Datenschutz
-
: BMW i3 speichert Standortdaten
Der BMW i3 sendet Standortdaten der letzten 100 Positionen an den Hersteller. <a href="https://creativecommons.org/licenses/by-sa/2.0/legalcode">CC BY-SA 2.0</a> via Flickr/<a href="https://www.flickr.com/photos/30998987@N03/16127520724/">mariordo59</a> : BMW i3 speichert Standortdaten Der ADAC hat die elektronischen Systeme zweier BMW-Modelle untersucht und herausgefunden, welche Daten von den Fahrzeugen gespeichert und welche an den Hersteller übermittelt werden. Einige der Daten gaben detaillierte Auskunft über die Gewohnheiten der Fahrer; beim Elektroauto i3 ließen sich sogar Bewegungsprofile aus den Ortsdaten erstellen.
Die meisten Daten werden in den Fahrzeugen gespeichert und sollen der Problemdiagnose in den Werkstätten dienen. Mittels einiger Daten sind jedoch auch Rückschlüsse über die Fahrer möglich:
Viele der Daten, die von den Steuergeräten während der Fahrt aufgezeichnet werden, sind technischer Natur. Sie enthalten Angaben über die Funktionen und den Zustand der Autos, die möglicherweise für die BMW-Werkstätten von Interesse sind. Doch daneben gibt es offenbar auch andere Informationen, die der ADAC in seinem Bericht als „auffällige Daten“ bezeichnet. Sie sind nach Ansicht der Datenexperten geeignet, Erkenntnisse über die BMW-Kunden und ihre persönlichen Gewohnheiten auszukundschaften.
Es bleiben jedoch nicht alle Daten in den Fahrzeugen und bei den Werkstätten. Teile der Informationen werden von den Diagnose-Systemen automatisch an den Hersteller gesendet:
Außerdem fanden die Techniker des Automobilclubs heraus, dass „einige Steuergeräte Verschleißdaten, wie die Betriebsstunden der Fahrzeugbeleuchtung oder Nutzungsdaten wie die Anzahl der Sitzverstellungen“ erfassen. Solche Informationen würden automatisch an den Autohersteller geschickt, sobald das Auto in der Werkstatt an das BMW-Diagnosesystem angeschlossen werde.
BMWs „Connected Drive“
Die neueren BMW-Modelle bieten eine Reihe von Apps und Diensten an, die „Connected Drive“ genannt werden. In den Autos sind Sim-Karten für eine fahrzeugeigene Mobilfunk-Verbindung fest eingebaut, über die die Fahrer Informations- und Entertainment-Angebote nutzen können. Problematisch ist, dass das System Daten aus dem Fehlerspeicher des Autos an den Hersteller überträgt, wobei nicht ersichtlich ist, ob diese Daten für die Funktionen von „Connected Drive“ benötigt werden.
Dahinter könnte womöglich […] eine Art Überwachungsfunktion stecken, mit der Garantieansprüche der Autobesitzer abgewimmelt werden. „Je nach gespeichertem Fehler wird damit auch ein nicht ordnungsgemäßer Umgang des Fahrers mit dem Fahrzeug dokumentiert, zum Beispiel bei zu hoher Motortemperatur oder ‑drehzahl“, stellt der ADAC fest.
Laut dem Hersteller erfolgt die Speicherung der Daten nicht nur in den vom ADAC untersuchten Modellen. Das diene jedoch nur der Optimierung und Diagnose in den Werkstätten, zudem würde man die Daten nicht an Dritte weitergeben. Der Autohersteller erklärte aber auch, dass für das „Connected Drive“-System Daten an Service-Provider übermittelt werden. Um welche Service-Provider es sich dabei handelt und was sie mit den Daten machen bleibt unklar.
Bei dem Elektromodell BMW i3 werden noch weitaus mehr Daten an den Autobauer gesendet, aus denen sich sogar Bewegungsprofile erstellen ließen:
Das Elektroauto speichert […] nicht nur die Positionsdaten der zuletzt benutzten Ladestationen, sondern auch „die rund 100 letzten Abstellpositionen des Fahrzeugs“. Damit weiß der Autohersteller ziemlich genau, wo sich seine Elektromodelle befinden und welche Strecken ihre Besitzer zurücklegen.
-
: EU-Pilotprojekt „Intelligente Grenzen“ wird nach dessen Ende von der Bundespolizei weitergeführt
"Szenario eines Grenzübertritts" aus einer Broschüre von secunet. : EU-Pilotprojekt „Intelligente Grenzen“ wird nach dessen Ende von der Bundespolizei weitergeführt Das Pilotprojekt des Systems „Intelligente Grenzen“ soll bis Ende des Jahres 2016 verlängert werden. Dies teilte die beteiligte Firma secunet in einer Pressemitteilung mit. Betroffen sind die „Pilotinstallationen“ an den EU-Außengrenzkontrollstellen am Flughafen Frankfurt und dem Kreuzfahrt-Terminal in Rostock-Warnemünde.
Ursprünglich wurde das Pilotprojekt an mehreren europäischen Flug- und Fährhäfen im Auftrag der EU-Kommission von der Europäischen Agentur für IT-Großsysteme (eu-LISA) durchgeführt, die für die Einrichtung des Systems „Intelligente Grenzen“ zuständig ist. Erprobt wurden verschiedene technische Konzepte zur Zahl der abgenommenen Fingerabdrücke und deren Kombination mit dem Gesichtsbild. In Deutschland hatten sich daran die Bundespolizei, das Bundesamt für Sicherheit in der Informationstechnik und das Bundesverwaltungsamt beteiligt. Die EU-Grenzagentur FRONTEX hat der Bundesregierung zufolge eine „beratende Rolle“ wahrgenommen.
System aus zwei Komponenten
Ziel des Systems „Intelligente Grenzen“ ist die Einführung neuer Technologien zum Grenzkontrollmanagement an den Schengen-Außengrenzen. Mithilfe biometrischer Verfahren und einer Berechnung der zulässigen (Rest-)Aufenthaltsdauer sollen sogenannte Overstayer identifiziert werden.
Gemeint sind Drittstaatenangehörige, die zwar mit einem Visum einreisen, den Schengen-Raum aber nicht innerhalb der in den Dokumenten vermerkten Frist verlassen. Die Kontrollen erfolgen mit einem in einem „Ein- und Ausreisesystem“ (Entry/Exit System, EES). Zum Gesamtsystem gehört auch ein Programm für „vertrauenswürdige Vielreisende“ („Registered Traveller Program“, RTP). Zudem ist geplant, dass die biometrische Datensammlung auch von Polizeien und Geheimdienste genutzt werden kann.
Die neunmonatige Erprobung des Systems „Intelligente Grenzen“ im Rahmen des von eu-LISA verantworteten Pilotprojektes wurden nach Aussage des Bundesinnenministeriums Ende September 2015 abgeschlossen. In der Pressemitteilung von secunet heißt es hingegen, das Pilotprojekt sei erst im November beendet worden. Am 11. Dezember hatte die Agentur eu-LISA einen Abschlussbericht „Smart Borders Pilot Project Report on the technical conclusions of the Pilot“ veröffentlicht.
Deutsche Behörden erweiterten Umfang des EU-Projekts
Laut secunet hatten die deutschen Behörden im Vergleich zu den anderen am Pilotprojekt beteiligten Staaten den Umfang des Projekts auf eigene Initiative erweitert. Deutschland sei demnach „der einzige Mitgliedstaat, welcher die EES-spezifischen Kontrollprozesse vollständig Ende-zu-Ende erprobte“.
secunet habe dabei Prozsesse konzeptioniert und betreut sowie „moderne Grenzkontrolltechnik“ geliefert. Hierzu gehörten das automatisierte Grenzkontrollsystem „easygate“, die Integration von Fingerabdruckscannern und Gesichtsbildkamera, weitere Installationen zum Dokumentenmanagement und entsprechende Server zur Verarbeitung biometrischer Daten sowie die Anbindung an die reguläre Grenzkontrolle.
Im Frühjahr sollen die Ergebnisse in einen neuen Vorschlag der Kommission zur Errichtung des Systems „Intelligente Grenzen“ münden. Mittlerweile haben sich die EU-Innen- und Justizministerinnen und ‑Minister auf Initiative Frankreichs dafür ausgesprochen, das System „Intelligente Grenzen“ auch auf Staats-angehörige von EU-Mitgliedstaaten auszuweiten. Frankreich begründete den Vorstoß mit einem gestiegenen Passagieraufkommen, „Migrationsdruck“ und „erhöhter Bedrohung durch Terrorismus“.
Unklar ist, ob die EU-Staatsangehörigen bei Annahme des Vorschlags im zentralen EES-System bei der Agentur eu-LISA in Estland oder aber im Schengener Informationssystem (SIS II) gespeichert würden. Die Kommission soll einen Vorschlag vorlegen, wie eine Überprüfung biometrischer Daten von EU-Staatsangehörigen an den Außengrenzen des Schengen-Raums rechtlich umgesetzt werden kann.
-
: Neue AGB bei Spielzeug-Firma VTech: Keine Haftung bei Hacks
VTech: Aus dem massiven Hack nichts gelernt? | <a href="https://creativecommons.org/licenses/by-nc/2.0/" >CC BY-NC 2.0</a> by <a href="https://www.flickr.com/photos/28691409@N05/6344341330/" >Nicole</a> : Neue AGB bei Spielzeug-Firma VTech: Keine Haftung bei Hacks Am vergangenen Freitag gingen nach zwei Monaten Pause der App-Store und das Lernportal des Lernspielzeugherstellers VTech wieder online. Grund für die Pause war ein im November bekannt gewordener Hack, bei dem Daten von 4,8 Millionen Eltern sowie 6,4 Millionen Kindern entwendet worden waren. Man habe „den Datenschutz weiter verstärkt“, heißt es in einer Mail des Geschäftsführers King Pang an Kund_innen, die Motherboard vorliegt. Während sich VTech „dem Schutz der Informationen [seiner Kund_innen] verpflichte[t]“, hat es jedoch auch ein neuer Absatz in die allgemeinen Geschäftsbedingungen geschafft. Unter „Einschränkung der Haftung“ heißt es dort neuerdings IN GROßBUCHSTABEN:
Sie erkennen an und stimmen zu, dass Sie die volle Verantwortung für die Nutzung der Seite und jedweder Software und Firmware, die Sie dort herunterladen, übernehmen. Sie erkennen an und stimmen zu, dass jedwede Information, die Sie während der Nutzung der Seite senden oder erhalten, nicht sicher sein, abgefangen, oder später von Unbefugten erfasst werden könnte.
Eine Sprecherin von VTech sagte dazu, man habe hart daran gearbeitet, die Sicherheit zu optimieren, aber „kein Unternehmen, das online operiere, kann eine 100%-ige Garantie dafür bieten, nicht gehackt zu werden“. Die Einschränkungen in der Haftung seien daher „allgemein üblich“.
Sicherheitsexperten wie Troy Hunt, Rik Ferguson und Ken Munro nennen dieses Verhalten „unglaublich arrogant“ und rufen zum Boykott von VTech-Produkten auf. Anstatt aus seinen Fehlern zu lernen, die Sicherheitsmaßnahmen zu erhöhen und sich bei den betroffenen Kund_innen zu entschuldigen, versuche das Unternehmen stattdessen, sich im Umgang mit Nutzerdaten von jeder Haftung zu befreien. Die einzig mögliche Motivation für die neue Klausel sei der Versuch, Vorteile aus der Unkenntnis des Gesetzes der Kund_innen zu schlagen und im Falle eines erneuten Hacks Klagen zu verhindern.
