So geht Identifizierung bei Auskunftsersuchen (nicht)

Die Betroffenenrechte nach Datenschutz-Grundverordnung (DSGVO) zu erfüllen, bereitet weiterhin Probleme. Geht z.B. ein Auskunftsersuchen ein und der Verantwortliche erteilt die Auskunft fristgerecht, doch er hat die Identifizierung vergessen und der Antragsteller war gar nicht die betroffene Person, sind personenbezogene Daten in falsche Hände gelangt.

Deshalb ist es ein wichtiger Teil der Umsetzung des Auskunftsrechts, die Identität des Antragstellers oder der Antragstellerin zu überprüfen (Erwägungsgrund 64 DSGVO). Gefälschte digitale Identitäten sind leider keine Seltenheit. So basieren die um sich greifenden Phishing-Attacken auf einer gefälschten digitalen Identität, die vertrauliche Daten herauslocken soll.

Identifizierung bei Auskunftsersuchenüber digitale Verfahren

In Zeiten der fortschreitenden Digitalisierung sind teilweise geschwärzte Kopien des Personalausweises, per Post verschickt, für manche betroffenen Personen nicht mehr der Weg der Wahl.

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit (LfDI) Baden-Württemberg hatte bereits 2019 auf digitale Alternativen wie die Identifizierung über ein Nutzerkonto, Video-Ident-Identifizierung und die Identifizierung über einen eIDAS-Dienst (electronic IDentification, Authentication and trust Services) hingewiesen.

Allerdings gab es 2019 bei diesen digitalen Alternativen einige Punkte zu beachten:

• Dienste nach der eIDAS-Verordnung haben Bürgerinnen und Bürger noch nicht in größerem Umfang genutzt.
• Aus Datenschutzsicht weniger schön ist, dass eine Schwärzung der Videoaufnahme des Ausweisdokuments nicht ohne Weiteres möglich ist. Fraglich war deshalb, ob datenschutzbewusste Bürger bereit sind, eine Video-Ident-Identifizierung durchzuführen.
• Die Sicherheit des Identifizierungsverfahrens über ein Nutzerkonto hängt stark vom Passwort ab. Können Angreifer Nutzerkonten übernehmen, lassen sich damit weitere Daten ausspähen, womöglich dann über ein Auskunftsersuchen mit gefälschter Identität.

Nun stellt sich die Frage, ob die digitalen Verfahren bei der Identifizierung von Auskunftsersuchenden inzwischen besser helfen. Dazu seien einige Verfahren der digitalen Identitätsprüfung näher betrachtet.

De-Mail

Zum Auskunftsrecht schreibt der Bundesdatenschutzbeauftragte: „Es empfiehlt sich daher, die Auskunft schriftlich oder in einer sicheren elektronischen Form (z.B. per De-Mail oder mittels verschlüsselter E-Mail über das Programm Pretty Good Privacy (PGP) oder GnuPG) anzufordern.“

Doch wie steht es um die Verbreitung von De-Mail, gerade auch bei Privatpersonen, die sich als Auskunftsersuchende an Unternehmen wenden? In einem Bericht stellte der Bundesrechnungshof fest: „Allerdings kann der Bundesrechnungshof nicht erkennen, dass sich De-Mail bislang als Standardverfahren für rechtssichere elektronische Kommunikation etabliert hat. Dies bestätigen insbesondere der niedrige Nutzungsgrad und die geringe Akzeptanz von De-Mail.“

Offensichtlich kann ein Unternehmen also nicht davon ausgehen, mit De-Mail viele Identitäten bei Auskunftsersuchen klären zu können.

Identifizierung über Nutzerkonten

Es gibt zwar inzwischen eine Vielzahl an Online-ID-Diensten und Identity-Providern im Internet. Doch ein Identitätsnachweis über einen solchen Identity-Provider hängt grundsätzlich von der Sicherheit, von der Vertrauenswürdigkeit und von der Verbreitung der Online-ID ab.

• So stellt sich die Frage, wie der Anbieter die Identität bei Einrichtung der Online-ID prüft. Denn auf diese Erstprüfung beziehen sich später alle Online-Nachweise.
• Dann muss geklärt sein, wie gut die Online-ID gegen einen Identitätsdiebstahl geschützt ist. Selbst eine Zwei-Faktor-Authentifizierung, mit der sich der Auskunftssuchende bei dem Identity-Provider angemeldet hat, um seine Identität zu bestätigen, lässt sich mitunter austricksen.
• Schließlich macht es die Vielzahl an verschiedenen Online-IDs schwierig, Identitätsnachweise darüber abzubilden. Denn ein Unternehmen müsste viele ID-Dienste unterstützen.

Besser wäre also eine ID, die jede Bürgerin und jeder Bürger und damit jede Kundin und jeder Kunde in Deutschland hat. Hier kommt der Personalausweis ins Spiel.

Online-Funktion des Personalausweises

Über zehn Jahre nach der Einführung des elektronischen Personalausweises ist das Interesse an der Online-Funktion grundsätzlich groß, so eine Umfrage des Digitalverbands Bitkom. Sieben von zehn Bundesbürgern (69 %) würden den elektronischen Personalausweis nutzen, um sich bei digitalen Behördengängen zu identifizieren. Noch ist die Nutzung dieser eID aber eher gering.

Auf Grundlage des Onlinezugangsgesetzes (OZG) sollen 575 Verwaltungsdienstleistungen bis Ende 2022 online zugänglich sein. Die Online-Funktion des Personalausweises soll nach den Plänen des Bundes zukünftig einfacher gestaltet und an den Nutzerbedürfnissen ausgerichtet werden.

Nutzer und Nutzerinnen eines NFC-fähigen Smartphones könnten nach Installation der AusweisApp2 die Online-Ausweisfunktion des Personalausweises heute schon deutlich stärker einsetzen. Daher wäre gerade die Verbindung NFC-Funktion eines Smartphones + AusweisApp2 + Online-Ausweisfunktion des Personalausweises ein vielversprechender Weg, um Identitätsnachweise digital zu erbringen.

Zusammenspiel von Online-Ausweisfunktion des Personalausweises und Smartphone

In Zukunft geht dann das Online-Ausweisen direkt im Smartphone ohne die Ausweiskarte, so das Bundesinnenministerium, also mit einem Smartphone-basierten Personalausweis.