1. Auflage 2021
Alle Bücher von Diplomatic Council Publishing werden sorgfältig erarbeitet. Dennoch übernehmen Autoren, Herausgeber und Verlag in keinem Fall einschließlich des vorliegenden Werkes, für die Richtigkeit von Angaben, Hinweisen und Ratschlägen sowie
© 2021 Diplomatic Council Publishing, Mühlhohle 2, 65205 Wiesbaden, Germany
Sämtliche Rechte, insbesondere die der Übersetzung in andere Sprachen, sind vorbehalten. Kein Teil dieses Buches darf ohne schriftliche Genehmigung des Verlages in irgendeiner Form – durch Fotokopie, Scannen oder irgendein anderes Verfahren – reproduziert oder in eine von Maschinen, insbesondere von Datenverarbeitungsmaschinen, verwendbare Sprache übertragen oder übersetzt werden. Die Wiedergabe von Warenbezeichnungen, Handelsnamen oder sonstigen Kennzeichen in diesem Buch berechtigt nicht zu der Annahme, dass diese von jedermann frei benutzt werden dürfen. Vielmehr kann es sich auch dann um eingetragene Warenzeichen oder sonstige gesetzlich geschützte Kennzeichen handeln, wenn sie nicht eigens als solche markiert sind.
Sämtliche Inhalte in diesem Buch geben die Meinung der Autoren wieder. Diese müssen nicht zwangsläufig den Meinungen und/oder Ansichten des Diplomatic Council und/oder seiner Mitglieder entsprechen.
Bibliografische Informationen der Deutschen Nationalbibliothek
Die Deutsche Nationalbibliothek verzeichnet diese Publikation in der Deutschen Nationalbibliografie; detaillierte bibliografische Daten sind im Internet über www.dnb.de abrufbar.
Printed in the Federal Republic of Germany.
Gestaltung. Cover, Satz: IMS International Media Services, Wiesbaden
Gedruckt auf säurefreiem Papier.
Print ISBN: 978-3-947818-53-2
E-Book ISBN: 978-3-947818-54-9
Unter dem Namen EUid hat die Europäische Kommission 2021 die zügige Einführung einer grenzüberschreitenden digitalen Identität angekündigt.1 Spätestens seitdem stellt sich die Frage: Was ist eigentlich eine digitale Identität?
Antworten darauf gibt das vorliegende Buch. Es geht dabei deutlich über EUid hinaus, denn mit einer digitalen Identität sind eine ganz Reihe von Implikationen verbunden, die häufig übersehen und ebenso häufig von der Politik verschwiegen werden. Dazu gehören die Erfassung unserer biometrischen Daten als Brücke zwischen wahrer und digitaler Identität ebenso wie die Gefahren des Missbrauchs und die Umkehr der Beweislast, die eintritt, wenn wahre und digitale Identität nicht übereinstimmen.
Bei der Vorstellung der europäischen digitalen Identität EUid setzte die Europäische Kommission alles daran, vor allem die Vorzüge für die Bürger herauszustellen. Im Vordergrund steht dabei die Bequemlichkeit, die häufig als Argument herhalten muss, um neue digitale Dienste einzuführen. Als Apple 2013 als erster Hersteller einen Fingerabdrucksensor in ein Smartphone einbaute, diente auch die Bequemlichkeit als Begründung: Es ist viel einfacher, seinen Finger zum Entsperren des Gerätes kurz aufzulegen als jedes Mal einen vierstelligen PIN-Code einzugeben. Das zweite Argument war und ist übrigens in allen diesen Fällen die Sicherheit: Ein PIN-Code lässt sich entwenden oder erraten, ein Fingerabdruck nicht. Dadurch entsteht eine höhere Sicherheit, das ist schon richtig, aber zugleich potenziert sich auch der Schaden, falls es eben doch zu einem Missbrauch biometrischer Daten – also eben des Fingerabdrucks – kommt. Dabei ist der Fingerabdruck vergleichsweise harmlos; gravierender sind computerlesbare Gesichtsporträts, wie sie längst in jedem Personalausweis der Bundesrepublik Deutschland gesetzlich vorgeschrieben sind.
