Eine Analyse von IT-Sicherheitsexperten der Mint Secure GmbH zeigt, dass die beiden führenden deutschen Anbieter von e-Passfotos seit 1. Mai biometrische Passbilder in der AWS-Cloud speichern und damit mutmaßlich im Graubereich der neuen Personalausweisverordnung (PAuswV) arbeiten. Millionenfach werden so absehbar biometrische Passbilder bei einem US-Anbieter abgelegt. Außerdem gibt es kritische Schwachstellen in verwendeten Open Source Lösungen und weitere Herausforderungen im Bereich des Datenschutzes.
Wichtig: Die in diesem Artikel vorgestellten Informationen wurden unmittelbar nach der Umstellung zum 1. Mai (erstes Mai-Wochenende) erhoben und werden durch Updates & Rückmeldungen der verantwortlichen Stellen am Ende des Artikels ergänzt. Des Weiteren sind die genannten Anbieter noch nicht in der Liste der zertifizierten Anbieter gelistet – trotzdem nehmen sie offenbar bereits biometrische Fotos entgegen.
Seit dem 1. Mai 2025 sollen nach der neuen Personalausweisverordnung (PAuswV) biometrische Passbilder für die Beantragung von Personalausweisen, Reisepässen oder Aufenthaltstiteln ausschließlich digital übermittelt werden – Papierpassbilder werden nur noch in Ausnahmen angenommen und haben damit (zumindest in diesem Anwendungsbereich) ausgedieht.
Doch wie sicher sind eingesetzte Verfahren? Wie wird mit Aspekten des Datenschutzes, der IT-Sicherheit und digitaler Souveränität umgegangen? Welche Folgen hat die Umstellung konkret? Die Verfahren und Anbieter entsprechender Lösungen sind bislang wenig transparent, Grund genug sich dies einmal technisch und datenschutzrechtlich etwas näher anzuschauen.
Biometrische Passbilder zählen zu den besonderen Kategorien personenbezogener Daten gemäß Art. 9 DSGVO, da sie biometrische Daten zur eindeutigen Identifizierung einer Person darstellen. Das heißt sie sind besonders schützenswert und es sind entsprechend umfangreiche technische und organisatorische Maßnahmen (TOMs) vorzunehmen. Darüber hinaus sollte eine Datenschutz-Folgenabschätzung nach Art. 35 EU-DSGVO erfolgen (da bei biometrischen Bildern von einem hohen Risiko für Betroffene ausgegangen werden sollte).
In „§ 5a Fertigung und Übermittlung des Lichtbilds durch ein sicheres Verfahren“ der PAuswV (Kapitel 2) werden zwei zulässige Verfahren zur Übermittlung des digitalen Passfotos beschrieben:
Das zweite Verfahren wird auf Geräten der Bundesdruckerei in den Pass- oder Personalausweisbehörde vor Ort durchgeführt und kann – der vorliegenden Analyse folgend – datenschutzsparsamer und grundrechtsschonender erfolgen. Der vorliegende Artikel betrachtet in der Tiefe ausschließlich das erste Verfahren (also die Nutzung von Cloudanbietern zur Übertragung an Behörden).
Die zwei größten Cloud-Anbieter für e-Passfotos sind:
Beide Anbieter streben offenbar eine Zertifizierung ihrer Cloud-Komponenten nach TR-03170 des BSI an – sind bislang allerdings noch nicht formal auf der Website vermerkt.
Das BSI hat mit der technischen Richtlinie TR-03170 eine Reihe von Unterlagen zu dem Thema erstellt, die folgend verlinkt sind:
BSI TR -03170 Schnittstellenspezifikation (v1.0.2)
BSI TR-03170 Prüfspezifikation (v1.2)
Im Rahmen der vorliegenden Betrachtung ist vor allem das Dokument „Teil 1 – Anforderungen an den Cloud-Dienst“ und die „Prüfspezifikation (v1.2)“ relevant. Außerdem helfen die Unterlagen enorm zu verstehen, wie genau die Abläufe vorgesehen sind.
In den Berichterstattungen rund um das Thema wurde oft erwähnt, dass biometrische Bilder direkt an Behörden übermittelt werden, das ist jedoch nicht korrekt – da vor Übertragung an eine Behörde (etwa zum Ausstellen eines neuen Ausweises) eine Speicherung in einer Art „Zwischencloud“ der Dienstleister vorgenommen wird. Dort werden die biometrischen Fotos verschlüsselt abgelegt, der Schlüssel soll – so die Idee – ausschließlich im Data Matrix Code enthalten sein, den BürgerInnen zu Behörden mitbringen. Erst anschließend erfolgt dort ein Abruf und eine Entschlüsselung, sowie Benutzung des biometrischen Passbildes.