Wie effektiv die neue Klausel tatsächlich ist, wird von Jurist_innen bezweifelt. So bewerten etwa der niederländische Datenschutzrechtler Ot Van Daalen und die US-amerikanische Jura-Professorin Angela Campbell den Haftungsausschluss als kaum stichhaltig für die EU und USA. Die Verpflichtung zum Schutz von Kundendaten könne nicht so einfach vom Unternehmen auf die Nutzer_innen abgeschoben werden.
-
: BVG zu Datenschutzleck in eTickets: It’s not a bug, it’s a feature
Das eTicket des VBB konnte mehr als es sollte. : BVG zu Datenschutzleck in eTickets: It’s not a bug, it’s a feature Ende letzten Jahres stellte es sich heraus, dass die in Berlin und Brandenburg eingesetzte VBB-fahrCard entgegen offizieller Angaben Bewegungsprofile speichern kann, die mit herkömmlichen Smartphones und der App mytraQ ausgelesen werden können.
Die Piratenfraktion im Berliner Abgeordnetenhaus hat dazu eine Anfrage gestellt. Der Verkehrsverbund Berlin-Brandenburg hatte bis zur Veröffentlichung des Datenlecks in Infobroschüren behauptet:
Es ist weder technisch noch organisatorisch möglich, sogenannte Bewegungsprofile auf der Karte oder im System zu speichern. Bei der Kontrolle wird lediglich geprüft, ob Ihr elektronischer Fahrausweis gültig ist. Es werden keine personenbezogenen Daten gespeichert.
Die Berliner Verkehrsbetriebe (BVG), die mit dem VBB zusammenarbeiten, haben dem Senat Antworten auf die Anfrage der Piraten übermittelt. Darin wird ausgeführt, dass die Kontrollgeräte für Fahrkarten in Bussen bis zur Abschaltung der Funktion 2015 auch den Zeitpunkt der Prüfung, die Haltestellennummer und die Nummer des prüfenden Terminals auf die Karte schrieben. Damit ließ sich für alle Busfahrten nachvollziehen, wo und wann ein Fahrgast eingestiegen ist. Das ermöglichte Bewegungsprofile, zumindest für die Nutzer von Nahverkehrsbussen, bei allen anderen Verkehrsmitteln und Kontrollgeräten erfolgte nach derzeitigem Wissen keine Speicherung der Ortsdaten.
Interessanterweise versteht die BVG das datenschutzrechtlich bedenkliche Mitprotokollieren dieser nicht als Fehler:
Es handelt sich hier nicht um ein Leck bzw. einen Systemfehler. Die BVG hat zwar beim Hersteller diese Funktion nicht beauftragt, jedoch hat dieser die in der (((e‑Ticket-Deutschland-Spezifikation beschriebenen Funktionen spezifikationskonform in das Testsystem implementiert.
„It’s not a bug, it’s a feature“ will man damit wohl ausdrücken. Dass die BVG und VBB nicht bemerkt haben wollen, dass diese Funktion aktiviert war, deutet auf die Vernachlässigung einer sorgfältigen Prüfung des Produkts hin. Und steht in deutlichem Widerspruch zu folgender Aussage:
Die BVG testet mit den anderen im VBB verkehrenden Unternehmen permanent die Funktionen des VBB-fahrCard-Systems und stimmt sich mit ihnen über die Funktionen ab. Datenschutzrechtliche Aspekte werden gemeinsam mit dem Landesdatenschutz der Länder Berlin und Brandenburg im Vorfeld untersucht.
Einer der Fragesteller, Andreas Baum von der Piratenfraktion, kommentiert:
Der Umgang mit dem Bewegungsprofil-Datenleck der VBB-fahrCard zeigt, dass die BVG den Schutz personenbezogener Daten nicht ausreichend gewährleistet.
In Informationsbroschüren und selbst auf Nachfrage wurden Kund*innen darauf verwiesen, dass keinerlei Ortsdaten erhoben, erstellt oder verarbeitet würden. Gleichzeitig wurde auf technischer Seite aber genau das getan, indem auf den VBB- fahrcards gespeichert wurde, wann und wo die Kund*innen in den Bus eingestiegen sind. Hinzu kommt, dass jede und jeder mit einem NFC-fähigen Smartphone diese Daten auslesen konnte. Damit waren während des gesamten Jahres 2015 die technischen Möglichkeiten gegeben, dass sowohl die BVG als auch Dritte diese Daten zu Bewegungsprofilen weiterverarbeiten konnten.
Erst die Recherche vom Fahrgastverband IGEB deckte das Datenleck auf, doch selbst jetzt verschließt die BVG die Augen und erklärt, es handele sich hier nicht um ein Leck bzw. einen Systemfehler.
Auf eine wenig ambitionierte Sicherheits- und Datenschutzprüfung deutet auch hin, dass die BVG keinerlei Aussagen dazu machen kann, welche kryptographischen Vorkehrungen getroffen werden, um die Fahrkarten dem Terminal gegenüber zu authentifizieren. Sie sei „lediglich Anwender des Standards“, rechtfertigt man sich. Spätestens nach der Meldung, dass die Logeinträge auf den Karten von jedem NFC-fähigen Smartphone ohne Weiteres im Nahbereich ausgelesen werden konnten, wäre ein generelles Interesse an den Datenschutzvorkehrungen angebracht. „Höchste Sicherheitsstandards“, wie angepriesen, sehen anders aus.
Der Senat selbst, an den die Anfragen gerichtet waren, beantwortet keine davon, auch wenn explizit nach seiner Einschätzung – nicht der der BVG – gefragt wird. Fragesteller Baum kritisiert:
Dass der Senat die an ihn gerichteten Fragen gleich gar nicht beantwortet, zeigt das mangelnde Interesse dieses Senats am Schutz der persönlichen Daten der Fahrgäste der BVG. Senator Geisel muss ein datenschutzpolitisches Konzept vorlegen und erklären, wie er solche Vorfälle in Zukunft vehindern will.
Laut Angaben der BVG wurde der Hersteller der Bus-Kontrollterminals dazu aufgefordert, die Implementierung der Speicherung von Bewegungsdaten zurückzunehmen. In der Zwischenzeit wurden die Prüfgeräte in Bussen außer Betrieb genommen. Ab Anfang Februar – also jetzt – soll es Kunden der BVG möglich sein, an Kundeninformationsterminals die auf den Karten gespeicherten Logeinträge ansehen und löschen zu können. Falls jemand von euch interessante Erfahrungen dabei machen sollte, nehmen wir die gerne über die üblichen Kanäle entgegen.
Update: Zufällig ist heute bei golem.de auch ein sehr ausführlicher, lesenswerter Artikel zum Thema VBB-Fahrcard erschienen.
-
: Kuwait errichtet DNA-Datenbank aller Einwohner, in Kalifornien wird „genetisch diskriminiert“
Ob verurteilt oder unschuldig – in Kuwait wird die Abgabe von DNA-Proben verpflichtend | <a href="https://creativecommons.org/licenses/by/2.0/" >CC BY 2.0</a> by <a href="https://www.flickr.com/photos/home_of_chaos/3808496018/" >thierry ehrmann</a> : Kuwait errichtet DNA-Datenbank aller Einwohner, in Kalifornien wird „genetisch diskriminiert“ Im Rahmen eines neuen Anti-Terror-Gesetzes verabschiedete das kuwaitische Parlament im Juli 2015 ein Gesetz, das alle 1.3 Millionen Bürger_innen und 2.9 Millionen Bewohner_innen verpflichtet, ihre DNA in eine nationale Datenbank eintragen zu lassen. Wie die Kuwait Times Ende Januar berichtete, laufen die Vorbereitungen, um die Datenbank noch dieses Jahr zu realisieren. Sie soll auch Besucher_innen umfassen, bei Weigerung drohen ein Jahr Haft und eine Strafe von fast 30.000 Euro. Gibt jemand eine falsche Probe ab, drohen sieben Jahre Haft. Das Gesetz war nach einem Anschlag auf eine schiitische Moschee verabschiedet worden, bei dem 26 Menschen getötet und 227 weitere verletzt wurden. Man sei „zu fast allem bereit, was die Sicherheit in diesem Land verbessert“, hieß es von von einem Parlamentsabgeordneten.
Im Interview mit der Kuwait Times erklären leitende Beamte des Innenministeriums die Pläne für die Datenbank und wieso sie keinen Angriff auf die Freiheit und Privatsphäre der Person darstellt. So ziehe Kuwait lediglich gleich mit Staaten wie Großbritannien und den USA, die seit den 90er Jahren DNA-Proben für strafrechtliche Ermittlungen nutzen. Die Proben sollen bei kuwaitischen Bürger_innen durch mobile und stationäre Center gesammelt werden, die sich an staatlichen Einrichtungen und Büros befinden sollen. Dies erlaube den Kuwaiter_innen, „während diverser Erledigungen Proben abzugeben“. Bei Einwohner_innen Kuwaits, die keine Staatsbürgerschaft besitzen, sollen die DNA-Proben bei der Ausgabe oder Erneuerung ihres Visums gesammelt werden. Für Besucher_innen schließlich soll es im Flughafen Kuwait ein spezielles Center geben, in dem sie „zu ihren Rechten und Pflichten bezüglich des DNA-Gesetzes beraten werden“ – an anderer Stelle wird wiederum betont, dass für alle drei Gruppen die Abgabe von DNA-Proben verpflichtend ist.
Datenschutz durch Haftandrohungen und „strenge Auflagen“
Da Datenschutz „zweifellos das Hauptanliegen“ des Innenministerium ist, wurde in dem Gesetz geregelt, dass die Herausgabe von Informationen aus der DNA-Datenbank mit bis zu drei Jahren Haft geahndet werden soll, die Beschädigung der Datenbank mit mindestens drei, maximal zehn Jahren Haft. Es gebe strenge Auflagen für die Beamt_innen, die mit den Proben hantieren, sowie einen speziellen Mechanismus zur Erschwerung der Zuordnung von Proben zu ihren Quellen. Zudem gehe es nur um die nicht-codierenden Bereiche der DNA, die keine Rückschlüsse etwa auf eventuelle Krankheiten zulassen, und auch für Fragen der Abstammung soll die Datenbank nicht genutzt werden – dies „sichere das Gesetz“.
Viele Maßnahmen könnten potenziell nützlich gegen Terrorangriffe sein, aber ein potenzieller Nutzen sei keine ausreichende Rechtfertigung für massive Menschenrechtsverletzungen, so Sarah Leah Whitson von Human Rights Watch. Auch der Europäische Gerichtshof für Menschenrechte hatte 2008 entschieden, dass die Speicherung von DNA-Proben von Verdächtigen, die nicht verurteilt wurden, gegen Artikel 8 der Europäischen Menschenrechtskonvention verstößt – der Artikel soll unter anderem die Privatsphäre sichern.
Schulverweis aufgrund der DNA
DNA-Informationen werden durch die sinkenden Kosten der Erfassung und Auswertung immer beliebter und können – wie so oft – wenn sie schon mal da sind, auch vielfältig genutzt werden. In Kalifornien wurde etwa der 12-jährige Colman Chadam der Schule verwiesen aufgrund seiner DNA. Er trägt genetische Marker für Mukoviszidose – diese sind keine Garantie dafür, dass er die Krankheit tatsächlich hat, und Colman zeigte nie Symptome. Seine Eltern gaben die Information dennoch bei seiner Einschulung an. Durch einen Lehrer gelang sie zu den Eltern zweier Geschwister, die ebenfalls an Colmans Schule gehen und an Mukoviszidose erkrankt sind. Da Kinder mit der Stoffwechselerkrankung sehr anfällig für ansteckende Infektionen sind, forderten die Eltern den Verweis von Colman Chadam, der – gegen den Willen des Kindes und seiner Eltern – folgte. Colmans Eltern verklagten den Schulamtsbezirk daraufhin wegen genetischer Diskriminierung. Nachdem die erste Klage abgewiesen wurde, legten die Eltern im Januar diesen Jahres Berufung ein.
