EU legt biometrische Datentöpfe zusammen

Die Europäische Union stattet alle Informationssysteme, die biometrische Daten enthalten, mit neuen Funktionen aus. Sie werden teilweise zusammengelegt und mit einem Klick durchsuchbar gemacht. Darauf haben sich gestern die Verhandler aus dem EU-Parlament und dem Ministerrat geeinigt, schreibt die rumänische Ratspräsidentschaft. Damit endet das Ringen um einen biometrischen Datenspeicher, in dem verknüpft mit Personendaten hunderte Millionen von Fingerabdrücken und Gesichtsbildern lagern werden.

Gespeichert werden die Daten zentral bei der Agentur für das Betriebsmanagement von IT-Großsystemen (eu-LISA) in Tallinn. Die Agentur ist auch für die technische Verwaltung und die sichere Datenübertragung im Betrieb zuständig. 2020 beginnt die technische Umsetzung, bis 2023 sollen die neuen Fähigkeiten nutzbar sein. Der genaue Wortlaut der beiden abgestimmten Verordnungen für die „polizeiliche und justizielle Zusammenarbeit, Asyl und Migration“ sowie „Grenzen und Visa“ ist noch nicht veröffentlicht. Der Rat hatte jedoch seine Verhandlungsposition vom Dezember online gestellt. Bevor die Verordnungen rechtskräftig werden, müssen sie vom Rat und dem Parlament formal verabschiedet werden.

Suchmaschine auch für Europol und Interpol

Die neuen Gesetze betreffen vor allem das Schengener Informationssystem (SIS II). Die größte Fahndungsdatenbank Europas enthält Ausschreibungen zur Einreise- oder Aufenthaltsverweigerung und zur Verhaftung oder zur verdeckten Kontrolle von Verdächtigen. An die „Interoperabilität“ werden außerdem das System Eurodac mit Fingerabdruckdaten von Asylbewerbern und Drittstaatsangehörigen sowie das Visa-Informationssystem (VIS) angeschlossen. Dort finden sich Angaben zu AntragstellerInnen von Kurzaufenthaltsvisa sowie deren EinladerInnen, darunter auch biometrische Daten.

Die im SIS, VIS und in Eurodac gespeicherten Fingerabdrücke und Gesichtsbilder werden jetzt mit den dazugehörigen Personendaten in einem „Gemeinsamen Identitätsspeicher“ abgelegt. Jede erfasste Person erhält dort eine „individuelle Datei“, die von Zehntausenden zugangsberechtigten BeamtInnen in der Europäischen Union mit einem ebenfalls neuen „Europäischen Suchportal“ bedient werden kann.

Die Suchmaschine soll nicht nur das SIS, das VIS und Eurodac abfragen, sondern greift bei jeder Überprüfung einer Person auch auf Daten bei der Polizeiagentur Europol und bei Interpol zu. Als Schnittstelle zur „Interoperabilität“ führt die Kommission ein neues „universelles Nachrichtenformat“ (UMF) ein, das federführend vom Bundeskriminalamt entwickelt worden ist und jetzt von allen Beteiligten installiert werden muss. Die Abfragen bei Europol erfolgen ebenfalls über ein neues Protokoll, das dort als „Querying Europol Systems“ (QUEST) firmiert.

Neue „Identitätsbestätigungsdatei“

Zunächst müssen alle vorhandenen biometrischen Daten in den neuen „Gemeinsamen Identitätsspeicher“ überführt werden. Sie werden dann über einen „Dienst für den Abgleich biometrischer Daten“ auf bereits vorhandene Fingerabdrücke oder Gesichtsbilder überprüft. Auch jeder neue Eintrag durchläuft diese Prozedur.

Im Hintergrund läuft außerdem ein „Detektor für Mehrfachidentitäten“, der nach Verknüpfungen zwischen den biometrischen Daten und ihnen zugeordneten Ausweisdokumenten sucht. Im Fokus stehen Personen, deren Fingerabdrücke mehr als einer Identität zugerechnet werden. Zwar verfügen die existierenden Datenbanken bereits über ein solches Suchsystem für Fingerabdrücke. Mit dem Vorschlag der „Interoperabilität“ soll jedoch die gleichzeitige Abfrage mehrerer Systeme erleichtert werden.

Findet der „Detektor für Mehrfachidentitäten“ eine Auffälligkeit, wird für die betreffende Person und die dazugehörigen biometrischen Daten eine vorübergehende „Identitätsbestätigungsdatei“ angelegt. Geraten die Betroffenen in eine Polizeikontrolle oder werden bei einer der beteiligten Behörden vorstellig, müssen die Angaben überprüft und gegebenenfalls korrigiert werden. Die Software soll so gestaltet werden, dass „kleinere Transliterations- oder Buchstabierfehler“ zwar entdeckt werden, aber nicht in jedem Falle „beschwerende Maßnahmen“ für den betreffenden Drittstaatsangehörigen zur Folge haben. Wie dies technisch umgesetzt werden soll, ist aber unklar.

Die „Identitätsbestätigungsdatei“ zeigt eine gelbe oder rote Warnmeldung an. Diese deuten beispielsweise darauf hin, dass die Person unterschiedliche Identitäten benutzt (gelb) und sich dabei vielleicht strafbar macht (rot). Vielreisende und EU-Staatsangehörige werden, wenn keine Gefahr droht, mit weiß und grün markiert. Ergibt die Prüfung, dass eine rote Meldung bestätigt wird, sollen „geeignete Maßnahmen ergriffen werden“. Dies kann die Vernehmung oder Festnahme der Person bedeuten.

