ID Austria – als Machtinstrument für Regierende

Dezember 2023

Die zwingend vorgeschriebene Datenschutzfolgenabschätzung (DSFA) aus 2022 ¹ analysierte die potentiellen Risiken der ID Austria für Personen, die sie beantragen und nützen, sowie für Personen, die unabhängig davon leben wollen.

Hier stellen wir ein Teilergebnis dieser Untersuchung vor: die ID Austria als Wegbereiter einer Infrastruktur mit Überwachungspotenzial, die künftig von einer Regierung zur Machtausübung über die Bevölkerung missbraucht werden könnte – falls eine Regierung ihren Auftrag zu dienen als Herrschaftsauftrag missversteht.

Das Risiko: staatliche Infrastruktur mit Überwachungspotenzial

Das E-ID System (=ID Austria-System) könnte als technische Basis und Infrastruktur für eine Form von staatlich-zentralisierter Informationssammlung und Datenverarbeitung gesehen werden, die per se Facetten digitaler Überwachung verschiedener gesellschaftlicher Prozesse, Handlungen und Aktivitäten umfasst bzw mit sich bringt. Diese betrifft die Nutzer*innen des E-ID Systems ebenso wie Service Owner bzw Provider.

Auch dann, wenn argumentiert wird, dass der aktuelle Zweck des E-ID Systems nicht explizit oder primär in der Überwachung und Kontrolle der Bevölkerung liegt, könnte es künftig zu einer Durchbrechung der Zweckbindung (Function Creep) kommen. Anders als ursprünglich intendiert, könnte das E-ID System dann (im weitesten Sinne) zu Formen der Überwachung der Gesellschaft genutzt werden. Das E-ID System kann diskriminierende Praktiken nach sich ziehen und autoritäre Strukturen zur Disziplinierung der Bevölkerung unterstützen. In der Literatur ist auch von ͣPolicy Windows͞ in Zeiten gesellschaftspolitischer Krisen die Rede, welche die Ausrollung staatlicher ID-Systeme und deren Nutzung zu Überwachungszwecken begünstigen.

Das Risiko betrifft sowohl die österreichische als auch die europäische Gesamtbevölkerung bzw die potentiellen Nutzer*innen des E-ID Systems. Formen der Überwachung und Kontrolle treffen auch private Service Owner bzw Provider.

Dabei kommt es zu einer Verarbeitung der E-ID als personenbezogenes Datum an sich, sowie damit verbunden zu einer Verarbeitung diverser staatlich zertifizierter personenbezogener Datenpunkte, Datensätze bzw Register inkl sensibler bzw besonderer Kategorien personenbezogener Daten. So bspw Strafregisterdaten (jedoch lediglich hinsichtlich der Service Provider im Akkreditierungsprozess) oder Fahndungsdaten, jedoch lediglich um festzustellen, ob eine Person eine Registrierung durchführen kann oder ob das Reisedokument als gestohlen registriert ist.

Warum ist dies ein realistisches Risiko?

Es geht hier um die Beurteilung, ob es für beteiligte Personen möglich oder sogar einfach möglich wäre, den potentiellen Schaden durch eine missbräuchliche Verwendung der E-ID herbeizuführen, oder ob es für diese Personen schwer bis unmöglich ist.

Aufgrund von unbeabsichtigtem Handeln politischer Entscheidungsträger*innen: Sie implementieren unbedacht ein E-ID System, welches wesentlich aus Datenverarbeitungsprozessen besteht, die eine Form der Überwachung darstellen bzw künftig dafür genutzt werden könnten.

Aufgrund von vorsätzlichem Handeln politischer Entscheidungsträger*innen: Sie sehen die Risiken potentieller Überwachung, aber nehmen potentielle Schäden für die Betroffenen billigend in Kauf. Zudem kann es zu Missbrauch des E-ID Systems durch einzelne Sachbearbeiter*innen kommen.

Ebenfalls aufgrund von vorsätzlichem Handeln staatlicher Institutionen und Nachrichtendienste: Sie können zum Zweck der Strafverfolgung und Prävention auf das E-ID System zugreifen.

Letztlich aufgrund der Architektur des E-ID Gesamtsystems und der damit einhergehenden Verarbeitung personenbezogener Daten: Sie stellt per se eine technische Infrastruktur für Praktiken und Prozesse der Überwachung dar.

Mit welchem Schaden müssen Personen rechnen, wenn ihre ID Austria in dieser Weise missbraucht wird?

Die in der Folge genannten Schäden werden in der Untersuchung als „maximal“ eingestuft. Das bedeutet: Betroffene erleiden eventuell signifikante oder sogar unumkehrbare Konsequenzen, die sie nicht überwinden können:

Physische Schäden: Mit Blick auf die historisch belegte (zweckfremde) Nutzung staatlicher ID Systeme, sind sowohl körperliche, materielle wie auch immaterielle Schäden und die Repression spezifischer Bevölkerungsgruppen argumentierbar.

