Ein Kommentar von Norbert Häring.

Zur gleichen Zeit, in der bekannt wird, dass Hacker die Identitätsdaten der meisten Inder aus der größten staatlichen Identitätsdatenbank der Welt zum Kauf anbieten, einigen sich EU-Parlament und -Rat darauf, so etwas auch für uns einzuführen, Gleichzeitig preist Washington die ukrainische Version als Exportmodell an und Bill Gates will jedem neugeborenen Kind in Kenia so eine biometrisch-digitale Markierung auf Lebenszeit aufdrängen. Das hat System <1>.

Anfang Oktober machte die IT-Sicherheitsfirma Resecurity bekannt <2>, das Hacker nach eigenen Angaben die biometrischen Identitätsdaten von über 800 Millionen Indern aus der staatlichen Datenbank Aadhaar gestohlen haben und relativ günstig zum Kauf anbieten. Nachforschungen von Sicherheitsexperten zeigen, dass die Behauptung zumindest im Kern stimmt, wenn auch die Anzahl der Betroffenen nicht zu verifizieren ist. Resecurity erwarb 400.000 Datensätze und verifizierte deren Authentizität. Die Betroffenen waren von der unbekannten Organisation, deren Daten gestohlen wurden, nicht von dem Diebstahl informiert worden und wussten von nichts. Die Daten sollen neben der Aadhaar-Nummer den Namen und den Namen des Vaters, die Adresse, Passnummer, Alter und Geschlecht beinhalten.

Nach Angaben von Rescurity können etwaige Käufer mit diesen Daten Online-Bankkonten der Betroffenen plündern und Steuerrückerstattungsbetrug zu deren Lasten begehen.

Der Vorfall zeigt die riesigen Probleme für den Schutz der Bürgerrechte, die mit einer solchen Datenbank verbunden sind, deren Daten für alle nur denkbaren Identifikationszwecke verwendet werden. Die Versicherungen, das System sei sicher, haben sich nicht zum ersten Mal als grob falsch herausgestellt. Das Sicherheitsniveau wird von der Plattform mit Zugang zu den Daten bestimmt, die das wenigste Know How hat und den schlampigsten Umgang mit den Daten pflegt. In diesem Fall ist das Einfallstor für den Datendiebstahl unbekannt. In anderen, ebenfalls sehr großen Fällen in diesem Jahr soll das Einfallstor die Datenbank von Covid-Tests des Indian Council of Medical Research (ICMR) gewesen sein, die mit den Aadhaar-Nummern der Getesteten verbunden ist, sowie eine Datenbank zur Identifizierung von Prepaid-Telefonkunden.

Wenn die gleiche Datenbank von sehr vielen Behörden und Anbietern für alle möglichen Zwecke genutzt wird, multipliziert sich dadurch nicht nur das Risiko von Datenverlust, sondern auch der Schaden für die Betroffenen. Wenn dann auch noch die für die biometrische Identifikation genutzten Daten gestohlen werden, im Fall Aadhaar Fingerabdrücke und Iris-Scans, steht dem umfassenden Identitätsdiebstahl nichts mehr im Wege. Da Lesegeräte für biometrische Daten überall genutzt werden, um die Identität zu prüfen, können Kriminelle relativ leicht an solche Daten kommen. Da man seine biometrischen Merkmale nicht wie ein Passwort ändern kann, ist das verheerend für die Betroffenen.

Die indische Regierung behauptet, es sei freiwillig, sich in der Datenbank registrieren zu lassen. Das ist etwa so wahr, wie die Covid-Impfung für Beschäftigte im deutschen Gesundheitssystem „freiwillig“ war. Alle möglichen staatlichen Leistungen setzen eine Registrierung voraus und so viele private Anbieter nutzen das System, dass eine Nichtregistrierung für Menschen, die nicht autark auf dem Land leben, mit sehr großen Nachteilen verbunden ist.

Europas Aadhaar heißt Digital Identity Wallet

Völlig unbeirrt von diesen hier ohnehin so gut wie nicht berichteten Vorkommnissen im Vorreiter Indien, gaben EU-Rat und EU-Parlament am 8.11. die Einigung