Nach Michelle Lewis vom Johns Hopkins Berman Institute of Bioethics wird genetische Diskriminierung zukünftig ein immer größeres Thema:
Da wir immer mehr Untersuchungen immer früher druchführen, besteht auch das Potenzial für den gefährlichen Missbrauch von Informationen, der Eltern möglicherweise von genetischen Tests abhält – auch wenn sie medizinisch angebracht wären.
-
: Bundesregierung plant Obergrenze für erlaubte Bargeldzahlungen
Obergrenzen für Bargeldzahlungen: Der Beginn einer Bargeldlosen Zukunft? <a href="https://creativecommons.org/licenses/by/2.0/legalcode">CC BY 2.0</a> via Flickr/<a href="https://www.flickr.com/photos/armydre2008/5463888252/">frankieleon</a> : Bundesregierung plant Obergrenze für erlaubte Bargeldzahlungen Die Bundesregierung plant, eine Obergrenze für erlaubte Bargeldzahlungen einzuführen. Im Gespräch ist ein Limit von 5000 Euro, als Grund wird die Bedrohung durch den internationalen Terrorismus genannt. Die Forderung nach einer Obergrenze kommt aus der SPD, die schon länger für eine solche Regelung plädiert. Eine nationale Lösung werde allerdings nur angestrebt, wenn keine EU-weite Regelung zustande kommen sollte.
[Update 04.02.2016, 18:28 Uhr] Eine EU-weite Regelung wurde bereits abgelehnt.
Das Argument, man könne mit dem Limit den Terrorismus bekämpfen, ist jedoch völlig haltlos, wie beispielsweise die Pariser Anschläge im November vergangenen Jahres zeigten: Die Anschläge wurden in Belgien vorbereitet und in Frankreich verübt, wobei es in beiden Ländern bereits eine Obergrenze für Bargeldzahlungen gibt. Ähnlich wie Frankreichs Vorratsdatenspeicherung konnte auch diese Überwachungsmaßnahme die Anschläge nicht verhindern. Zudem ist es fraglich, ob sich Terroristen von einer Obergrenze für Barzahlungen abschrecken ließen, wenn sie Beträge von mehr als 5000 Euro in bar bezahlen wollen würden. Statt sich um die Ursachen des Terrorismus zu kümmern, wird also wieder einmal mit vermeintlicher Sicherheitspolitik reagiert.
Wirksamkeit nicht erwiesen
Peter Schaar, ehemaliger Bundesdatenschutzbeauftragter, hat in einem Interview mit Deutschlandradio darauf hingewiesen, dass diejenigen, die die Obergrenze zur Bekämpfung von Terrorismus und Schwarzgeldgeschäften einführen wollen, genau wie bei der Vorratsdatenspeicherung und der geplanten Fluggastdatenspeicherung in der Beweispflicht der Wirksamkeit stehen. Doch genau wie bei der Vorratsdatenspeicherung und der Fluggastdatenspeicherung ist die Wirksamkeit keineswegs bewiesen. Es droht also nun eine weitere umfassende Überwachungsmaßnahme ohne erwiesenen Nutzen.
Volker Wissing von der FDP sagte, der Bundesregierung gehe es gar nicht um Terrorismusbekämpfung, sondern um die Kontrolle der Sparguthaben. Der Vorwurf erklärt sich durch die Idee der Negativzinsen. Gäbe es kein Bargeld mehr, könnte das Guthaben auf den Konten nicht mehr abgehoben werden, wenn die Zentralbanken Negativzinsen einführen würden. Soll das Geld auf den Konten dann nicht von selbst weniger werden, müsste investiert und damit konsumiert werden, was wiederum die Wirtschaft ankurbeln würde. In Japan wurde erst vor wenigen Tagen bekannt, dass dort Negativzinsen eingeführt werden sollen, der Einlagezins der Europäischen Zentralbank ist ebenfalls schon im Minus.
Bargeld ist an keine Technik gebunden
Weitere Argumente für ein Limit bei Barzahlungen sind Steuerhinterziehung, Geldwäsche und Schwarzgeldgeschäfte. Diese ließen sich vielleicht tatsächlich eindämmen und erschweren. Doch die Möglichkeiten der Überwachung von Überweisungen sind gleichzeitig die Gründe, die für uneingeschränkten Bargeldverkehr sprechen. Bei Überweisungen wird jedesmal gespeichert, wer wem wieviel mit welchem Verwendungszweck überwiesen hat. Mit Bargeld lässt sich dagegen anonym bezahlen, eine Möglichkeit, die auch bei Beträgen über 5000 Euro erhalten bleiben sollte. Bargeld ist also deutlich unproblematischer im Datenschutz. Zudem ist Bargeld an keine technische Infrastruktur gebunden und auch nicht von technischen Ausfällen bedroht. Die Sicherheitslücke im TAN-Verfahren der Sparkassen-App hat dagegen gezeigt, wie unsicher Onlinebanking sein kann.
Nur der Anfang vom Ende?
Würde eine Obergrenze bei 5000 Euro eingeführt, könnte das nur der Anfang davon sein, Bargeld zukünftig komplett abzuschaffen. John Cryan, Chef der Deutschen Bank, hat bereits ein Ende des Bargelds in den nächsten zehn Jahren vorausgesagt. Für Geschäftsbanken ist Bargeld vor allem teuer. Gäbe es keines mehr, könnten sich die Banken einen Großteil der dafür nötigen Infrastruktur sparen. Aussagen wie die von Joh Cryan entsprechen also auch dem Wunsch der Banken, Bargeld komplett abzuschaffen
Der Finanzstaatssekretär Michael Meister (CDU) sagte jedoch, dass es auch künftig noch Bargeld geben soll, und auch der Chef der Bundesbank glaubt nicht an ein Ende des Bargelds. Oft sind die Einführungen von Überwachungsmaßnahmen aber nur ein Anfang und können hinterher verschärft werden. Ein gutes Beispiel dafür ist die Vorratsdatenspeicherung. In Bayern wurde kurz nach der Verabschiedung des Gesetzes dem Landesamt für Verfassungsschutz der Zugriff auf die Daten der Vorratsdatenspeicherung erlaubt – eine Regelung, die ursprünglich nicht vorgesehen war.
Bei einer kompletten Abschaffung des Bargelds würde ausnahmslos jede Transaktion und jeder Kauf gespeichert, womit wir der Totalüberwachung noch ein Stückchen näher wären. Inklusive der Gefahr, dass auch diese Daten in die falschen Hände geraten, wobei die Frage angebracht ist, ob es für solche Daten überhaupt richtige Hände gibt. Kritik kam auch vom Chef des Verbraucherzentrale Bundesverbands, der Bargeld als gelebten Datenschutz bezeichnete, der nicht aufs Spiel gesetzt werden dürfe.
Wie hoch soll die Grenze sein?
Die Grenze bei 5000 Euro anzusetzen erscheint indes nicht unüberlegt. In vielen Ländern gibt es bereits Obergrenzen für Bargeldzahlungen und somit entsprechende Erfahrungen. In Italien lag die Grenze zur Einführung bei 1000 Euro, wurde danach aber hochgesetzt. Aktuell gibt es in Italien Überlegungen, die Grenze ein weiteres Mal hochzusetzen, dieses Mal auf 5000 Euro.
Transparency International begrüßte die Obergrenze für Barzahlungen derweil als sinnvolles Mittel gegen Korruption und forderte, die Grenze noch niedriger zu setzen. Über die zu erwartenden Effekte oder die Wirksamkeit der Maßnahme ließ Transparency International aber nichts verlauten.
„Ich habe doch nichts zu verbergen“ – unser Lieblingsargument
Interessant an der Debatte sind aber nicht nur die vielen Argumente, sondern auch, wer sie vorbringt. Sascha Lobo hat das in seiner Kolumne bei Spiegel Online auf den Punkt gebracht:
Besonders interessant an der Diskussion um das Bargeld ist, dass sich dabei die gewohnten Fronten verschieben. Leute, die eben noch begeistert für die Vorratsdatenspeicherung argumentiert haben, sehen in der Abschaffung des Bargelds einen Angriff auf ihre persönliche Freiheit. Dabei würde die Schutzbehauptung „Ich habe doch nichts zu verbergen“ hier genauso funktionieren wie dort.
-
: US-Organisationen fordern Datenschutzregeln für Provider
Der Sitz der FCC in Washington D.C. <a href="https://creativecommons.org/licenses/by/3.0/legalcode">CC BY 3.0</a> via Wikipedia/<a href="https://en.wikipedia.org/wiki/Federal_Communications_Commission#/media/File:FCC_HQ.jpg">Ser Amantio di Nicolao</a> : US-Organisationen fordern Datenschutzregeln für Provider Knapp sechzig Verbraucher- und Datenschutzorganisationen fordern in einem offenen Brief strenge Datenschutzregeln für US-amerikanische Internet-Provider. Trotz der zentralen Rolle von Netzanbietern bei der Bereitstellung von Internetanschlüssen mangle es an gesetzlichen Regelungen, die Konsumenten vor Verletzungen ihrer Privatsphäre schützen würden, heißt es in dem an die US-Regulierungsbehörde Federal Communications Commission (FCC) gerichteten Schreiben.
Netzanbieter haben es mit Abstand am leichtesten, das Surfverhalten ihrer Nutzer zu überwachen. Während die üblichen Verdächtigen wie Google, Facebook oder Amazon auf fremden Internetseiten auf Tracking angewiesen sind, um das Surfverhalten zu ermitteln, können die Provider das Verhalten ihrer Nutzer praktisch uneingeschränkt und angebotsübergreifend überwachen. Dabei sind die Provider in den USA lediglich an ihre eigenen Datenschutzrichtlinien gebunden. Diese können sehr unterschiedlich aussehen: Der Netzbetreiber AT&T etwa bietet sogar billigere Tarife an, wenn die Kunden in die Analyse und den Verkauf ihres Surfverhaltens einwilligen.
Die Organisationen argumentieren in dem Brief, dass das Internet eine wachsende Bedeutung im täglichen Leben der Menschen spielt. Dadurch würde das Potenzial für Überwachung und den damit verbundenen Nachteilen deutlich steigen. Befürchtet werden einschränkende Effekte auf die freie Rede sowie mögliche Diskriminierungen aufgrund der gesammelten Daten:
As the role of the Internet in the daily lives of consumers increases, this means an increased potential for surveillance. This can create a chilling effect on speech and increase the potential for discriminatory practices derived from data use.
Forderung nach strengem Datenschutz
Die Forderungen der Organisationen sind strenge Regeln im Umgang mit den Nutzerdaten. Das Sammeln und Auswerten der Daten soll ohne Einverständnis der Kunden nicht mehr möglich sein. Ferner fordern sie, dass keine Daten für etwas anderes gesammelt und genutzt werden dürfen, als für das, was die Provider anbieten, also den Internetzugang:
We therefore strongly urge that the FCC move forward as quickly as possible on a Notice of Proposed Rulemaking proposing strong rules to protect consumers from having their personal data collected and shared by their broadband provider without affirmative consent, or for purposes other than providing broadband Internet access service.
Zudem sollen die Provider verpflichtet werden, über Datenlecks und Sicherheitsprobleme zu berichten. Auch sollen sie für Datenverluste haftbar gemacht werden können, wenn sie keine ausreichenden Sicherheitsmaßnahmen eingerichtet haben. Zuletzt fordern die Organisationen, dass den Kunden genaue Auskunft darüber erteilt wird, in welchem Umfang Daten erhoben werden und wem diese zur Verfügung gestellt werden.
The proposed rules should also provide for notice of data breaches, and hold broadband providers accountable for any failure to take suitable precautions to protect personal data collected from users. In addition, the rules should require broadband providers to clearly disclose their data collection practices to subscribers, and allow subscribers to ascertain to whom their data is disclosed.
