Passdatenbank für die Fahndung verwenden

Am letzten Sonntag, dem 10. Mai 2009, druckte „Sonntag“ einen Artikel über die Fingerabdruckdatenbank, die für die neuen biometrischen Pässe angelegt werden soll. FDP-Nationalrätin Doris Fiala gibt hier als Erste offen zu, was alle Anderen nur hinter vorgehaltener Hand sagen: Nach einem Ja am 17. Mai soll eine Gesetzesänderung aufgegleist werden, welche es den Strafverfolgungsbehörden erlaubt, für „schwere Verbrechen“ zur Fahndung auch die Fingerabdrücke des „Informationssystems Ausweisschriften ISA“ zu durchsuchen. Dies in vorauseilendem Gehorsam gegenüber einem absehbaren Willen des Volkes und der Fahnder als Folge eines Verbrechens, für welches „es eine Chance gäbe, den Täter dank der Datenbank zu identifizieren.“

Eigentlich müsste man Frau Fiala dafür dankbar sein – kaum ein Politiker sonst steht hin und gesteht offen, dass die Datenbank zweckentfremdet werden soll. Wenn das Gesetz geändert wird, so sind die Fingerabdrücke offen verfügbar für jeden Zweck, den das neue Gesetz vorsieht – auch wenn Frau Bundesrätin Widmer-Schlumpf zur Zeit verkündet, dies wäre (gemäss verabschiedetem Gesetzestext) nicht möglich.

Wie im Artikel richtig erwähnt, wird das Verwendungsverbot nach einem schweren Verbrechen, das die Bevölkerung erschüttert, sowieso zur Debatte stehen. Furcht, Angst, Wut, Rache – all dies sind schlechte Ratgeber für den Gesetzgebungsprozess, der von der Vernunft regiert werden sollte. Wird eine entsprechende Gesetzesänderung durch die Räte verabschiedet, solange ein entsprechendes Ereignis in den Köpfen der Menschen präsent ist, so wäre ein Referendum wahrscheinlich chancenlos. Auch wenn wir unserer aktuellen Regierung trauen – die absolute Garantie, dass auch alle nachkommenden, oder Private, die gesammelten Daten nicht entgegen unseren Interessen verwenden, kann und wird nicht gegeben werden.

Vor einer Zweckentfremdung von Daten schützt uns im Regelfall das Datenschutzgesetz DSG, welches jeder Person erlaubt, die über sie gesammelten Daten einzusehen, zu korrigieren und dem Besitzer dieser Datenbank das künftige Bearbeiten und Sammeln von Daten über sie zu untersagen. Gegenüber dem Staat kann sich der Bürger aber nicht auf das DSG sondern nur auf Artikel 13 Abs. 2 der Bundesverfassung berufen: „Jede Person hat Anspruch auf Schutz vor Missbrauch ihrer persönlichen Daten.“ Ob es gestützt darauf möglich sein wird, vom Bundesamt für Polizei die Löschung der eigenen Fingerabdrücke zu verlangen, ist zu bezweifeln.

„Wir leben in Zeiten, in denen wir uns in der Abwägung zwischen Sicherheit und Freiheit für die Sicherheit entscheiden müssen“ – Frau Fiala, darauf antworte ich mit einem Zitat von Benjamin Franklin: Those Who Sacrifice Liberty For Security Deserve Neither. (Wer Freiheit zugunsten der Sicherheit opfert, hat weder noch verdient.)

Update 12/05/2009 08:10: Frau Fiala hat auf der Seite reisefreiheit.ch eine Berichtigung ihrer Aussagen in "Sonntag" online gestellt. Die Zeitung habe "unautorisierte Zitate" verwendet. Auch wenn dem so ist, sie steht zu ihrer Gewichtigung von Sicherheit über Freiheit - ich nicht.

Biometrische Pässe vs. EMRK

Das wird ja mal richtig interessant:
Im Entscheid Marper vs. UK hat der Europäische Gerichtshof für Menschenrechte entschieden, dass die Speicherung von biometrischen Daten unvereinbar mit §8 der Europäischen Menschenrechtskonvention ist.

