Connect with us

Datenschutz & Sicherheit

Die wichtigsten Fragen und Antworten zur digitalen Brieftasche


Die meisten von uns haben nicht nur Bargeld, sondern Plastikkarten von Banken, der Krankenkasse oder der städtischen Bibliothek im Portemonnaie. Das Bundesdigitalministerium (BMDS) will diese Karten nach und nach um digitale Nachweise ergänzen. Schon im Januar 2027 soll bundesweit eine digitale Brieftasche an den Start gehen. Die sogenannte EUDI-Wallet wird dann allen Bürger:innen kostenlos zur Verfügung stehen, ihre Nutzung ist freiwillig.

Das soll zum einen die Verwaltungsdigitalisierung voranbringen: Bürger:innen können die Wallet dann dazu nutzen, um sich gegenüber Behörden auszuweisen, etwa wenn sie online Bescheide abrufen möchten.

Aber auch gegenüber Unternehmen sollen sich Nutzer:innen künftig mit der Wallet ausweisen können. Sie kann künftig zum Einsatz kommen, wenn diese online ein Bankkonto eröffnen, eine SIM-Karte registrieren oder einen Vertrag elektronisch unterschreiben.

Wir beantworten die zentralen Fragen zur geplanten digitalen Brieftasche: Hat das lederne Portemonnaie jetzt ausgedient? Welche Vor- und Nachteile bringt die digitale Brieftasche aus Sicht der Nutzer:innen? Und warum sind Datenschützer:innen und Bürgerrechtler:innen nach wie vor skeptisch?

Was ist die EUDI-Wallet?

Die EUDI-Wallet (European Digital Identity Wallet) ist eine App auf dem Smartphone, die als digitale Brieftasche für offizielle Identitätsnachweise dient. Statt Personalausweis, Führerschein oder Zeugnisse in Papierform mitzuführen, sollen Bürger:innen diese Dokumente künftig digital speichern und die eigene Identität oder individuelle Berechtigungen EU-weit digital nachweisen können – sowohl online als auch vor Ort. Dabei sollen die Nutzer:innen selbst darüber bestimmen können, welche Daten sie mit wem wann teilen.

Die EU-Verordnung, die der Wallet zugrundeliegt, sieht die Einführung der Wallet im Dezember 2026 vor. Das zuständige Bundesministerium für Digitales und Staatsmodernisierung (BMDS) hat aber bereits angekündigt, dass in Deutschland der 2. Januar 2027 der Starttermin sein wird.

Geht es nach der EU-Kommission, sollen bis zum Jahr 2030 vier Fünftel aller EU-Bürger:innen die Wallet nutzen. Ihr Quellcode muss mit Einschränkungen unter einer Open-Source-Lizenz veröffentlicht werden muss. Das soll beispielsweise unabhängige Sicherheitsüberprüfungen ermöglichen.

Was ist eine digitale Identität?

Eine digitale Identität ist die Gesamtheit von Daten, die eine Person in einem digitalen System eindeutig identifiziert. Dazu gehören beispielsweise der Name, das Geburtsdatum und der Wohnort. Je nach Kontext zählen aber auch Berufsabschlüsse, die Krankenversicherungsnummer oder die Führerscheinklasse dazu.

Die Wallet soll eine staatlich geprüfte digitale Identität mit hoher Vertrauenswürdigkeit bereitstellen. Das bedeutet, dass die Identität auf einer amtlichen Überprüfung der Person beruht. Nach der zugrundeliegenden eIDAS-Verordnung erfüllt sie damit die höchsten Sicherheits- und Vertrauensniveaus und kann daher auch für rechtlich verbindliche Vorgänge eingesetzt werden.

Was kann ich mit der digitalen Brieftasche machen?

Mit der digitalen Brieftasche soll vieles möglich werden, was heute noch Papierkram oder aufwendige Online-Verfahren erfordert. Das Prinzip ist ähnlich wie bei Wallet-Apps, wie sie Apple und Google etwa schon für Bordkarten oder Konzerttickets bereitstellen. Allerdings geht es bei der Wallet zunächst vor allem um amtlich anerkannte Dokumente. Erst im Laufe der Zeit sollen weitere Anwendungsfälle hinzukommen.

Daraus ergibt sich dann eine Reihe von Anwendungsszenarien. Drei Beispiele, wie sich die Kommission den Einsatz der EUDI-Wallet konkret vorstellt:

  • Wer mit dem Auto durch Europa reist, soll künftig keinen physischen Führerschein mehr mitführen müssen. Bei einer Verkehrskontrolle in Frankreich oder in Spanien können Nutzer:innen dann ihre Wallet-App zücken, die Beamtin scannt einen QR-Code und sieht sofort, dass die Fahrerlaubnis gültig ist. Der digitale Nachweis ist auch ohne Internetverbindung überprüfbar und es sollen nur die persönlichen Daten übermittelt werden, die für die Kontrolle relevant sind.
  • Wer heute ein Bankkonto eröffnet, muss sich nicht länger per PostIdent oder VideoIdent ausweisen. Stattdessen fordert die Bank die benötigten Identitätsdaten direkt über die App an, Nutzer:innen geben die Weitergabe frei – fertig. Die Bank erhält die verifizierten Daten innerhalb weniger Sekunden, Ausweiskopien sind nicht mehr nötig. Da die Identitätsdaten staatlich beglaubigt sind, erfüllt das Verfahren die Anforderungen nach dem Geldwäschegesetz.
  • Eine Studentin aus Erfurt möchte sich für einen Masterstudiengang in Polen bewerben. Statt beglaubigte Papierkopien ihres Bachelor-Zeugnisses per Post zu schicken, legt sie ihren digital signierten Abschlussnachweis aus der Wallet vor. Die Universität in Warschau kann die Echtheit des Dokuments sofort prüfen. Übersetzungen und notarielle Beglaubigungen entfallen, weil das Format EU-weit standardisiert und rechtlich anerkannt ist.

Konkret wird es bald in Sachsen: Im vergangenen Oktober startete das Bundesdigitalministerium gemeinsam mit der Sächsischen Staatskanzlei und der Landeshauptstadt Dresden ein größeres Pilotprojekt. Ab Mitte 2026 sollen Dresdner:innen den Dresden-Pass und die Sächsische Ehrenamtskarte in der Wallet hinterlegen können. Beide Nachweise berechtigen unter anderem zu ermäßigten Preisen für Kultur- und Freizeitangebote. Dresden testet damit als erste Kommune Deutschlands die Wallet.

