SCHRIFTLICHE ANFRAGE E-1724/02

von Bart Staes (Verts/ALE) an die Kommission

(13. Juni 2002)

Betrifft: Elektronischer Personalausweis und Schutz der persönlichen Daten

Im Rahmen des e-Government haben die belgischen Behörden im Herbst 2000 beschlossen, dass alle Belgier ab 2005 einen elektronischen Personalausweis bei sich haben müssen. Damit der Datenaustausch zwischen den staatlichen Stellen und den Behörden und ihren Kunden so sicher wie möglich ist, wurde von der Föderalbehörde für Informations- und Kommunikationstechnologie (FEDICT) die sogenannte Public Key Infrastructure (PKI), auch Zertifikationsdienstregelung genannt, eingeführt. Die Karte mit der Verschlüsselung soll vorzugsweise auf einem Chip gespeichert werden, der mittels Pincode gesichert wird.

Aus einem Artikel vom 12. Mai 2002 in der New York Times geht hervor, dass die Chips kopiert werden können. Zwei Experten für Computersicherheit von der Universität Cambridge, Skorobogatov Sergei und Anderson Ross, wiesen nach, dass sie mit Hilfe eines einfachen Kamerablitzlichts und eines Mikroskops im Stande sind, Informationen aus den Chips zu holen. Auf diese Weise wird es Kriminellen ohne Weiteres möglich sein, an persönliche Daten zu gelangen. Diese Technologie wird außer für den elektronischen Personalausweis auch für viele andere Anwendungen genutzt, beispielsweise bei Kredit- und Debitkarten und der weit verbreiteten GSM-Sim-Karte. Ein IBM-Papier Partititioning attacks: or How to rapidly clone some GSM Cards bestätigte diese Verletzbarkeit. Die Forscher wiesen nach, dass es auf bedeutend schnellere Weise möglich ist, Informationen von der Sim-Karte zu holen.

Kann die Kommission bestätigen, dass die oben genannten beunruhigenden Berichte zutreffen?

Wenn ja, steht dies nicht im Widerspruch zu den gemeinschaftlichen Rechtsvorschriften zum Schutz der persönlichen Daten? Müssen die Mitgliedstaaten nicht technische und organisatorische Maßnahmen ausarbeiten, um persönliche Daten zu schützen, insbesondere wenn die Verarbeitung die Weitergabe von Daten in einem Netzwerk umfasst? Was wird die Kommission gegen diese Verletzung der Privatsphäre unternehmen?

Wenn nein, auf welche Gegenargumente stützt sich die Kommission bei der Verneinung der Forschungsergebnisse und der Kopierbarkeit der Chiptechnologie?

Gemeinsame Antwortvon Herrn Bolkestein im Namen der Kommissionauf die Schriftlichen Anfragen E-1723/02 und E-1724/02

(26. September 2002)

Die Kommission hat im Zuge einer Notifikation in Anwendung der Richtlinie 98/34/EG(1) (Richtlinie, die die Notifikation von nationalen Entwürfen von Vorschriften vorschriebt, insbesondere bei den Diensten der Informationsgesellschaft) von belgischen Gesetzesentwürfen Kenntnis erhalten, die auf die Einführung eines elektronischen Personalausweises ausgerichtet sind. Belgien hat den Gesetzesentwurf mitgeteilt (unter Nr. 2001/474/B) und darum gebeten, die Texte vertraulich zu behandeln, in Anwendung von Artikel 8 Absatz 4 der genannten Richtlinie. Im Anschluss an die Analyse dieses Entwurfs hat die Kommission eine ausführliche Stellungnahme und Anmerkungen abgegeben. Die ausführliche Stellungnahme bezog sich im wesentlichen auf die technischen Anhänge und sollte die Vereinbarkeit dieser Anhänge mit den Richtlinien 73/23/EWG des Rates vom 19. Februar 1973 zur Angleichung der Rechtsvorschriften der Mitgliedstaaten betreffend elektrische Betriebsmittel zur Verwendung innerhalb bestimmter Spannungsgrenzen(2) und 89/336/EWG des Rates vom 3. Mai 1989 zur Angleichung der Rechtsvorschriften der Mitgliedstaaten über die elektromagnetische Verträglichkeit(3) sicherstellen. Was die Anmerkungen angeht, so bezogen sie sich auf Datenschutzaspekte.