Folgende Grafik aus der technischen Richtlinie 03170 des BSI zeigt, wie das Gesamtverfahren gedacht ist:
Um technisch einen tieferen Einblick in die eingesetzten IT-Systeme zu erhalten, haben Sicherheitsexperten der Mint Secure GmbH sich am ersten Mai-Wochenende, also kurz nach Livegang der Systeme, die beiden Anbieter etwas näher angeschaut – indem sie kurzerhand selbst Passfotos von sich anfertigen lassen haben. Nach einigen Besuchen bei Fotografen (einige konnten kein Foto nach dem neuen Verfahren bereitstellen, da noch nicht die neuste Software vorlag) lagen entsprechende dm-Codes (Data Matrix ECC 200 nach ISO/IEC 16022) vor.
Die in der Data Matrix hinterlegten Informationen sind (der TR-03170 folgend, vgl. S. 7) base64-kodiert. Nach einer Dekodierung lässt sich der URL, ID und der zugehörige symmetrische Schlüssel entnehmen.
Durch die Untersuchungen der Data Matrix Codes konnten folgende URLs für die Anbieter extrahiert werden:
Bei den Systemen der Anbieter wurde die Stärke der Transportverschlüsselung geprüft (mit testssl.sh & ssllabs.com).
ssllabs.com Testergebnis von image-download.prod.imagesign.link
ssllabs.com Testergebnis von d.biometric-photos-prod.aws.dmtech.cloud
Dabei verwunderte zunächst das Ergebnis von T bei beiden Lösungen.
Dies lässt sich jedoch darauf zurückführen, dass eine private PKI (des Bundes) genutzt wird, die in gewöhnlichen Browsern kein Vertrauen genießt. Mutmaßlich werden bei Software-Installation auf Behördenseite entsprechende Zertifikate genutzt, um eine sichere TLS-Verschlüsselung zu ermöglichen. Ansonsten wäre die Bewertung der TLS-Verschlüsselung bei ssllabs als B eingestuft worden und würde das Schutzniveau der oben angeführten technischen Richtlinie erfüllen.
Neben dem Ergebnis ist auch ersichtlich, dass die entsprechenden Server (von beiden Anbietern) mutmaßlich innerhalb der AWS-Cloud (vermutlich Region Frankfurt) betrieben werden. Dies wurde auch durch weitere Untersuchungen festgestellt. Die Anbieter sprechen auf ihren Websiten ausschließlich von „sicherer dm-Cloud“ oder „C5-Hochsicherheits-Cloud“ und nennen AWS nicht.
Wie im Rahmen der Analyse erkennbar war, setzen beide Lösungen auf Amazon Web Services (AWS) und speichern dort (symmetrisch verschlüsselt) die entsprechenden biometrischen Passbilder.
Im Gesetz heißt es in „§ 5b Übermittlung des Lichtbilds unter Einbindung eines Cloudanbieters“:
„(4) Die Verarbeitung der personenbezogenen Daten darf ausschließlich durch einen im Gebiet der Europäischen Union ansässigen Cloudanbieter und ausschließlich im Gebiet der Europäischen Union erfolgen.“
Betrachtet man diesen Satz genau, kommt man ins Nachdenken: Handelt es sich bei verschlüsselten biometrischen Passbildern um personenbezogene Daten? Ist AWS ein in der Europäischen Union ansässiger Cloudanbieter? Wie haben die Autoren des Gesetzes wohl diesen Absatz gemeint?
Es lassen sich ein paar Dinge folgern bzw. Überlegungen anstellen:
„Personenbezogene Daten“: Es ist rechtlich umstritten, ob ein verschlüsseltes biometrisches Bild als „personenbezogenes Datum“ eingestuft werden muss. Wirklich nicht mehr personenbeziehbar wäre es dann, wenn keinerlei Rückschlüsse mehr auf die identifizierbare natürliche Person möglich sind (vgl. Art. 4 Nr. 1 DSGVO). Auch verschlüsselte Daten bleiben personenbezogen, solange sie prinzipiell einer Person zugeordnet werden können — zum Beispiel wenn es eine Möglichkeit gibt, sie wieder zu entschlüsseln (im vorliegenden Fall wäre das jedoch – so die Idee – ausschließlich über den dm-Code der Fall). Es ist auch ein Rückschluss durch andere Informationen denkbar (bspw. die Uhrzeit, Filiale, den bearbeitenden Mitarbeitenden oder eine Auftragsnummer – die zumindest bei dm vorliegt). Ob solche Rückschlüsse möglich sind, wissen nur die Betreiber. Sie gänzlich auszuschließen scheint jedoch nicht möglich.