Materielle Schäden: Form der Diskriminierung, die typischerweise an Überwachungsprozesse anknüpfen, Beschneidung staatlicher Leistungen bzw Ansprüche, Verweigerung des Zutritts zu staatlichen oder privaten Einrichtungen, Verweigerung des Zugriffs auf staatliche oder private Dienste oder Services.

Immaterielle Schäden: Gesellschaftliche bzw soziale Nachteile durch Beeinträchtigung des politischen Gemeinwesens und der Entfaltungschancen der Einzelnen, Eingriff bzw Verletzung der Privatsphäre (wie etwa das Gefühl oder auch faktisch über biometrische Erkennung oder Tracking ausgespäht zu werden), demokratiepolitische Schäden durch Einschüchterungseffekte (Chilling effects ²), wenn Betroffene davon absehen, ihre Rechte wahrzunehmen, ihre Persönlichkeit zu entfalten oder ihre Meinung zum Ausdruck zu bringen.

Wie bewertet die Untersuchung das Risiko?

In der Datenschutzfolgenabschätzung wird das potentielle Schadensausmaß und die Eintrittswahrscheinlichkeit zu einem Risiko kombiniert. Ein sich daraus ergebendes „hohes Risiko“ bedeutet ein hohes Risiko, durch die ID Austria irgendwann einen wesentlichen bis maximalen Schaden zu erleiden!

Die Untersuchung ergab für diesen Aspekt ein hohes Risiko! Deshalb bedarf es einer Vielzahl von Maßnahmen, damit die beschriebenen Schäden weniger wahrscheinlich eintreten.

Gibt es genügend Zusatzmaßnahmen, damit das Risiko nicht schlagend wird?

Aufgrund der Einschätzung, dass es hier um ein „hohes Risiko“ geht, sind zwingend Maßnahmen erforderlich. Ohne diese Maßnahmen dürfte die Verwendung der ID Austria letztlich nicht empfohlen werden.

Die Untersuchung führt als geplante Maßnahmen an: Die Erfüllung von Informationspflichten; öffentlich verfügbare Beschreibungen des Systems; Einbindung von Datenschutzbeauftragten; Protokollierung von Vorgängen unter der Annahme, dass jemand bereit wäre, Rechenschaft dafür abzulegen; das Ermöglichen von Auskunftsersuchen; Verträge mit Service Providern; der Umstand, dass A-Trust die konkreten Daten nicht einsehen kann; die Zertifizierung des Bundesrechenzentrums.

Kritisch anzumerken ist, dass diese Maßnahmen offenbar nur dann eine Wirkung entfalten können, wenn Regierung und Behörden sich diesen Regelungen und Verträgen freiwillig unterwerfen, was gerade bei absichtlichem Missbrauch dieser Infrastruktur wohl nicht geschehen würde.

Kritisch anzumerken ist auch, dass viele der genannten Probleme nicht adressiert werden, wie etwa, dass dieses staatliche ID-System besonders in Zeiten gesellschaftspolitischer Krisen zum Zwecke der Überwachung der Gesellschaft verwendet werden könnte – und dies im Bewusstsein, dass wir bereits in einer Zeit der gesellschaftspolitischen Krisen leben, beginnend mit der Corona-Krise, und daher diese Gefahr immanent vorhanden ist.

Resümee

Das Risiko, dass eine künftige Regierung die hiermit geschaffene Infrastruktur zum Schaden der Bevölkerung oder auch nur von Teilen der Bevölkerung missbrauchen könnte, dass die betroffenen Menschen die Konsequenzen nicht mehr abwenden können und im schlimmsten Fall nicht damit leben können, bleibt hoch. Die angedachten Maßnahmen, die das Risiko auf ein gerade noch annehmbares Niveau senken könnten, sind zu schwach. Es ist nicht nachvollziehbar, warum die Untersuchung diese Maßnahmen als ausreichend bewertet, um keine datenschutzrechtliche Ablehnung aussprechen zu müssen.

Zu denken gibt hier die jüngste Vergangenheit: als die österreichische Regierung, wie in der Stellungnahme der ARGE Daten ausgeführt, mit Hilfe des Impfpflichtgesetzes ein System zur Rasterfahndung einführen wollte und damit ein Tabu brach, ³ und als einer sehr heterogenen Bevölkerungsgruppe ausgerichtet wurde, dass es mit Einführung der Impfpflicht eigentlich rechtswidrig wäre, in Österreich zu wohnen und nicht geimpft zu sein. ⁴ Damals stand noch kein umfassendes E-ID-System zur Verfügung.

Dies alles sollte bei der freien Entscheidung für die Registrierung einer ID Austria und ihrer Verwendung mitbedacht werden.

1https://www.oesterreich.gv.at/dam/jcr:75b866bb-3735-4571-b859-39df84e2a281/DSFA_IDAUSTRIA_BMDW.pdf

2https://de.wikipedia.org/wiki/Chilling_effect

3Stellungnahme der ARGE-Daten: https://www.parlament.gv.at/PAKT/VHG/XXVII/SN/SN_52778/index.shtml

4https://ggi-initiative.at/wp/solidaritaet-gefordert-und-gelebt/