Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein

8    Modellprojekte und Studien

Neben seiner Prüf- und Beratungstätigkeit beteiligt sich das ULD an drittmittelfinanzierten Projekten und Studien mit besonderen Datenschutzbezü­gen. Ziel ist es, über das gesetzlich geforderte Mindestmaß an Datenschutz und Datensicherheit hinauszugehen und datenschutzfördernde Tech­nik zu entwickeln, die den Bürgerinnen und Bürgern in Schleswig-Holstein zugutekommt. Auch in den beiden vergangenen Jahren beteiligte sich das ULD an Projekten und Studien, von denen das ULD und damit auch das Land sowohl finanziell als auch durch die Aneignung von Know-how im Bereich Datenschutz profitiert (Tz. 8.1 bis Tz. 8.9).

Koordiniert werden solche Projekte durch unser Innovationszentrum Datenschutz & Datensicher­heit (ULD-i), das interessierten schleswig-holstei­nischen Unternehmen und Hochschulen für die Implementierung von Datenschutz und Daten­sicherheit in ihren Projekten und Produkten zur Verfügung steht. Immer wieder merken wir, wie wichtig es ist, Datenschutz von Anfang an einzubeziehen: Wer „Privacy by Design“ bereits bei der Konzeption von Technik, Organisation und Geschäftsmodellen berücksichtigt, erlebt später keine bösen Überraschungen. Das Ziel für alle Forschungsprogramme und Projekte sollte es sein, die Erarbeitung von Datenschutzanforderungen und die Evaluation der Systeme als projektbeglei­tende Aufgabe in die Planung zu integrieren.

http://www.uld-i.de/

8.1          PrimeLife

Im Juni 2011 ist nach etwas mehr als drei Jahren das von der Europäischen Union (EU) geförderte Projekt PrimeLife zu Ende gegangen, in dem wir gemeinsam mit anderen Projektpartnern aus Wirt­schaft und Wissenschaft Konzepte und Tools für Datenschutz- und Identitätsmanagement in der digitalen Welt entwickelt haben. Die Resultate stehen allgemein zur Verfügung.

„PrimeLife – Privacy and Identity Management in Europe for Life“ und das Vorgängerprojekt „PRIME – Privacy and Identity Management for Europe“ (u. a. 33. TB, Tz. 8.1) hatten als Schwerpunkt ein nutzer­gesteuertes Identitätsmanagement, bei dem die Nutzenden nur jeweils die nötigsten Daten über sich preisgeben müssen und sie auch anonym oder unter Pseudonym handeln können.

Die Resultate, die auf der Abschlussveranstaltung in Luzern/Schweiz im Rahmen der renommierten Konferenz IFIP SEC vorgestellt wurden, können sich sehen lassen. Am besten verschafft man sich anhand der „PrimeLife Primer“ einen Überblick über die Ergebnisse: Die „Primer“ sind ein- oder zweiseitig bedruckte Zettel, in denen das PrimeLife-Team zu verschiedenen behandelten Themen die wichtigsten Informationen zusam­mengestellt hat. Dazu gehören

• das soziale Netzwerk „Clique“, bei dem Nutzende ihre verschiedenen Bekannten­kreise und das, was sie jeweils über sich preisgeben, trennen können;
• das Verschlüsselungstool „Scramble!“, das dafür sorgt, dass nur Berechtigte im sozialen Netzwerk auf den Klartext der Nachrichten und Einträge im eigenen Profil zugreifen können;
• das Webangebot „Dudle“ zur Termin­abstimmung, das datensparsame Varianten der Einträge und Kommentare ermöglicht;
• PrimeLifes Arbeiten zu „Policy Languages“ (Policy-Sprachen), d. h. von Computern automatisch interpretierbaren Aussagen zum Datenschutz, mit denen vor und während einer Interaktion Anbieter über ihre Datenverarbeitung und Nutzende über ihre Anforderungen an den Schutz ihrer Daten informieren können;
• Informationen zu „Privacy on Mobile Equipment“, d. h. zu Datenschutzkonzepten für Anwendungen auf Mobiltelefonen wie Smartphones, wo bestimmte Bereiche besonders abgesichert sind und die Nutzenden durch Policy-Sprachen unterstützt werden;
• das Plugin „Privacy Dashboard“ für den Webbrowser Firefox, das darstellt, ob und wie ein Anbieter einer angesurften Website die Aktionen seiner Nutzenden nachver­folgen kann und Schutzmechanismen gegen dieses Tracking bereitstellt.

