tools - Bites, Bytes and my 5 cents

DATENSCHUTZAuf dem Ausweis befindet sich ein Chip, welcher dieAusweisdaten vorhält und welcher nur von entsprechendberechtigter Stelle ausgelesen werden darf. DieBiometriefunktionen sind dabei ausschließlich für hoheitlicheKontrollen an Grenzen und im Inland vorgesehenund dienen der Sicherheit als Reisedokument. SogenannteE-Business/E-Government-Diensteanbieterwerden künftig mittels Berechtigungszertifikaten, welchemit strengen Sicherheitsbestimmungen und Einschränkungenhinsichtlich des Umfanges der auslesbarenDaten behaftet sind, autorisiert und kontrolliert.Im Prozess der Datenübermittlung wird dem Inhaberzusätzlich die Möglichkeit gegeben, die zu übermittelndenDaten nach eigenem Dafürhalten zusätzlich einzuschränkenoder auch zu erweitern. Dies wird entwederüber das Display eines Komfort-Lesegerätes ermöglichtoder erfolgt über die AusweisApp direkt am Computer.Die sogenannte „passive Authentifizierung“ dient dazu,die Echtheit und die Unverfälschtheit der Daten auf demChip des Ausweisdokumentes zu prüfen. Dabei werden dieDaten bis zum sogenannten CSCA-Zertifikat (Country SignerCertificate Authority) zurückverfolgt, welches nur vondem offiziell beauftragten Passhersteller der ausstellendenNation zur Verfügung steht. Diese Daten können weder verändert,gelöscht noch ergänzt werden, ohne dass dies beieiner Überprüfung offensichtlich würde. Zuletzt bleibt nochder Schutz des Zugriffs auf den Chip mittels der persönlichenPIN, welche nur dem Inhaber bekannt ist und welchebei entsprechend sicherer Eingabe, beispielsweise mittelseines Komfortkartenlesegerätes, auch keine Sicherheitslückenoffen lässt; insbesondere dann nicht, wenn diesePIN in regelmäßigen Abständen gewechselt wird. Ganz zerstörtist der Ausweis nicht, wenn der Chip untauglich gemachtwurde, denn dann fungiert er immer noch im konventionellenSinn der Identifizierung durch das Dokumentan sich und das aufgedruckte Passbild. Selbstverständlichist das Dokument nicht feuerfest und würde beispielsweiseauch Mikrowellen nicht standhalten.Es wird zudem die Meinung vertreten, dass durch denEinsatz des Ausweises in Verbindung mit Onlinedienstender Mensch zum gläsernen Menschen wird und dass Datenvermehrt und unkontrolliert in Umlauf geraten. Dazu wurdeneben anderen, teils hier schon dargestellte, Kontrollmechanismen,welche zudem durch den Inhaber des Ausweisesselbst verifiziert werden können, auch die sogenannte„Pseudonymfunktion“ etabliert. Hier errechnet der im nPAenthaltene Chip aus einem im Berechtigungszertifikat desInternetanbieters enthaltenen öffentlichen Schlüssel undeinem auf dem Personalausweis gespeicherten geheimenSchlüssel die „restricted Identifikation“. Nur dieses Pseudonymwird dann an den Diensteanbieter im Bereich desE-Commerce übermittelt, anhand dessen bei wiederholtemLogin eine richtige Zuordnung zu einem Account erfolgenkann, ohne die lästige wiederholte Eingabe aller erforderlichenProfildaten. Wird ausschließlich die Pseudonymfunktiongenutzt, erhält der Diensteanbieter keinerlei sonstigeDaten des betreffenden Bürgers. Zudem wird für jeden Internetanbieterein neues und damit unterschiedliches Pseudonymgeneriert , weshalb sich keine anbieterübergreifendenNutzerprofile anlegen lassen (Quelle: https://www.bsi-fuer-buerger.de). Aus Datenschutzsicht empfiehlt sichdiese Funktion sogar, insbesondere für Bürger, die eineVielzahl von Onlinediensten nutzen.Wenn über den eigenen Rechner Angriffe mittels Virenoder Schadsoftware erfolgen und jemand so auf AusweisdatenZugriff erlangt, dann liegt die Verantwortung nichtbeim Inhaber. Das neue Personalausweisgesetz sowiedie Personalausweisverordnung nehmen hierzu klarStellung und übertragen dem Inhaber des Ausweisessehr wohl weitreichende Verantwortung im Hinblick aufdie Nutzung der elektronischen Funktionen seines nPA.:• informationstechnische Systeme mit geeignetenAbwehrmaßnahmen gegen Sicherheitslücken nachdem Stand der Technik;• Lesegeräte, die durch das Bundesamt für Sicherheitin der Informationstechnik zertifiziert wordensind;• Software zur Nutzung des eletronischen Identitätsnachweises,die durch das Bundesamt für Sicherheitin der Informationstechnik zertifiziert wordensind.“Das BSI empfiehlt dazu konkrete Maßnahmen, wie dieSicherung des eigenen Computers mit einer aktuellenVirenschutzsoftware in Verbindung mit einer Firewallsowie regelmäßige Sicherheitsupdates. Darüberhinaus sollte der Ausweis nur für die zur Durchführungder Authentifizierung notwendige Zeit in Funktionsreichweitedes Lesegerätes vorgehalten werden, wobeiausdrücklich nur zertifizierte Lesegeräte sowie diezertifizierte Software („AusweisAPP“) zur Nutzung allerFunktionen des Personalausweises empfohlen werden.Bislang sind noch keine Vorfälle bekannt, die imZusammenhang mit einer missbräuchlichen Nutzungaufgrund der vom Ausweisinhaber unzureichend getroffeneSicherheitsmaßnahmen erfolgten. Daher istnoch unklar, wie sich juristische Folgen für den Verantwortlichengestalten, aber es wird deutlich, dass derBürger sich hier in die Pflicht genommen sehen muss.Bevor wir uns nachfolgend den Möglichkeiten desnPA und seinen Funktionen zuwenden, gestatten Sieuns hier ein kleines, nachdenkliches und persönlichesFazit als Datenschutzbeauftragte aus der Auseinandersetzungmit Kollegen, die für die Realisierung des neuennPA zuständig waren und sind.Was die Berichterstattung und die „Kinderkrankheiten“des neuen Systems betrifft, wäre es – vor allem aus derSicht der Entwickler und Hersteller – wünschenswert gewesen,wenn bei einem so wichtigen Verfahren alle In-1611/2010