Digitale BrieftascheZivilgesellschaft und IT-Fachleute schlagen Alarm

Die Kritik an der europäischen digitalen Brieftasche reißt nicht ab. Nun warnen mehrere dutzend Nichtregierungsorganisationen und IT-Sicherheitsexpert:innen eindringlich davor, dass die EU einen gefährlichen Irrweg einschlägt.

Ein bemaltes Stoppschild vor einer Mauer
Die EU befindet sich auf einem Irrweg, so die eindringliche Mahnung eines offenen Briefes – Gemeinfrei-ähnlich freigegeben durch unsplash.com Kevin Clyde Berbano

Schon bald sollen alle EU-Bürger:innen über eine digitale Brieftasche verfügen, mit der sie sich online wie offline ausweisen können. Das größte digitalpolitische Projekt der Europäischen Union befindet sich derzeit in der Umsetzung.

Doch nun warnen knapp 30 Nichtregierungsorganisationen und gut ein Dutzend IT-Sicherheitsfachleute in einem offenen Brief eindringlich davor, dass die EU dabei einen gefährlichen Irrweg einschlägt.

Unterzeichnet haben den Brief unter anderem epicenter.works, Access Now, European Digital Rights (EDRi), Digitalcourage und die European Sex Workers‘ Rights Alliance.

Sie fordern „die verantwortlichen EU-Politiker:innen auf, einen Schritt zurückzutreten und die technischen Anforderungen für die europäische eID zu überdenken – ein großes System, das die sensibelsten Bildungs-, Gesundheits- und Finanzdaten der EU-Bürger:innen speichern und verarbeiten soll“.

Die Kritik entzündet sich vor allem an drei Punkten: erstens an der Aushöhlung von Pseudonymen, zweitens an der unsicheren Verschlüsselung und drittens an unzureichenden Datenschutzanforderungen.

Drei zentrale Kritikpunkte

Die eIDAS-Reform sieht vor, dass Nutzer:innen der digitalen Brieftasche immer dann ein Pseudonym verwenden können, wenn sie nicht dazu verpflichtet sind, ihre legale Identität preiszugeben.

Der Umsetzungsentwurf sieht jedoch vor, dass Strafverfolgungsbehörden diese Pseudonyme rückwirkend auf ihre rechtliche Identität zurückführen können. Diese „Hintertür“ widerspreche eindeutig den rechtlichen Vorgaben, kritisieren die Unterzeichnenden.

Zudem sollen für die digitale Brieftasche Verschlüsselungsverfahren eingesetzt werden, die nicht den Anforderungen der eIDAS-Reform entsprechend. Diese seien veraltet und entsprächen nicht dem Stand der Technik, heißt es in dem offenen Brief. Er greift damit die Kritik der Kryptografen von Mitte Juni auf. Nach Ansicht der Fachleute lässt sich dieses Problem nur beheben, wenn grundlegend andere kryptografische Lösungen zum Einsatz kommen.

Schließlich weisen die Unterzeichnenden darauf hin, dass die aktuellen Datenschutzanforderungen wesentliche Vorgaben der Verordnung „völlig ignorieren“. Dazu gehören die Unverknüpfbarkeit, die Unbeobachtbarkeit und der sogenannte Zero Knowledge Proof (zu Deutsch: Null-Wissen-Beweis).

Unbeobachtbarkeit bedeutet, dass Wallet-Anbieter die in den Wallets gespeicherten Daten weder einsehen noch sammeln dürfen. Nur die Nutzer:innen sollen der Wallet entnehmen können, welche Transaktionen sie getätigt haben. Das Prinzip der Unverknüpfbarkeit besagt, dass verschiedene Identifizierungsvorgänge nicht zusammengeführt werden dürfen – zum Beispiel, um so das Kaufverhalten über verschiedene Einkäufe hinweg nicht nachvollziehen zu können.