Außerdem wird in Sachsen erstmals das zentrale digitale Bürgerkonto, die Bund-ID, in die Wallet eingebunden. Bürger:innen können die Wallet dann dazu nutzen, um sich gegenüber Behörden auszuweisen, etwa wenn sie online Bescheide abrufen möchten. In Kooperation mit der Hochschule für Technik und Wirtschaft Dresden wird zudem ein konkreter Anwendungsfall entwickelt, bei dem Studierende einen Bafög-Antrag mit der Wallet vollständig digital beantragen und den Bescheid dann in der Wallet hinterlegen können.

Was ist die rechtliche Grundlage für die Wallet?

Im April 2024 trat die novellierte EU-Verordnung über elektronische Identifizierung und Vertrauensdienste in Kraft, auch bekannt als eIDAS 2.0 (Verordnung EU 2024/1183). Die Verordnung verpflichtet alle 27 EU-Mitgliedstaaten dazu, ihren Bürger:innen bis Ende 2026 kostenlos eine digitale Wallet anzubieten.

eIDAS steht für electronic Identification, Authentication and trust Services. Die Vorgängerversion der Verordnung von 2014 schuf bereits einen Rahmen für digitale Identitäten in der EU, sah allerdings noch keine Pflicht zur Umsetzung vor. Das hat sich mit eIDAS 2.0 geändert.

Die konkrete Umsetzung der Verordnung regelt jeder Mitgliedstaat innerhalb des vorgegebenen EU-Rahmens selbst. Die eIDAS-Verordnung gilt in allen EU-Mitgliedstaaten unmittelbar. Allerdings müssen für den Betrieb der nationalen Wallets Landesgesetze geändert werden. In Deutschland sind das vermutlich das Personalausweisrecht, die Registergesetze und das Verwaltungsverfahrensrecht.

Die politische Steuerung des Projekts „Nationales EUDI-Wallet-Projekt Deutschland“ liegt beim Bundesministerium für Digitales und Staatsmodernisierung (BMDS). Die Umsetzung erfolgt durch die Bundesagentur für Sprunginnovationen (Sprind) in Zusammenarbeit mit Partnern. So sind etwa die Bundesdruckerei und ihre Tochtergesellschaft D-Trust an der Entwicklung zentraler Komponenten beteiligt – insbesondere am sogenannten PID-Provider-Dienst, der Identitätsdaten aus dem Personalausweis sicher in die Wallet überträgt.

Mittelfristig soll das Projekt in eine Tochter-GmbH der Sprind überführt werden, die dann als zentrale verantwortliche Stelle für die Wallet fungiert. Die GmbH ist dann für Betrieb der öffentlichen Infrastruktur rund um die Wallet zuständig und soll langfristig in den Verantwortungsbereich des BMDS wechseln.

Dürfen auch Unternehmen eine Wallet anbieten?

Neben der staatlichen Wallet können auch private Anbieter eigene Wallets entwickeln, sofern diese nach einem deutschen Zertifizierungsschema zugelassen sind.

Private Anbieter sollen eigene Wallets in Deutschland allerdings erst 12 Monate nach Start der staatlichen Wallet anbieten können. Diese Wallets können sie dann mit eigenen Zusatzdiensten versehen. Das können etwa Mitgliedsausweise, Bonussysteme oder Zutrittsberechtigungen für Firmengelände sein.

Wer darf auf die Wallet zugreifen?

Wer die Wallet nutzt, soll transparent darüber bestimmen können, welche Daten an sogenannte „relying parties“ weitergegeben werden. Diese „vertrauenswürdigen Parteien“ können eine Bank, ein Online-Shop oder eine Behörde sein.

Sie müssen sich laut eIDAS-Verordnung, die der europäischen Wallet zugrundeliegt, vorab in dem EU-Mitgliedstaat registrieren, in dem sie ihren Sitz haben. Dabei müssen sie darlegen, welche Daten sie zu welchem Zweck von den Nutzer:innen anfordern werden. Nur diese Daten dürfen sie dann auch aus den Wallets abfragen.

Allerdings kritisieren zivilgesellschaftliche Organisationen, dass die EU-Kommission wiederholt versucht habe, bei der technischen Umsetzung der Wallet „Schlupflöcher“ einzubauen.

Wer ist für die Aufsicht zuständig?

Für die Aufsicht über das eIDAS-Ökosystem wird keine neue zentrale EU-Aufsichtsstelle geschaffen. Stattdessen obliegt sie den einzelnen Mitgliedstaaten.

Die eIDAS-Verordnung regelt unter anderem, dass jeder Mitgliedstaat mindestens eine Aufsichtsstelle benennen muss, die die Wallet-Anbieter kontrolliert (Artikel 46a). Bei Verstößen kann sie unter anderem die Bereitstellung der Wallet aussetzen. Einmal im Jahr müssen die nationalen Aufsichtsstellen der EU-Kommission Bericht erstatten. Wer diese Funktion in Deutschland übernimmt, ist derzeit noch offen. Vermutlich wird das Bundesamt für Sicherheit in der Informationstechnik (BSI) diese Aufgabe übernehmen.

Aufsichtsstellen für Wallet-Anbieter können die Registrierung einer vertrauenswürdigen Partei und deren Zugang zum Authentifizierungsmechanismus aussetzen oder widerrufen. Das geht allerdings nur dann, wenn ihnen zuvor rechtswidriges Verhalten nachgewiesen wurde.

Für alles, was den Umgang mit personenbezogenen Daten betrifft, greift die Datenschutzgrundverordnung. Dafür sind dann die Datenschutzbehörden in Deutschland zuständig. Nutzer:innen sollen verdächtige Datenanfragen außerdem direkt aus der Wallet heraus an die zuständige Datenschutzbehörde melden können.

Welche Voraussetzungen müssen Wallets erfüllen, damit sie zugelassen werden?

Die Wallet muss laut Artikel 5a der eIDAS-Verordnung besonders hohe Sicherheitsanforderungen erfüllen. Sie muss zudem unter anderem in der Lage sein, Nachweise sicher zu verarbeiten, ein Datenschutz-Dashboard enthalten und Pseudonyme generieren können.

