Die Einf\u00fchrung des elektronischen Personalausweises<\/p>\n
Aus: Mitteilungen Nr. 203, S. 4-5<\/p>\n
Am 23. Juli stimmte das Bundeskabinett dem Gesetzentwurf zur Einf\u00fchrung des neuen elektronischen Personalausweises zu. Dieser soll ab dem 1. November 2010 den bisherigen Personalausweis ersetzen. Er wird einen sog. „RFID-Chip“ enthalten auf dem alle Daten gespeichert werden sollen, die auf dem bisherigen Personalausweis angegeben sind, u.a. Name, Anschrift, Alter und biometrisches Lichtbild. Vorerst freiwillig k\u00f6nnen zudem zwei Fingerabdr\u00fccke auf dem Chip registriert werden. Mit einem sog. „RFID-Leseger\u00e4t“ k\u00f6nnen diese Daten dann kontaktlos – im Gegensatz zu kontaktabh\u00e4ngigen Medien wie z.B. der EC-Karte – ausgelesen werden. Die Aufnahme von zus\u00e4tzlichen biometrischen Merkmalen zu einem sp\u00e4teren Zeitpunkt, wie z.B. ein Netzhaut-Scan oder der DNS, wurde im Gesetzentwurf nicht ausgeschlossen.
Laut Bundesregierung wird das Ausweisdokument durch die Aufnahme von biometrischen Daten sicherer vor F\u00e4lschungen. Ob es dieser Erh\u00f6hung der F\u00e4lschungssicherheit wirklich bedarf, sei dahingestellt – eine nennenswerte Zahl gef\u00e4lschter Ausweise gab es bisher nicht. Deshalb weist die Regierung auf die neuen Funktionen des elektronischen Personalausweises hin: Mit ihm k\u00f6nnten anhand biometrischer Daten die Inhaber schneller identifiziert und authentifiziert werden.<\/p>\n
Sicherheitsrisiken<\/b>
Dennoch birgt die zuk\u00fcnftige Speicherung biometrischer Daten auf dem Personalausweis auch Sicherheitsrisiken. Die Ausweis-Daten k\u00f6nnten zum einen von unbefugten Personen ausgelesen werden. Die Bundesregierung begegnet diesem Risiko mit der Auflage, die Daten mittels Verschl\u00fcsselungsverfahren vor dem Zugriff durch Unbefugte zu sch\u00fctzen. Das Leseger\u00e4t muss sich mit einem speziellen „Schl\u00fcssel“ bei dem RFID-Chip anmelden und identifizieren. Erkennt der Chip diesen Schl\u00fcssel an, werden die Daten \u00fcbertragen. Ob man den Schl\u00fcssel auf Dauer geheim halten kann, ist jedoch \u00e4u\u00dferst fraglich. Schon allein bei der Einreise in ein anderes Land werden die Daten automatisch an verschiedene Beh\u00f6rden und Staaten \u00fcbermittelt.\u00a0 <\/p>\n
Zum anderen erm\u00f6glicht die kontaktlose \u00dcbertragung der Daten mittels RFID-Chip das Auslesen der gespeichert Daten, ohne dass der\/die Ausweisinhaber\/in etwas davon bemerkt. Das verst\u00f6\u00dft gegen das Grundrecht auf informationelle Selbstbestimmung. Computerexperten wiesen bereits darauf hin, dass es m\u00f6glich ist, die Lesevorg\u00e4nge „abzuh\u00f6ren“. Aufgrund der kontaktlosen Kommunikation zwischen einem RFID-Chip und einem Leseger\u00e4t k\u00f6nnen Dritte unbefugt Daten „mith\u00f6ren“ und\/oder abfangen.