Mit Hilfe des Zero Knowledge Proofs können Nutzer:innen Angaben zu ihrer Identität bestätigen, ohne persönliche Informationen über sich preiszugeben. Beispielsweise könnten sie gegenüber einem Anbieter nachweisen, dass sie volljährig sind, ohne zusätzlich ihr Geburtsdatum preiszugeben.

Warnung vor rechtlichen Schritten

Angesichts dieser Probleme fordert der offene Brief, dass die EU sich mehr Zeit für die Umsetzung nimmt. „Um die Bürger:innen zu schützen und die notwendigen Schutzmaßnahmen sorgfältig umzusetzen, bedarf es realistischer Fristen“, mahnen die Unterzeichnenden.

Sollte die EU die gesetzlich vorgeschriebenen Datenschutzgarantien der eIDAS-Verordnung nicht umsetzen, würde die digitale Brieftasche die EU-Bürger:innen nur unzureichend vor Tracking, staatlicher Überwachung, Überidentifizierung sowie Betrug und Identitätsdiebstahl schützen. In diesem Fall, so die Unterzeichnenden, müsse die Öffentlichkeit vor der digitalen Brieftasche der EU gewarnt werden.

Außerdem behalten sich die Organisationen vor, „jeden Durchführungsrechtsakt, der gegen die zugrundeliegende eIDAS-Verordnung verstößt, vor dem Europäischen Gerichtshof anzufechten“.

eIDAS-Reform: Digitale Brieftasche für alle EU-Bürger:innen

Die eIDAS-Reform trat im Mai dieses Jahres in Kraft. Sie baut auf einer Regulierung aus dem Jahr 2014 auf; die Abkürzung eIDAS steht für „Electronic IDentification, Authentication and Trust Services“.

Die neue Verordnung sieht vor, dass alle EU-Mitgliedstaaten ihren Bürger:innen bis zum Herbst 2026 eine sogenannte „European Digital Identity Wallet“ (EUDI-Wallet) anbieten müssen.

Die Wallet soll laut EU-Verordnung freiwillig, kostenlos und vor allem sicher sein. Außerdem sollen die Nutzer:innen transparent darüber bestimmen können, welche Daten sie an wen weitergeben.

35 Ergänzungen

  1. „Die Kritik entzündet sich vor allem an drei Punkten: erstens an der Aushöhlung von Pseudonymen, zweitens an der unsicheren Verschlüsselung und drittens an unzureichenden Datenschutzanforderungen.“

    Das grosse Problem: das sind aus Sicht der handelnden Politiker keine Nachteile, eher im Gegenteil.

    Die EU ist nicht auf einem Irrweg, denn das ist kein Irrtum. Die EU ist auf dem falschen Weg, und da kann sie nur sie Wählermehrheit von weg zwingen. Und wirklich zwingen.

  2. „Die Wallet soll laut EU-Verordnung freiwillig, kostenlos und vor allem sicher sein. “

    Nun, „sicher“ scheint sie by Design schon mal eindeutig nicht gemacht zu werden sondern es werden gerade andere Tatsachen geschaffen. Aber „sicher“ kann sie im Grunde auch gar nicht sein, da bereits die Idee von Digitalen Identitäten nichts mit Sicherheit sondern mit allgegenwärtiger Kontrolle zu tun hat und – Zuboffs Gesetzen folgend- diese Technologie, wo sie jetzt einmal in der Welt ist, zwangsläufig auf maximale Überwachung hinauslaufen wird (das wird zwar gerne als Sicherheit verkauft ist aber das Gegenteil).

    Das mit „freiwillig“ wird dann vermutlich auch fallen. Dann aber natürlich nicht ganz direkt – selbst die autoritäre EU weiß, dass man hier geduldig sein muss . Sondern erst mal durch das kontinuierliche Verdrängen von Alternativen. Vielleicht beschleunigt durch das eine oder andere Notständlein. So wie man eben mit Bürgerrechten und Freiheiten salamischeibchenweise erfolgreich und mit breitem Konsens oder Desinteresse abräumt, in der EU.