Einreise muss angemeldet werden

Zusätzlich zu den drei bestehenden Datenbanken will die Europäische Union drei neue zentrale Systeme errichten, die ebenfalls im Rahmen der Verordnungen zu „Interoperabilität“ miteinander vernetzt werden. Ein „Einreise-/Ausreisesystem“ (EES) soll biometrische Daten von allen Drittstaatsangehörigen erfassen, wenn sie eine Außengrenze der Europäischen Union überschreiten. Als weitere Datensammlung wird das kürzlich beschlossene „Europäische Strafregisterinformationssystem für Drittstaatsangehörige“ (ECRIS-TCN) in die neue „Interoperabilität“ integriert. Es dient dem Austausch von Informationen zu strafrechtlichen Verurteilungen von Drittstaatsangehörigen, auch wenn diese ihren Wohnsitz in der Europäischen Union haben.

Auch wenn sie kein Visum benötigen, sollen sich schließlich alle Reisenden vorher bei der Europäischen Union anmelden. Hierzu startet die Kommission ein „Europäisches Reiseinformations- und genehmigungssystem“ (ETIAS)‚ bei dem der Zeitpunkt und der Zweck der Reise sowie der geplante Verlauf angegeben werden muss. Findet sich bei der automatischen Überprüfung der Person ein Treffer in vorhandenen Datenbanken, wird die Einreise unter Umständen verweigert.

Für die Bearbeitung von Anträgen auf Reisegenehmigungen soll das ETIAS auch das Informationssystem bei Europol (EIS) nutzen. Dies würde den dortigen Datenverkehr drastisch erhöhen. Derzeit werden bei Europol mehr als 100.000 Abfragen pro Monat vorgenommen, mit dem ETIAS soll dieser Wert an einem einzigen Tag erreicht werden.

Systeme sollen „miteinander reden“

Der frühere Innenminister Thomas de Maizière (CDU) hatte das Projekt „Interoperabilität“ als „Zusammenlegung der Datentöpfe“ bezeichnet. In der englischen Fassung ihrer Pressemitteilung sprach die Kommission gestern davon, dass die Informationssysteme besser „miteinander reden“ sollen. Die darin erfassten Daten sollen „einander ergänzen“.

Tatsächlich bleiben die existierenden Datenbanken in ihrer jetzigen Form erhalten, für ihre Vernetzung in einem „Datentopf“ wird aber jede einzelne Verordnung angepasst. Dabei wird der Zugang von Ermittlungsbehörden mitunter erweitert. Das wird begünstigt durch die Zwecke, die das Projekt „Interoperabilität“ verfolgt. So soll nicht nur die missbräuchliche Verwendung von Identitäten aufgespürt werden. Es dient außerdem der Bekämpfung irregulärer Migration, der Verbesserung des „Außengrenzenmanagements“ sowie ganz allgemein der „Aufrechterhaltung der öffentlichen Sicherheit und Ordnung sowie des Schutzes der inneren Sicherheit“.

Europol wird über Treffer benachrichtigt

Auch der Zweck für das „Einreise-/Ausreisesystem“, das in seiner ursprünglichen Fassung lediglich Reisende mit überzogenem Visa aufspüren sollte, wurde erweitert. Die Einrichtung war mit über einer Milliarde Euro veranschlagt, zur Umsetzung der gemeinsamen Visumpolitik erschien dies vielen Regierungen jedoch zu teuer. Deshalb sollen jetzt auch ErmittlerInnen unter bestimmten Umständen auf die dort gespeicherten Daten zugreifen. Erst dieser erweiterte Zweck macht das System aus Sicht der Kommission profitabel. Auch in Eurodac, im VIS und im ETIAS wurde die Strafverfolgung als sekundäres Ziel festgelegt.

Die Suche im „Gemeinsamen Speicher für Identitätsdaten“ zu Strafverfolgungszwecken und zur Gefahrenabwehr ist derzeit beschränkt auf Ermittlungen zu terroristischen und sonstigen schweren Straftaten. Auch die EU-Polizeiagentur darf auf sämtliche Daten zugreifen und wird mithilfe einer „Trefferkennzeichnungsfunktion“ benachrichtigt, wenn eine andere Behörde über die Suchmaschine bei Europol fündig geworden ist. Die Agentur kann dann Kontakt mit den ErmittlerInnen im Mitgliedstaat aufnehmen und eigene Erkenntnisse beisteuern.

Kosten liegen weit über einer Milliarde

Schließlich entsteht als fünfte „Interoperabilitätskomponente“ auch ein „Zentraler Speicher für Berichte und Statistiken“, über den jederzeit die Zahl von Speicherungen und Abfragen festgestellt werden kann. Die Agentur für das Betriebsmanagement von IT-Großsystemen nutzt ihn für regelmäßige Berichte zur „Interoperabilität“. In 2023, nachdem das Vorhaben komplett umgesetzt worden ist, sollen die neuen Funktionen evaluiert werden. Für die Überprüfung der Verknüpfungen im „Gemeinsamen Identitätsspeicher“ ist dann die Agentur für die Grenz- und Küstenwache Frontex zuständig. Die Agentur soll außerdem die Zentraleinheit von ETIAS beherbergen.

Laut der Kommission kostet die „Interoperabilität“ bis 2027 rund 425 Millionen Euro. Hinzu kommen Ausgaben für für die Entwicklung des EES in Höhe von 480 Millionen, das ETIAS kostet demnach 210 Millionen und die Erneuerung des SIS II 68 Millionen. Weitere Gelder werden für die Weiterentwicklung von Eurodac und VIS benötigt. Die Kosten der zentralen Systeme werden aus dem Gesamthaushalt der Union übernommen. Für deren nationale Anbindung müssen die Mitgliedstaaten beziehungsweise Europol aufkommen. Die Regierungen können hierfür Mittel aus dem Fonds für die innere Sicherheit beantragen.