Die Kommission weist darauf hin, dass nach dem derzeitigen Stand zwar eine Vereinfachung der bestehenden Verfahren betreffend den Zugang zu oder die Übermittlung von personenbezogenen Daten beabsichtigt wird, die vorgeschlagene Rechtsvorschrift jedoch nicht explizit die Verknüpfung von medizinischen oder steuerlichen Datenbanken vorsieht.

Allerdings ist der Kommission die Bedeutung der vom Herrn Abgeordneten vorgebrachten Einwände bewusst, und sie wird dem im Rahmen der Bewertung der Durchführung der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr(4) Rechnung tragen; dieses Verfahren dürfte Ende 2002 abgeschlossen sein.

Auf alle Fälle muss jede Verarbeitung personenbezogener Daten, einschließlich der Verknüpfungen, im Zusammenhang mit dem elektronischen Personalausweis mit der Richtlinie 95/46/EG übereinstimmen. Diese Richtlinie, deren Anwendungsbereich auf das Gemeinschaftsrecht beschränkt ist, enthält die Grundsätze und Voraussetzungen für die Verarbeitung personenbezogener Daten. Sie enthält insbesondere die Verpflichtung, personenbezogene Daten nach Treu und Glauben zu behandeln und sie nur zu dem Zweck zu verarbeiten, für den sie gesammelt wurden. Die Richtlinie 95/46/EG enthält ferner einen Grundsatz, demzufolge die Verarbeitung von Daten über die Gesundheit, die verboten ist, wofür wiederum verschiedene Ausnahmen gelten. Darüber hinaus schreibt sie vor, dass die Anwendungsbedingungen für eindeutige Kennungen festgelegt werden.

Die Richtlinie 95/46/EG sieht enthält ferner die Verpflichtung, personenbezogene Daten vor zufälliger oder unrechtmäßiger Zerstörung, zufälligem Verlust, unberechtigte Änderung, unberechtigte Weitergabe oder unberechtigten Zugang oder jede andere Form der unrechtmäßigen Verarbeitung zu schützen. Die Richtlinie 97/66/EG des Europäischen Parlaments und des Rates vom 15. Dezember 1997 über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre im Bereich der Telekommunikation, die ab dem 31. Oktober 2003 durch die Richtlinie 2002/58/EG(5) ersetzt wird, enthält ebenfalls spezifische Pflichten in bezug auf die Sicherheit der öffentlichen Telekommunikationsnetze und der öffentlich zugänglichen Telekommunikationsdienste.

Besonders aufmerksam verfolgt die Kommission die technischen Entwicklungen im Hinblick auf die Sicherheit des Datenaustauschs. Sie weist in diesem Zusammenhang darauf hin, dass das Sicherheitsniveau, das die Nutzung einer Infrastruktur mit öffentlichem Schlüssel bietet, nicht nur von dem Sicherheitsniveau der technischen Komponenten der Infrastruktur abhängt, sondern

auch von der Qualität der Sicherheitsmaßnahmen und vor allem von der Strenge ihrer Durchführung (Smartcard, Generierung der Schlüssel, Behörde, die die Zertifikate erteilt, Gültigkeit der Zertifikate usw.).

Die Kommission widmet den Sicherheitstechniken, die für die Übermittlung personenbezogener Daten verwendet werden, besondere Aufmerksamkeit. Sie weist dennoch darauf hin, dass es keine absolute Sicherheit gibt und dass gemäß Richtlinie 95/46/EG das angemessene Sicherheitsniveau in bezug auf die Gefahren der Verarbeitung personenbezogener Daten und die Art der zu schützenden personenbezogenen Daten unter Berücksichtigung des Stands der Technik und der Kosten für die Durchführung der Sicherheitsmaßnahmen festgelegt werden muss.