Um eine weitergehende datenschutzrechtliche Einschätzung dazu vorzunehmen, bietet es sich an zunächst einmal zu betrachten, ob AWS in der EU ansässig ist: AWS Europe (AWS EMEA SARL) ist eine eingetragene Gesellschaft mit Sitz in Luxemburg (EU), damit wird das Kriterium der EU-Ansässigkeit nach § 5b weitestgehend erfüllt. Allerdings ist AWS ist eine Tochtergesellschaft des US-amerikanischen Mutterkonzerns (Amazon.com, Inc.), das ist datenschutzrechtlich relevant, weil Konzernverbindungen bestehen. Selbst wenn Daten physisch nur in der EU liegen, könnte es sein, dass AWS-Personal aus den USA (oder weltweit) darauf zugreifen kann (etwa für Support, Wartung). Das wäre ein Datenfluss in ein Drittland (bspw. die USA) — auch wenn die Daten nicht physisch bewegt werden, könnte dies im Konflikt mit dem oben genannten Gesetz stehen.
Darüber hinaus gibt es mit dem CLOUD Act (Clarifying Lawful Overseas Use of Data Act), der im Jahr 2018 in Kraft getreten ist, ein mächtiges Gesetz, welches amerikanische Internet-Firmen und IT-Dienstleister verpflichtet US-Behörden auch dann Zugriff auf gespeicherte Daten zu gewährleisten, wenn die Speicherung nicht in den USA erfolgt.
Nun könnte man abschließend ins Feld führen, dass die biometrischen Passfotos verschlüsselt sind und deshalb keine Gefahr bestehe. Verschlüsselung ist jedoch immer nur ein Schutz auf Zeit. Es scheint in einer nachrichtendienstlichen Logik sinnvoll und möglich, dass Geheimdienste ein Interesse daran haben könnten die verschlüsselten biometrischen Passbilder zu speichern, um sie in einigen Jahrzehnten (bspw. nach Verfügbarkeit leistungsfähiger Quantencomputer) zu entschlüsseln. Letztlich hätte man so biometrische Informationen von nahezu jeder Person in Deutschland.
Auch aus Perspektive der digitalen Souveränität (einem Begriff, der ohnehin schwer definierbar ist) scheint die Nutzung der AWS-Cloud nachdenklich zu stimmen. Denn bei einem Ausfall der AWS-Region könnten entsprechende Behörden zunächst keine Fotos mehr abrufen – wirklich souverän wäre das sicher nicht. Es bleibt unklar, wieso sich beide Anbieter für AWS als Dienstleister entschieden haben, wieso die TR-03170 nicht noch expliziter regelt, dass US-Anbieter beispielsweise nicht eingesetzt werden sollten.
Andere Fachartikel von Datenschutzexperten kommen, selbst bei Verschlüsselung von Daten in der Cloud, zu ähnlichen Einschätzungen: Es gibt keine echte digitale Souveränität mit US-Clouds!
Es gibt keine echte digitale Souveränität mit US-Clouds
Es lässt sich festhalten: Auch wenn die Anbieter auf ihren Websiten und Pressemitteilungen derzeit von „C5-Hochsicherheits-Cloud“ oder „zertifizierter dm-Cloud“ sprechen – letztlich liegen zukünftig massenhaft verschlüsselte, biometrische Passbilder (mutmaßlich mit weiteren Daten, welche möglicherweise Rückschlüsse zulassen) in der AWS-Cloud.
Das kann und sollte aus den oben angeführten Gründen als problematisch betrachtet werden.
Neben den Daten von BürgerInnen (primär dem biometrischen Passfoto) gibt es eine weitere Betroffenengruppe im Sinne des Datenschutzes, welche im Rahmen der Betrachtung relevant ist: Mitarbeitende in Fotostudios oder dm-Drogeriemärkten.
Denn die Verordnung sieht vor, dass jeder einzelne Upload mit einem Personalausweis signiert wird. Dadurch wird offenbar das Schutzziel der Nachvollziehbarkeit verfolgt (es wird darüber nachvollziehbar, wer wann welches Foto gemacht hat). Bei dm-Mitarbeiten stößt das teilweise auf Unmut – dm versucht(e) die Mitarbeitenden laut Medienberichten mit einem 40€-Gutschein dazu zu bewegen ihre eID-Funktion im Personalausweis freizuschalten.