Daneben hat sich das PrimeLife-Team mit attribut­basierten Credentials beschäftigt, die nun einige der Projektpartner im Rahmen des Projektes ABC4Trust (Tz. 8.2) weiterentwickeln und im Echt­einsatz testen werden.

PrimeLife hat seine Ideen zum Datenschutz- und Identitätsmanagement außerdem in die techni­sche Standardisierung bei verschiedenen Initiati­ven eingebracht (Tz. 11.6). Ein Großteil der ent­wickelten Software steht nach Abschluss des Projektes als Open Source über die Projekt-Web­site zur Verfügung.

http://www.primelife.eu/results/primer

http://www.primelife.eu/results/opensource

8.2          ABC4Trust  – vertrauenswürdige digitale Identifikation im Pilotversuch

Seit November 2010 läuft das von der EU für vier Jahre geförderte Projekt „ABC4Trust – Attribute-based Credentials for Trust“. Ziel ist die praktische Erprobung von datensparsamen Berechtigungs­nachweisen in der digitalen Welt.

Das gesetzlich festgeschriebene Gebot zur Daten­sparsamkeit ist in der Praxis oft schwer umzu­setzen, wenn zugleich ein Mindestmaß an Sicher­heit erforderlich ist. Beispielsweise enthalten die zur Legitimation eines Kunden verwendeten Dokumente viel mehr Daten, als für den konkreten Zweck preisgegeben werden müssten. So erfährt ein Händler bei Vorlage einer Studienbescheini­gung neben der Eigenschaft „Person ist Student“ oft auch Name, Adresse, Geburtsdatum und Studienfach als quasi aufgedrängte Informationen. Besteht bei einem Ausweis in Papierform noch die Möglichkeit, einzelne Felder zu schwärzen oder beim Vorzeigen abzudecken, ist dies online mit vom Aussteller digital signierten Nachweisen, sogenannten Zertifikaten, bisher nicht möglich: Bei einmal vom Aussteller erteilten Zertifikaten kann der Inhalt nicht variiert werden, denn herkömm­liche digitale Signaturen verlieren ihre Gültigkeit, sobald auch nur ein Teil der signierten Informa­tionen entfernt oder geändert wird.

Anders ist dies bei attributbasierten Nachweisen, den „privacy-enhancing attribute-based creden­tials“ oder kurz: Privacy-ABCs. Diese ermöglichen es, aus einem umfassenden Zertifikat einzelne Attribute zu bescheinigen, z. B. Name, Studieren­deneigenschaft oder Geburtsdatum. Nutzerinnen und Nutzer können die erforderlichen Angaben auch aus mehreren Zertifikaten von unterschied­lichen Ausstellern zusammenstellen. Die Signatu­ren und damit die Bescheinigungen der Aussteller, dass die Angaben korrekt sind, bleiben dabei erhalten. Privacy-ABCs erlauben es so, datenspar­sam bestimmte Eigenschaften gegenüber Dritten nachzuweisen, ohne die eigene Identität zu offen­baren.

Das ULD bearbeitet im Projekt ABC4Trust die grundlegenden datenschutzrechtlichen Fragestel­lungen von Privacy-ABCs. Hierzu werden sowohl der bestehende europäische Datenschutzrechts­rahmen als auch der Vorschlag zur europäischen Datenschutz-Grundverordnung herangezogen. Zu­dem beteiligt sich das ULD an der Vorbereitung der zwei geplanten Pilotprojekte, mit denen die Technologie getestet und evaluiert werden soll: Der eine Pilotversuch findet an einer weiter­führenden Schule in Schweden statt; hier werden Privacy-ABCs als Zugangskontrolle für ein daten­sparsames soziales Netzwerk eingesetzt. Der andere Pilottest wird es Studierenden der Uni­versität Patras in Griechenland ermöglichen, Lehr­veranstaltungen zu bewerten, an denen sie in ausreichender Häufigkeit teilgenommen haben. Dies können die Studierenden mit auf Smartcards gesammelten Zertifikaten nachweisen, ohne beim Bewerten ihre Identität zu offenbaren.

