen, das einen mit Zeitstempel versehenen Ticket erzeugt
• Den Eingang automatisch mit Ticketnummer, der 48-Stunden-Zusage und einer Kontaktmöglichkeit für Rückfragen bestätigen
• Den Eingangszeitpunkt protokollieren, minuten genau – dieser Zeitstempel startet die Frist

Leiten Sie NCII-Meldungen nicht über ein allgemeines Support-Postfach, wo sie mit Buchungsanfragen konkurrieren. Eine separate Warteschlange stellt sicher, dass sie zuerst gesehen werden.

2. Sichten und verifizieren, ohne Unmögliches zu verlangen​

Innerhalb von Stunden, nicht Tagen, sollte ein benannter Moderator:

• Bestätigen, dass die Anfrage eine Darstellung identifiziert, die intim und nicht einvernehmlich erscheint, und einen Locator bereitstellt
• Die Datei und alle bekannten identischen Kopien lokalisieren – gleicher Hash, gleiche URL-Varianten, gleiche Reposts im Speicher der Plattform
• Die Beweise (Hash, URL, Uploader-Konto, Zeitstempel) vor der Entfernung sichern, da Sie möglicherweise nachweisen müssen, dass Sie identische Kopien entfernt haben, und um Strafverfolgungsbehörden zu unterstützen

Verzögern Sie die Entfernung nicht, um zu untersuchen, ob die abgebildete Person "wirklich" eingewilligt hat, oder um den Uploader um seine Sichtweise zu bitten. Das Gesetz verlagert die Last auf die Entfernung bei einer gültigen Anfrage; der richtige Rechtsbehelf bei einer unrechtmäßigen Löschung ist ein Gegendarstellungs- und Wiederherstellungsprozess, nicht eine Debatte vor der Entfernung, die die 48-Stunden-Frist sprengt. Experten für Meinungsfreiheit haben darauf hingewiesen, dass dieses enge Zeitfenster übermäßige Löschungen begünstigen kann – erkennen Sie diesen Kompromiss in Ihrer Richtlinie an, aber halten Sie die Fristen des Gesetzes ein.

3. Entfernen und deduplizieren Sie innerhalb von 48 Stunden​

Entfernung bedeutet, dass das Bild auf der Plattform nicht mehr öffentlich zugänglich ist und die Plattform angemessene Schritte unternommen hat, um zu verhindern, dass bekannte identische Kopien zugänglich bleiben. In der Praxis:

• Löschen oder deaktivieren Sie den Zugriff auf die Originaldatei und entfernen Sie sie aus CDNs und Caches, wo Sie den Cache kontrollieren
• Hashen Sie das Bild (z. B. PhotoDNA, PDQ oder ein einfacher Wahrnehmungs-Hash) und scannen Sie im selben Datenspeicher nach identischen Kopien – das Gesetz verlangt ausdrücklich die Entfernung bekannter identischer Kopien, nicht nur der gemeldeten URL
• Setzen Sie die Fähigkeit des Uploaders aus, dieselbe Datei erneut zu posten, während Sie Audit-Logs aufbewahren

Dokumentieren Sie den Entfernungszeitpunkt im Ticket. Wenn die Entfernung in Stunde 30 abgeschlossen ist, ist dieser Zeitstempel Ihr Compliance-Nachweis.

4. Benachrichtigen und einen Gegendarstellungsprozess anbieten​

Nach der Entfernung benachrichtigen Sie sowohl den Antragsteller als auch den Uploader:

• Teilen Sie dem Antragsteller mit, dass der Inhalt entfernt wurde, und geben Sie die Ticket-Abschlusszeit an
• Teilen Sie dem Uploader mit, was entfernt wurde und warum, und erklären Sie, wie er eine Gegendarstellung einreichen kann, wenn er glaubt, dass die Entfernung fehlerhaft war – Gegendarstellungen unterbrechen die 48-Stunden-Pflicht nicht, schaffen aber eine Aufzeichnung für etwaige spätere Streitigkeiten

Halten Sie die Kommunikation sachlich und vermeiden Sie wertende Sprache zu Schuld oder Absicht.

5. Aufzeichnungen aufbewahren und überprüfen​

Bewahren Sie das Ticket – Anfrage, Eingangszeitstempel, Verifizierungsnotizen, Entfernungszeitstempel für jede Kopie und Benachrichtigungen – mindestens zwei Jahre lang auf. Die bisherige Durchsetzung der FTC umfasste Warnbriefe, die Unternehmen über ihre Pflichten informierten; eine dokumentierte Historie rechtzeitiger Entfernungen ist die beste Antwort auf eine Untersuchung.