    Und „kostenlos“ wird vermutlich nur die Bereitstellung der Wallet sein. So wie man eben auch Staatstrojaner kostenlos aufs Gerät bekommt. Ansonsten zahlt man bei Nutzung der Wallet immer mit den eigenen Daten, die für den Profit Dritter erhoben und verwertet werden. Und wenn sich das Teil, wie absehbar, auch super zum Verhaltensscoring und Nudging eignet, dann auch irgendwann mit der eigenen Bewegungs- und Handelsfreiheit. Natürlich alles zum Wohl der Werte und so.

  3. Man mag glauben wollen, dass ein derart komplexes System das sehr sensible Daten schützen und selektiv verfügbar machen soll, in sehr breiter Anwendung, betrieben durch viele Anbieter, hintertrieben durch sehr viele Interessenträger, technisch ausreichend abgesichert werden kann. Mir fehlt da aber jeder historische Beweis, dass das in ähnlich, entfernt vergleichbaren Nutzungsszenarien jemals gelungen ist.
    Das System verspricht (und benötigt) absolute Zuverlässigkeit über eine unbestimmbare Zeitstrecke. Das wird nicht einzuhalten sein.
    Wenn die Idee sich durchsetzt, lohnt sich der Diebstahl oder Raub von Mobiltelefonen, oder die Einbehaltung auf Flugplätzen, auf Demonstrationen, bei Grenzkontrollen dann aber mal richtig. Nur als Letztes ließe sich da über Erpressung sicher einiges holen und das EU-weit.
    Was für eine Idee, die eigene Existenz von einem derart vulnerablen Medium abhängig zu machen.

  4. Ich würde gerne meine Gedanken zu den Kritikpunkten teilen und starte mit den Pseudonymen: Pseudonyme sollen als Alternative zur Identifizierung mit der legalen Identität dienen. Sie auflösbar zu gestalten gehört zu den Ideen, die gut gemeint aber gefährlich in der Anwendung sind. Die ursprüngliche Idee war, dass man statt einer vollen Identifizierung in regulierten Anwendungsfällen ein Pseudonym verwenden könnte. Nur im Falle eines begründeten Verdachts für eine kriminelle Handlung sollte dann die Strafverfolgung die Auflösung anfordern können. Würde erst einmal bedeuten, dass man in noch weniger Fällen im Internet die legale Identität nutzen müsste. Könnte aber auch schnell zum Standard werden für Anwendungsfälle, bei denen es keine legale Identität braucht. Daher haben wir im dt. Walletprojekt davon Abstand genommen.

    Die aktuelle Idee (und dazu hätten wir gerne Feedback) ist, dass das Wallet Pseudonyme verwendet, die RP-spezifisch sind (damit nicht korrelierbar), für die aber sichergestellt ist, dass jede/jeder Nutzer:in ein stabiles Pseudonym für die jeweilige RP hat. Damit könnte man Verfasser:innen von Hate Speech aus Online-Plattform aussperren, müsste aber nicht die legale Identität der Nutzenden mit der Plattform teilen.