Das Konzept der Privacy-ABCs ermöglicht einen sehr viel größeren Grad an Datensparsamkeit als herkömmliche Ansätze: In der Tat käme man beim Einsatz von Privacy-ABCs in vielen etablierten Verfahren der privaten Wirtschaft und bei Behör­den mit weniger personenbezogenen Daten aus. Der Praxistest im Projekt soll helfen, die noch offenen Fragen, beispielsweise in Bezug auf die Bedienbarkeit und das Vermeiden von zusätz­lichen Risiken im Betrieb, zu beantworten. Ideal wäre eine Verbreitung geeigneter Privacy-ABCs als Bestandteil einer zukünftigen europäisch verein­heitlichten Neuauflage digitaler Personalausweise, die allerdings noch in weiter Ferne zu liegen scheint. Wir beteiligen uns an dem Diskussions­prozess auf europäischer Ebene, z. B. im Rahmen der Initiative „SSEDIC – Scoping the Single European Digital Identity Community“ oder im Projekt FutureID (Tz. 8.3), und weisen auf das Potenzial von Privacy-ABCs für mehr Datenschutz hin.

http://www.abc4trust.eu/

8.3          FutureID  – Wie soll die Zukunft von elektronischen Identitäten aussehen?

Mit der Einführung des neuen Personalausweises (nPA) hat Deutschland einen großen Schritt für eine Verwendung von elektronischen Identitäten in der Online-Welt gemacht. Dennoch steht die Entwicklung erst am Anfang.

Viele Fragen sind noch zu klären, bevor ein inter­operabler, grenzüberschreitender und vertrauens­würdiger Einsatz von elektronischen Identitäten (eIDs) möglich sein wird. Das Projekt FutureID leistet hierzu Grundlagenarbeit. Das im November 2012 gestartete EU-Projekt „FutureID – Shaping the Future of Electronic Identity“ verfolgt ein ehrgeiziges Ziel: In den drei Jahren Laufzeit sollen die insgesamt 19 Projektpartner aus elf europäi­schen Ländern eine Vorlage für den vertrauens­würdigen Einsatz von elektronischen Identitäten erarbeiten. Dabei spielen eIDs, wie sie in verschie­denen Ländern geplant oder sogar bereits einge­führt sind, ebenso eine Rolle wie Public-Key-Infrastrukturen. Auch Konzepte wie die Privacy-ABCs (Tz. 8.2) werden bei FutureID eingebunden.

Die erste Projektphase ist geprägt von einer umfas­senden Erhebung der Anforderungen, beispiels­weise aus den Bereichen Technik, Recht und Sozioökonomie, sowie spezieller zu Informations­sicherheit, Privatsphärenschutz, Usability, Barriere­freiheit und Inklusion. Überall, wo wir Berührungs­punkte mit dem Datenschutz sehen, bringen wir uns ein. Dazu orientieren wir uns an den Datenschutz-Schutzzielen Transparenz, Interve­nierbarkeit und Nichtverkettbarkeit (32. TB, Tz. 6.9), die mittlerweile auch Eingang in das novellierte Landesdatenschutzgesetz gefunden haben (Tz. 1.1).

Elektronische Identität

Der Sammelbegriff „elektronische Identitäten“ umfasst alle möglichen Arten von Daten und Mechanismen, die zu einer Authentisierung oder Identifizierung oder zum Nachweis von bestimmten Merkmalen (z. B. Altersverifika­tion) einer Person in der Online-Welt geeignet sind.

Die Abkürzung „eID“ wird zumeist dann ver­wendet, wenn die elektronischen Identitäten an ein Personaldokument, eine Chipkarte oder ein anderes Hardware-Token gebunden sind. Beim neuen Personalausweis in Deutschland bezeichnet die eID-Funktion den elektroni­schen Identitätsnachweis, der je nach Konfi­guration zur Authentisierung, zum selektiven Transfer von bestimmen, auf dem Ausweis gespeicherten Daten oder zur Volljährigkeits- oder Wohnortverifikation in Online-Trans­aktionen verwendet werden kann.