Personenbezogene Daten müssen in der Wallet getrennt von allen anderen Daten des Wallet-Anbieters aufbewahrt werden. Keine Partei darf Transaktionen oder Nutzer:innenverhalten verfolgen oder verknüpfen können. Auch darf der Wallet-Anbieter keine Informationen über Transaktionen sammeln, die für den Betrieb nicht erforderlich sind.

Eine Zertifizierung gilt für maximal fünf Jahre, alle zwei Jahre muss eine Schwachstellenbeurteilung erfolgen. Wird eine Schwachstelle festgestellt und nicht behoben, wird die Zertifizierung aufgehoben.

Der Quellcode von europäischen Wallet-App muss unter einer Open-Source-Lizenz veröffentlicht werden. Allerdings schränkt die eIDAS-Verordnung ein, dass bestimmte, nicht auf dem Gerät installierte Komponenten in „hinreichend begründeten Fällen“ davon ausgenommen sein können, sofern die Mitgliedstaaten das vorsehen.

Ist die Nutzung der EUDI-Wallet verpflichtend?

Nein, die Nutzung ist laut EU-Verordnung freiwillig. Niemand ist gezwungen, eine Wallet einzurichten oder zu verwenden. In Deutschland bleibt es möglich, Behördenangelegenheiten persönlich zu erledigen, den physischen Personalausweis zu nutzen oder die bestehende eID-Funktion des Persos und die BundID zu verwenden.

Umgekehrt sind aber bestimmte Anbieter dazu verpflichtet, die Wallet zu akzeptieren. So müssen etwa Banken und sehr große Online-Plattformen die EUDI-Wallet als Identifizierungsmittel anerkennen, sobald diese verfügbar ist. In der Verordnung ist ausdrücklich festgehalten, dass keine Person im Zugang zu Diensten benachteiligt werden darf, wenn sie keine Wallet nutzt (Art. 5a Abs. 15).

In der aktuellen Debatte um Social-Media-Verbote rückt eine weitere Funktion in den Fokus. CDU und SPD streben ein Social-Media-Verbot bis 14 Jahre an. Alle Nutzer:innen ab 16 Jahren sollen sich gegenüber sozialen Plattformen ausweisen. Dieser Pflicht sollen sie mit der EUDI-Wallet nachkommen können.

Mehr als jede:r Zweite in Deutschland ist privat auf Social Media aktiv. Sollten sie alle sich künftig unter anderem mit der Wallet gegenüber den Plattformbetreibern ausweisen müssen, wäre die Freiwilligkeit für einen Großteil der Bevölkerung faktisch dahin.

Wie funktioniert der digitale Identitätsnachweis technisch?

Bevor Nutzer:innen die Wallet nutzen können, müssen sie diese per Smartphone-App einrichten. In Deutschland wird die initiale Identifikation voraussichtlich über die Online-Ausweisfunktion des Personalausweises (eID) erfolgen. Die Identitätsdaten auf dem Online-Ausweis werden per NFC-Chip mit Hilfe des Smartphones eingelesen und in die Wallet-App übertragen.

Dokumente, die Nutzer:innen anschließend in ihre Wallet laden, werden verschlüsselt auf dem Smartphone gespeichert. So sollen Unbefugte auch dann keinen Zugriff auf die Daten erhalten können, wenn das Smartphone verloren gehen sollte.

Wir sind communityfinanziert

Unterstütze auch Du unsere Arbeit mit einer Spende.

Fordert eine Bank, eine Behörde oder ein anderer Dienst nun Identitätsdaten an, entscheiden Nutzer:innen aktiv in der App, welche Daten sie freigeben. Erst dann werden die Daten übermittelt – und zwar bestenfalls nur solche Daten, die auch tatsächlich nötig sind.

Allerdings steht die initiale Identifikation mit der eID derzeit noch vor einer Herausforderung: Bisher nutzt nur ein geringer Teil der Bundesbürger:innen den Online-Ausweis, und viele haben ihre PIN nicht mehr, um den Dienst zu aktivieren. Den kostenlosen Dienst, mit dem Bürger:innen eine neue PIN beantragen konnten, hat die damalige Ampel-Regierung Anfang 2024 aus Kostengründen eingestellt. Das BMDS prüft derzeit offenbar, den Dienst übergangsweise wieder kostenfrei anzubieten, sowie alternative Wege, die Wallet zu aktivieren.

Wie soll die Wallet die Privatsphäre und die Daten der Nutzer:innen schützen?

Die Wallet ist laut Verordnung so konzipiert, dass Datenschutz von Anfang an in die Technik eingebaut wird und kein nachträglicher Zusatz sein soll.

Konkret sieht die Verordnung unter anderem folgende Schutzmechanismen vor:

  • Datenminimierung: Die Verordnung verpflichtet Unternehmen ausdrücklich dazu, nur die Mindestdaten anzufordern, die für den jeweiligen Dienst erforderlich sind – wobei laut Verordnung „der Grundsatz der Datenminimierung und das Recht der Nutzer, frei gewählte Pseudonyme zu verwenden, zu achten sind“. Für einen Altersnachweis genügt zum Beispiel die Information „Person ist über 18“ – ohne Namen, Geburtsdatum oder Adresse zu zeigen.
  • Zero-Knowledge-Proof: Bei einem Null-Wissens-Beweis kann eine Eigenschaft wie die Volljährigkeit bewiesen werden, ohne die zugrundeliegenden Daten selbst preiszugeben. Die Verordnung sieht vor, dass die dafür notwendigen Technologien in die europäische Brieftasche integriert werden.
  • Verschlüsselung: Alle Daten auf dem Gerät und bei der Übertragung sollen Ende-zu-Ende-verschlüsselt sein.
  • Kein Tracking: Anbieter sollen technisch nicht in der Lage sein, das „Nutzerverhalten zu verfolgen, zu verknüpfen, zu korrelieren“. Vor dieser Gefahr hatten Bürgerrechtsorganisation frühzeitig gewarnt und deshalb klare rechtliche Vorgaben angemahnt.
  • Transparenz und Kontrolle: Die Wallet soll über ein Datenschutz-Dashboard verfügen, eine Oberfläche zur Verwaltung und Kontrolle der geteilten Daten. So sollen Nutzende einsehen, welche Daten geteilt wurden, Löschungen verlangen und Verstöße an die zuständigen nationalen Datenschutzbehörden melden können.