  5. Nächstes Thema: „Verschlüsselungsverfahren“: Die Kritik der Kryptopgraph:innen bezieht sich im Kern darauf, dass das EUDIW mit Signaturverfahren wie ECDSA implementiert werden soll und das es aus Sicht des Datenschutzes bessere (ZKP-)Verfahren gibt, z.B. BBS. Das sehe ich auch so. Allerdings haben die Kryptopgraph:innen in ihrer Betrachtung den Sicherheitsaspekt, insbesondere die Verhinderung von Identitätsdiebstahl, ausgeklammert (wurde mir auch im pers. Gespräch bestätigt). Die Krux mit BBS und anderen ZKP-Verfahren ist nämlich, dass sie heute nicht in der Sicherheits-Hardware von Smartphones verfügbar sind und das es bisher dafür keine Freigabe von einer der entsprechenden Sicherheitsbehörden gibt (was wiederum Voraussetzung für eine Nutzung im staatl. Bereich ist). Für ECDSA liegt beides vor. Und damit kann man wirksam den Diebstahl von privaten Schlüsseln verhindern und damit Identitätsdiebstahl. Daher soll das EUDIW ECDSA nutzen und dieses mit sogenannten „Einmal-Credentials“ kombinieren. Dadurch wird die Unlinkability zwischen unterschiedlichen RPs erreicht. Die Anforderungen des Datenschutzes werden also erfüllt.
    Könnte man es besser machen? Klar! Aus SPRIND-Perspektive haben ZKP-Verfahren ein großes Potential. Dazu muss aber noch einige Grundlagenarbeit geleistet werden: Standards müssen definiert werden, die Freigabe durch das BSI ist erforderlich, es braucht ausreichend (Open Source) Implementierungen, Hardware-Unterstützung, .. Wir hatten dazu auch schon sehr gute Gespräche mit einigen der betreffenden Kryptograph:innen. Bis zur praktischen Nutzbarkeit werden daher aus meiner Sicht noch ein paar Jahre vergehen.

  6. Und zu guter letzt die Unbeobachtbarkeit: diesen Kritikpunkt kann ich nicht nachvollziehen, denn das ARF ist so angelegt, dass Identitätsdaten/Credentials ausschliesslich in der Wallet App auf dem Smartphone der Nutzenden abgespeichert werden können. Backend-Interaktionen sind ausschliesslich für wenige sicherheitskritische Funktionen erforderlich, die man beim aktuellen Stand der Technik (oder generell) nur mit einem Backend sicher implementieren kann, z.B. die Zusicherung, dass man mit einem echten EUDIW kommuniziert.
    Hier lade ich auch gerne ein, die Referenzdesigns des dt. EUDI Wallet Projektes zu begutachten. Der Aspekt der Unbeobachtbarkeit ist für uns von fundamentaler Bedeutung für die Akzeptanz des EUDIW, daher haben wir das viel Zeit und Energie in das Designs investiert.
    Hier ist das Dokument zu finden: https://gitlab.opencode.de/bmi/eudi-wallet/eidas-2.0-architekturkonzept/-/blob/main/architecture-proposal.md?ref_type=heads#reference-design-proposals

  7. Grundsatzfrage:
    Wenn ich kein Smartphone habe und auch keines kaufen will:
    Wie kann ich dann die digitalen „Errungenschaften“, zu denen ich mehr oder weniger gezwungen werde, nutzen?

    Ich muß das ganze ja auch erst verstehen und begreifen können!

    1. Ich lebe seit mehr als zehn Jahren ohne „Smartphone“. Entscheidend ist die eigene Haltung und Urteilskraft. Resilienz gegenüber Verlockungen ist hilfreich, wenn man sie sich schon angeeignet hat. Nur weil andere glauben, sie müssten auf jedes Stöckchen springen, muss ich das noch lange nicht.

      Wenn nun sog. „Fortschritt“ versucht wird einem aufzudrängen, oder wenn gar mit Ausgrenzung gedroht wird, dann sollten sämtliche Warnglöckchen klingen. Das ist der Punkt, an dem „mit mir nicht!“ zum meinem fröhlichen Mantra wird. „Mich kriegt ihr nicht!“ ist die zweite Strophe für kluge Konsument:innen.

      Beispiel: Wenn der ÖPNV nur noch mit Smartphone-App geht, dann fährt der ÖPNV eben ohne mich, und ich fahre Rad.

      1. Das haben Leute schon bei der Schrift so gesagt, und bei Elektrizität, und beim Telefon. War nie so wirklich erfolgreich.