Aber: Wenn wir am 17. Mai 2009 über die Biometrischen Pässe abstimmen, so stimmen wir eigentlich über den "Bundesbeschluss über die Genehmigung und die Umsetzung des Notenaustauschs zwischen der Schweiz und der Europäischen Gemeinschaft betreffend die Übernahme der Verordnung (EG) Nr. 2252/2004 über biometrische Pässe und Reisedokumente" ab - Text des Erlasses (BBl 2008 5309). Dort drin steht:

Art. 2
Die nachstehenden Bundesgesetze werden wie folgt geändert:
[...]
1. Ausweisgesetz vom 22. Juni 2001 (SR 143.1)
[...]
2bis Der Ausweis kann mit einem Datenchip versehen werden. Der Datenchip kann ein Gesichtsbild und die Fingerabdrücke der Inhaberin oder des Inhabers enthalten.
[...]

Art. 11 Abs. 1 Einleitungssatz, Bst. a und Absatz 2
1 Das Bundesamt für Polizei führt ein Informationssystem. Es enthält die im Ausweis
aufgeführten und gespeicherten Daten einer Person und zusätzlich folgende Daten:
a. die ausstellende Behörde sowie die Ausfertigungsstelle;
2 Die Datenbearbeitung dient der Ausstellung von Ausweisen, der Verhinderung
einer unberechtigten Ausstellung eines Ausweises sowie der Verhinderung missbräuchlicher Verwendung.

Das Bundesamt für Polizei muss also eine Datenbank führen, in welcher die Fingerabdrücke gespeichert werden.
So wie ich das sehe stimmen wir wieder einmal über etwas ab, das im Widerspruch zu den Menschenrechten steht - das letzte Mal war's die "Verwahrungsinitiative".
Sollten die neuen Pässe an der Urne angenommen werden bleibt somit immer noch Strasbourg!

RFID in den Banknoten?

Als ich gestern in der Westschweiz war fiel mir eine Schlagzeile von 20minutes auf: Puces aux billets - Chips auf den Banknoten.

Ich holte eine Zeitung, verstand den Inhalt des Artikels nicht gleich komplett - POP Lavaux war mir zum Beispiel kein Begriff (eine links-aussen Partei aus dem Waadtland) und auch den Autor des Videos, in welchem vor den RFID-Chips gewarnt wird, Julien Sansonnens, kannte ich nicht.

Ich habe nun heute früh etwas genauer nachgelesen - anscheinend hat o.g. Julien Sansonnens ein einer Mitteilung an verschiedene Zeitungs-Redaktionen vor RFID-Chips in den Banknoten gewarnt - und als Beweis ein Video beigefügt, in welchem eine 20er-Note Brandspuren zeigt, nachdem er sie in die Mikrowelle gelegt hat. Hier nun einige Zeilen an ihn:

Lieber Julien, ich kenne zwar dein Video nicht (leider nicht verlinkt auf deinem Blog) aber könnte es eventuell sein, dass es der Sicherheitsstreifen aus Metall war, der die Brandspur verursacht hat? Die hohen Kosten, die du als Grund ins Feld führst, warum du die Untersuchung nicht von einem Labor hast machen lassen, kann man kaum gelten lassen - auch die von dir erwähnten "ɥ-Chips" von Hitachi und dessen Nachfolger lassen sich mit einem handelsüblichen Mikroskop noch finden (Note zuerst auflösen) - und wenn du nett gefragt hättest hätte dein Hausarzt vielleicht sogar die Banknote unter das Röntgengerät gelegt. Spätestens dort hätte man ja eine Antenne sehen müssen - denn auch die ɥ-Chips kommen nicht ohne aus.

20minutes zitiert dich mit "...permettant potentiellement la géolocalisation..." - also von Geolokalisierung durch RFID sind wir zum Glück noch sehr weit weg - 4 GPS-Satelliten auslesen, auswerten und das Signal über einen Rückkanal (z.B. GPRS) schicken ist doch noch etwas zu viel für einen kleinen RFID-Chip.

Bitte verbreite keine Halbwahrheiten oder Gerüchte über diese Dinge - dass "Le Matin" und "20minutes" dich nun öffentlich als "canular" dargestellt haben ist für dich persönlich sicher nicht vorteilhaft - aber Aktionen wie diese können auch die Aufmerksamkeit der Leute am Thema RFID schwinden lassen. Du riskierst damit, dass künftige Warnungen ebenfalls als "Ente" oder "einer X-Akte würdig" angesehen und ignoriert werden.

Mal sehen ob es mir gelingt, dies auf französisch zu übersetzen, damit ich's ihm schicken kann...