Ein Vorgehen was gleich unter mehreren Gesichtspunkten kritisch ist:
Letztlich steht dm und mögliche andere Dienstleister dabei jedoch „zwischen den Stühlen“, denn die PAuswV verlangt klar, dass bei jedem Upload ein Identitätsnachweis erfolgen muss.
Zusätzlich zu den zuvor genannten verschlüsselten, biometrischen Passbildern ist es wahrscheinlich, dass auch Mitarbeitendendaten in der AWS-Cloud gespeichert werden. Die betroffenen Mitarbeitenden müssten umfänglich darüber informiert werden, was mit ihren Daten geschieht oder können Nachfragen dazu stellen (u.a. Recht auf Auskunft nach Artikel 15 DSGVO, etc.).
Eine starke Blackbox ist auch die Prüfung nach biometrischen Regeln – im Rahmen der Verordnung und auch der TR ist vorgesehen, dass Bilder vor dem Upload auf biometrische Merkmale nach TR-03121 geprüft werden (sonst wird in der Regel erst kein Upload ermöglicht). Unklar ist, ob die Prüfung auf den Endgeräten, mit denen das Foto aufgenommen wird selbst stattfindet (lokal) oder ob ein weiterer Dienstleister per Upload Daten erhält.
Bei dm werden für die biometrischen Passbilder üblicherweise die Mitarbeitenden-Smartphones mit einer speziellen App verwendet, um zunächst eine Übertragung auf einem Foto-Terminal in der Filiale vorzunehmen und dann eine Übertragung in die Cloud durchzuführen.
Zu diesem Vorgehen und dem Datenschutz im Rahmen des Prozesses finden sich derzeit keine oder kaum Informationen auf den Websites der Anbieter. Insgesamt wird ein möglicher Informationsbedarf nicht ausreichend abgedeckt (dm verfügt über ein FAQ, was die Themen etwas beschreibt – im Ringfoto-FAQ finden sich kaum Details zum Thema Datenschutz, obwohl es mit Passbildern um sensible Informationen geht).
Laut Verfahren ist vorgesehen, dass die Fotos in der AWS-Cloud 6 Monate liegen oder beim Besuch der Behörde gelöscht werden können. Eine Mehrfachverwendung ist möglich.
Es lässt sich feststellen, dass – wie oben beschrieben – die Verarbeotung der Fotos (bspw. bei dm) durch zahlreiche IT-Systeme verläuft, bevor das Foto abschließend durch Behörden heruntergeladen wird, wie folgendes schematisches Schaubild zeigt:
Die verschiedenen Geräte bieten dabei eine mögliche Angriffsfläche und sind teilweise auch in der technischen Richtlinie nicht aufgeführt (da diese letztlich nur den Anwendungsbereich der Upload-Software und Cloud-Systeme abdecken, selbst die Behördensoftware werden kaum beschrieben).
Datenschutzrechtlich haben betroffene Personen (neben weiteren Rechten) das Recht auf Auskunft (Art. 15 DSGVO) und auf Löschung (Art. 17 DSGVO).
Auch in der technischen Richtlinie des BSI (vgl. S. 8) steht, dass steht, dass die DSGVO voll eingehalten werden muss:
Diese Rechte gelten für personenbezogene Informationen. Wie oben angeführt ist etwas fraglich, ob ein verschlüsseltes biometrisches Passbild noch als personenbezogene Information betrachtet werden kann. Es ist jedoch in der Praxis schwer sicherzustellen, dass absolut kein Rückschluss mehr auf die einzelne Person möglich ist – insofern wird davon ausgegangen, dass diese Rechte voll erfüllt werden müssen.
dm schreibt auf der Website im zugehörigen FAQ (Archiv) zur Frage „Kann ich mein Bild nachträglich noch einmal abrufen oder löschen lassen?“ interessanterweise, dass eine Löschung nur durch die Behörden möglich sei:
Das wirft jedoch spannende datenschutzrechtliche Fragen auf, denn dm ist nachwievor das verantwortliche Unternehmen (die Cloud gehört dm und dm hat die Daten verarbeitet) und müsste dementsprechend auch die Rechte (in diesem Fall Löschung) durchsetzen oder an Dienstleister mit Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO abgeben – es erscheint jedoch unwahrscheinlich, dass dm mit jeder Behörde einen AVV geschlossen hat und es könnte sein, dass dm damit eine falsche Auskunft im FAQ gibt.