        Was man heute Smartphone nennt, ist ein mobiler vernetzter Computer. Und absehbar wird sowas eine als selbstverständlich vorausgesetzte Basis sein, so wie Lesen und Strom. Es wird unausweichliche Ausnahmen geben wie jetzt auch, aber das sind eher unglückliche Leute. Oder Querulanten, auf die man keine Rücksicht nimmt.

        Die Frage ist nicht „ob“ sondern „wie“ diese Basis definiert und betrieben wird. Und natürlich ist die derzeitige reine Profitorientierung gesellschaftlicher Selbstmord. Was durchaus im Interesse einiger liegt, schon Thatcher behauptete „there is no society“.

        1. > Was man heute Smartphone nennt, ist ein mobiler vernetzter Computer.

          Vor allem ist der Begriff ein Hirnfick, der kontrafaktisch impliziert, dass es pauschal eine „schlaue“ Idee sei, etwas mit einem Internetanschluss zu versehen. Was es spätestens dann nicht ist, wenn einen zum Beispiel das vorgeblich „schlaue“ Türschloss – black hats „sei Dank“ – nicht in die eigene Wohnung lässt oder die vorgeblich „schlauen“ Glühlampen ohne funktionierendes Internet die Arbeit verweigern.

          > Und absehbar wird sowas eine als selbstverständlich vorausgesetzte Basis sein, so wie Lesen und Strom. Es wird unausweichliche Ausnahmen geben wie jetzt auch, aber das sind eher unglückliche Leute.

          Die sachlich korrekte Bezeichnung ist „glückliche Leute“, denn sie kommen ja ohne aus.

          > Oder Querulanten, auf die man keine Rücksicht nimmt.

          Umso dringender muss Digitalcourage e, V. das Recht auf ein Leben ohne Digitalzwang ins Grundgesetz gehievt bekommen, um genau diese Rücksichtnahme zu erzwingen.

          1. Die mir bekannten Leute, die nicht lesen können, bezeichnen sich deswegen nicht als „glücklich“, auch wenn sie „ohne auskommen“.

        2. „Was man heute Smartphone nennt, ist ein mobiler vernetzter Computer.“
          Mein Opa hatte unwirsch abgewunken und „ach“, gemeint war „Blödsinn“, gesagt, als ich ihm in jungen Jahren meinen ersten selbstgebauten Computer zeigte.

          Doch zwischen einem selbstgelöteten Computer und einem Smartphone gibt es einen kleinen Unterschied. Beim ersten habe ich die komplette Kontrolle, kannte jedes Bit persönlich. Beim Smartphone kennen Google, Samsung und Apple und demnächst oder jetzt schon staatliche Organe und die Industrie jedes Bit deiner privaten Daten. Doch ich kann grundsätzlich ohne massiven Aufwand nicht in das OS und die Apps reinsehen. Und KI entscheidet, ob och vielleicht ein Bösewicht oder ein guter, kreditwürdiger Kunde in der nächsten Blase bin.

          Aber du hast schon Recht. Die Smartphone-Idee ist cool. Toll, wenn es auch wirklich meines wäre und nicht das Googles oder Apples. Das Verhalten der Industrie ist übergriffig und grenzt an Nötigung – etwa mit App-Store-Zwang, Kontozwang und illegaler Datenerhebung und Auswertung, Telemetrie zur eigenen Geschäftsmodelloptimierung und im besten Fall halbherziges, gnädiges opt-out.

          Aber unglücklich ohne Smartphone? Irgendwas scheinst du mir da falsch zu machen. Mehr noch, Smartphone-Verweigerer alternativ als Querulanten zu bezeichnen ist schon recht dreist und objektiv einfach falsch.

        3. Man kann sich zB mal vor Augen führen, wie inklusiv digital vorliegende Informationen und Schnittstellen prinzipiell relativ einfach sein könnten, wenn man das richtig und umfassend machte.

          Digitale Infrastruktur in gemeinwohlorientiert integriert könnte sehr viel sehr viel einfacher für alle machen.