Warum sehen Datenschützer:innen und Bürgerrechtler:innen die Wallet kritisch?

Datenschützer:innen und Bürgerrechtler:innen hatten die geplante EUDI-Wallet bereits von Beginn an aus zwei zentralen Gründen kritisiert. Zum einen befürchteten sie, dass die EU-Verordnung eine technische Infrastruktur schafft, die es ermöglicht, EU-Bürger:innen on- wie offline massenhaft zu identifizieren und zu überwachen. Zum anderen könnten öffentliche Stellen und Unternehmen die Wallet dazu verwenden, um Nutzer:innen umfassend auszuspähen.

Einige der Risiken, die der Ursprungsentwurf der Verordnung noch barg, wurden im Zuge der Verhandlungen in Brüssel minimiert oder ausgeräumt. Andere bestehen aus Sicht von Bürgerrechtler:innen jedoch fort.

So kann etwa das Recht auf Pseudonymität laut Verordnung durch nationales oder EU-Recht eingeschränkt werden. Und der Zero Knowledge Proof findet sich als Forderung nur in den erläuternden Erwägungsgründen der Verordnung und stellt für die EU-Mitgliedstaaten somit keine Verpflichtung dar.

Außerdem werden in Brüssel derzeit noch die technischen Anforderungen an die europäische digitale Brieftasche verhandelt. Und dabei versucht die Kommission offensichtlich wieder, wieder und wieder, die rechtlichen Vorgaben auszuhebeln – zulasten des Verbraucher- und des Datenschutzes.

Auch der Verbraucherzentrale Bundesverband veröffentlichte im Februar 2025 ein Gutachten und mahnte zugleich Nachbesserungen bei den Entwürfen der sogenannten Durchführungsrechtsakte an. Der Verband kritisierte, „dass die guten Datensicherheits- und Datenschutzaspekte der eIDAS-Verordnung hier nicht hinreichend umgesetzt werden“.

Was wird insbesondere bei der deutschen Wallet kritisiert?

Sicherheitsforschende und Verbraucherschützer:innen sehen insbesondere eine Entscheidung der früheren Ampel-Regierung als problematisch an: die Wahl zugunsten der Architektur-Variante, die auf signierte Daten setzt.

Grundsätzlich sind bei der digitalen Brieftasche zwei unterschiedliche Wege möglich, um die Echtheit und die Integrität von übermittelten Identitätsdaten zu bestätigen: mit Hilfe sicherer Kanäle („Authenticated Channel“) oder durch das Signieren von Daten („Signed Credentials“).

Der sichere Kanal kommt beim elektronischen Personalausweis zum Einsatz. Hier wird die Echtheit der übermittelten Personenidentifizierungsdaten durch eine sichere und vertrauenswürdige Übermittlung gewährleistet. Die technischen Voraussetzungen dafür schafft der im Personalausweis verbaute Chip.

Bei den Signed Credentials hingegen werden die übermittelten Daten etwa mit einem Sicherheitsschlüssel versehen. Sie tragen damit auch lange nach der Übermittlung quasi ein Echtheitssiegel.

Im Oktober 2024 entschied sich das Bundesinnenministerium für eine Architektur-Variante bei der deutschen Wallet, die auf signierte Daten setzt. Diese Entscheidung hat weitreichende Folgen für die Identifikations- und Authentifizierungsprozesse.

Denn dieses „Siegel“ macht die Daten überaus wertvoll für Datenhandel und Identitätsdiebstahl, so die Warnung der Bundesdatenschutzbeauftragten, mehrerer Sicherheitsforscher:innen und zivilgesellschaftlicher Organisationen.

Bereits im Juni 2022 wies das BSI auf die Gefahr hin, „dass jede Person, die in den Besitz der Identitätsdaten mit Signatur gelangt, über nachweislich authentische Daten verfügt und dies auch beliebig an Dritte weitergeben kann, ohne dass der Inhaber der Identitätsdaten dies kontrollieren kann“.

Und der Verbraucherschutz Bundesverband sprach sich in seinem Gutachten ebenfalls klar gegen signierte Daten aus.

Die Sicherheitsforscherin Bianca Kastl, die auch Kolumnistin bei netzpolitik.org ist, befürchtet, dass der Wallet ein ähnliches Schicksal bevorstehe wie der von Sicherheitslücken geplagten elektronischen Patientenakte.



Source link

Datenschutz & Sicherheit

Überwachung in Berlin: Wenn die KI das „Umhergehen ohne Anlass“ meldet


Die Berliner Polizei bereitet den großflächigen Einsatz von Algorithmen im öffentlichen Raum vor, um die Sicherheit an gefährdeten Objekten und Brennpunkten zu erhöhen. Wie Innenstaatssekretär Christian Hochgrebe (SPD) und Polizeipräsidentin Barbara Slowik am Montag im Innenausschuss des Abgeordnetenhauses darlegten, sollen Kameras mit Künstlicher Intelligenz (KI) künftig nicht nur am Kottbusser Tor, im und am Görlitzer Park sowie auf dem Alexanderplatz wachen, sondern auch die unmittelbare Umgebung des Roten Rathauses, des Abgeordnetenhauses und der Senatsverwaltung für Inneres am Alten Stadthaus erfassen.

Weiterlesen nach der Anzeige

Primäres Ziel der Sicherheitsbehörden sei eine Entlastung des Personals, berichten Medien wie die taz oder der rbb. Aktuell binden demnach Objektschutzaufgaben rund 400 voll ausgebildete Polizisten, die zusätzlich zu den regulären Wachkräften eingesetzt werden. Laut Slowik ist dieser Zustand angesichts der knappen personellen Ressourcen nicht dauerhaft tragbar. Deshalb müsse moderne Technik die Schutzaufgaben unterstützen.

Die technische Umsetzung sieht laut der Ausschreibung des 2,1 Millionen Euro teuren Projekts vor, dass die KI-Systeme Bilder in Echtzeit auswerten und bei definierten Szenarien Alarm schlagen. Zu den essenziellen Aufgaben der Software gehört das Erkennen von Personen, die über Zäune klettern, gesperrte Bereiche betreten oder Gegenstände herrenlos zurücklassen.