Die zu erwartende massenhafte Verbreitung von RFID-Chips wird zudem zur Entwicklung von Technologien anregen, die die Schwachstellen von RFID-Chips ausnutzen oder sch\u00e4digen. Wie einfach so etwas gehen kann, bewies erst k\u00fcrzlich ein niederl\u00e4ndisches Forschungsteam: Erfolgreich entwickelte es einen sog. „RFID-Virus“, der einem Computervirus gleichkommt.<\/p>\n
Gefahren durch Biometrie
<\/b>Auch die Speicherung von biometrischen Merkmalen auf dem neuen elektronischen Personalausweis bringt Missbrauchs- und Manipulationsm\u00f6glichkeiten mit sich. So w\u00e4re z.B. die Anfertigung von Kopien der gespeicherten Fingerabdr\u00fccke denkbar. Dass die Nachfrage an „unbelasteten Fingerabdr\u00fccken“ im Bereich der „Organisierten Kriminalit\u00e4t“ ansteigen w\u00fcrde, ist leicht nachzuvollziehen. Die F\u00e4lschung von biometrischen Merkmalen ist eben deshalb so gef\u00e4hrlich, weil sie nicht wie Passw\u00f6rter ge\u00e4ndert werden k\u00f6nnen und sie st\u00e4ndig unfreiwillig und \u00fcberall hinterlassen werden, wie im Sommer auch der Bundesinnenminister feststellen musste, nachdem der Chaos Computer Club seinen heimlich abgenommenen Fingerabdruck publizierte.<\/p>\n
Durch die \u00dcberpr\u00fcfung ihrer Fingerabdr\u00fccke bei jeder Passkontrolle sollen die B\u00fcrgerinnen und B\u00fcrger langsam daran gew\u00f6hnt werden, diese zuk\u00fcnftig bereitwillig und ohne Skepsis an jegliche Fingerabdrucksensoren abzugeben, z.B. in Hotels, Kaufh\u00e4usern, Videotheken etc.<\/p>\n
Die Speicherung biometrischer Daten unterliegt in Deutschland engen Vorgaben. F\u00fcr andere Staaten oder Geheimdienste gilt dieses Verbot jedoch nicht. Sie h\u00e4tten nach der Einf\u00fchrung des ePersonalausweises die Gelegenheit, biometrische Daten der Bundesb\u00fcrger zu erheben und zu speichern. Diese Datenspeicherung k\u00f6nnten weder der deutsche Staat noch die Betroffenen beeinflussen oder kontrollieren.<\/p>\n
Elektronischer Identit\u00e4tsnachweis
<\/b>Mit dem neuen Personalausweis soll auch ein „elektronischer Identit\u00e4tsnachweis“ (eID) eingef\u00fchrt werden. Die Identifizierung und Nutzung von Angeboten im privat-wirtschaftlichen Bereich, besonders im Internet, sollen mit der eID sicherer werden. Laut Bundesregierung sollen somit Dienste wie Online-Banking, Online-Versandhandel und -Auktionen, E-Mail-Accounts und Chat-Foren, Online-Computerspiele etc. aber auch Angebote im sog. E-Government-Bereich, wie die elektronische Steuererkl\u00e4rung (ELSTER-Formular), Kfz-An- und -Ummeldung oder eine elektronische Adress\u00e4nderung einfacher und schneller in Anspruch genommen werden k\u00f6nnen. <\/p>\n
Um die Funktion des eID im Internet zu nutzen, ben\u00f6tigt der\/die Inhaber\/in ein zertifiziertes Leseger\u00e4t mit dazugeh\u00f6riger Software. Der Personalausweisinhaber bekommt zudem eine Geheimnummer (PIN). Damit Anbieter von Online-Angeboten die M\u00f6glichkeiten des eID nutzen k\u00f6nnen, m\u00fcssen sie eine Berechtigung sowie ein „Berechtigungszertifikat“ bei einer staatlichen Stelle beantragen. Der Diensteanbieter \u00fcbermittelt vor einer Transaktion das Berechtigungszertifikat an den Interessenten. Dieser kann sich somit von der Authentizit\u00e4t des Berechtigungszertifikats \u00fcberzeugen und die Datenkategorien ausw\u00e4hlen, die sie\/er \u00fcbermitteln m\u00f6chte. Nach der Eingabe der Geheimnummer wird der Personalausweis per Leseger\u00e4t am PC ausgelesen und die Daten an den Diensteanbieter \u00fcbertragen. <\/p>\n