          Leider läuft „gemeinwohlorientiert“ dem Wählerwillen der letzten 40 Jahre entgegen. Aber gut, in 20 Jahren klappt die Klimakrise den Bumms hier eh‘ zusammen…

        4. Hallo, äh, Anonymous…
          „i understand“,
          allerdings ist das nicht so einfach wie „adapt or peril“, wie „mit KI“ gerne koportiert wird. Denn in der Businesswelt zählt eben dein Dollar zuerst, nicht dein Leben.

          Beim Smartphone ist erst mal ALLES schiefgegangen, was auch mit AOSP und what not nicht wirklich reparierbar ist. Da hilft kein Pferdekutscherargument. Bei der Jugend könnte Wissenschaft helfen, da wir gewisse Erkenntnisse dazu haben, was eher schädlich ist, und was eher nicht. Daraus könnte sich ergeben, was man fördern sollte, und was eher nicht. Just saying…

        5. > Es wird unausweichliche Ausnahmen geben wie jetzt auch, aber das sind eher unglückliche Leute. Oder Querulanten, auf die man keine Rücksicht nimmt.

          glaub ich nicht. solange die Boomer-Generation im zweistelligen millionenbereich wählen geht wird es zumindest in Deutschland immer ausnahmen für Helmut und Gerlinde geben.

          1. Von denen ist ein signifikanter Anteil der relevanten, weil zur Wahl gehenden, Gruppe online. Die sind mit technischen Verbesserungen und Neuerungen groß geworden, haben das zT in Arbeit und Hobby gelernt, und sind gerne mit ihren Kindern und Enkeln in Kontakt.

            Die Marginalisierten wählen entweder trotz allem die Partei, die sie schon immer gewählt haben, oder gar nicht. Die sind nicht relevant.

            Die Querulanten fallen nicht ins Gewicht.

          2. „Die Querulanten fallen nicht ins Gewicht.“

            Hat man bei der EU-Urheberrechtsreform auch schon gesagt. Lediglich Fachkräfte und Chipkompetenz bleiben irgendwie Mangelware.

            Es werden sich schon willige Helfer nachbilden, und der Reiche dieser Welt kann unser aller Zeit noch ein klein wenig weiter mit einem Quasiklon(-teil-)Szenario verschwenden, bis es unweigerlich knallt, weil all diese Pseudoexperimente „nötig gewesen“ waren, bzw. „es keine bessere Alternative gab“, „it’s economy stupid“, oder wegen sonstwelchen mehr oder weniger offensichtlichen Blödsinns.

            Ach so: eigentlicher Sinn: Smartphone mit 2.5 Herstellern und Trackinglandschaft wie heute, ist nicht denkbar. Ich weiß, dass es schwerfällt, solches zu glauben, denn Stockholm ist solange voraus, bis man die Stadtgrenze hinter sich gelassen hat.

  8. „Das haben Leute schon bei der Schrift so gesagt, und bei Elektrizität, und beim Telefon. “

    Woher wissen Sie das so genau? Der Unterschied liegt darin, dass Schrift, Elektrizität und Telefon nicht zu Überwachungs- und Konditionierungsinstrumenten taugen und so die Menschen individuelle Freiheit haben und behalten. Das Smartfone ist Kontrollinstrument derer, die diese Freiheit nehmen (wollen).

    „Und absehbar wird sowas eine als selbstverständlich vorausgesetzte Basis sein, so wie Lesen und Strom.“ Das halte ich für eine auf Idealismus basierende Behauptung. Lesen ist eine Kulturtechnik, Strom bzw. Elektrizität eine physikalische Grunderscheinung. Das Smartfone ist keines von beiden, sondern ein weder für gesellschaftliches Zusammenleben noch für sonst irgendetwas wirklich notwendiges Konstrukt.

    1. So aus Interesse: da Sie hier offensichtlich kommentieren verwenden Sie vermutlich ein stationäres smartphone ohne SIM, was man früher so „Computer“ nannte?

