Unter dem Namen «No Phone Home» stellt eine neue Initiative den Status quo der digitalen Identitäten in Frage und rückt den Datenschutz in den Vordergrund. Die Kampagne vereint eine breite Allianz aus Bürgerrechtsgruppen, IT-Spezialisten, Parlamentariern und öffentlichen Bediensteten, die sich gegen die Art und Weise wehren, wie digitale Ausweise die Rechte der Bürger beeinträchtigen.
Konkret wenden sich die Unterzeichner mit ihrem Aufruf gegen die Praxis einer Server-Abruffunktion («Phone Home») im Zuge der Benutzung digitaler IDs. Das bedeutet, dass das System, dem ein digitaler Ausweis vorgelegt wird, den ursprünglichen Aussteller kontaktiert, um die Gültigkeit zu überprüfen. Dadurch können sowohl der Prüfer als auch der Benutzer identifiziert werden, was im Ergebnis zu erweiterter Überwachung und Kontrolle durch die ausstellenden Behörden führen kann.
«Wir fordern Behörden weltweit auf, Identitätslösungen ohne Phone-Home-Funktion zu bevorzugen und Datenschutz und Sicherheit gegenüber Interoperabilität und einfacher Implementierung zu priorisieren.
Die Beseitigung der Phone-Home-Funktionen ist zwar nicht die einzige Voraussetzung für den Aufbau eines datenschutzfreundlichen Identitätssystems, aber eine entscheidende.»
Problematisch werde dieses Vorgehen vor allem dann, wenn «Phone Home» zur Identitätsüberprüfung über Organisationsgrenzen hinweg verwendet wird, betont der Geschäftsführer von Digital Trust Ventures, Timothy Ruff. Er ist einer der Initiatoren der Kampagne und Mitautor einer Präsentation beim letzten Internet Identity Workshop (IIW), die den Stein ins Rollen brachte.
Vom Spirituosenladen «nach Hause zu telefonieren», damit die Behörden verifizieren, dass man über 18 ist und Alkohol kaufen darf? So ein Anwendungsfall sei inakzeptabel, da er über Organisationsgrenzen hinweg verlaufe. Dieser Vorgang gehe den Staat nichts an, das sei vielmehr orwellsch, schreibt Ruff.
Eine Fernprüfung sei zur Verifizierung von Anmeldeinformationen jedoch nicht notwendig, es gebe technische Möglichkeiten, dies zu vermeiden. Das häufige Argument «Das System ist zwar technisch dazu in der Lage, aber wir haben es nicht so implementiert» lässt Ruff nicht gelten. Wenn die Möglichkeit bestehe, digitale Identitäten zu kontrollieren und ihre Nutzung selektiv zu unterbinden, werde diese Macht früher oder später auch genutzt.
Auslöser der Kampagne sei die Sorge darüber, dass mobile Führerscheine, die zunehmend verbreitet sind, auf einem technischen Framework basieren, das die stille Übermittlung von Daten an die ausstellenden Behörden ermöglicht, erklärt Reclaim The Net. Dabei gehe es um den weitgehend unbeachteten internationalen Standard ISO/IEC 18013-5:2021. Die IIW-Präsentation basierte auf einer Überprüfung dieser Spezifikation durch Steve McCown, einen Berater der Datenschutzkommission des US-Bundestaates Utah.
Ruff weist darauf hin, dass der Verband aller staatlichen Führerscheinstellen in den USA (AAMVA) in seinen Implementierungsrichtlinien vom Dezember 2024 vor dem Tracking-Potenzial der Server-Abruffunktion gewarnt habe. In der kürzlich aktualisierten Version würden die Richtlinien diese Praxis nun endgültig verbieten. Das Problem sei jedoch, dass der zugrunde liegende ISO 18013-Standard zu verlangen scheine, dass alle Implementierungen die «Phone Home»-Funktion beibehalten.
Wir befinden uns in einem kritischen Moment, konstatiert Reclaim The Net. Immer mehr Staaten führen digitale Geldbörsen ein, und viele Länder bewegen sich rasch auf offizielle digitale Identitätssysteme zu, so auch in der Europäischen Union. Außerdem würden digitale Ausweise immer öfter zur Online-Altersverifizierung eingesetzt.
Datenschützer sorgten sich darüber, dass Webaktivitäten zunehmend protokolliert und mit Einzelpersonen verknüpft werden könnten. Wenn wir jetzt keine Sicherheitsvorkehrungen fordern, werden wir am Ende digitale Identitätssysteme haben, welche die Privatsphäre grundlegend untergraben, so das Portal.
Für Timothy Ruff heißt es «jetzt oder nie». Datenschutzaktivisten in freien Gesellschaften müssten sich jetzt entschieden gegen «Phone Home» wehren, bevor es zu spät sei. Das aktuelle, sehr gefährliche Problem bestehe darin, dass diese Funktion ganz leise in der Gesellschaft eingeführt werde. Sobald «Phone Home» erst einmal etabliert sei und die Regierungen einen Vorgeschmack auf ihre Macht bekommen hätten, sehe er keinen Weg, wie sie diese Macht jemals wieder loslassen würden.
