So geht Identifizierung bei Auskunftsersuchen (nicht)

Die Betroffenenrechte nach Datenschutz-Grundverordnung (DSGVO) zu erfüllen, bereitet weiterhin Probleme. Geht z.B. ein Auskunftsersuchen ein und der Verantwortliche erteilt die Auskunft fristgerecht, doch er hat die Identifizierung vergessen und der Antragsteller war gar nicht die betroffene Person, sind personenbezogene Daten in falsche Hände gelangt.

Deshalb ist es ein wichtiger Teil der Umsetzung des Auskunftsrechts, die Identität des Antragstellers oder der Antragstellerin zu überprüfen (Erwägungsgrund 64 DSGVO). Gefälschte digitale Identitäten sind leider keine Seltenheit. So basieren die um sich greifenden Phishing-Attacken auf einer gefälschten digitalen Identität, die vertrauliche Daten herauslocken soll. Durch die Professionalisierung der Phishing-Attacken mit Hilfe von Künstlicher Intelligenz (KI) ist die Gefahr für Identitätsdiebstähle noch größer geworden. Umso wichtiger ist eine zuverlässige Kontrolle der Identität, die bei einem Auskunftsersuchen angegeben wird.

Identifizierung bei Auskunftsersuchen über digitale Verfahren

In Zeiten der fortschreitenden Digitalisierung sind teilweise geschwärzte Kopien des Personalausweises, per Post verschickt, für manche betroffenen Personen nicht mehr der Weg der Wahl.

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit (LfDI) Baden-Württemberg hatte bereits 2019 auf digitale Alternativen wie die Identifizierung über ein Nutzerkonto, Video-Ident-Identifizierung und die Identifizierung über einen eIDAS-Dienst (electronic IDentification, Authentication and trust Services) hingewiesen.

Allerdings gab es 2019 bei diesen digitalen Alternativen einige Punkte zu beachten:

• Dienste nach der eIDAS-Verordnung haben Bürgerinnen und Bürger noch nicht in größerem Umfang genutzt.
• Aus Datenschutzsicht weniger schön ist, dass eine Schwärzung der Videoaufnahme des Ausweisdokuments nicht ohne weiteres möglich ist. Fraglich war deshalb, ob datenschutzbewusste Bürger bereit sind, eine Video-Ident-Identifizierung durchzuführen.
• Die Sicherheit des Identifizierungsverfahrens über ein Nutzerkonto hängt stark vom Passwort ab. Können Angreifer Nutzerkonten übernehmen, lassen sich damit weitere Daten ausspähen, womöglich dann über ein Auskunftsersuchen mit gefälschter Identität.

Nun stellt sich die Frage, ob die digitalen Verfahren bei der Identifizierung von Auskunftsersuchenden inzwischen besser helfen. Dazu seien einige Verfahren der digitalen Identitätsprüfung näher betrachtet.

Identifizierung über Nutzerkonten

Es gibt zwar inzwischen eine Vielzahl an Online-ID-Diensten und Identity-Providern im Internet. Doch ein Identitätsnachweis über einen solchen Identity-Provider hängt grundsätzlich von der Sicherheit, von der Vertrauenswürdigkeit und von der Verbreitung der Online-ID ab.

• So stellt sich die Frage, wie der Anbieter die Identität bei Einrichtung der Online-ID prüft. Denn auf diese Erstprüfung beziehen sich später alle Online-Nachweise.
• Dann muss geklärt sein, wie gut die Online-ID gegen einen Identitätsdiebstahl geschützt ist. Selbst eine Zwei-Faktor-Authentifizierung, mit der sich der Auskunftssuchende bei dem Identity-Provider angemeldet hat, um seine Identität zu bestätigen, lässt sich mitunter austricksen.
• Schließlich macht es die Vielzahl an verschiedenen Online-IDs schwierig, Identitätsnachweise darüber abzubilden. Denn ein Unternehmen müsste viele ID-Dienste unterstützen.

Besser wäre also eine ID, die jede Bürgerin und jeder Bürger und damit jede Kundin und jeder Kunde in Deutschland hat. Hier kommt der Personalausweis ins Spiel.

Online-Funktion des Personalausweises

Nutzer und Nutzerinnen eines NFC-fähigen Smartphones können nach Installation der AusweisApp2 die Online-Ausweisfunktion des Personalausweises einsetzen. Daher wäre gerade die Verbindung NFC-Funktion eines Smartphones + AusweisApp2 + Online-Ausweisfunktion des Personalausweises ein vielversprechender Weg, um Identitätsnachweise digital zu erbringen.

Zusammenspiel von Online-Ausweisfunktion des Personalausweises und Smartphone

In Zukunft geht dann das Online-Ausweisen direkt im Smartphone ohne die Ausweiskarte, so das Bundesinnenministerium, also mit einem Smartphone-basierten Personalausweis.

Video-Ident-Verfahren

Neben der Online-Ausweisfunktion (eID) mit PIN können sich Nutzerinnen und Nutzer zunehmend auch über einen Videokanal ausweisen, wie das Bundesamt für Sicherheit in der Informationstechnik (BSI) erklärt. Dabei zeigen sie Ausweisdokument und Gesicht in die Kamera. Ob ein System vorab aufgenommene Videos oder Deepfakes von echten Live-Bildern unterscheiden kann, ist entscheidend für seine Vertrauenswürdigkeit.

Das BSI hat darauf hingewiesen, dass solche Injektionsangriffe eine zentrale Bedrohung für die videobasierte Fernidentifizierung sind. Zwar sollen die Systeme manipulierte Daten erkennen, eine genaue Prüfmethodik dieser Fähigkeit lag bislang jedoch nicht vor. Diese Lücke soll ein Leitfaden zur Evaluierung der Erkennung von Injektionsangriffen bei der Fernidentifikation schließen.

Oliver Schonschek