      1. Jo, sicher doch. Aber sicherheitstechnisch erheblich modifiziert, und dem ein gemeines Smartfone daher nicht das Wasser reichen kann, was Schutzmechanismen betrifft. Und nicht vergessen: Mit einem Smartfone bewegt man sich, und was das für Probleme schaffen kann… einfach an Malte Spitz denken, und dann kommen Sie drauf.

        1. Sie verwenden also ein smartphone, wo ist dann das Problem?

          Das mit der Bewegung ist übrigens Aberglaube, Sie könnten ihr smartphone problemlos durch die Gegend tragen.

          1. tri-tra-trollala? ….Sie wissen genau, was ich und wie ich das meine. Aber okay, ich verwende einen Desktop-Rechner. Nix Aberglaube. Und kann ein PC telefonieren? Eben, normalerweise nicht. Ein weiterer Unterschied.

          2. another hat Recht.

            Dass man ein Smartphone „problemlos durch die Gegend tragen“ kann, ist eine Themaverfehlung.

            Man ist bei den normal im Geschäft erhältlichen Geräten (Produkte von Fairphone sind mir in der dunkelblauen und der gelben Ladenkette – dort, wo sich noch immer über die Hälfte aller Menschen in Deutschland ihr Gerät kaufen – noch nicht begegnet) leider darauf angewiesen, was der Hersteller des Geräts und der Lieferant des Betriebssystem einem erlauben.

            Da die EU nach der Markteinführung des allerersten iPhones regulatorisch bei der Produktqualität nicht sofort aus dem Quark kam, sind wir von Müll überschwemmt.

          3. „Dass man ein Smartphone „problemlos durch die Gegend tragen“ kann, ist eine Themaverfehlung.“

            Nein denn es ging offensichtlich um Tracking. Flugmodus, fertig. Und selbst Bluetooth, SIM, WLAN und NFC lassen sich einzeln abschalten oder man hat halt was unpassendes gekauft. Wobei man dem Poster auf Grund der selbst zugeschriebenen Kompetenz ohnehin ein Lineage o.ae. zumuten kann.

            Das ist prinzipiell nur ein mobiler Computer.

            Man kann übrigens auch Desktops mit dem Geschäftsmodell Überwachungskapitalismus kaufen.

          4. „Sie wissen genau, was ich und wie ich das meine.“

            Ja, eben.

            „Aber okay, ich verwende einen Desktop-Rechner.“

            Eben: technisch äquivalent einem stationären smartphone ohne SIM.

            „Und kann ein PC telefonieren?“

            Sie wissen, dass nur noch Computer „telefonieren“ können? Die Infrastruktur ist vollständig digitalisiert.

            Wenn Sie eine GSM/…/5G Verbindung meinen: mein Laptop hat einen SIM slot und entsprechende 5G-HW. Wenn da keine SIM drin steckt, unterscheidet er sich praktisch nicht von meinem Smartphone ohne SIM. Mit SIM letztlich auch nicht…

          5. „Und kann ein PC telefonieren? Eben, normalerweise nicht.“

            Aber natürlich. Der PC spricht idR Internet, Verbindung zB per SIP an ein Gateway zum traditionellen Telefonnetz, fertig. Und natürlich diverse rein IP-basierte Dienste, beruflich wie privat.

            Ich habe seit fast 20 Jahren kein „Telefon“ mehr im Haus, es unterhält sich mit Headset viel komfortabler. Und einige Leute haben praktisch nur Datenvolumen auf dem Smartphone oder gleich keine SIM.

          6. Also hier im Haus werden die meisten calls per Messenger auf dem Smartphone gemacht.

            Das ist nämlich wesentlich billiger, und kann Bilder und Video. Und sicherer, zumal die Teilnehmer daheim.

            Telefonieren ist primär eine Notfallfunktion und Rückfallebene.

