Das Bundesinnenministerium hat heute die Preise für den neuen elektronischen Personalausweis bekannt gegeben. Dieser wird ab dem 1. November zum Preis von 28,80 Euro ausgegeben. Wir haben dazu Frank Rosengart, Sprecher des Chaos Computer Club, interviewt.
netzpolitik.org: Das Bundesinnenministerium bewirbt den neuen ePerso, der im November den alten ablösen wird. Brauchen wir eigentlich einen neuen Personalausweis?
Frank Rosengart: Das massive Lobbying der Branchenverbände wie Bitkom zur Einführung des ePerso lassen darauf schließen, dass mit dem neuen Personalausweis vor allem Wirtschaftsinteressen befriedigt werden. Dabei spielt sicher auch die Bundesdruckerei als Hersteller der Karte eine entscheidende Rolle. Böse Zungen sprechen von einem Lex-ebay-Projekt, weil gerade die elektronische ID den Anbietern zugute kommt, deren Geschäftsmodell auf eine gewisse Verbindlichkeit der Nutzer untereinander aufbaut. Ein Sicherheitsgewinn ist genau wie beim elektronischen Reisepass nicht gegeben, da die deutschen Ausweisdokumente auch ohne elektronische Merkmale als fälschungssicher gelten.
netzpolitik.org: Was soll denn mit dem neuen ePerso alles möglich sein?
Frank Rosengart: Das einst für hoheitliche Zwecke vorgesehene Dokument wird nun eine Wirtschafts-Service-Karte. Der neue Personalausweis verfügt neben den auf dem Chip gespeicherten biometrischen Merkmalen über die „eID“-Funktion. Damit soll eine Identitätsfeststellung oder Alternachweis im Online-Geschäftsverkehr möglich werden. Zusätzlich ist vorgesehen, den ePerso mit einer Applikation für eine qualifizierte elektronische Signatur entsprechend dem Signaturgesetz auszustatten.
netzpolitik.org: Wie steht es denn um den Datenschutz? Welche Bedenken hat der Chaos Computer Club?
Frank Rosengart: Zugegeben, beim neuen Personalausweis hat man sich viele Gedanken darüber gemacht, wie man einen solchen Ausweis möglichst datenschutzfreundlich gestalten kann. Abgesehen von einigen Details stellt sich aber grundsätzlich die Frage, ob die nun geschaffene Möglichkeit, dass sich der Bürger gegenüber Anbietern im Netz elektronisch identifizieren kann, nicht auch neue Begehrlichkeiten nach einer Pflicht zur Identifikation weckt. Jeder Online-Anbieter kann nun einfach prüfen, wer ich bin und wird diese Chance auch nutzen. Und schlussendlich steht natürlich immer noch zu befürchten, dass wir uns zukünftig mit unserem elektronischen Ausweis „am Netz“ anmelden müssen, um überhaupt Zugang zum Internet zu bekommen. Unverständlich ist, warum das Gesichtsfoto nun auch biometrisch sein soll. Im Nutzungszenario des ePerso dürfte ein Abgleich per Gesichtserkennung kaum passieren. Die Bedenken, die wir schon zur Speicherung des biometrie-tauglichen Fotos im Reisepass haben, bleiben bestehen. Wofür also jegliche Begründung fehlt ist die zwangsweise biometrische Erfassung. Jeder Bürger muss nun ein biometrisches Gesichtsbild abgeben, das digitalisiert und auf dem Chip hinterlegt wird. Gleiches gilt für Besitzer einer dauerhaften Aufenthaltsgenehmigung. Die tatsächliche biometrische Erfassung aller Menschen wird damit in die Tat umgesetzt.
netzpolitik.org: Ist ein dreifach höherer Preis gerechtfertigt?
Frank Rosengart: Für das, was an Technik im neuen ePerso drin steckt, mag der Preis vielleicht gerechtfertigt sein. Die neuen elektronischen Funktionen werden allerdings nur einer sehr kleinen Zahl von Bürgern etwas bringen – es ja auch offen, ob die Funktion der eID von der Wirtschaft, vor allem aber von den Bürgern angenommen wird. Und ob die Wirtschaft verantwortungsvoll mit den gesammelten Daten umgeht und damit das Vertrauen der Bürger gewinnt. Die Kommunen beklagen, dass mit den Zusatzfunktionen ein hoher Aufwand bei der Ausstellung der Dokumente und vor allem bei Problemen (PIN vergessen etc.) auf sie zukommt, für den keine zusätzliche Vergütung vorgesehen ist.
netzpolitik.org: Kommen noch höhere versteckte Kosten hinzu, beispielsweise durch Lesegeräte?
Frank Rosengart: Wenn man keine Zusatzfunktionen des neuen ePersos nutzen möchte, muss man kein Lesegerät kaufen. Für die eID-Funktion sollte ein einfacher ISO14443-kompatibler RFID-Reader ausreichen. Die Signaturfunktion des ePersos dürfte noch ein größeres technisches Abenteuer werden, da hierfür Geräte mit Display und Pin-Eingabe erforderlich sind, die es bisher jedoch nur für Kontakt-Chips gibt.
netzpolitik.org: Wie sicher sind die Zusatzfunktionen des neuen Personalausweises?
Frank Rosengart: Wie wir kürzlich gerade gesehen haben, sind selbst die als besonders sicher angepriesenen Klasse-3-Lesegeräte keine Garantie für eine absolute Sicherheit bei der elektronischen Signatur. Es ist also abzusehen, dass die Sorge um die Sicherheit auf den Bürger abgewälzt wird und er im Zweifelsfall beweisen muss, dass er ein bestimmtes Dokument nicht elektronisch unterschrieben hat. Konzeptuell ist es vorgesehen, dass der Besitzer des ePA größtenteils selbst für die Sicherheit sorgen muss.
netzpolitik.org: Was empfiehlt Ihr den Bürgern? Vorher noch zum Sonderpreis den neuen kaufen oder einfach abwarten, bis der aktuelle abgelaufen ist?
Frank Rosengart: Wer keine 29 Euro für das Hightech-Spielzeug ausgeben möchte und außerdem einen Perso ohne spaßfreies („nicht Lächeln“) biometrietaugliches Foto für die nächsten zehn Jahre in der Tasche haben möchte, sollte sich rechtzeitig (am besten noch Ende September!) in Richtung Bürgeramt/Meldestelle begeben. Wir empfehlen klar, sich noch rechtzeitig einen „alten“ Personalausweis zu holen, denn eine alte Hackerregel sagt: Kaufe nie die Version 1.0. Schließlich könnte es auch noch wie in Großbritannien kommen: Dort wurden die nationalen „ID cards“ jüngst entsorgt, gleich zusammen mit dem nationalen Personenregister.
netzpolitik.org: Anders als beim Reisepass muss ich für den ePerso keine Fingerabdrücke abgeben. Die Bundesregierung empfiehlt dies aber „aus Sicherheitsgründen“. Warum sollte ich das tun?
Frank Rosengart: Die Fingerabdrücke können – genau wie beim ePass – derzeit ausschließlich von deutschen Behörden ausgelesen werden, weil hierfür ein spezielles Zertifikat erforderlich ist. Der Sicherheitsgewinn beschränkt sich also ohnehin auf wenige Behördenkontakte, wobei kein einziges Szenario denkbar ist, wo einem das als Bürger helfen würde. Erkennungsdienstliche Behandlung ist was für die Polizeiwache, nicht für die Meldestelle.
netzpolitik.org: Danke für das Interview.