In den Ausschreibungsunterlagen finden sich Formulierungen, die bei Bürgerrechtlern für Stirnrunzeln sorgen. So soll die Technik auch ein „langes Verharren oder Umhergehen ohne Anlass“ sowie „wiederholtes Erscheinen“ detektieren. Während die Polizei betont, dass eine biometrische Identifizierung ausgeschlossen sei und alle Daten anonymisiert verarbeitet würden, bleibt die Definition von „anlasslosem“ Verhalten weitgehend im Ermessen der Softwareprogrammierung. Die Fehlalarmrate darf laut den Vorgaben bei bis zu 25 Prozent liegen – also ziemlich hoch. Der einjährige Testbetrieb soll dazu dienen, die Algorithmen zu ertüchtigen und die Qualität der Erkennung zu steigern.

In der politischen Arena stößt das Vorhaben auf Widerstand, insbesondere was die Aufrüstung der elektronischen Augen rund um das Parlament betrifft. Der Linke-Abgeordnete Niklas Schrader erachtet das Vorgehen als Affront gegen die demokratische Kontrolle. Es sei problematisch, wenn die Exekutive ihr eigenes Kontrollorgan, das Abgeordnetenhaus, ohne vorherige Debatte mit Überwachungstechnik ausstatte. Schrader warnt vor einer abschreckenden Wirkung auf Bürger, die das Gespräch mit ihren Volksvertretern suchten. Zudem stehe die Frage im Raum, warum die Abgeordneten ungefragt als „Versuchskaninchen“ für polizeiliche KI-Experimente herhalten müssten.

Die Berliner Datenschutzbeauftragte Meike Kamp mahnt, dass jede Ausweitung der Videoüberwachung einer strengen Prüfung der Verhältnismäßigkeit und Erforderlichkeit bedürfe und die Informationspflicht gegenüber den Bürgern gewahrt bleiben müsse.

Weiterlesen nach der Anzeige

Parallel zum Objektschutz treibt die Polizei die KI-Aufrüstung an sogenannten kriminalitätsbelasteten Orten voran. Ab Juli soll das System am Kottbusser Tor scharfe Bilder liefern, gefolgt von der Warschauer Brücke. Hier liegt der Fokus der KI auf der Erkennung physischer Gewalt wie Schlagen oder Treten sowie auf der Identifizierung gestürzter Personen. Die Kosten allein für diesen Teil des Projekts sollen sich bis 2028 auf knapp vier Millionen Euro belaufen.

Kritische Stimmen, darunter der Chaos Computer Club (CCC), bezweifeln die wissenschaftliche Wirksamkeit solcher Systeme. Sie verweisen auf frühere Pilotprojekte wie am Bahnhof Südkreuz, die wenig Sicherheitsgewinn bei hohen Kosten gebracht hätten. Es besteht die Sorge, dass eine mathematische Normierung von Verhalten jede Individualität im öffentlichen Raum als potenzielles Risiko markiert und so eine Infrastruktur des Generalverdachts schafft.

Der CCC fordert in einem Appell den sofortigen Abbruch solcher Vorhaben. Die Hackervereinigung verweist darauf, dass völlig unklar bleibe, wie Polizei und Hersteller „unerwünschtes Verhalten“ definierten. Ob ein hektischer Lauf zum Gleis, eine längere Standzeit an einer Ecke oder eine Umarmung bereits als Anomalie gewertet werden, entziehe sich der öffentlichen Nachvollziehbarkeit und wissenschaftlichen Kontrolle.

Für die Bundeshauptstadt markiert das Vorhaben eine sicherheitspolitische Zeitenwende. Kameras haben dort bislang primär den öffentlichen Nahverkehr im Blick. Eine Videoüberwachung von Straßen und Plätzen war bislang die Ausnahme. Nun soll dieser Schritt sogar mit einem „Verhaltensscanner“ gekoppelt werden, was besonders umkämpft ist. Das von Schwarz-Rot jüngst novellierte Berliner Polizeigesetz schafft die Basis dafür, dass die im öffentlichen Raum erfassten Daten unbeteiligter Passanten sogar dazu genutzt werden dürfen, kommerzielle Überwachungssoftware zu trainieren und zu optimieren.


(akn)



Source link

Weiterlesen

Datenschutz & Sicherheit

So schwach argumentiert die Familienministerin


Familienministerin Karin Prien spielt eine wichtige Rolle in der aktuellen Debatte um ein Social-Media-Verbot bis 14 Jahre. Ihr Ministerium hat eine Expert*innen-Kommission für „Kinder- und Jugendschutz in der digitalen Welt“ einberufen. Bis Sommer sollen Fachleute Empfehlungen für eine Strategie der Bundesregierung ausarbeiten. Aber offenbar wollen sich weder Karin Prien noch andere wichtige Politiker*innen in Deutschland so lange gedulden.

Unter anderem Bundeskanzler Friedrich Merz (CDU), Vizekanzler Lars Klingbeil (SPD) und Justizministerin Stefanie Hubig (SPD) haben sich bereits für eine konkrete Maßnahme ausgesprochen: ein Verbot sozialer Medien für alle unter 14 Jahren, begleitet von Alterskontrollen für alle. Das bekräftigen ein Beschluss der Regierungspartei CDU und ein Forderungspapier wichtiger SPD-Politiker*innen.

Die Familienministerin unterstützt diese Pläne, wie ihre jüngste Rede vor dem Bundestag zeigt. Darin sagt sie:

Ich bin sehr froh darüber, dass sich sowohl die CDU in ihren Beschlüssen als auch die SPD in ihrem Diskussionspapier für eine solche Altersgrenze bei 14 Jahren ausgesprochen haben.

In Wissenschaft und Zivilgesellschaft stoßen die Forderungen auf Widerspruch. Organisationen aus unter anderem Kinderschutz, Pädagogik, Datenschutz und Kirche warnen eindringlich vor Social-Media-Verboten und den Alterskontrollen, die unweigerlich notwendig wären, um solche Verbote durchzusetzen. Die Argumente der Kritiker*innen beziehen sich unter anderem auf die Rechts- und Forschungslage, auf Gefahren für Datenschutz und Privatsphäre und auf die Abwägung der Grundrechte auf Schutz, Teilhabe und Information.

Auch die Familienministerin hat in ihrer Bundestagsrede vom 5. März versucht, ihre Position mit Argumenten zu untermauern. Unsere Analyse von vier zentralen Passagen der Rede zeigt jedoch: Die Ministerin argumentiert unsauber. Die von ihr angeführten Aspekte sprechen nicht für ein Social-Media-Verbot, sondern eher dagegen.

