Martin Schallbruch, IT-Chef im Bundesinnenministerium, hat auf der Omnicard 2008 einen Überblick gegeben über den Stand der Dinge in Sachen biometrischer Reisepass, elektronische Aufenthaltstitel und elektronischer Personalausweis. Heise hat seine Rede zusammengefasst, ich stelle sie hier in voller Länge inklusive der Fragen als Audio bereit. Weil Schallbruch an ein paar Stellen nicht ganz eindeutig ist, noch mal ein paar Sachen sowie die Meinung des Bundesdatenschutzbeauftragen zum eletronischen Personalausweis.
Er sagt, dass der elektronische Personalausweis die gleichen biometrischen Features haben wird wie der biometrische Reisepass, also Gesichtsbild, Fingerabdrücke. Auch Verschlüsselung und Datenstruktur des RFID-Chips würden sein wie im Reisepass.
Auf dem RFID-Chip soll außerdem ein Zertifikat gespeichert werden, das den Nutzer im Netz eindeutig identifiziert. Eine qualifizierte elektronische Signatur soll nicht gespeichert werden. Der Chip werde nur dafür vorbereitet. Runterladen und bezahlen muss der Bürger die Signatur selbst.
Das “Grobkonzept” für den ePA sei fertig und werde im Februar vorgestellt, um es in öffentlichen Diskussionen zu erörtern. Doch schon im Hebst soll es einen Pilotversuch geben, damit die ersten Ausweise 2009 ausgegeben werden können.
Der Bundesdatenschutzbeauftragte Peter Schar hat das Grobkonzept, rückt es an Journalisten aber nicht raus. In einem Telefonat sagte Schaar, er lehne den elektronischen Personalausweis (ePA) nicht grundsätzlich ab. Richtig sei, dass sich der Staat dem Problem stelle, dass im Netz viele unter falscher Flagge segeln und persönliche Daten missbrauchen. Es sei sinnvoll, sich der Identitätssicherung bei elektronischen Geschäften zu widmen. Internetnutzer könnten mit dem ePA auch sicherer sein, wem sie ihre Daten anvertrauen, weil sich auch Dienstanbieter im Netz per Zertifikat ausweisen müssten. Phishing könnte erschwert werden. Die Verschlüsselung der Daten auf dem Chip sei akzeptabel, wenn auch die Zertifikate per Extended Access Controll geschützt werden.
Schaar kritisiert jedoch die Speicherung biometrischer Daten auf dem ePA. Hoheitliche Funktionen dürften nicht mit der Sicherung des elektronischen Geschäftsverkehrs kombiniert werden. Diese beiden Aspekte stünden in keinem Zusammenhang, vor allem für die Speicherung der Fingerabdrücke bestehe keine Notwendigkeit. Auf einen Reisepass können Bürger zur Not verzichten, aber an einem Personalausweis kommt kein Deutscher vorbei. Weil dann jeder Deutsche seine Fingerabdrücke abgeben müsse, käme es, so Schaar, zu einer Vollerfassung – auch wenn die Fingerabdrücke nicht zentral gespeichert würden. Diese Maßnahme sei nicht plausibel zu begründen. Das Argument Fälschungssicherheit ziehe nicht, denn schon heute würden Personalausweise kaum gefälscht.
Wenn der Staat zur Verifikation der Identität Fingerabdrücke verlange, sei denkbar, dass sich auch die Industrie einmal nicht mehr mit einer PIN zufrieden gibt. Auf der Omnicard zeigte sich ein führender Vertreter von eBay wenig begeistert, dass biometrische Merkmale gespeichert werden sollen. Wolf Osthaus, Mitglied der eBay-Geschäftsführung, fragte, wie man den Kunden klar machen wolle, dass eBay nur Namen ausliest, nicht aber die Fingerabdrücke. Wenn es da kein Vertrauen gebe, könne das die Akzeptanz des Personalausweises im eBusiness gefährden.
Mit der Speicherung von Fingerabdrücken beschreite Deutschland in der EU einen Sonderweg, sagte Peter Schaar. Sechs europäische Länder planten oder hätten schon eingeführt ein elektronisches ID-Dokument (Belgien, Estland, Italien, Schweden, Spanien, Niederlande). Nur vier dieser Länder verwendeten biometrische Merkmale (Italien, Schweden, Spanien, Niederlande). Zwei davon beschränkten sich auf das Gesichtsbild. Nur Spanien und Italien speicherten Fingerabdrücke, so Scharr, und die auch nur als Template. Deutschland sei demnach das erste und einzige EU-Land, das Fingerabdrücke wie im ePass speichert.
Schaar leitet folgende Forderungen ab:
– Auf dem elektronischen Personalausweis solle allenfalls das digitale Gesichtsbild gespeichert werden. Keine Fingerabdrücke.
– Neben der Signatur sollte auch das Identitäts-Zertifikat nur auf dem ePA gespeichert werden, wenn der Inhaber das ausdrücklich wünscht. So könne die Trennung zwischen hoheitlichen Aufgaben und eBusiness-Funktionen gewahrt, die Akzeptanz erhöht werden.
– Nicht nur Nutzer müssen sich identifizieren, sondern auch Anbieter müssen sich authentifizieren.
Geklärt werden müsse außerdem, so Schaar, ob und wie Pseudonyme umgesetzt werden. Wie kann man sich authentifizieren ohne sich zu identifizieren? Es dürfe nicht dazu kommen, dass der ePA Dienste verhindert, die auch ohne personenbezogene Daten auskommen würden.
[podlove-episode-web-player publisher="1123"]