-
: Logo ist vor Einigung fertig! Safe Harbour 2.0 heißt jetzt Privacy Shield! (Update)
: Logo ist vor Einigung fertig! Safe Harbour 2.0 heißt jetzt Privacy Shield! (Update) Die EU-Kommission hat in Brüssel bekannt gegeben, dass man mit der US-Regierung eine Einigung beim neuen Anlauf für Safe Harbour Regeln geschafft habe. Dazu gehört laut Justizkommissarin Vera Jourová eine jährliche Evaluierung und die USA versprechen uns schriftlich, dass der Datenschutz auch durch NSA & Co besser gewährleistet werden soll. Wie das letzte auch gewährleistet und durchgesetzt werden soll, ist bisher nicht im Detail bekannt. Das erinnert mich an den Brief der USA an Ronald Pofalla aus dem Sommer 2013, dass es keine Massenüberwachung durch NSA & Co geben würde. Im Gespräch war bisher ein Ombudsmann auf Seiten der USA, da fühlen wir uns gleich ganz sicher und geschützt.
Allerdings möchte man die kommenden drei Monate noch damit verbringen, Details zu verhandeln. Mit anderen Worten: Das Logo ist schon fertig, die Einigung nicht.
Und das sind die Leitlinien laut EU-Kommission:
The new arrangement will include the following elements:
Strong obligations on companies handling Europeans’ personal data and robust enforcement: U.S. companies wishing to import personal data from Europe will need to commit to robust obligations on how personal data is processed and individual rights are guaranteed. The Department of Commerce will monitor that companies publish their commitments, which makes them enforceable under U.S. law by the US. Federal Trade Commission. In addition, any company handling human resources data from Europe has to commit to comply with decisions by European DPAs.
Clear safeguards and transparency obligations on U.S. government access: For the first time, the US has given the EU written assurances that the access of public authorities for law enforcement and national security will be subject to clear limitations, safeguards and oversight mechanisms. These exceptions must be used only to the extent necessary and proportionate. The U.S. has ruled out indiscriminate mass surveillance on the personal data transferred to the US under the new arrangement. To regularly monitor the functioning of the arrangement there will be an annual joint review, which will also include the issue of national security access. The European Commission and the U.S. Department of Commerce will conduct the review and invite national intelligence experts from the U.S. and European Data Protection Authorities to it.
Effective protection of EU citizens’ rights with several redress possibilities: Any citizen who considers that their data has been misused under the new arrangement will have several redress possibilities. Companies have deadlines to reply to complaints. European DPAs can refer complaints to the Department of Commerce and the Federal Trade Commission. In addition, Alternative Dispute resolution will be free of charge. For complaints on possible access by national intelligence authorities, a new Ombudsperson will be created.
Update:
Max Schrems kommentiert bei europe-vs-facebook:
„Es gibt anscheinend noch nicht mal einen Text. Vieles sind nur Überschriften, aber schon die Überschriften lassen befürchten, dass dieser „Deal“ einfach nur ein Roundtrip zum EuGH nach Luxemburg ist. So viel ich gehört habe, haben sogar die Juristen in der Kommission vor diesem Pakt gewarnt, aber der Druck der Lobby, der USA und der Mitgliedsstaaten war anscheinend größer.“
Joe McNamee, Direktor von European Digital Rights, kommentiert: European Commission defence of European rights sinks in an unsafe harbour.
„Der Kaiser probiert gerade neue Kleider an. Die heutige Ankündigung bedeutet, dass europäische Bürger sowie Unternehmen auf beiden Seiten des Atlantik sich auf einen verlängerten Zeitraum der Unsicherheit einstellen müssen, während sie darauf warten, bis diese Notlösung scheitert.“
Jan Philipp Albrecht, grüner EU-Abgeordneter und Berichterstatter für die EU-Datenschutzgrundverordnung kommentiert: Datentransfers in die USA/Safe Harbor: EU-Kommission verramscht EU-Grundrecht auf Datenschutz.
„Die angekündigte Neufassung von Safe Harbor ist ein Affront der EU-Kommission gegenüber dem Europäischen Gerichtshof und den Verbraucherinnen und Verbrauchern in Europa. Sie sieht keine rechtlich verbindlichen Verbesserungen, sondern lediglich eine Erklärung der US-Regierung über deren Interpretation der Rechtslage bei der Überwachung durch US-Geheimdienste sowie eine zwar unabhängige, aber offenbar machtlose Ombudsperson, die sich der Beschwerden von Personen in der EU annehmen soll. Der neue Rechtsrahmen ist daher ein Ausverkauf des EU-Grundrechts auf Datenschutz.
Die Digitale Gesellschaft erklärt: Alter Wein in neuen Schläuchen.
Die konkrete Formulierung dürfte sich als schwierig erweisen, da das „Privatsphäre Schild“ in einigen bereits jetzt bekannten Punkten klar gegen die Vorgaben des EuGH verstößt. So ist der Bereich der nationalen Sicherheit von der Regelung ausgenommen. Gerade dies war aber einer der Hauptkritikpunkte der Luxemburger Richter an Safe Harbor. Ferner soll der Zugriff amerikanischer Sicherheitsbehörden auf die Daten von Europäerinnen und Europäern begrenzt werden. Dies bedeutet vor allem, dass weiterhin Zugriffe stattfinden. Worin die Begrenzung des Zugriffs bestehen soll und wie weit sie genau geht, lässt die Kommission wohlweislich offen. Gänzlich unglaubhaft ist daher auch ihre Behauptung, es werde in den USA künftig keine Massenüberwachung von Daten aus der EU mehr stattfinden. So dürfte es für die NSA bereits technisch schwierig, wenn nicht gar unmöglich sein, etwa im Rahmen der „Upstream Collection“ genannten Massendatenerfassung an Internetknotenpunkten zwischen europäischen und anderen Daten zu unterscheiden. Auch bietet das vorgesehene Ombudsmannverfahren keinen ausreichenden und insbesondere keinen gerichtlichen Schutz gegen Datenschutzverstöße durch US-Behörden. Der Ombudsmann ist selbst Teil der US-Administration und verfügt damit nicht über dieselbe Unabhängigkeit und Durchsetzungskraft wie ein Gericht. Schließlich dürfte auch die vorgesehene jährliche Evaluierung des „Privatsphäre Schilds“ keine substanzielle Verbesserung bringen, da sie allein durch EU-Kommission und Federal Trade Commission und nicht durch unabhängige Stellen erfolgen wird.
Die ehemalige Justizministerin Sabine Leutheusser-Schnarrenberger kommentiert auf Twitter:
Einigung? Klingt eher nach Beruhigungspille, nicht wie #SafeHarbour mit Datenschutz. Zweifle, ob Vorgaben des EuGH beachtet werden.
It’s not a „Privacy Shield,“ it’s an accountability shield. Never seen a policy agreement so universally criticized.
-
: Videoüberwachung mit „Bodycams“: Polizei in Köln und Düsseldorf hängt sich Warnschilder um
: Videoüberwachung mit „Bodycams“: Polizei in Köln und Düsseldorf hängt sich Warnschilder um 
Für ein Jahr will die Bundespolizei am Kölner und Düsseldorfer Hauptbahnhof den Einsatz von mobilen Körperkameras („Bodycams“, „Schulterkameras“) testen. Dies teilte die Bundespolizeidirektion Sankt Augustin in einer Pressemitteilung mit. Die Videokameras sind an einer Weste angebracht und werden bei Bedarf eingeschaltet. Zu entsprechenden Einsatzsituationen gehört die „Kontrolle von offenkundig gewaltbereiten Personen“.
Der Mitteilung zufolge sollen die Kameras vor allem abschreckende Wirkung haben. Dadurch würden PolizistInnen vor Übergriffen geschützt. Der Präsident der zuständigen Bundespolizeidirektion betont in diesem Zusammenhang eine „zunehmende Gewalt und Respektlosigkeit gegenüber der Polizei“. Der Mann fordert auch „empfindlichere Strafen für Gewalttäter“.
Die Bilder sollten auch als Beweis in Strafverfahren genutzt werden. Nur wenn dies zu erwarten sei, würden die Aufzeichnungen gespeichert.
Insgesamt hat die Bundespolizei zehn solche „Kamerasysteme“ beschafft. Wer eine solche Kamera tragen möchte wird „speziell geschult“. Die Teilnahme an der einjährigen Erprobungsphase ist freiwillig. Aus Gründen des Datenschutzes tragen die StreifenpolizistInnen eine Weste mit der gut sichtbaren Aufschrift „Videoüberwachung“. In dem Pilotprojekt will die Bundespolizei auch die Akzeptanz der Maßnahme bei den Polizeikräften feststellen.
Gestern ließ die rot-grüne Regierung Landesregierung wissen, man lehne die „Bodycams“ nicht ab. Allerdings sei laut dem Innenminister unklar, ob diese überhaupt einen Nutzen bringen.
Auch in Hessen und Hamburg wird seit rund einem Jahr mit „Bodycams“ experimentiert. Nun hat sich auch Baden-Württemberg zu einem Gesetzentwurf zur Einführung durchgerungen. Im Herbst sollen Ergebnisse der Testserien dann auf der Innenministerkonferenz vorgelegt werden.
-
: Kanada stoppt Metadaten-Weitergabe an Five Eyes
Demonstration gegen das c-51-Gesetz by Laurel L. Russwurm <a href="https://creativecommons.org/licenses/by/2.0></a>https://creativecommons.org/licenses/by/2.0/ via <a href="https://www.flickr.com/photos/laurelrusswurm/16636502380/in/album-72157650957130240/">flickr</a> : Kanada stoppt Metadaten-Weitergabe an Five Eyes Der kanadische Verteidigungsminister Harjit Sajjan hat laut der Nachrichtenseite CBC News die Weitergabe von bestimmten Metadaten an die Five-Eyes-Staaten vorläufig gestoppt. Bislang hatte der Geheimdienst Communications Security Establishment (CSE) diese Daten mit den USA, Australien, Neuseeland und Großbritannien geteilt.
Grund für den temporären Stopp sei, dass in den weitergegebenen Metadaten Informationen enthalten gewesen seien, die Kanadier identifizieren könnten, sagte der Verteidigungsminister am Donnerstag. Die Entscheidung wurde gefällt, nachdem der Geheimdienst-Aufseher Jean Pierre Plouffe seinen jährlichen Bericht vorgestellt hatte. Laut CBC News sagte dieser:
‚While I was conducting this current comprehensive review, CSE discovered on its own that certain metadata was not being minimized properly,’ Plouffe explained in the report. ‚Minimization is the process by which Canadian identity information contained in metadata is rendered unidentifiable prior to being shared.’
Die Sammlung und Weitergabe von Metadaten durch den CSE war durch die Snowden-Enthüllungen bekannt geworden. Im vergangenen Herbst war in Kanada die rechtskonservative Regierung abgewählt worden. Die Liberal Party unter dem Vorsitz von Justin Trudeau erreichte die absolute Mehrheit nach einem harten Wahlkampf, in dem das kurz vorher verabschiedete Überwachungsgesetz C‑51 eine große Rolle gespielt hatte.
-
: Verlegenheitslösung? Maja Smoltczyk wird Berliner Datenschutzbeauftragte
Wird <a href="http://www.bildhauerin-berlin.de/home/lebenslauf/">sie</a> den Datenschutz in Stein meißeln? : Verlegenheitslösung? Maja Smoltczyk wird Berliner Datenschutzbeauftragte Der Berliner Beauftragte für Datenschutz und Informationsfreiheit, Alexander Dix, wartet seit dem vergangenem Jahr darauf, dass eine Nachfolge für ihn gefunden wird. Das Problem wurde jetzt von der Großen Koalition in Berlin gelöst. Am Donnerstag soll mit Maja Smoltczyk die neue Berliner Beauftragte für Datenschutz und Informationsfreiheit gewählt werden. Das haben SPD und CDU bereits vor zwei Wochen verkündet.