1. Der „wissenschaftliche Konsens“ sieht anders aus

Der Familienministerin zufolge haben ihre politischen Forderungen eine wissenschaftliche Grundlage. Sie sagt:

Es ist inzwischen wissenschaftlicher Konsens, dass übermäßige Bildschirmzeit und Social-Media-Konsum bei Kindern und Jugendlichen zum Teil dramatische negative Auswirkungen auf die neurologische Entwicklung, auf die Aufmerksamkeitsspanne, auf die kognitive Flexibilität hat.

Richtig ist: In vielen Studien haben Forschende untersucht, wie sich Bildschirmzeit oder Social-Media-Konsum auf junge Menschen auswirken. Es gibt aber keinen Konsens darüber, dass die Auswirkungen „dramatisch“ sind. Diese Aussage der Ministerin ist irreführend.

Wer einen Eindruck über Konsens oder Dissens in der Wissenschaften bekommen möchte, kann sich sogenannte Meta-Studien anschauen. Dafür sichten Forscher*innen systematisch die Forschungslage und fassen möglichst alle aussagekräftige Studien zu einer Fragestellung zusammen.

Eine solche Meta-Studie zur Bildschirmzeit junger Menschen hat zum Beispiel die Fachzeitschrift Jama Psychiatry im Jahr 2022 veröffentlicht. Hierfür haben Forschende 87 Studien mit rund 160.000 Proband*innen ausgewertet. Das Ergebnis: Bei Kindern unter 12 Jahren gibt es eine „kleine, aber bedeutsame Korrelation“ zwischen Bildschirmzeit und Verhaltensproblemen wie Wut, Angst oder ADHS. Letzteres ist eine Störung, bei der Menschen unaufmerksam, impulsiv und hyperaktiv sein können.

Wichtig ist hier der Unterschied zwischen Kausalität und Korrelation. Korrelation heißt: Die Phänomene hängen zusammen; es ist aber unklar, was die Ursache ist. Vielleicht macht die erhöhte Bildschirmzeit die Kinder tatsächlich aggressiv und ängstlich – vielleicht lenken sich aggressive oder ängstliche Kinder aber auch gerne am Bildschirm ab. Die Meta-Studie kann das nicht beantworten.

Generell hat Bildschirmzeit nur einen losen Bezug zur Forderung nach einem Social-Media-Verbot, denn junge Menschen nutzen Bildschirme noch für viele andere Dinge. Das zeigt die deutsche KIM-Studie. Hierfür befragen Forschende jedes Jahr Kinder zwischen sechs und 13 Jahren und deren Eltern. Die drei häufigsten Freizeit-Aktivitäten der unter 14-Jährigen sind demnach: Freund*innen treffen, Fernsehen, Hausaufgaben. Erst weiter hinten kommen „Videos, Filme und Serien online“ – noch hinter der Aktivität „Draußen spielen“.

Was Kinder im Netz erleben, und was Politik daraus lernen kann

Eine Meta-Studie zu den Folgen von Social-Media-Konsum ist im Jahr 2024 bei Jama Pediatrics erschienen. Hierfür haben Forschende 143 Studien mit rund einer Million Proband*innen ausgewertet. Dabei ist ihnen aufgefallen, dass sich die Ergebnisse der Studien teils stark unterscheiden. Sie beklagen einen „Mangel“ an Evidenz und Verallgemeinerbarkeit. In anderen Worten: Es gibt Dissens. Dennoch erkennen die Forschenden eine „kleine“ bedeutsame Korrelation zwischen Social-Media-Nutzung und beispielsweise Angst und Depression.

Starke Schwankungen zeigt auch eine Meta-Studie zur Verbreitung von Social-Media-Sucht in 32 Ländern: Je nach Studie sind demnach fast alle Menschen (82 Prozent) Social-Media-süchtig – oder niemand (0 Prozent). Die Forschenden sprechen von einem „heterogenen Phänomen“ mit einem „Spektrum unterschiedlicher Ausprägungen“.

Zu den neurologischen Folgen sozialer Medien ist die Forschungslage dünn. Für eine 2025 veröffentlichte Meta-Studie haben Forschende nur zwölf Studien gefunden. Darin sahen sie allerdings „überzeugende Beweise“ für messbare Auswirkungen digitaler Medien auf das Gehirn. Das betreffe etwa, wie Menschen Gefühle regulieren und Belohnungen verarbeiten. Es brauche jedoch mehr Forschung, um die Effekte genauer zu verstehen. Das Ziel müsse sein, „eine gesunde Gehirnentwicklung bei Jugendlichen zu unterstützen und gleichzeitig die Vorteile digitaler Technologien für Bildung und soziale Kontakte zu bewahren“.

Unterm Strich lässt sich die Forschungslage also nicht als „dramatisch“ beschreiben, wie die Ministerin behauptet, sondern als vorsichtig. Die Forderung nach einem Social-Media-Verbot lässt sich aus der Forschungslage nicht schlüssig ableiten.

Zu diesem Schluss kam auch die Gelehrtengesellschaft Leopoldina. Die Expert*innen nennen die Forschungslage „unbefriedigend“; die Frage, wie soziale Medien auf das Gehirn einwirken, sei „bislang noch kaum neurowissenschaftlich untersucht“. Dennoch plädieren sie für Vorsicht statt Nachsicht. Sie fordern ein Social-Media-Verbot, stützen sich dabei aber nicht auf die Forschungslage, sondern auf das „Vorsorgeprinzip“ als „ethischen Standard zum Umgang mit Unsicherheit“.

2. Es bleibt schwammig, was das Verbot bewirken soll

Ein wichtiger Prüfstein von staatlichem Handeln ist der Grundsatz der Verhältnismäßigkeit. Ein Social-Media-Verbot muss demnach einen legitimen Zweck verfolgen; es muss geeignet, erforderlich und angemessen sein. Sinnvoll diskutieren lässt sich das nur, wenn klar ist, welches Ziel das Social-Media-Verbot genau verfolgt.