Von RFID, Zertifikaten und Pässen

Diese Woche hat mich eine Kollegin auf die Webseite des "Überparteilichen Referendumskomitees gegen Biometrische Schweizer Pässe und Identitätskarten" aufmerksam gemacht.

Ich wusste bis dahin noch gar nicht, dass die Entscheidung über unsere neuen Pässe und Identitätskarten bereits gefallen war. Dies hat der Nationalrat in der Sommersession kurz und bündig abgehandelt. Der Bundesbeschluss sieht vor, dass künftig beide Ausweispapiere einen Chip enthalten können (nicht müssen, AWG Art. 1 Abs. 2bis) und dass, wie zu erwarten war, biometrische Daten darauf gespeichert werden.

Die Anwendung von Radio Frequency Identification RFID ist im Gesetz nicht konkret erwähnt oder gefordert, gemäss AWG Art. 2a Abs. 1 bestimmt der Bundesrat die technischen Anforderungen.

Abs. 2 dieses Artikels gefällt mir besonders:
Der Bundesrat ist befugt, mit anderen Staaten Verträge über das Lesen der im Chip
gespeicherten Fingerabdrücke abzuschliessen, sofern die betreffenden Staaten über
einen Datenschutz verfügen, der dem schweizerischen gleichwertig ist.

Dies schliesst für den Moment zumindest die Vereinigten Staaten aus - nur die Staaten der Europäischen Union haben ein "gleichwertiges Datenschutzniveau" (gemäss dem Datenschutzbeauftragten des Kantons Zürich, Herrn Bäriswyl).

AWG Art. 1 Abs. 2quater ist auch noch sehr interessant:
Der Ausweis kann zudem elektronische Identitäten für Authentisierungs-,
Signatur- und Verschlüsselungsfunktionen enthalten.
Somit scheint klar, wo wir Schweizer (nicht ausländerfeindlich gemeint, aber der Bundesbeschluss sieht keine entsprechende Passage im Ausländergesetz vor) künftig unsere Zertifikate aufbewahren werden.

Technisch dürfte es bei einem RFID-Chip wohl kaum möglich sein, ein Zertifikat on-chip zu generieren, wie dies das ZertES verlangt (zu wenig Leistung) - und der Pass hat sowieso nicht Smartcard-Format. (Die Idee eines Passes mit USB-Anschluss gefällt mir zwar, wäre was für ne Fotomontage). Also bleibt nur die Identitätskarte. Da die "Vorteile" von RFID auf der Hand liegen wird auf diese Funktionalität wohl kaum verzichtet - die Karte mit 2 Chips auszustatten dürfte nicht billig sein.

Was kann unser Ausweispapier also künftig im besten Fall?

• Es kennt unsere persönlichen Daten wie Name, Vorname usw. gemäss AWG Art. 2
  
• Es enthält ein Foto und unsere Fingerabdrücke
• Es kann digital unterschreiben
  und das Beste:
  
• es kann diese Informationen weitergeben ohne dass wir es mitkriegen :-)

Klar, ein Schutz sollte gegeben sein - so kann der Pass 06 nur ausgelesen werden wenn die Maschine vorher den Code auf der Plastikkarte ausliest - ohne diesen erhält sie nur wenige (keine?) Informationen vom Chip. Aber die Technik schreitet voran , und RFID breitet sich aus. Seit ein paar Wochen bekam ich plötzlich zwischendurch keinen Zutritt mehr zur HSR, oder der Automat spuckte nichts aus, wenn ich mein Portmonnaie auf den Leser legte. (Ja, auch wir haben RFID-Legis - von Kudelsky, heissen Legic). Dachte mir nicht viel dabei, vielleicht waren ja zuviele Münzen dazwischen. Als ich aber mal genauer hinsah merkte ich, dass es "Unbekannt" hiess - da meldete sich was anderes! Und wer hätte es gedacht, es ist die CineCard der Kitag - stand auch nirgends, dass da ein RFID-Chip drin ist. Also, mal Buchführung über meine RFIDs:

• Kitag - check
• Oyster Card (London Underground) - check
  
• Legic für Hochschule für Technik - check

... und das Problem ist, ich weiss nicht mal ob das alle sind! Es bleibt wohl nur noch eins: Shoppen gehen, und zwar RFID-abschirmende Portmonnaies und einen Tag-Sucher...

PS: Im September nehme ich an einer Führung durch den Future Store teil, alles mit RFID. Mehr dazu sicher hier.