Nachteile und Risiken<\/b>
Ein Risiko, das der „elektronische Identit\u00e4tsnachweis“ mit sich bringt, ist das sog. „Single Sign-On“-Verfahren. Im Fall des Verlustes eines Personalausweises – laut BMI werden j\u00e4hrlich rund 250.000 Personalausweise gestohlen oder gehen verloren – steigt das Risiko eines Missbrauchs. Dritte k\u00f6nnten mit Hilfe der Ausweise versuchen, auf das Bankkonto, die Steuererkl\u00e4rung oder den E-Mail-Account des Besitzers zuzugreifen. Der Personalausweis als Universalschl\u00fcssel wird hier zum Sicherheitsrisiko: Sicherheitsexperten wie das Bundesamt f\u00fcr Sicherheit in der Informationstechnik (BSI) weisen schon seit Jahren daraufhin, nie ein und dasselbe Passwort f\u00fcr mehrere verschiedene Online-Dienste zu nutzen. <\/p>\n
Ein zweites Risiko liegt bei den „Berechtigungszertifikaten“ und der staatlichen Vergabe dieser Zertifikate. Mit den Berechtigungszertifikaten sollen Transparenz und Vertrauen zwischen Verbrauchern und Diensteanbietern geschaffen werden. Alle Diensteanbieter, welche den eID f\u00fcr die Authentifizierung ihrer Kunden nutzen wollen, m\u00fcssen sich bei einer staatlichen Vergabestelle registrieren und pr\u00fcfen lassen. In Anbetracht des geplanten massenhaften Einsatzes des eID und der weiter steigenden Bedeutung des Internethandels ist mit einem enormen Ansturm auf die Vergabestellen der Berechtigungszertifikate zu rechnen. Ob diese \u00fcber die n\u00f6tigen Kompetenzen, personelle Ausstattung und Zeit verf\u00fcgen, um die Menge der Antr\u00e4ge umfassend und genau zu \u00fcberpr\u00fcfen, ist fraglich. Zudem l\u00e4sst sich aus dem Gesetzentwurf zum neuen Personalausweis entnehmen, dass eine tiefgehende Pr\u00fcfung der einzelnen Antragsteller gar nicht vorgesehen ist. So wird praktisch jeder, der z.B. nicht wegen Betruges vorbestraft ist, ein Zertifikat erhalten. Das Versprechen der Bundesregierung, dass mit einem Berechtigungszertifikat f\u00fcr den Verbraucher „in jedem Falle transparent [ist], wer welche Daten elektronisch abfragt“, hilft da nur wenig. <\/p>\n
Unverst\u00e4ndlich ist auch, warum die Vergabestelle und nicht die Datenschutzaufsichtsbeh\u00f6rde pr\u00fcfen soll, ob der Datenschutz eingehalten wird. Die Datenschutzaufsichtsbeh\u00f6rde kann nur aufgesucht werden, wenn seitens des Verbrauchers Zweifel an der Echtheit eines Berechtigungszertifikats bestehen. Aber auch hier fehlt es der Beh\u00f6rde an wirksamen Befugnissen, denn laut \u00a7 21 des Gesetzentwurfs zum neuen Personalausweis verf\u00fcgt sie \u00fcber keinerlei Sanktionsm\u00f6glichkeiten im Fall von Datenmissbrauch – sie kann zweifelhaften Anbietern h\u00f6chstens das Zertifikat entziehen. Ein schwacher Trost f\u00fcr B\u00fcrgerinnen und B\u00fcrger, die sich auf eine staatlich installierte Infrastruktur verlassen haben.<\/p>\n
Bastian Gr\u00e4bener
studiert Politikwissenschaften in Marburg und absolvierte\u00a0 ein
Praktikum in der Bundesgesch\u00e4ftsstelle der Humanistischen Union<\/i><\/p>\n","protected":false},"featured_media":0,"template":"","categories":[],"tags":[755],"autoren":[580],"publikationen":[931],"class_list":["post-9301","publikation","type-publikation","status-publish","hentry","tag-datenschutz-biometrie","autoren-bastian-graebener","publikationen-931"],"acf":[],"yoast_head":"\n