An dem geeigneten Rahmen für elektronische Identitäten wird in Europa auch in anderen Initia­tiven gearbeitet. Ein qualitativ eher zweifelhaftes Zwischenergebnis ist der im Juni 2012 vorgestellte Entwurf für eine „Verordnung des Europäischen Parlaments und des Rates über die elektronische Identifizierung und Vertrauensdienste für elektro­nische Transaktionen im Binnenmarkt“.

In der aktuellen Fassung des Verordnungsentwurfs ist von Datenschutz kaum die Rede; datenspar­same Funktionalität wie bei Privacy-ABCs kommt nicht vor. Der Entwurf nimmt keine Rücksicht auf die Datenschutzfunktionalität des deutschen nPA. Stattdessen wäre zu befürchten, dass in jedem Mitgliedstaat zum Zweck der grenzüberschreiten­den Authentisierung, beispielsweise beim Online-Einkauf, eine zentrale Stelle aufgebaut würde, die Personenidentifizierungsdaten zu prüfen hätte. Es besteht das Risiko, dass schon aus Haftungsgrün­den bei diesen Stellen große Datensammlungen entstehen, die ein Abbild aller grenzüberschrei­tenden Verwendungen dieser elektronischen Iden­titäten enthalten. Beispielsweise wäre dann ge­speichert, wer wann wo grenzüberschreitend eingekauft, eine Verwaltungsdienstleistung ge­nutzt oder sich an einer Petition beteiligt hat.

Hier ist dringend eine Änderung geboten. FutureID wird durch seine Vorschläge für die Ausgestaltung elektronischer Identitäten und einer entsprechen­den Infrastruktur Alternativen aufzeigen.

http://www.futureid.eu/

8.4          TClouds  – Trustworthy Clouds

Das von der EU geförderte Projekt „TClouds – Trustworthy Clouds“ forscht seit über zwei Jahren an Lösungen, um Datenschutz und Informations­sicherheit für Cloud Computing zu gewährleisten.

Seit dem Start des Projektes im Oktober 2010 hat das ULD zusammen mit Projektpartnern aus Wis­senschaft und Wirtschaft verschiedene Ansätze erarbeitet, um vertrauenswürdiges Cloud Compu­ting zu ermöglichen (siehe auch Tz. 5.7). Zu den Ergebnissen gehören sowohl rechtliche Analysen und Hilfestellungen als auch technische Lösungen. Die im Projekt entwickelte Cloud-Computing-Platt­form wird in drei technische Prototypen integriert:

• „Trusted Infrastructure Cloud“ – eine Cloud-Architektur basierend auf Trusted-Computing-Technik, die vor allem für den Einsatz als Private Cloud oder Community Cloud geeignet ist.
• „Trustworthy OpenStack“ – eine Erweiterung der freien Cloud-Computing-Software OpenStack um Tools, die die Sicherheit und Transparenz einer Public Cloud erhöhen können, z. B. Verschlüsselung, Remote Attestation und Logging Services.
• „Cloud-of-Clouds“ – eine föderierte Nutzung mehrerer Clouds, wodurch sich beispiels­weise Verfügbarkeit und Integrität der gespeicherten Informationen erhöhen lassen.

Ein Großteil der entwickelten Software wird nach Abschluss des Projektes als Open Source zur Verfü­gung stehen.

Zusätzlich arbeitet das ULD im Rahmen von TClouds daran, die rechtlichen Rahmenbedingun­gen für Cloud Computing zu analysieren, zu evaluieren und praxisnahe Hilfestellungen für Anbieter und Kunden zu geben. Hierfür wurden relevante Cloud Assessment Schemes und Zertifi­zierungen untersucht und verglichen. Zudem erstellt das Projektteam eine Orientierungshilfe zur Vertragsgestaltung für grenzüberschreitende Cloud-Dienste nach geltendem Recht und entwickelt rechtspolitische Vorschläge. Die Ergebnisse der ersten zwei Projektjahre sind auf der TClouds-Website in englischer Sprache veröffentlicht:

http://www.tclouds-project.eu/

8.5          Datenschutz-Auskunftsportal

Das Forschungsprojekt „Datenschutz-Auskunfts­portal“ macht Verbesserungsvorschläge zur effekti­ven Umsetzung des datenschutzrechtlichen Aus­kunftsanspruchs.