Die digitale Identität ist also insofern technisch nichts Neues, aber durch die europaweite Vereinheitlichung, die mit EUid erzielt werden soll, entsteht eine völlig neue Dimension. Ja, sie macht das Leben im europäischen Raum und vermutlich auch weltweit einfacher (es ist davon auszugehen, dass die EUid im Laufe der Zeit auch in Ländern außerhalb Europas anerkannt werden wird). Aber diese Vereinfachung bezahlen wir mit einem deutlich höheren Risiko, das nicht zu unterschätzen ist. Bei der Abwägung des Gefahrenpotenzials spielt die zunehmende Cyberkriminalität eine wesentliche Rolle: Es besteht die reale Gefahr, dass unsere digitalen Identitäten entwendet und missbraucht werden.
Im vorliegenden Buch wird daher nicht nur das Konzept der digitalen Identität beschrieben. Sondern es geht weit darüber hinaus um die scheinbaren „Randthemen“ wie biometrische Daten und Cyberkriminalität, die in Wahrheit unverrückbar und keineswegs nur am Rande mit einer europäischen oder gar weltweiten digitalen Identität verbunden sind. Und es geht darüber hinaus um die Implikationen einer digitalen Identität, um den damit vorgezeichneten Weg in eine zunehmende Verschmelzung realer Personen aus Fleisch und Blut mit ihrem digitalen Zwilling im Computer.
Damit sind grundlegende Fragen verbunden wie beispielsweise „Wen gehört eigentlich der digitale Zwilling?“ – dem Staat, der die Daten erfasst und in seinen Datensilos speichert, oder dem echten Menschen, um dessen Daten es sich handelt?
Das Konzept der digitalen Identität ist keineswegs nur von mehr Bequemlichkeit und einer höheren Sicherheit geprägt, wie uns die Politik gerne glauben machen will. Es geht um mehr.
Andreas Dripke et al.
Eine digitale Identität ist zunächst einmal nichts anderes als eine Auswahl von Informationen über einen Menschen, die im Computer gespeichert werden. Das ist also im Grunde genommen gar nichts Neues.
Der nächste Schritt erfolgt durch eine digitale Legitimation, mit welcher der echte Mensch durch Abgleich mit diesen Computerdaten beweisen kann, dass er es ist. Das klassische Beispiel hierfür stellt ein maschinenlesbarer Personalausweis dar. Wenn der Ausweis eine eindeutige Nummer trägt, die von einem Scanner automatisch erfasst werden kann, so lässt sich dieser Ausweis im Computer mit den dort gespeicherten Daten abgleichen und erkennen, um wen es sich handelt, der diesen Ausweis vorlegt. Aber im Grunde ist damit nur die Identität des Ausweises sichergestellt, nicht der Person, die ihn auf den Scanner legt.
Um diese Hürde zu überwinden, setzte sich schon vor langen Jahren das Konzept durch, den Personalausweis mit biometrischen Informationen über die Person, um die es sich dreht, zu versehen. Biometrische Daten sind alle Arten von Informationen, die als unveränderbar mit einem Menschen aus Fleisch und Blut verbunden anzusehen sind. Dazu gehören das eigene Gesicht, die Augen, die Fingerabdrücke und andere Körpermerkmale, die nicht oder jedenfalls nur schwer zu ändern sind. So trägt jeder Personalausweis in Deutschland ein computer-lesbares Porträtfoto des Gesichts der jeweiligen Person. Beim Vorlegen des Ausweises kann ein Computer automatisch abgleichen, ob das Gesicht auf dem Ausweis und das desjenigen, der ihn vorlegt, identisch sind. Wohlgemerkt: Auch das ist nichts Neues.
Eine neue Dimension entsteht indes, wenn sich aus den gesammelten Daten über einen Menschen eine Art digitaler Zwilling erstellen lässt: eine digitale Identität. Die Brücke zwischen dem Menschen aus Fleisch und Blut und seinem Zwilling im Computer entsteht durch die Erfassung, Speicherung und Auswertung der biometrischen Daten. Das computerlesbare Porträtfoto im Personalausweis stellt hierfür nur ein Beispiel dar. Die Erfassung von Fingerabdrücken ist mittlerweile mindestens ebenso populär geworden: Millionen von Menschen entsperren ihr Smartphone per Fingerabdruck – oder gleich per Gesichtserkennung.