Maja Smoltczyk ist Juristin und vor allem als Bildhauerin in Erscheinung getreten. Sie arbeitet bisher in der Verwaltung des Berliner Abgeordnetenhauses und leitet dort die Abteilung „Plenum und Ältestenrat“. Zu den Themen Datenschutz und Informationsfreiheit konnte man von ihr bisher nichts hören, insofern fällt uns eine Einschätzung schwer. Die ungewöhnliche Nominierung klingt nach einer Verlegenheitslösung. Möglicherweise hat die SPD aber auch einfach kein Personal für das Thema.
Wir fühlen uns erstmal stark an die Besetzung von Andrea Voßhoff als Bundesbeauftragte für den Datenschutz und die Informationsfreiheit erinnert. Voßhoff bestätigt leider seit ihrer Berufung sämtliche Befürchtungen, dass ihre Besetzung vor allem ein Versorgungsfall war und damit die Gestaltungsmöglichkeiten ihrer Behörde massiv eingeschränkt sind. Man kann auch Strategie der CDU-geführten Bundesregierung dahinter unterstellen.
Wir hoffen natürlich, dass das bei Maja Smoltczyk nicht der Fall sind wird und sind gespannt, ob sie es schafft, die großen Fußstapfen ihres Vorgängers Alexander Dix auszufüllen.
Dix war seit 2005 Berliner Beauftragter für Datenschutz und Informationsfreiheit. Zukünftig wird er als stellvertretender Vorsitzender der Europäischen Akademie für Informationsfreiheit und Datenschutz (EAID) in Berlin mit dem früheren Bundesbeauftragten für den Datenschutz und die Informationsfreiheit, Peter Schaar, zusammenarbeiten. Das ist dann die neue APO der Datenschutzbehörden.
Die Berliner Beauftragte für Datenschutz und Informationsfreiheit ist mit fast fünfzig Mitarbeitern eine der größten Datenschutzbehörden in Deutschland.
-
: Facebook investiert in Europa: Datacenter wird errichtet
: Facebook investiert in Europa: Datacenter wird errichtet Facebook gab heute bekannt, dass der Konzern in Irland ein großes Datacenter errichten wird. Dort befindet sich auch das internationale Hauptquartier des Unternehmens. Die irische Stadt Clonee, im County Meath, ist für das Vorhaben auserkoren worden: County Meath to Host First Facebook Data Center in Ireland.
Wie hoch das Investment sein wird, legt Facebook nicht offen, aber solche Datacenter sind keineswegs billig, wie das Beispiel des Fort Worth Data Center zeigt. Der Kostenrahmen könnte durchaus die Höhe von einer Milliarde Euro erreichen, zumal man auch ökologische Ziele hat:
Our data center in Clonee will be powered by 100 percent renewable energy, thanks to Ireland’s robust wind resources. This will help us reach our goal of powering 50 percent of our infrastructure with clean and renewable energy by the end of 2018.
Das Unternehmen, dessen lukratives Geschäftsmodell auf Werbung beruht, dürfte es sich leisten können. In Europa konnte Facebook im Jahr 2015 Einnahmen in Höhe von über drei Milliarden US-Dollar verzeichnen. Damit fiel wohl die Entscheidung leichter, nach dem Bau eines Datacenters in Schweden nun erneut in Europa zu investieren. Ganz so abschreckend dürfte die europäische Datenschutzgrundverordnung angesichts der zu erwartenden zukünftigen Einnahmen also nicht sein.
-
: EU plant Ausbau vernetzter Datenbanken von Justiz und Polizei
(Quelle: EU-Kommission). : EU plant Ausbau vernetzter Datenbanken von Justiz und Polizei Die EU-Kommission will den Austausch von Einträgen in Strafregistern der Mitgliedstaaten der Europäischen Union erweitern. Einen entsprechenden Vorschlag für den Ausbau des Europäischen Strafregisterinformationssystems (European Criminal Records Information System ECRIS) sowie mehrere begleitende Dokumente hat die Kommissarin für Justiz, Verbraucher und Gleichstellung, Věra Jourová, am Dienstag in einer Pressemitteilung veröffentlicht. Zur „Verbesserung der Bekämpfung von grenzüberschreitenden Straftaten und Terrorismus“ sollen auch Daten über Nicht-EU-Staatsangehörige gespeichert und übermittelt werden dürfen.
Das 2012 eingeführte ECRIS beruht auf einem Rahmenbeschluss des Rates von 2009. Das dezentrale System vernetzt derzeit 25 nationale Justizbehörden (Malta, Portugal und Slowenien nehmen bislang nicht teil). Aus Deutschland ist das Bundeszentralregister (BZR) angeschlossen, das vom Bundesamt für Justiz in Bonn geführt wird. Die Daten werden über das „europäische Verwaltungsnetzwerk“ sTESTA übertragen.
Über das ECRIS können für Strafverfahren oder andere behördliche Auskunftszwecke in anderen Mitgliedstaaten vorhandene Informationen über Vorstrafen der Betroffenen abgefragt werden. Bislang dürfen nur Daten über EU-Staatsangehörige angefordert werden. Wird beispielsweise eine Französin in Spanien für eine Straftat verurteilt, erhält die französische Justiz hierüber eine Benachrichtigung. Sofern die Person erneut im Ausland vor Gericht steht, kann das Urteil aus Spanien in das Strafmaß einfließen.
Sämtliche Vorstrafen auch in anderen Ländern werden im „Heimatmitgliedstaat“ gespeichert und bei Bedarf an anfragende Behörden weitergegeben. Auf diese Weise können EU-Angehörige aber auch ein EU-weites polizeiliches Führungszeugnis beantragen und nachweisen, dass sie in keinem anderen Mitgliedstaat verurteilt wurden.
Die neue Funktion soll zu einer „besseren und effizienteren Prävention von Kriminalität und terroristischen Handlungen“ beitragen. Auch der grenzüberschreitende Datentausch würde angekurbelt: Werde die Suche nach etwaigen Strafregistereinträgen von Nicht-EU-BürgerInnen vereinfacht, ermutige dies die nationalen Behörden zu noch mehr Anfragen im ECRIS.
Kleine Mitgliedsstaaten derzeit benachteiligt
Laut der Kommission wurden über das ECRIS im vergangenen Jahr 288.000 Anfragen gestellt. Sowohl die Abfragen als auch Benachrichtigungen nahmen in den letzten Jahren stetig zu:
Werden nun auch Nicht-EU-BürgerInnen erfasst, dürfte die Zahl erneut deutlich steigen.
Bisher müssen Abfragen der Daten von EU-AusländerInnen in allen 27 übrigen EU-Mitgliedsstaaten einzeln gestellt werden. 2014 habe die Zahl der Anfragen nach Vorstrafen von Drittstaatenangehörigen der Kommission zufolge bei 23.000 gelegen. Dies sei mit bürokratischem Aufwand und geschätzten Kosten von insgesamt 78 Millionen Euro verbunden gewesen. Das meiste Geld werde für die Beantwortung aufgewendet. Kleinere Mitgliedstaaten seien benachteiligt, da diese oft über wenig Angestellte zur Bearbeitung der Anfragen verfügten. Bei vielen Ersuchen handele es sich zudem um unnütze Anfragen.
Allerdings soll das ECRIS auch technisch erweitert werden. Als „Suboption“ wird vorgeschlagen, dass auch Fingerabdrücke abgefragt werden können. Die Kommission verspricht sich dadurch eine bessere Identifizierung von Beschuldigten aus Drittstaaten und die Erkennung gefälschter Ausweisdokumente. Die Verarbeitung der biometrischen könne aber auch helfen, fehlende Übereinstimmungen durch die unterschiedliche Schreibweise von Namen zu verhindern. Zudem seien manche Vor- und Nachnamen derart verbreitet, dass ein weiteres Identifikationsmerkmal notwendig sei.
Fingerabdrucksystem als Zusatzfunktion
Die für das aufgebohrte System veranschlagten Kosten liegen EU-weit bei 1,1 Millionen Euro. In den Mitgliedstaaten kämen weitere 768.000 Euro hinzu. Das Geld wird unter anderem für die Beschaffung einer Software verwendet, mit der die unterschiedlichen IT-Systeme der teilnehmenden Staaten synchronisiert werden. Nach einem Vorschlag der Kommission könnte hierfür die gerade bei der Polizeiagentur Europol eingeführte Anwendung „Ma3tch“ genutzt werden, die bislang für Finanzermittlungen eingesetzt wird. Deutlich kostspieliger sind jedoch die späteren Betriebskosten, die von der Kommission auf bis zu 13,5 Millionen geschätzt werden.
Jedoch könnten die tatsächlichen Kosten etwa das Vierfache betragen, wenn sich die EU-InnenministerInnen wie von der Kommission vorgeschlagen auf die „Suboption“ zur Verarbeitung von Fingerabdrücken einigen. Allein in den Mitgliedstaaten wären dann 37,5 Millionen für die Einrichtung des Fingerabdrucksystems fällig.
Vermutlich käme das Geld für dieses Automatic Fingerprint Identification System (AFIS) jedoch aus einem anderen Finanztopf. Denn die Verarbeitung von Fingerabdrücken wird derzeit in mehreren EU-Datenbanken implementiert, darunter im Schengener Informationssystem SIS II.
Die Pläne zum Ausbau des ECRIS werden mit dem Phänomen „ausländischer Kämpfer“ begründet, kursieren aber bereits seit einigen Jahren. Nach den Anschlägen von Paris wurde die Erweiterung im gemeinsamen Riga-Statement und schließlich in der EU-Sicherheitsagenda festgelegt. Allerdings soll das ECRIS auch zur Kontrolle unerwünschter Migration genutzt werden. Entgegen einer Bewertung der Grundrechteagentur sollen auch jene Vorstrafen von Nicht-EU-Angehörigen weitergegeben werden, die im Zusammenhang mit der illegalen Einreise verhängt wurden. Nicht in allen Mitgliedstaaten wird dies jedoch gleichermaßen verfolgt.
„Funktionale Lücke“ in polizeilichen Informationssystemen?
Es ist unklar, auf welche Option zum Austausch von Verurteilungen sich die EU-InnenministerInnen einigen werden. Möglich wäre auch die zentrale Erfassung Drittstaatsangehöriger. Der Vorschlag der Kommission wird am Dienstag auf der informellen Tagung des Rates für Justiz und Inneres diskutiert. Anschließend sollen sich der Ministerrat und das Europäische Parlament damit befassen. Ist das Legislativverfahren abgeschlossen, könnte die Richtlinie ein Jahr später in Kraft treten.
Außer dem ECRIS zum Austausch von Vorstrafen verfolgt die EU-Kommission auch eine Vernetzung der bei Polizeibehörden geführten Kriminalakten in den Mitgliedstaaten. Zur möglichen Einrichtung dieses Europäischen Kriminalaktennachweises (European Police Record Index System EPRIS) hatte die Kommission 2012 eine Machbarkeitsstudie durchgeführt. Anvisiert war, die Einrichtung eines solchen Systems mit der Verfolgung von „Reisenden Gewalttätern“ zu verbinden.
Gemeint sind vorwiegend linke AktivistInnen, die zu grenzüberschreitenden Protesten ins europäische Ausland reisen. Deutsche Bundes- und Landesbehörden unterhalten hierzu teilweise willkürliche Datensammlungen. Für eine Speicherung in der Datei „Politisch motivierte Kriminalität links“ muss beispielsweise keine Verurteilung vorliegen. Auch Kontaktpersonen der Betroffenen werden erfasst.
Im Ergebnis der Studie wurde der „grundsätzliche polizeifachliche Bedarf für einen EU-weiten Fundstellennachweis bestimmter polizeilicher Daten“ festgestellt. Dieser besteht laut der Bundesregierung darin, „eine Erstauskunft darüber zu erbringen, ob und wenn ja in welchem EU-Mitgliedstaat bzw. welchen Mitgliedstaaten zu bestimmten abgefragten Personendaten polizeiliche Informationen vorliegen“.