Für Verbraucherinnen und Verbraucher ist es oft nicht einfach, von ihrem datenschutzrechtlichen Auskunftsanspruch gegenüber Unternehmen Ge­brauch zu machen, obwohl Transparenz zu den Grundvoraussetzungen für Datenschutz gehört und hieran ein zunehmendes öffentliches Interesse besteht. Dies zeigen viele Anfragen und Eingaben beim ULD, die sich auf die Form und die Durchführung der Erledigung von Auskunftsanfra­gen sowie unterbliebene oder unvollständige Auskünfte beziehen. In diesen Fällen hat das Unternehmen meist versäumt, einen Prozess zur Erteilung von Auskunft aufzusetzen. Dadurch entstehen hinsichtlich der korrekten, vollständigen und rechtzeitigen Auskunftserteilung Defizite.

Diese Situation soll durch das Forschungsprojekt „Datenschutz-Auskunftsportal“ verbessert werden, das nach 15-monatiger Laufzeit im Oktober 2012 endete. Das Projekt zielt darauf ab, den Aufwand auf Verbraucherseite bei der Wahrnehmung des Auskunftsrechts deutlich zu verringern. Die Unter­stützung für Verbraucherinnen und Verbraucher sollte vor allem darin bestehen, dass ihre Anfragen formuliert und an die Unternehmen direkt adres­siert werden. Eine Internetplattform sollte zudem allgemeine Informationen zum Auskunftsrecht sowie standardisierte Schreiben an die Unter­nehmen anbieten. Zudem sollte Unternehmen die Abwicklung von Auskunftsanfragen mit Tools zur prozessgestützten Bearbeitung der Auskunftsersu­chen erleichtert werden, auch um Aufwand und Kosten auf Unternehmensseite zu reduzieren.

Das Projekt wurde vom Kieler IT-Unternehmen Consist Software Solutions GmbH koordiniert und zusammen mit ConPolicy und dem ULD durch­geführt. Das ULD erarbeitete projektbegleitend die datenschutzrechtlichen Anforderungen an Daten­schutz-Auskunftsportale. Ein zentraler Aspekt be­stand in dem Entwurf eines Konzeptes, das möglichst datensparsam eine zentrale Datenhal­tung über das Auskunftsverhalten der Anfragen­den verhindert. Daran orientierte sich das ent­wickelte Labormuster, dessen Schwerpunkt auf einem Internetportal und der Interaktion mit den Verbraucherinnen und Verbrauchern liegt.

Die Ergebnisse des ULD wurden zum Projektende veröffentlicht und stehen allen Interessierten zur Verfügung. Die beiden Industriepartner prüfen, in welcher Form das Auskunftsportal seinen Echt­betrieb aufnehmen kann.

https://www.datenschutzzentrum.de/projekte/auskunftsportal/

8.6          Anfragen zu Datenschutz in Online-Spielen  nehmen zu

Im Rahmen des Projekts „DOS – Datenschutz in Online-Spielen“ veröffentlichten wir 2010 eine Studie und Leitfäden zu Datenschutzfragen rund um Online-Videospiele (33. TB, Tz. 8.5).

Zahlreiche Anfragen zu aktuellen Problemen und Fragen von Bürgern, Herstellern und Institutionen haben uns seitdem erreicht. Das Thema ist im Tagesgeschäft angekommen; die Probleme neh­men zu. Als wir 2007 mit dem Projekt DOS, gefördert vom Bundesministerium für Bildung und Forschung, begannen, gab es kaum eine Sensi­bilisierung für das Thema.

Die breite öffentliche Diskussion um „Origin“ von der Firma Electronic Arts (EA) Ende 2011 führte bei uns zu einer starken Zunahme besorgter Eingaben und Anfragen. Nutzende von PC-Spielen von EA, Battlefield 3 oder Fussball Manager 12 mussten zum Spielen die Software bzw. den Dienst „Origin“ installieren.

Dessen Datenschutzerklärung war so weit gefasst, dass sie die Analyse sämtlicher Dateien eines PCs im Hintergrund durch EA erlaubte, ohne dass die Spieler hierüber ausreichend informiert worden wären. EA musste aufgrund des öffentlichen Drucks – insbesondere der Spieler – seine Erklä­rungen präzisieren und zusichern, dass bestimmte Analysen, etwa von privaten Fotos, durch die Software nicht erfolgen. Inzwischen kam es durch den Verbraucherzentrale Bundesverband (vzbv), mit dem das ULD in engem Kontakt steht, zu ersten Abmahnungen von Spieleherstellern u. a. wegen unklarer Nutzungs- und Datenschutzbe­stimmungen.