Je umfassender die Informationen sind, aus denen sich der digitale Zwilling zusammensetzt, desto kritischer wird die Sache – spätestens dann, wenn es zu Diskrepanzen zwischen dem realen Menschen und der digitalen Identität kommt.
Stellen Sie sich vor, Sie wollen eine Landesgrenze überschreiten und bei der automatischen Passkontrolle fällt auf: Sie haben die Grenze schon längst übertreten, Sie sind schon eingereist. Natürlich sind das nicht Sie, sondern Ihr digitaler Zwilling. Nur: Wie wollen Sie eigentlich beweisen, dass Sie tatsächlich Sie sind und es sich augenscheinlich bei Ihrem digitalen Zwilling um eine Fälschung handelt – und nicht umgekehrt. Diese Möglichkeit, die „eigentlich“ gar nicht existiert, nämlich dass Ihr digitaler Zwilling von Ihrer wahren Identität abweicht, dass er gewissermaßen ein Doppelleben führt, zeigt exemplarisch die Gefahren digitaler Identitäten auf.
Zusammengefasst lässt sich feststellen: Die digitale Identität ist im Grunde nichts Neues. Schon seit Jahrzehnten werden immer mehr Daten über uns erfasst, gespeichert und verarbeitet. Die Erfassung und Speicherung biometrischer Daten im größeren Stil ist etwa 25 Jahre alt – also auch nicht gerade neu. Aber die Ankündigung der Europäischen Kommission, eine grenzüberschreitende digitale europäische Identität – EUid – ins Leben zu rufen, hat klargemacht: Die Vielzahl der über Jahrzehnte anhaltenden Entwicklungen kommt zu etwas völlig Neuem zusammen, schafft eine neue Qualität. Eine digitale Identität ist letztendlich doch mehr als „nur“ ein paar über uns gespeicherte Daten. Es handelt sich eine neue Dimension.
Die Ankündigung der Europäischen Union 2021, eine eigene digitale Identität für EU-Bürger zu schaffen, verdeutlicht, wie gewaltig der Schritt zur digitalen Identität in Wahrheit ist.
Die Erschaffung einer digitalen Identität und die digitale Erfassung der biometrischen Daten eines Menschen aus Fleisch und Blut hängen unmittelbar zusammen. Die biometrischen Daten – also beispielsweise die Fingerabdrücke oder die automatische Gesichtserkennung – bilden im Grunde die Brücke zwischen dem wahren Menschen und seinem Computer-Zwilling.
Wer früher seine Fingerabdrücke abgeben musste, wurde eines Verbrechens verdächtigt. Heute geben Millionen von Menschen tagtäglich ihre digitalen Fingerabdrücke ab, um ihr Smartphone zu entsperren. Die meisten von ihnen sind keine Verbrecher, die wenigsten werden eines Verbrechens verdächtigt. Doch es ist längst nicht bei den Fingerabdrücken geblieben.
Wer heute einen Personalausweis oder Reisepass beantragt, muss sich gefallen lassen, dass sein Gesicht in ein sogenanntes biometrisches Foto gepresst wird. Das hat gravierende Auswirkungen: Das biometrische Porträt kann ebenso wie der digitale Fingerabdruck von Computern automatisch gelesen werden. Die automatische Gesichtserkennung auf Ausweisen, beim Entsperren von Smartphones, in sozialen Netzwerken und nicht zuletzt im öffentlichen Raum macht uns alle gläsern.
Die biometrische Erfassung der Menschheit ist in vollem Gange. Unsere Fingerabdrücke, unser Gesicht, unsere Iris, unsere Vitalwerte von der Herzfrequenz bis zur Venenstruktur, unsere Mimik, unsere Gestik, unsere individuelle Art und Weise zu laufen… alles, alles wird erfasst, digitalisiert, gespeichert, analysiert und je nach Umständen für oder gegen uns verwendet.