Überprüfen Sie vierteljährlich das Protokoll auf Muster: wiederholte Uploads desselben Hashs (was auf einen gesperrten Nutzer hindeutet, der neue Konten umgeht) oder einen Anstieg von Meldungen im Zusammenhang mit einer einzelnen Community oder Produktfunktion, der Designänderungen erforderlich machen könnte.

Finanzielle und betriebliche Auswirkungen​

Compliance ist nicht kostenlos, aber Nicht-Compliance ist teurer.

• Personal: Benennen Sie mindestens zwei Personen, die NCII-Meldungen sichten können, damit Urlaub oder Krankheit die 48-Stunden-Kette nicht unterbrechen. Für sehr kleine Teams reichen ein Gründer plus ein vertrauenswürdiger Moderator, wenn beide Zugriff haben und geschult sind.
• Tools: Es gibt kostenlose oder kostengünstige Hash- und Meldeformular-Tools. Der Kostentreiber ist nicht die Software, sondern die Reaktionszeit – ein Formular, das ein Ticket erstellt und den Bereitschafts-Moderator alarmiert, ist mehr wert als ein ausgefeiltes Erkennungsmodell ohne Bereitschaft.
• AGB und Versicherung: Aktualisieren Sie Ihre AGB, um den Löschprozess zu beschreiben und NCII und KI-Deepfakes ausdrücklich zu verbieten. Überprüfen Sie Ihre Medienhaftpflicht- oder Cyberversicherung – einige Policen fragen inzwischen, ob Sie einen TIDA-konformen Prozess haben.
• Buchhaltung: Erfassen Sie Compliance-Kosten – Moderationsstunden, Tools, rechtliche Prüfung – als eigenes Kostenzentrum. Wenn Sie später mit einer Strafe konfrontiert werden, beeinflussen dokumentierte Bemühungen nach Treu und Glauben das Ergebnis, und die Kosten sind abzugsfähige Geschäftsausgaben.

Was Sie nicht tun sollten​

• Verlangen Sie nicht, dass Opfer den Uploader per E-Mail kontaktieren oder eine gerichtliche Anordnung einholen – das Gesetz sieht ein direktes Meldeverfahren bei der Plattform vor.
• Machen Sie die Entfernung nicht davon abhängig, dass das Opfer nachweist, dass das Bild "echt" statt KI-generiert ist – beide sind abgedeckt.
• Hosten Sie entfernte Inhalte nicht zu Beweiszwecken öffentlich zugänglich erneut – bewahren Sie sie intern auf, entfernen Sie sie öffentlich.

Halten Sie Ihre Plattform verteidigungsfähig​

Die 48-Stunden-Regel des TAKE IT DOWN Act ist eines der engsten Compliance-Fenster, mit denen kleine Unternehmen bei Nutzerinhalten konfrontiert waren – enger als die 10–14 Werktage des DMCA und vergleichbar nur mit den dringendsten Sicherheits-Eskalationen. Für ein kleines Team kommt es nicht auf Größe an, sondern auf Klarheit: ein sichtbarer Meldekanal, ein mit Zeitstempel versehener 48-Stunden-Workflow, ein Hash-basierter Abgleich identischer Kopien und ein Ticket, das belegt, dass Sie die Frist eingehalten haben. Implementieren Sie das jetzt, bevor die nächste Anfrage eintrifft, und Ihre Plattform kann Opfer schützen, eine Aufzeichnung bewahren und eine FTC-Untersuchung überstehen.

Vereinfachen Sie Ihr Finanzmanagement​

Inhaltsmoderation ist nicht nur ein rechtlicher Workflow – sie ist auch ein finanzieller, mit Personal-, Tool- und Risikokosten, die in Ihre Bücher gehören. Beancount.io bietet Ihnen Buchhaltung im Klartext mit Versionskontrolle, bei der jede Compliance-Kostenstelle, jede Moderationsstunde und jede Risikoreserve nachvollziehbar ist – damit Ihr 48-Stunden-Prozess betrieblich dokumentiert und in Ihren Finanzdaten abgebildet ist. Starten Sie kostenlos und halten Sie die Finanzen Ihrer Plattform so organisiert wie Ihre Lösch-Warteschlange.