Was die Zusammensetzung Kontrollbehörden angeht, die für die Überprüfung der Anwendung der von den Mitgliedstaaten angenommenen Bestimmungen zuständig sind, so sieht die Richtlinie 95/46/EG vor, dass diese Behörden ihre Aufgaben völlig unabhängig erfuellen sollen. Die Richtlinie gibt allerdings keinen weiteren Hinweis auf die Art und Weise, wie die Unabhängigkeit gewährleistet werden soll. Die Kommission weist in diesem Zusammenhang darauf hin, dass gemäß dem belgischen Gesetz vom 8. Dezember 1992 über den Schutz der Privatsphäre bei der Verarbeitung personenbezogener Daten die für den Schutz personenbezogener Daten zuständige belgische Behörde ein Kollegium ist, dessen Mitglieder vom Parlament ernannt werden. Dieses Gesetz sieht ferner vor, dass die Mitglieder gewährleisten müssen, dass sie ihre Aufgaben unabhängig erfuellen können. Zu diesem Zweck sind verschiedene Maßnahmen vorgesehen, darunter die Auflage, dass die Mitglieder nicht an Beratungen über Themen teilnehmen dürfen, an denen sie ein persönliches Interesse haben.

Die Kommission erinnert außerdem daran, dass sie Forschungsprojekte über die Sicherheit der Smartcards fördert. Die Wissenschaftler Ross Anderson und Sergei Skorobogatov sind an dem Projekt G3CARD (IST-1999-26328) beteiligt. Dieses Projekt verfolgt ein doppeltes Ziel. Erstens ist es darauf ausgerichtet, alle überhaupt möglichen Angriffe auf eine Karte zu ermitteln (so wird beispielsweise der Flash-Angriff in diesem Projekt untersucht). Das zweite Ziel des Projekts ist die Entwicklung einer neuen Generation von Smartcards, die nicht für diese neuen Angriffe empfänglich ist.

Die Smartcard hat den Vorteil, dass sie das Sicherheitsniveau der Systeme ganz deutlich erhöht, indem sie Angriffe zugleich technisch schwierig und kostenaufwändig und somit während einer bestimmten Zeitspanne für Kriminelle unzugänglich macht. Es ist jedoch klar, dass man neue Angriffsmöglichkeiten finden wird, die die Entwicklung neuer Smartcards erforderlich machen werden.

Das Sicherheitsniveau des GSM wurde an die Anwendungen angepasst, die von den Entwicklern der Norm vor 15 Jahren vorgesehen worden waren; es handelt sich im Wesentlichen um Anwendungen im Bereich der Telefonie. Die neuen Normen für schnurlose Telefonsysteme der dritten Generation sehen eine größere Sicherheit vor, die auch wichtige Anwendungen erlaubt. Die Sicherheit der schnurlosen Transaktionen wird auch eines der Hauptthemen des IST-Programms innerhalb des 6. Rahmenprogramms für Forschung und technische Entwicklung der Gemeinschaft sein. Ab sofort besteht eines der Ziele des Forschungsprojekts Embedded Finread (IST-2000-30091) darin, die Sicherheit der Zahlungsterminals auf schnurlose Telefonsysteme, darunter das gegenwärtige GSM, zu übertragen.

Andere Projekte wie PKI Challenge (IST-2000-25012) und Digisec (IST-1999-20981) arbeiten an der Entwicklung der elektronischen Signatur und der dazugehörigen PKI-Infrastruktur. Das Projekt NESSIE (IST-1999-12324) definiert neue kryptographische Algorithmen, und Verificard (IST-2000-26328) konzentriert sich auf die Überprüfung der Sicherheit der On-board-Software der Karte. Projekte wie UFACE (IST-1999-11587) oder BANCA (IST-1999-11159) wiederum konzentrieren sich auf die technischen Aspekte der Biometrie.

Das Projekt Smartcities (IST-1999-12252) befasst sich mit einer Smartcard für Städte. Es hat jedoch auch den Vorteil, dass es Mechanismen zur Gewährleistung der Datensicherheit entwickelt. Laut Smartcities wird der Datenschutz ein Verkaufsargument werden. Die Mechanismen könnten später auch in anderen Projekten eingesetzt werden.

(1) Richtlinie 98/34/EG des Europäischen Parlaments und des Rates vom 22. Juni 1998 über ein Informationsverfahren auf dem Gebiet der Normen und technischen Vorschriften, ABl. L 204 vom 21.7.1998.

(2) ABl. L 77 vom 26.3.1973.

(3) ABl. L 139 vom 23.5.1989.

(4) ABl. L 281 vom 23.11.1995.

(5) ABl. L 24 vom 30.1.1998 und ABl. L 201 vom 31.7.2002.