Die damals vorhandenen Systeme des polizeilichen Informationsaustauschs waren aber laut der Studie nicht geeignet für den Austausch von Daten, die beispielsweise in den Staatsschutz-Abteilungen gespeichert sind. Die Bundesregierung spricht sogar von einer „funktionalen Lücke in den bestehenden polizeilichen Systemen“.
„Kryptokommunikationssystem“ gegen linken Aktivismus
Das könnte sich ändern, denn der Austausch geheim eingestufter Informationen unter europäischen Geheimdiensten und Polizeien wird gegenwärtig neu organisiert. Auch Europol soll zukünftig höher eingestufte Information verarbeiten dürfen, allerdings ist das von Europol betriebene Netzwerk SIENA derzeit nur bis zum niedrigsten Grad „VS – Nur für den Dienstgebrauch“ (EU Restricted) zugelassen. Noch in diesem Jahr ist „Höherakkreditierung“ auf „VS – Vertraulich“ (EU Confidential) vorgesehen.
Laut der Bundesregierung würden auch die „rechtlichen und technischen Aspekte“ eines Europäischen Kriminalaktennachweises nach 2015 weiter geprüft. Bis dahin müssen die Staatsschutz-Abteilungen jedoch nicht auf den europäischen Datentausch verzichten. Eingestufte Informationen etwa über linke DemonstrantInnen werden derzeit auf Ebene der nicht zur EU gehörenden „Police Working Group on Terrorism“ (PWGT) ausgetauscht.
Die PWGT war von einigen europäischen Staaten ursprünglich als Antwort auf die militanten Gruppen der 1970er Jahre gegründet worden. Nachdem diese ihre Waffen niederlegten, erweiterte die PWGT ihren Zweck um die Jahrtausendwende von „Terrorismus“ auf „gewaltbereiten Extremismus“. Der Datentausch im Bereich der „Politisch motivierten Kriminalität“ wird über ein „Kryptokommunikationssystem“ abgewickelt, das Staatsschutz-Informationen bis zum Verschlussgrad „Geheim“ erlaubt.
-
: Wettbewerbskommissarin Vestager: „Privatsphäre ein fundamentaler Teil unserer Autonomie“
Die EU-Wettbewerbskommissarin Margrethe Vestager. <a href="https://creativecommons.org/licenses/by/2.0/">CC BY 2.0</a>, via flickr/<a href="https://www.flickr.com/photos/friendsofeurope/16603741783/">Friends of Europe</a> : Wettbewerbskommissarin Vestager: „Privatsphäre ein fundamentaler Teil unserer Autonomie“ Grundsätzlich habe sie kein Problem damit, wenn Unternehmen Daten sammeln und auswerten, um Kunden bessere Produkte anzubieten, sagte die EU-Wettbewerbskommissarin Margrethe Vestager am vergangenen Samstag bei der Eröffnung der Konferenz „Digital Life Design“ (DLD) in München. Problematisch werde es, wenn nur „einige wenige Firmen die Daten kontrollieren, die benötigt werden, um Kundenwünsche zu erfüllen und Kosten einzusparen. Das könnte ihnen die Macht geben, ihre Rivalen vom Markt zu verdrängen“, warnte Vestager, die derzeit untersucht, ob Google (nun Alphabet Inc.) mit dem Preisvergleichsdienst „Google Shopping“ sowie dem mobilen Betriebssystem Android gegen das europäische Kartellrecht verstößt.
Datenberge seien nicht automatisch mit Macht gleichzusetzen, aber wenn ein Unternehmen die angesammelten Informationen so einsetzen sollte, dass daraus wettbewerbsrechtliche Nachteile für Rivalen entstehen, dann müsse die Kommission einschreiten und für faire Voraussetzungen auf dem Markt sorgen. Bei den Übernahmen von DoubleClick durch Google und von WhatsApp durch Facebook habe die EU genau hingesehen und keine derartigen Verstöße feststellen können, da Konkurrenten immer noch zahlreiche Datenquellen abschöpfen könnten. Man werde das Feld jedoch weiterhin sorgfältig beobachten, denn nur weil man bislang nichts Beanstandenswertes gefunden habe, heißt das noch lange nicht, dass sich das für immer ausschließen ließe, so die Kommissarin.
Wenig Vertrauen in Datenschutz
Viele Bürger seien besorgt, wie Unternehmen mit ihren Daten umgehen würden, berichtete Verstager und verwies auf das Ergebnis einer Umfrage, in der weniger als ein Viertel der Befragten angegeben hätten, Online-Shops beim Schutz ihrer persönlicher Daten zu vertrauen. In einer jüngst veröffentlichten Umfrage gaben europaweit bloß 17 % an, diesbezüglich Online-Shops zu vertrauen – noch weniger Hoffnung auf den Schutz privater Daten machten sich die Befragten nur bei Anbietern von Suchmaschinen und sozialen Netzwerken.
Dabei sei „Privatsphäre ein fundamentaler Teil unserer Autonomie als Individuen“, betonte Verstager, und unsere personenbezogenen Daten seien die „neue Währung“, mit der wir für die Nutzung scheinbar kostenloser Dienste bezahlen würden. Die Herausforderung liege darin, auszuloten, wie viel Daten man im Tausch gegen das (kostenlose) Teilen, etwa von Bildern im Freundeskreis, hergeben möchte. Allen Beteiligten müsse klar sein, dass es sich um Geschäftstransaktionen und nicht um kostenlose Zugaben handle. Konsumenten müssten das Recht haben, fair behandelt zu werden, so als hätten sie mit Bargeld bezahlt.
Erst Daten sammeln und dann Geschäftsmodelle entwickeln
In einer darauffolgenden Podiumsdiskussion warf Jens Spahn, der parlamentarische Staatssekretär im Bundesfinanzministerium (CDU), den europäischen Institutionen Behäbigkeit vor, was die Wettbewerbsfähigkeit ansässiger Firmen behindere. Zu viel Regulierung schade dem Geschäft, so Spahn, denn immerhin müssten deutsche und europäische Unternehmen auf dem Weltmarkt bestehen.
Wie man es richtig macht, zeige laut Spahn der Blick über den Atlantik: „In den USA sammelt man erst einen Berg von Daten und denkt dann darüber nach, welche Geschäftsmodelle man auf dieser Basis entwickeln kann“ und vertrat damit die Position der deutschen Bundesregierung. So hatte etwa Bundeskanzlerin Angela Merkel (CDU) wiederholt gefordert, „nicht als erstes nur über den [Daten-] Schutz“ nachzudenken, sondern zunächst die Wettbewerbsfähigkeit deutscher und europäischer Unternehmen auf dem Weltmarkt zu berücksichtigen. Um dem noch eins draufzusetzen, forderte Spahn nicht nur eine Verwässerung des Datenschutzes, sondern augenscheinlich auch eine Kommerzialisierung sämtlicher Lebensbereiche, indem er das notorisch versagende US-Gesundheitssystem als Beispiel heranzog:
Kritisch stelle sich die Frage, ob „wir disruptiv genug sind“, um den Kampf auf den Märkten aufzunehmen, meinte Spahn. Als Beispiel für die Ungleichheit verwies der Finanz-Staatssekretär auf die schleppende Entwicklung von eHealth in Deutschland. Bundesbürger seien es nicht gewohnt, für Gesundheitsleistungen zu bezahlen, wie dies in den USA der Fall sei. Daher habe eHealth in Deutschland einen sehr schweren Stand.
-
: Europäische Umfrage zu Big Data und Datenschutz
: Europäische Umfrage zu Big Data und Datenschutz Das Vodafone-Institut hat die Ergebnisse einer europäischen Umfrage zu Big Data und Datenschutz veröffentlicht. Wir sind aber schon bei den Kernergebnissen ausgestiegen als wir lasen, dass „nur 12 Prozent der befragten Europäer nach eigenen Angaben die Nutzungsbedingungen oder Allgemeinen Geschäftsbedingungen (AGB) (lesen), um mehr über die Sammlung und Nutzung von persönlichen Daten durch Unternehmen und Organisationen zu erfahren.“ Und „40 Prozent der befragten Bürger geben an, Nutzungsbedingungen oder AGB oftmals zu akzeptieren, ohne sie wirklich gelesen zu haben.“
Was macht denn der Rest, immerhin noch mindestens fast die Hälfte der Befragten? Und was verstehen die 12% unter „AGB lesen“?
Ansonsten gibt es noch die wenig überraschende Erkenntnis, dass die Überwachung unserer digitalen Kommunikation zu Selbstzensur führt:
Die Sorge davor, dass unbekannte Dritte auf die von Dienstanbietern gespeicherten persönlichen Daten zugreifen könnten, ist groß. Über die Hälfte der Befragten (51 Prozent) vermeidet es nach eigener Aussage, über Privates in E‑Mails oder Textnachrichten zu schreiben. Vor allem Briten (60 Prozent) und Deutsche (56 Prozent) zeigen sich besorgt, während die Hälfte der Niederländer (50 Prozent) weniger skeptisch ist und sich nicht in ihrem Schreibverhalten einschränkt.
Interessant ist aber, dass mit 40% mehr Menschen aus Deutschland die Frage „Ich vertraue darauf, dass die bestehenden Gesetze und Regierungsbestimmungen hinsichtlich des Schutzes meiner Privatsphäre angemessen sind.“ verneinen, als ihr zuzustimmen (31%).
-
: Vuvuzela Messenger: „If there is an arms race, I think we’ll lose if we don’t focus on usability“
: Vuvuzela Messenger: „If there is an arms race, I think we’ll lose if we don’t focus on usability“ Secure messaging systems are vulnerable to generic traffic analysis attacks. In a time of „Five Eyes“ network monitoring almost everywhere, researchers are looking for solutions. „Vuvuzela“ tries to avoid the possibility of a third party analyzing the metadata of its users.
We spoke to David Lazar, who is one of the four inventors of the Vuvuzela system. They designed and analyzed the protocol and proved that it meets their definition of security. David also wrote the code that is in the github repository.
There is also a German version of this interview available.
The Idea
In Vuvuzela, a lot of noise is added to block surveillance opponents like the „Five Eyes“ intelligence agencies from getting their hands on the users’ metadata. Encryption alone cannot hide the amount of idle users and of communicating users, therefore the noise thwarts sophisticated attackers who try to analyze metadata to see who is talking to whom. Vuvuzela servers make the noise that disrupts the analyzer’s metadata exploitation and protect against traffic analysis.
There are some secure messaging systems with metadata protection already. Pond is an example of a system that tries to hide metadata. Dissent (pdf) is another system, published a few years ago.
The Vuvuzela concept paper (pdf) was released in October 2015 at the 25th ACM Symposium on Operating Systems Principles by Jelle van den Hooff, David Lazar, Matei Zaharia and Nickolai Zeldovich.
Vuvuzela consists of a single chain of servers to which clients connect to communicate. We assume that the chain of servers, along with each server’s public key, is known to clients ahead of time; all clients use the same chain. Clients always connect to the first server in the chain, which in turn connects to the second server, and so on.
Vuvuzela clients participate in two protocols. The first protocol, called the conversation protocol, allows a pair of users to exchange messages, assuming that they both decided to communicate with one another. The second protocol, called dialing, allows one user to request a conversation with another.Interview with David Lazar
Different from other approaches to protect metadata, for example the Tor project, you use techniques to add noise against an attacker who observes the network to collect metadata. Why did you choose this approach?
We designed the system by trying to efficiently encrypt as much metadata as possible. However, there is some metadata that we can’t encrypt efficiently. We add noise to metadata that isn’t encrypted so that its meaning is obfuscated to the adversary.