Unsere aktuellen Analysen von neuen Online-Spielen und -Diensten wie Steam, Nintendo Network, Playstation Network usw. zeigen leider, dass in der Regel das gesamte Nutzungsverhalten von Spielerinnen und Spielern erfasst und ausge­wertet wird, ohne dass diese das unterbinden können und Informationen über Löschungsrechte oder eine anonyme bzw. pseudonyme Nutzung im rechtlich geforderten Maß erhalten. Selbst Auswer­tungen von Chats usw. behalten sich unter Verstoß gegen das Telekommunikationsgeheimnis einige Hersteller vor.

8.7          SurPRISE  – Sicherheit versus Privatsphäre aus Bürgersicht

SurPRISE ist ein von der EU gefördertes und im Februar 2012 begonnenes Projekt, das die Sicht­weise europäischer Bürgerinnen und Bürger im Hinblick auf das Spannungsverhältnis zwischen Sicherheit und Privatsphäre untersucht.

Das Projektakronym SurPRISE steht für „Sur­veillance, Privacy and Security: A large scale participatory assessment of criteria and factors determining acceptability and acceptance of security technologies in Europe“. Wenn heute technische Lösungen zur Erhöhung der öffent­lichen Sicherheit eingesetzt werden, stellen sich regelmäßig Fragen hinsichtlich damit einherge­hender Eingriffe in die persönliche Freiheitssphäre der Bürgerinnen und Bürger durch Überwachungs­maßnahmen. Die Beeinträchtigung der Privat­sphäre mag aus Sicht von Polizei und anderen Sicherheitsbehörden ein akzeptabler Preis für eine umfassendere Sicherheit, etwa vor terroristischen oder anderen schweren Straftaten im öffentlichen Raum, sein. Es liegen aber zumeist keine oder nur wenige genaue Erkenntnisse vor, ob die vermutete breite Akzeptanz von Bürgerinnen und Bürgern in Europa zum Wohle der öffentlichen Sicherheit das Meinungsbild tatsächlich widerspiegelt.

SurPRISE lenkt den Fokus auf die öffentliche Wahr­nehmung des Einsatzes und der Auswirkungen von Sicherheitstechnologien. Zu diesem Zweck wird während der dreijährigen Projektlaufzeit eine repräsentative europaweite Bürgerbefragung durchgeführt. Diese soll das aktuelle Stimmungs­bild von europäischen Bürgerinnen und Bürgern hinsichtlich der Folgen staatlicher Überwachung mittels moderner Sicherheitstechnologien einfan­gen. Des Weiteren wird erforscht, welche Anfor­derungen neuartige Sicherheitstechnologien erfül­len müssten, um aus Sicht der Betroffenen akzep­tanzfähig zu sein. Hierbei kommen Möglichkeiten datenschutzgerechter Gestaltung von Sicherheits­technologien ins Spiel.

Die Ergebnisse sollen in einen Anforderungs­katalog für die Akzeptanzfähigkeit des Einsatzes staatlicher Sicherheitstechnologien einfließen. Dieser soll dann als Hilfestellung für die Gestaltung von Sicherheitsstrategien und entsprechenden legislativen Maßnahmen auf europäischer Ebene dienen. Die Aufgabe des ULD ist es, in Europa eingesetzte Sicherheitstechnologien und deren Auswirkungen auf die Privatsphäre von Bürgerin­nen und Bürgern zu beschreiben und mögliche datenschutzfreundliche Ausgestaltungen solcher Technologien nach dem sogenannten „Privacy by Design“-Prinzip aufzuzeigen.

8.8          Multi-Biometrische 3D-Gesichtserkennung

Im Rahmen der Unterstützung der polizeilichen Ermittlungsarbeit durch technische Verfahren ge­winnen visuelle Erkennungssysteme auf der Basis biometrischer Daten eine zunehmende Bedeu­tung. Hierbei sind die datenschutzrechtlichen Rahmenbedingungen zu beachten.