          7. Also, die Idee des Smartphonezwangs widerspricht der Idee, das Gerät in einem Metallkoffer mit sich herumzutragen.

            Denken wir stattdessen an Appzwang! Impliziert nicht selten auch Hersteller. Appzwang bedeutet, dass ich Sicherheit managen muss. Auf meinem wichtigen Gerät kann ich keine Tracker haben. Allenfalls 2FA APP mit sonst 0 Funktion. Es gilt Wichtiges und Riskantes jew. Getrennt zu halten. Und jetzt die Realität: wieviele Geräte brauchst du?

            Das wird bestimmt noch politisch entschieden, durch Unterlassung, oder nutzlose weltfremde BSI-Richtlinien (Achtung: dieser Kontext, nicht allgemein, könnte auch BMI sein oder irgendwie Justiz).

  9. An die zahllosen Anonymouse und Anothers:

    IT-technisch gesehen sind natürlich Desktop-PCS und Mobilfunkgeräte vollwertige Rechner. Und mit beiden kann man auf vielen Wegen telefonieren.

    Der entscheidende Punkt ist, dass man bisher kein mobiles Endgerät so sicher wie einen Desktop-PC machen kann (obwohl Graphene OS/Lineage OS etc. sehr viel bewirken), da die (Chip-)Hersteller weniger Treiber etc. zur Verfügung stellen und man umfangreiche Jailsbreaks, Rootrechte etc. samt Custom-ROMs bemühen muss. Schon frühere Systeme wie „CyanogenMod“ hatten große Probleme, Tor-Tools wie Orfox und Orbot waren/sind immer noch nicht ausgereift, Geräte auf reiner Linuxbasis sind immer noch Exoten. Bei Aktivierung aller durchaus richtigen und seitens der Anonymouse genannten Schutzmaßnahmen kann es u. U. nicht in jeder Situation voll genutzt werden. Schliesslich sind Mobilgeräte mobil und generieren per se ein Bewegungsprofil.

    Nicht zu vergessen Pegasus und Co. Ein sehr gut mit auf maximale Sicherheit ausgelegten Linux-Systemen konfigurierter Rechner ist bei hohem Sicherheitsanspruch in jedem Fall einem Mobiltelefon vorzuziehen, wenn man sich umfangreiche Kenntnisse aneignet und auf manche Bequemlichkeit verzichtet.

    1. „Ein sehr gut mit auf maximale Sicherheit ausgelegten Linux-Systemen konfigurierter Rechner ist bei hohem Sicherheitsanspruch in jedem Fall einem Mobiltelefon vorzuziehen, wenn man sich umfangreiche Kenntnisse aneignet und auf manche Bequemlichkeit verzichtet.“

      Ja. Also ein use case einer kleinen Gruppe, die dann idR beides hat. Weswegen aus den „Bequemlichkeiten“ zunehmend „Möglichkeiten“ werden.

      1. Wird langsam langweilig.

        Hartnäckig Whataboutismen gegen Datenschützer wie Bit-te-1-Bit oder einem Smartphoneverweigerer zu spielen, bis irgendwann ein Widerspruch oder eine Heuchelei gefunden wird. Ansetzend an den Widerspruch wird subtil impliziert, man könne ruhig Google nutzen, Datenschutz sei Zeitverschwendung.

        Wo bleibt da die Unterstützung FÜR Datenschützer?

  10. Zur Gerätesicherheit schon mal Bingo denken: „Das Gerät ist für den Betrieb der digitalen Identität hinreichend sicher, wenn…“

Wir freuen uns auf Deine Anmerkungen, Fragen, Korrekturen und inhaltlichen Ergänzungen zum Artikel. Bitte keine reinen Meinungsbeiträge! Unsere Regeln zur Veröffentlichung von Ergänzungen findest Du unter netzpolitik.org/kommentare. Deine E-Mail-Adresse wird nicht veröffentlicht.