Efficiency was one of our goals from the start. We found that adding noise gives pretty good efficiency and pretty good security.
For that noise, how much server bandwidth for the dialing protocol would a user need right now, say if I beta-tested it?
Each user needs about 12 KB/s of bandwidth to run the Vuvuzela client. 12 KB/s is high if you want to run a Vuvuzela client on your phone. We’re thinking about ways to reduce client bandwidth costs.
Vuvuzela’s two protocols communicate through „dead drops“ where one client deposits a message, and another client picks it up. Will there be a CDN (Content Delivery Network) in the future for distribution of the dialing „dead drops“?
Yeah. Our current plan is to use BitTorrent to distribute the dialing dead drops, but we haven’t implemented that yet.
Can you already say when the implementation will start?
There’s two things that are keeping us from deploying Vuvuzela. First is the lack of a PKI [Public Key Infrastructure] and second is the lack of a way to distribute the dialing dead drops. I’ve started to work on the PKI, and I expect we’ll integrate BitTorrent shortly after we have a PKI.
There’s also some hope that we can design a more efficient dialing protocol, so that we don’t need a CDN or BitTorrent for dialing.
But for beta-testing I could use pki.conf for test purposes?
Yeah. You’d have to exchange keys with your friends through some other channel.
From the users’ perspective: When starting a conversation, for each communication the user needs to start the dialing protocol, right?
Yeah. If Alice wants to talk to Bob, she types /talk bob followed by /dial bob, which alerts Bob’s client that Alice wants to talk. If Bob wants to talk, he types /talk alice, and now Alice and Bob are in a conversation.
Alice’s public key will be transferred to Bob, but a shared secret is formed, so the first dial-up to a communication partner has to start all over again when the next conversation between them begins?
Right. However, currently Alice and Bob need to have each others long-term key in pki.conf to ensure that they’re talking to the right person. In the future, a better PKI will make this process more friendly.
Will it be as user-friendly as it is in OTR or GnuPG?
Yeah. Ideally it’d be even more user-friendly. :)
You also did some research on user-friendly systems. Is it correct that you would consider the usability important?
I think usability is very important. If the system isn’t user-friendly, then no one will use it and that’s bad for security.
If you focus that much on usability, do you think it could be an advantage for Vuvuzela to find a lot of users because it is not only secure but usable, too?
I think it’d be great if users are drawn to Vuvuzela for its usability, not just its security. But we’re a ways from that.
But it mostly comes with compromises if the user can – willingly or without understanding it – undermine the security. How will you cope with that problem?
It’s a hard problem. One approach is to try and provide pretty good security by default (with no user effort), but offer the possibility of ironclad security with some user effort (for example, by allowing users to verify their friends’ keys).
I think Signal takes this approach.In your paper you describe the idea to use users as „noise“, once there are a lot of them. How much could it reduce bandwidth use?
That’s not clear. Perhaps we could get rid of most of the noise when there are a lot of users, but at that point, the bandwidth cost is dominated by user (non-noise) messages anyway.
When will a user client be ready, and when the wide-use deployment?
I’d like to deploy it in the first half of this year.
There are now a lot of new crypto messengers, and counting since the revelations of Edward Snowden. Is the creation of „Vuvuzela“, especially because it is also protecting metadata, a reaction to Snowden’s revelations?
Snowden’s revelations motivated the work, but we also find the problem of hiding metadata interesting and challenging.
Would you go as far as it to say, there is a kind of arms race between the NSA complex (with „Five Eyes“) collecting all the metadata and researchers and activists to build systems like yours?
If there is an arms race, I think we’ll lose if we don’t focus on things like usability.
Well, I have to finally ask because everyone wants to know it: Why did you pick that Vuvuzela-name where everybody thinks of that screaming noise?
The system adds a lot of noise, so we thought Vuvuzela was an appropriate name. :)
David, thank you for answering the questions!
If you are willing to run a Vuvuzela server in Germany or elsewhere in Europe, please contact constanze(at)netzpolitik.org.
Transcription and Translation: Constanze and Jakob.
-
: „Fehlende Mitwirkung“: Bundesinnenministerium errichtet Firewalls gegen Auskunftsersuchen
: „Fehlende Mitwirkung“: Bundesinnenministerium errichtet Firewalls gegen Auskunftsersuchen Vor zwei Wochen hatten wir hier zu Statistiken von Auskunftsersuchen bei den Sicherheitsbehörden des Bundesinnenministeriums berichtet. Deutlich wurde, wie immer mehr Betroffene von ihrem Recht auf Auskunft beim Bundeskriminalamt, der Bundespolizei und dem Bundesamt für Verfassungsschutz Gebrauch machen: Die Zahlen für den Inlandsgeheimdienst haben sich seit 2011 vervierfacht, bei der Bundespolizei immerhin verdoppelt.
Sehr viele Auskunftsersuchen werden von den Behörden aber wegen „fehlender Mitwirkung“ ohne Erledigung eingestellt.
Auskunftsersuchen verfällt ohne Ausweiskopie nach zwei Wochen
Schon seit Jahren verlangt das BKA die Vorlage eines beglaubigten oder bestätigten Ausweisdokuments. Laut dem pauschalen Antwortbrief des Amtes könne dies bei einer Polizeidienststelle erledigt werden. Dort werden die Petenten jedoch postwendend wieder fortgeschickt.
Die Kopien müssen also kostenpflichtig erledigt werden und sind mit Behördengängen verbunden. Viele Betroffene verzichten deshalb auf die weitere Erledigung des Anliegens. Beim BKA verfällt das Auskunftsersuchen in diesem Fall nach zwei Wochen.
Die Pflicht zur Mitlieferung der Ausweiskopie sei laut dem Bundesinnenministerium wegen Datenschutzbedenken eingeführt worden. Tatsächlich kann auch die derzeitige Bundesbeauftragte für den Datenschutz in dieser Praxis keinen Verstoß entdecken.
Faktisch ist die Regelung aber eine Firewall, mit der sich die Behörden vor Arbeit schützen. Mittlerweile wurde es wohl auch der Bundespolizei zu viel der Transparenz. Nach Berichten von Betroffenen wird auch dort die beglaubigte oder bestätigte Ausweiskopie verlangt. Das Gleiche gilt für jene Behörden, bei denen Auskunftsersuchen für das Ausländerzentralregister gestellt werden können.
Verfassungsschutz verlangt Vorab-Begründung
Noch absurder verfährt der Bundesverfassungsschutz: Dort müssen Petenten das Ersuchen sogar vorab begründen, dem Amt als womöglich belastende Informationen mitteilen. Auch hier haben DatenschützerInnen offensichtlich keine Bedenken.
Auf Nachfrage hat das Bundesinnenministerium die Zahlen eingestellter Ersuchen mitgeteilt (außer für das BKA, das angeblich soviel Arbeit habe dass man keine Statistiken führen möchte). Wir haben die Tabelle daher um eine Spalte „eingestellt wegen ‚fehlender Mitwirkung’“ ergänzt. Die Zahlen vor allem der Bundespolizei sprechen für sich.
Bundeskriminalamt
Auskunftsersuchen § 19 BDSG, § 10 ATDG, Art. 31 Ratsbeschluss Prüm, Art. 30 Ratsbeschluss Europol-Gesetz, Art. 58 SIS-Beschluss SIRENE Deutschland (SIS) Gesamt Davon eingestellt wegen „fehlender Mitwirkung“ 2011 k.A. 627 k.A. 2012 k.A. 584 k.A. 2013 k.A. 624 k.A. 2014 1.847 521 2.368 k.A. 2015 (unvollständig) 1.432 k.A. Bundespolizei
Auskunftsersuchen Art. 109, 110 SDÜ (Ausschreibungen, Löschungen SIS) Petition/Eingabe bei Datenschutz-Beauftragten BPOL (via BfDI) Gesamt Davon eingestellt wegen „fehlender Mitwirkung“ 2011 300 11 12 323 k.A. 2012 405 14 10 429 k.A. 2013 591 15 18 634 35 2014 863 6 9 878 249 2015 (unvollständig) 807 5 9 821 539 Bundesamt für Verfassungsschutz
Gesamt Davon eingestellt wegen „fehlender Mitwirkung“ 2011 107 23 2012 192 62 2013 226 74 2014 262 79 2015 (unvollständig) 434 115 Abfragen in Datenbanken von Sicherheitsbehörden des Bundes und der Länder können äußerst bequem über den automatisierten Auskunftsgenerator vom Datenschmutz-Projekt vorgenommen werden. Sofern Verfassungsschutzämter eine Begründung verlangen, wird dies von Datenschmutz auf der Webseite in einer Warnung mitgeteilt.
-
: Netzpolitisches Gutachten für Überwachungszentrum der Bundesländer: Berlin lehnt IFG-Anfrage ab
: Netzpolitisches Gutachten für Überwachungszentrum der Bundesländer: Berlin lehnt IFG-Anfrage ab Zuletzt im Oktober hatten wir hier über den Aufbau eines Überwachungszentrums für die Telekommunikation berichtet, das die Bundesländer Brandenburg, Thüringen, Sachsen, Sachsen-Anhalt und Berlin in einem gemeinsamen Staatsvertrag verabreden wollen. Dieses „Gemeinsame Kompetenz- und Dienstleistungszentrum“ (GKDZ) soll die digitalen polizeilichen Überwachungsaufgaben zentralisieren und dadurch Geld sparen. Eine ähnliche Einrichtung entsteht als „TKÜ-Zentrum Nord“ in Hannover, beteiligt sind die Länder Hamburg, Niedersachsen, Mecklenburg-Vorpommern, Schleswig-Holstein und Bremen.
Das „TKÜ-Zentrum Süd“ wird nicht als polizeiliche Behörde geführt, in Dokumenten wird es als „zentraler Dienstleister“ für alle Formen der operativen Telekommunikationsüberwachung bezeichnet. Hierzu gehören „Speicherfähigkeit im Petabyte-Bereich“ und die „Analyse verschlüsselter Kommunikation und ggf. deren Entschlüsselung“.
Gutachten von Militärdienstleister und netzpolitschem Berater der CSU
Für den Aufbau der Anlagen des GKDZ in Leipzig und Dresden hat das Land Sachsen externe Gutachten eingeholt. Die technische Beratung erfolgte durch den Militärdienstleister ESG Elektroniksystem- und Logistik-GmbH sowie durch das „Strategie- und Forschungszentrum Telekommunikation“ (SFZ TK), das vom Bundeskriminalamt, der Bundespolizei und dem Bundesamt für Verfassungsschutz betrieben wird.
Zur administrativen Umsetzung holte sich das Ministerium eine Expertise von Dirk Heckmann. Der Rechtswissenschaftler ist netzpolitscher Berater der CSU und neben zahlreichen weiteren Mitgliedschaften als Vorsitzender der Deutschen Gesellschaft für Recht und Informatik tätig. Aus einer Präsentation des Berliner Datenschutzbeauftragten geht hervor, dass Heckmann für die Beratung zum Fünf-Länder-Überwachungszentrum ausgewählt wurde, da er als nebenamtlicher Richter am Bayerischen Verfassungsgerichtshof sowie als Leiter der Forschungsstelle für IT-Recht und Netzpolitik an der Universität Passau tätig ist.
Das von Heckmann erstellte netzpolitische Gutachten für das Überwachungszentrum ist allerdings nicht öffentlich – und so soll es nach dem Willen der fünf Bundesländer auch bleiben. Eine Anfrage nach dem Informationsfreiheitsgesetz (IFG) wurde vom Land Berlin zunächst mit der Zuständigkeit des Sächsischen Staatsministeriums des Innern beantwortet, von wo das entsprechende Gutachten in Auftrag gegeben wurde.