Zum möglichen Ziel eines Verbots stiftet die Familienministerin vor dem Bundestag eher Verwirrung als Klarheit. Verstreut über ihre Rede nennt sie mindestens acht Gefahren für junge Menschen im Netz:

  • Auswirkungen „auf die Gehirne“
  • Beeinträchtigung von Konzentration und Lernfähigkeit
  • Suchtverhalten
  • Auswirkungen auf die Entwicklung eines „vernünftigen“ Sozialverhaltens
  • Cybergrooming, Sextortion, sexueller Missbrauch
  • Deepfakes
  • Fake News
  • extremistische Indoktrination

Keine der genannten Gefahren beschränkt sich auf soziale Medien. Zum Beispiel gibt es süchtig machende Designs auch in Spielen; Filme und Serien können die Konzentration betreffen; die Anbahnung sexueller Kontakt durch Erwachsene, Grooming genannt, geschieht auch via Messenger. Viele der Gefahren betreffen zudem nicht nur junge Menschen, sondern alle.

Das wirft die Frage auf, warum die Ministerin ausgerechnet ein Social-Media-Verbot für Minderjährige als geeignete Maßnahme befürwortet. Eine klare Verbindung zwischen den genannten Gefahren und dem geforderten Verbot zieht sie nicht. Stattdessen spricht sie von einem „Gesamtkonzept“, zu dem auch die Regulierung von Plattformen gehören soll, Medienbildung und Prävention.

Wir sind communityfinanziert

Unterstütze auch Du unsere Arbeit mit einer Spende.

In diesem Gesamtkonzept stechen ein Social-Media-Verbot und Alterskontrollen allerdings besonders hervor: Es sind die einzigen Maßnahmen, für die es neue Gesetze bräuchte; zugleich greifen sie am tiefsten in Grundrechte ein. Umso mehr fällt ins Auge, dass die Ministerin anstelle einer Begründung eine Leerstelle lässt.

3. Technikfolgenabschätzung spricht nicht für Alterskontrollen

Als einen Grund für strengere Regeln führt die Familienministerin „Technikfolgenabschätzung“ an. So nennt man es, wenn Forschende die Chancen und Risiken einer neuen Technologie ausleuchten – bestenfalls, bevor sich die Technologie verbreitet.

Bei sozialen Medien hat das nicht gut geklappt, wie aus Priens Rede hervorgeht. Sie sagt: „Offensichtlich war uns das im Kontext der Einführung von Social Media für Kinder und Jugendliche nicht in dem Maße bewusst, wie es uns hätte bewusst sein müssen.“ Das ist schlüssig: Während ganze Generationen mit sozialen Medien aufwachsen, ist die Forschungslage zu den negativen Folgen unklar.

Nicht schlüssig ist es jedoch, deshalb ein Social-Media-Verbot und Alterskontrollen zu fordern. Die Ministerin argumentiert eher gegen sich selbst, wenn sie sagt: „Technikfolgenabschätzung ist ein wichtiges Instrument, wenn es um die Inverkehrbringung von neuen Technologien geht.“ Denn auch Alterskontrollen sind eine Technologie mit riskanten Folgen. Und ohne sie ließen sich Altersgrenzen für soziale Medien nicht wie gefordert wirksam durchsetzen. Im Gespräch sind digitale Ausweiskontrollen und biometrische Gesichtsscans für Millionen Menschen im Netz.

Genau davor warnen mehr als 400 Forschende aus 29 Ländern eindringlich und fordern einen Stopp entsprechender Gesetzesvorhaben. Die Einführung von Alterskontrollen ohne weitere Forschung sei „gefährlich und gesellschaftlich nicht hinnehmbar“, schreiben sie in einem offenen Brief. Auf dem Spiel stünden „Sicherheit, Privatsphäre, Gleichberechtigung“ und „Autonomie“ aller Menschen.

Auch das Institut für Technikfolgen-Abschätzung der Österreichischen Akademie der Wissenschaften hat untersucht, wie sich ein Social-Media-Verbot durchsetzen ließe. Demnach könne Altersfeststellung im Internet „grundsätzlich Sinn machen“, es brauche aber eine breite gesellschaftliche Debatte. Weiter warnt die Studie vor der Gefahr, „dass trotz weitreichender Einschnitte für alle Internetnutzer:innen das Ziel, nämlich das eines besseren Schutzes von Minderjährigen, nicht erreicht wird“.

Im Auftrag der australischen Regierung haben Gutachter*innen Systeme für Alterskontrollen untersucht – mit teils alarmierenden Funden. Die Gutachter*innen berichten von „besorgniserregenden Hinweisen“, dass zumindest manche Anbieter von Alterskontrollen in übermäßigem Eifer Werkzeuge entwickeln, damit Aufsichtsbehörden und Polizei auf erhobene Daten zugreifen können. „Dies könnte zu einem erhöhten Risiko von Datenschutzverletzungen führen, da Daten unnötig und unverhältnismäßig gesammelt und gespeichert werden.“

4. Die „Grundlagen“ der Ministerin passen nicht zum Verbot

Das Fazit der Ministerin am Ende ihrer Rede lautet: „Lassen Sie uns gemeinsam auf empirischer Grundlage und auf Grundlage der Empfehlungen der Expertenkommission der Bundesregierung ein Gesamtkonzept entwickeln“. Aus zwei Gründen ist diese Aussage nicht schlüssig.

  • Erstens beruft sich die Ministerin auf „empirische“ Grundlagen, also erfahrungsbasierte Erkenntnisse der Wissenschaft. Ihre Rede hat jedoch gezeigt, dass ihr Verständnis vom wissenschaftlichen Konsens irreführend ist.
  • Zweitens beruft sich die Familienministerin auf Empfehlungen der Expert*innen-Kommission. Aber sowohl sie selbst als auch der Kanzler und weitere Kabinettsmitglieder haben schon klar Stellung für ein Social-Media-Verbot bezogen – noch bevor sich die Expert*innen-Kommission selbst dazu äußern konnte. Welches Signal sendet das an die Fachleute?

Ein Social-Media-Verbot mit Alterskontrollen: Die Forderung der Familienministerin passt nicht zu den Grundlagen, auf die sie sich selbst beruft.

Parallel zu den Mühen von Politik und Fachleuten auf Deutschland-Ebene prüft auch die EU-Kommission strengere Regeln für junge Menschen im Netz. Auch sie hat eine eigene Expert*innen-Gruppe einberufen, die ebenso bis zum Sommer Ergebnisse vorlegen soll.