Die Gesichtsbilderkennung ist ein wichtiges Mittel zur polizeilichen Personenidentifizierung. Dabei werden tatrelevante Bilder, z. B. die Videoaufnah­men von einem Überfall, mit den Bilddaten von Personen verglichen, die in polizeilichen Dateien gespeichert sind. Derzeit erfolgt diese Identifi­zierung durch die zweidimensionale biometrische Gesichtserkennung. Dies ist – aus technischer Sicht – verbesserungsfähig. Im Projekt „GES-3D – Multi-Biometrische Gesichtserkennung“ soll ein Ver­fahren entwickelt werden, das die polizeiliche Identifizierung von Straftätern aus tatrelevanten Foto-/Videodaten mittels Abgleich mit 3D-Gesichts­bilddaten ermöglicht.

An dem Verbundprojekt sind sieben Partner betei­ligt – Industriepartner und Forschungseinrichtun­gen, das Bundeskriminalamt als Endanwender und das ULD. Die Förderung des Vorhabens erfolgt aus Mitteln des Bundesministeriums für Bildung und Forschung. Das ULD hat die Aufgabe, die daten­schutzrechtlichen Rahmenbedingungen für die Gestaltung und den Einsatz des Systems projekt­begleitend herauszuarbeiten und die Projektpart­ner in allen Bereichen zum Thema Datenschutz und Datensicherheit zu unterstützen.

8.9          MonIKA  – Erkennung und Bekämpfung von Botnetzen und Cyber-Angriffen

Unter dem Titel „Monitoring durch Informations­fusion und Klassifikation zur Anomalieerkennung – MonIKA“ fördert das Bundesministerium für Bil­dung und Forschung seit März 2012 für zwei Jahre ein Projekt zur Analyse und Bekämpfung von Botnetzen.

Nicht nur der massenhafte Versand unerwünschter E-Mails, sogenannter Spam-Mails, sondern auch im Internet durchgeführte Angriffe auf Computer­systeme lassen sich häufig auf bestehende Bot­netze zurückführen, bei denen die Computer einzelner Internetteilnehmer mit Schadsoftware infiziert und dann für entsprechende Angriffe missbraucht werden. Meistens geschieht dies ohne Kenntnis der jeweiligen Computernutzer, was die Erkennung und Bekämpfung der Botnetze er­schwert.

Die Internet Service Provider (ISPs) bemerken in solchen Fällen oft ein ungewöhnliches Nutzungs­verhalten (sogenannte Anomalie) bei Botnetz-infizierten Netzteilnehmern. Diese Information allein genügt jedoch nicht, um daraus umfassende und vollständige Informationen über ein eventuell aktives Botnetz zu gewinnen. Erst durch den Abgleich mit Anomaliedaten anderer ISPs kann ein Botnetz vollständig erfasst werden, sodass geeig­nete Gegenmaßnahmen eingeleitet werden kön­nen. Beispielsweise könnten Netzteilnehmer über Botnetz-Infektionen ihrer Systeme unterrichtet und bei der Löschung der Botnetz-Schadsoftware auf ihren Computern unterstützt werden.

Im Projekt MonIKA untersuchen wir Fragen der Zulässigkeit der Erhebung, Verarbeitung und Nutzung von Daten, um Botnetze erkennen und bekämpfen zu können. Wir suchen nach Ant­worten, unter welchen Bedingungen Daten zum Zweck der Analyse von Angriffen weitergegeben und zusammengeführt werden dürfen. Wir berück­sichtigen hierbei auch die auf EU-Ebene diskutierte Meldepflicht bei Cyber-Angriffen. Unser Beitrag mit dem Schwerpunkt Datenschutzrecht wird flankiert von der zivilrechtlichen Begutachtung durch das Institut für Informations-, Telekommu­nikations- und Medienrecht der Westfälischen Wilhelms-Universität Münster. Gemeinsam mit den technischen Projektpartnern, dem Fraunhofer-Institut FKIE und dem EADS-Unternehmen Cassi­dian, wollen wir geeignete Lösungen entwickeln. Eine wesentliche Rolle werden hierbei innovative Verfahren zur Anonymisierung und Pseudonymi­sierung spielen.

Zurück zum vorherigen Kapitel

Zum Inhaltsverzeichnis

Zum nächsten Kapitel