Sachsen sträubt sich gegen Transparenz
Das Land Berlin vertritt mittlerweile die Ansicht, dass es selbst zu den Auftraggebern des Gutachtens gehört. Zwar sei das sächsische Staatsministerium federführend, jedoch seien die übrigen Bundesländer an der Vorbereitung beteiligt. Eigentlich hätte es also möglich sein sollen, das Dokument über den Berliner Datenschutzbeauftragten, der sich selbst auf das Gutachten beruft, zu erhalten.
IFG-Anfragen müssen innerhalb von vier Wochen beantwortet werden. Erst nach weiteren zwei Monaten sah sich das Land Berlin jedoch in der Lage, dem Petenten zu antworten – mit einer Ablehnung. Es bestehe demnach kein Recht auf Akteneinsicht, da Sachsen – im Gegensatz zu Berlin – noch kein IFG erlassen hat. Zwar ist die Umsetzung im sächsischen Koalitionsvertrag von CDU und SPD angekündigt, passiert ist aber noch nichts. Auf diese Weise behält Sachsen das Recht, gegen die Veröffentlichung des gemeinsam beauftragten Gutachtens ein Veto einzulegen.
Das Bundesland hat überdies für eine weitere Firewall gegen die Veröffentlichung gesorgt. Nach Eingang der IFG-Anfrage hatte der Berliner Senat die Regierungen in Brandenburg, Thüringen und Sachsen-Anhalt erst gar nicht wegen der Zustimmung zur Veröffentlichung angeschrieben, denn die drei Bundesländer haben wie Berlin seit einigen Jahren selbst Informationsfreiheitsgesetze erlassen.
An Berlin vorbei hat das sächsische Staatsministerium die übrigen beteiligen Ministerien trotzdem nach ihrer Zustimmung zur Herausgabe des Gutachtens angefragt. Laut dem Bescheid hätten auch diese die Veröffentlichung des netzpolitischen Gutachtens für das gemeinsame Überwachungszentrum abgelehnt. Eine Begründung wurde nicht mitgeteilt.
Der gesamte Verlauf der IFG-Anfrage findet sich hier.
-
: Verbraucherschützer mahnen erneut Google ab
Mehrere Klauseln der Datenschutzerklärung von Google seien nicht mit deutschen Datenschutzvorschriften vereinbar, so der Verbraucherzentrale Bundesverband. <a href="https://creativecommons.org/licenses/by-sa/2.0/">CC BY-SA 2.0</a>, via flickr/<a href="https://www.flickr.com/photos/pbarry/5346829113/">Patrick Barry</a> : Verbraucherschützer mahnen erneut Google ab Google flatterte erneut eine Abmahnung der Verbraucherzentrale Bundesverband (vzbv) ins Haus. Demnach enthalten zwei Klauseln in der Datenschutzerklärung Formulierungen, die laut vzbv Verbraucherrechte unzulässig einschränkten. Um Nutzern etwa personalisierte Werbung oder maßgeschneiderte Produktinformationen anzuzeigen, werte Google automatisiert deren Inhalte wie E‑Mails aus. Allerdings mangle es an einer wirksamen Einwilligung in diese „intensive Art der Datenauswertung“, bemängeln die Verbraucherschützer.
Zwar müssen Nutzer der Datenschutzerklärung von Google insgesamt zustimmen, bevor sie die Dienste nutzen können, jedoch bedürfe es für die Erhebung und Nutzung personenbezogener Daten zu Werbezwecken eine gesonderte Einwilligung – und die hole Google nicht ein, obwohl in einzelnen Klauseln der aktuellen Datenschutzerklärung diese Praxis allgemein angekündigt werde.
Was ist Werbung?
Zudem führe Google den Begriff „Werbung“ nicht näher aus, was theoretisch sogar zu Anrufen bei Nutzern führen könne. „Auf welchen Kanälen und für welche Produktgruppen geworben werden soll, ist für den Verbraucher nicht klar erkennbar“, beanstandete Heiko Dünkel, Referent im Team Rechtsdurchsetzung beim vzbv. Kritisch bewerten die Verbraucherschützer auch den Umstand, dass angesammelte Daten nicht immer nur von den direkten Nutzern selbst stammen müssen, sondern auch Informationen Dritter enthalten können, die dem betroffenen Nutzer etwa eine E‑Mail an den Gmail-Account geschickt haben.
Mit deutschen Datenschutzvorschriften nicht vereinbar sei ferner eine Klausel, die für die Weitergabe „sensibler Kategorien“ von personenbezogenen Daten eine ausdrückliche Einwilligung des Nutzers vorsieht. Darunter fallen laut Google Bereiche wie „Rasse, Religion, sexuelle Orientierung oder Gesundheit“. Deutsche Bestimmungen unterscheiden jedoch nicht zwischen „sensiblen“ und anderen personenbezogenen Daten, so der vzbv.
Bereits 2012 hatte der vzbv gegen 25 Klauseln der damaligen Datenschutzerklärung und Nutzungsbedingungen geklagt und im Herbst 2013 vor dem Landesgericht Berlin Recht bekommen. Rechtskräftig ist das Urteil jedoch noch nicht, sondern liegt nach der Berufung Googles derzeit beim Kammergericht. In den im Sommer 2015 geänderten Datenschutzbestimmungen seien die strittigen Klauseln teils nach wie vor enthalten, kritisierte der vzbv. Auf die aktuelle Abmahnung muss der IT-Konzern nun bis zum 25. Januar 2016 reagieren, sonst drohe eine Unterlassungsklage vor dem Landgericht Berlin.
-
: Auskunftsersuchen bei den Sicherheitsbehörden des Bundesinnenministeriums – Statistik
Kann manchmal dauern: Wenn keine Passkopie beiliegt schicken BKA und Bundespolizei Auskunftsersuchen wieder zurück. : Auskunftsersuchen bei den Sicherheitsbehörden des Bundesinnenministeriums – Statistik Gemäß §19 des Bundesdatenschutzgesetzes haben Personen das Recht auf Auskunft einer speichernden Stelle zu den dort gespeicherten Daten, den Zweck der Speicherung und eventuelle Übermittlungen. Dieses Gesetz gilt auch für Polizeien und Geheimdienste.
Eine aktuelle Antwort des Bundesinnenministeriums gibt nun genauere Zahlen für Auskunftsersuchen beim BKA, der Bundespolizei und dem Bundesamt für Verfassungsschutz. Die Angaben zu 2015 beziehen sich auf den Stand von Dezember, sind also nicht vollständig.
Bundeskriminalamt
Das BKA beantwortet Auskunftsersuchen nach § 19 BDSG, § 10 Absatz 2 des Gesetzes zur Errichtung einer standardisierten zentralen Antiterrordatei (ATDG), nach Artikel 31 des EU-Ratsbeschlusses zum Prümer Vertrag und nach Artikel 30 des EU-Ratsbeschlusses zum Europol-Gesetz. Europol-Anfragen werden vom BKA „erstbearbeitet“, an den Data Protection Officer von Europol weitergeleitet und von dort beauskunftet. Genauere Zahlen hierzu existieren nicht. Die durchschnittliche Bearbeitungszeit ist laut dem Bundesinnenministerium inzwischen von 59 Tagen in 2014 auf 24 Tage in 2015 gesunken.
Als Zentralstelle für das Schengener Informationssystem (SIS) ist das BKA auch für Auskunftsersuchen nach Artikel 58 Ratsbeschluss SIS II zuständig. Sofern beim BKA Anfragen ausschließlich zu Speicherungen im SIS eingehen, werden diese direkt an das sogenannte SIRENE Deutschland (nationales Verbindungsbüro für SIS) weitergeleitet. Laut dem Bundesinnenministerium ist eine Zusammenlegung der beiden Bereiche zu einer „zentralen Auskunftsstelle“ geplant.
Auskunftsersuchen § 19 BDSG, § 10 ATDG, Art. 31 Ratsbeschluss Prüm, Art. 30 Ratsbeschluss Europol-Gesetz, Art. 58 SIS-Beschluss SIRENE Deutschland (SIS) Gesamt 2011 k.A. 627 2012 k.A. 584 2013 k.A. 624 2014 1.847 521 2.368 2015 (unvollständig) 1.432 Bundespolizei
Die Bundespolizei beantwortet Auskunftsersuchen nach § 19 Absatz des Bundesdatenschutzgesetzes zu gespeicherten personenbezogenen Daten sowie nach Artikel 109 (Auskunftsanträge) und Artikel 110 (Löschungsanträge) des Schengener Durchführungsübereinkommens (SDÜ) zu Ausschreibungen im Schengener Informationssystem (SIS). Auskunftsersuchen können auch im Rahmen einer Petition/Eingabe nach §§ 19 Absatz 6 bzw. 24 Absatz 4 Nr. 1 BDSG über die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) an das Bundespolizeipräsidium durchgereicht werden. Dort werden sie dann vom Datenschutzbeauftragten beantwortet.
Die durchschnittliche Bearbeitungszeit beträgt laut dem Bundesinnenministerium vom Eingang des Antrages bis zur „Verbescheidung“ ca. 2–3 Wochen. Die aktuellen Zahlen sind vom 9. Dezember 2015.
Auskunftsersuchen Art. 109, 110 SDÜ (Auskunftsersuchen zu Ausschreibungen, Löschungen SIS) Petition/Eingabe bei Datenschutzbeauftragten im BPOL-Präsidium (via BfDI) Gesamt 2011 300 11 12 323 2012 405 14 10 429 2013 591 15 18 634 2014 863 6 9 878 2015 (unvollständig) 807 5 9 821 Bundesamt für Verfassungsschutz
Der Inlandsgeheimdienst ist nach § 15 des Bundesverfassungsschutzgesetzes zur Auskunft verpflichtet. Ein Ersuchen muss von den Petenten begründet werden. Die durchschnittliche Bearbeitungsdauer von Auskunftsersuchen an das Bundesamt für Verfassungsschutz wird nicht statistisch erfasst.
Auskunftsersuchen 2011 107 2012 192 2013 226 2014 262 2015 (unvollständig) 434 Die Zahl von Auskunftsersuchen in Datenbanken von dem Bundesinnenministerium nachgeordneten Sicherheitsbehörden ist also in den letzten Jahren teilweise deutlich gestiegen. Dazu dürften Projekte wie Datenschmutz beigetragen haben, die einen automatisierten Auskunftsgenerator für zahlreiche Informationssysteme (nicht nur von Polizeien und Geheimdiensten) anbieten.
Die Behörden reagieren auf das gesteigerte Auskunftsinteresse nicht unbedingt aufgeschlossen. Auskunftsersuchen beim Inlandsgeheimdienst müssen begründet werden, was viele Betroffene abschrecken dürfte.
Schon seit einigen Jahren verlangt das Bundeskriminalamt (BKA) eine beglaubigte oder bestätigte Kopie des Personalausweises der AntragsstellerInnen. Fehlt diese, wird das Auskunftsverlangen nach zwei Wochen eingestellt. Mittlerweile scheint auch die Bundespolizei eine solche Firewall einzuführen. Das Projekt Datenschmutz erklärt hierzu:
Kompliment an die zahlreichenden Anfragenden für ihre Ausdauer. BKA und Bundespolizei machen es ihnen nicht leicht, da sie, im Gegensatz zu zahlreichen anderen Behörden, auf der Einsendung beglaubigter oder bestätigter Kopien des Personalausweise bestehen. Solche zu bekommen, bedeutet für die Anfragenden entweder Ärger auf sich meistens dumm stellenden Polizeiwachen oder Kosten auf Bürgerämtern, und nicht wenige geben zwischendrin auf. Die Ämter leisten sich hier durchaus mittlere Spitzen gegen das Grundrecht auf Auskunft.
All das ist allerdings noch harmlos gegen die Praxis beim Dauerskandal Ausländerzentralregister. Für Auskünfte dort verlangt das Bundesverwaltungsamt strikt eine beglaubigte Unterschrift – für die dort Gespeicherten nicht selten der Gegenwert eines Wochentaschengelds.