Wenn wir eine PIN vergessen, ein Passwort verlieren oder uns beides gestohlen wird, lassen wir sie einfach sperren und besorgen uns neue. Aber woher bekommen wir neue Fingerkuppen oder ein neues Gesicht?
Unsere biometrische Erfassung und Erschaffung digitaler Zwillinge führt zu einer völlig neuen Dimension der Abhängigkeit, die den meisten von uns gar nicht bewusst ist. Unsere unveränderlichen Körpermerkmale werden genutzt, um in den Datensilos eine Schattenidentität für jeden von uns anzulegen. Was kaum bedacht wird: Diese digitalen Identitäten lassen sich ebenso wie PINs oder Passworte stehlen, manipulieren und missbrauchen. Doch wir können unsere Fingerabdrücke, unser Gesicht, unsere Mimik, unsere Gestik, die Art und Weise, in der wir uns bewegen, nicht verändern. Es sind unsere ureigenen körperlichen Charakteristika.
Es war keine große politische Ankündigung, nicht einmal eine Pressekonferenz, sondern eine einfache Pressemitteilung, mit der die Europäische Kommission am 3. Juni 2021 die digitale europäische Identität ankündigte.2 Wörtlich teilte sie mit:
Die Kommission hat heute einen Rahmen für eine europäische digitale Identität (EUid) vorgeschlagen, die allen Bürgern, Einwohnern und Unternehmen in der EU zur Verfügung stehen wird. Die Bürgerinnen und Bürger werden in der Lage sein, mit einem Klick auf ihrem Handy ihre Identität nachzuweisen und Dokumente in elektronischer Form aus ihren EUid-Brieftaschen weiterzugeben. Sie werden mit ihrer in ganz Europa anerkannten nationalen digitalen Identifizierung europaweit Online-Dienste nutzen können. Sehr große Plattformen werden verpflichtet sein, die Verwendung von EUid-Brieftaschen auf Verlangen des Nutzers, beispielsweise zum Nachweis seines Alters, zu akzeptieren. Die Verwendung von EUid-Brieftaschen wird stets im Ermessen des Nutzers liegen.
Mit anderen Worten: Jeder EU-Bürger soll eine eigene digitale Identität erhalten, wobei die Kommission offen lässt, ob diese verpflichtend oder freiwillig ist. In der Praxis wird sie sich indes als zwingend notwendig herausstellen, etwa um Behördenangelegenheiten am Computer oder Smartphone zu erledigen. Die Speicherung der digitalen Identität soll in einer „EUid-Brieftasche“ erfolgen. Das ist nichts anderes als eine App, Wallet genannt, in der heute schon Kreditkarten, Autoschlüssel oder Bordkarten fürs Flugzeug abgelegt werden, um nur einige wenige Beispiele zu nennen. Mit EUid kommt also eine weitere Karte hin, eine Identitätskarte. Indes sollen im Wallet über die nationale Identität hinaus auch weitere Nachweise wie etwa der Führerschein, die Abschlusszeugnisse oder Bankkonten verknüpft werden. Die EU-Kommission argumentiert, dass es dabei für die Nutzer sichtbar sein soll, welche Daten und Zertifikate an wen weitergegeben wurden. Dadurch soll die Bevölkerung mehr Kontrolle über ihre Daten bekommen. Das ist wohl eher „ein frommer Wunsch“, denn tatsächlich werden dadurch mehr „Nachweise“ für mehr Institutionen und Unternehmen einfacher lesbar als jemals zuvor.
Bemerkenswert: Die großen Onlineplattformen sollen verpflichtet werden, die EUid zu akzeptieren, wenn sie in der Europäischen Union aktiv sind. Dazu gehören mutmaßlich soziale Netzwerke wie etwa Facebook, Einkaufsportale wie Amazon und Serviceplattformen wie sie Apple anbietet. Das klingt zwar nach Zwang, ist tatsächlich für die Digitalkonzerne indes ein Segen. So kommen sie nämlich einfacher und mit „staatlichem Segen“ an die Identitäts- und sonstigen Nachweise der europäischen Bevölkerung heran als je zuvor.