Source link

Weiterlesen

Datenschutz & Sicherheit

Verhandlungen in Brüssel: Bundesregierung sägt am Datenschutz


Im Ringen um eine Reform der Datenschutzgrundverordnung (DSGVO) unterstützt die deutsche Bundesregierung offenbar den Vorschlag der EU-Kommission für eine weitergehende Aufweichung. Konkret setzt sich Deutschland im Rat der EU-Mitgliedstaaten dafür ein, personenbezogene Daten unter Umständen von der DSGVO auszunehmen. Das berichtet MLex [Paywall] unter Berufung auf einen Kompromissvorschlag der Deutschen.

Der Rat verhandelt derzeit über seine Position zu einem Gesetzespaket, mit dem die EU-Kommission Teile ihrer Digitalregulierung überarbeiten will, um Europas Wettbewerbsfähigkeit zu erhöhen. Das „Digitaler Omnibus“ genannte Sammelgesetz soll unter anderem sich überlappende Datennutzungsgesetze zusammenführen, die Anwendung von KI-Regeln aufschieben und die DSGVO reformieren.

Während die EU-Kommission behauptet, es handle sich dabei lediglich um Vereinfachungen und technische Anpassungen, gehen einzelne Vorschläge faktisch weit darüber hinaus.

Umkämpfte Definition

Besonders umstritten ist der Vorschlag, pseudonymisierte Daten teilweise von der DSGVO auszunehmen. Unter Pseudonymisierung versteht man das Ersetzen direkter Identifikationsmerkmale wie Namen oder Telefonnummern durch ein Pseudonym, etwa eine Buchstaben- oder Zahlenkombination. Bislang gelten unter der DSGVO in der Regel auch pseudonymisierte Daten als personenbezogen. Erst bei einer Anonymisierung fallen Daten aus dem Geltungsbereich der Verordnung, also wenn sie nicht mehr einer Person zuzuordnen sind.

Die Kommission will hier einen sogenannten relativen Personenbezug einführen. Vereinfacht gesagt bedeutet das: Daten sollen für Verarbeiter dann nicht mehr als personenbezogen gelten sollen, wenn es unwahrscheinlich ist, dass sie Personen hinter Pseudonymen re-identifizieren.

Der Europäische Datenschutzausschuss, in dem die nationalen Aufsichtsbehörden organisiert sind, und der Europäische Datenschutzbeauftragte, übten an dem Vorhaben scharfe Kritik. Sie sehen darin eine Schwächung des Schutzniveaus der DSGVO und fürchten Rechtsunsicherheiten.

Von Big Techs Wunschliste

Die Databroker-Files-Recherchen von netzpolitik.org und Bayerischem Rundfunk hatten erst kürzlich erneut gezeigt, dass unter anderem pseudonymisierte Standortdaten aus der Online-Werbung bei Datenhändlern angeboten werden und sich damit sehr leicht Personen re-identifizeren lassen – auch hochrangige Beamte der EU-Kommission. Solche vermeintlich durch Pseudonymisierung geschützten Daten können für Betroffene erhebliche Risiken bedeuten.

Wir sind communityfinanziert

Unterstütze auch Du unsere Arbeit mit einer Spende.

In ihrem Vorschlag beruft sich die EU-Kommission auf die jüngste Rechtsprechung des Europäischen Gerichtshofes. Kritiker:innen wie die Berliner Datenschutzbeauftragte Maike Kamp merkten jedoch an, dass dies auf einer selektiven Auslegung der EuGH-Rechtsprechung beruhe. Der Vorschlag der Kommission könne dazu führen, dass etwa Daten aus Online-Tracking nicht mehr der DSGVO unterliegen würden.

Der Datenschutzaktivist Max Schrems und die Organisation noyb warnen zudem davor, dass die Änderung die Arbeit von Aufsichtsbehörden weiter erschweren und kleine sowie mittlere Unternehmen ohne große Rechtsabteilungen überfordern könnte. Eine Aufweichung der Regeln zu pseudonymisierten Daten hatten unter anderem große Tech-Konzerne jahrelang gefordert.

Selbst Bundesregierung warnt vor Rechtsunsicherheiten

Nach ersten Verhandlungen in der Arbeitsgruppe Vereinfachung hatte die zypriotische Ratspräsidentschaft Ende Februar vorgeschlagen, den umstrittenen Passus und weitere Vorschläge der Kommission ganz zu streichen. Statt einer geänderten Definition sollten lieber Richtlinien des Europäischen Datenschutzausschusses klären, wann pseudonymisierte Daten möglicherweise nicht der DSGVO unterliegen.

MLex zufolge unterstützt eine Reihe von Staaten den Vorschlag der Ratspräsidentschaft, darunter Österreich, Belgien, Kroatien, Bulgarien und die Niederlande. Dagegen wendet sich dem Bericht zufolge Deutschland, unterstützt von Dänemark.

Die Bundesregierung, in der Arbeitsgruppe vertreten durch das CDU-geführte Digitalministerium, betone die Notwendigkeit eines relativen Personenbezugs beziehungsweise einer relativen Anonymisierung, so MLex. Sie schlage eine Änderung der Definition personenbezogener Daten unter Verweis auf den bereits bestehenden Erwägungsgrund 26 der DSGVO vor.

Dort heißt es: „Um festzustellen, ob eine natürliche Person identifizierbar ist, sollten alle Mittel berücksichtigt werden, die von dem Verantwortlichen oder einer anderen Person nach allgemeinem Ermessen wahrscheinlich genutzt werden, um die natürliche Person direkt oder indirekt zu identifizieren, wie beispielsweise das Aussondern.“ Tatsächlich ist der relative Personenbezug in dieser Fußnote bereits angelegt, indem auf die Fähigkeiten und die Motivation des Verarbeiters zur Re-Identifizierung abgestellt wird.

Dass der Schritt, den Erwägungsgrund für die Definition personenbezogener Daten zu nutzen, ein Risiko für kleine und mittlere Unternehmen birgt, sieht allerdings offenbar auch die Bundesregierung. Laut MLex schreibt sie, der Text müsse „sorgfältig formuliert werden, damit er nicht zu weiteren Unsicherheiten führt und es für Verantwortliche, Auftragsverarbeiter und betroffene Personen schwieriger macht, ihre Rechte und Pflichten zu verstehen.“



Source link

Weiterlesen

Beliebt