Mitarbeitende der Mint Secure GmbH haben vor kurzem die Anbieter kontaktiert und um ein Recht auf Auskunft (Art. 15 DSGVO) und eine Kopie sämtlicher personenbezogenen Daten gebeten gemäß Art. 15 Abs. 3 DSGVO gebeten. Durch die Anfragen soll ermittelt werden, welche Dienstleister möglicherweise zum Einsatz kommen und wie genau der Prozess (siehe oben) erfolgt.
Die Anfragen sind folgendermaßen formuliert:
Sehr geehrte Damen und Herren,
vor kurzem habe ich bei Ihnen ein biometrisches Passfoto in [Filiale] erstellen lassen – das nach dem neuen Verfahren (PAuswV) angefertigt wurde.
Gemäß Art. 15 DSGVO bitte ich um Auskunft über die Verarbeitung meiner personenbezogenen Daten, insbesondere im Hinblick auf Fotos und biometrische Daten (wie beispielsweise Bilder, die zur biometrischen Identifikation geeignet sind). Aus meiner Sich handelt es sich nach Art. 9 DSGVO um besondere Kategorien personenbezogener Daten, da das Bild biometrisch verarbeitet wurde, um eine Person eindeutig zu identifizieren (Prüfung auf biometrische Merkmale / Gesichtserkennung).
Ich bitte Sie mir mitzuteilen:
– Ob personenbezogene Daten (insbesondere Fotos oder biometrische Daten) von mir verarbeitet werden.
– Welche personenbezogenen Daten (insbesondere Fotos oder biometrische Daten) von mir gespeichert oder verarbeitet werden.
– Zu welchen Zwecken diese Daten verarbeitet werden.
– An welche Empfänger bzw. Kategorien von Empfängern diese Daten weitergegeben wurden oder werden.
– Welche Subdienstleister im Zuge der Datenerhebung / Datenverarbeitung beteiligt waren.
– Die geplante Speicherdauer bzw. Kriterien für die Festlegung der Speicherdauer.
– Die Herkunft der Daten, sofern sie nicht direkt bei mir erhoben wurden.
– Ob eine automatisierte Entscheidungsfindung einschließlich Erkennung der Eignung zur biometrischen Erkennung, Profiling gemäß Art. 22 DSGVO erfolgt und — falls ja — aussagekräftige Informationen über die involvierte Vertragspartner, Logik sowie die Tragweite und angestrebten Auswirkungen einer solchen Verarbeitung.
Zusätzlich bitte ich um eine Kopie sämtlicher personenbezogener Daten, die Sie über mich gespeichert haben, gemäß Art. 15 Abs. 3 DSGVO. Ich bitte um eine Antwort innerhalb der gesetzlich vorgesehenen Frist von einem Monat (Art. 12 Abs. 3 DSGVO).
Bei Fragen bin ich gern erreichbar.
Die Dienstleister haben nun einen Monat Zeit für eine Antwort, da dies die gesetzlich vorgesehene Frist ist (vgl. Art. 12 Abs. 3 DSGVO). Möglicherweise wird nach einer Antwort auch von dem Recht auf Löschung Gebrauch gemacht. Auch hier bleibt mit Spannung abzuwarten, ob und wie die Anbieter in der Lage sind dieses Recht zu erfüllen.
Prinzipiell können diese jedoch nur 2 Positionen einnehmen:
Es ist rechtlich fragwürdig, wenn das Recht auf Löschen nur über die Behörden möglich wäre. Letztlich ist der Betreiber der Cloud für die Daten verantwortlich und muss auch DSGVO-Rechten voll nachkommen.
Wer als Bürgerin oder Bürger diese datenschutzrechtlichen Problematiken allesamt umschiffen möchte und seine (verschlüsselten) biometrischen Fotos lieber nicht in der AWS-Cloud abgelegt wissen möchten, für die und den gibt es abschließend noch eine gute Nachricht: Wie eingangs erwähnt gibt es neben der Nutzung von Cloud-Dienstleistern laut Verordnung auch die Möglichkeit zertifizierte Lichtbildaufnahmegerät in den jeweiligen Behörden zu nutzen, diese werden derzeit in immer mehr Behörden ausgerollt.
Aus Perspektive des Datenschutzes und der IT-Sicherheit scheint das die bessere Wahl zu sein.
Neben den hier genannten Informationen wurden Dienstleister im Kontext der Verarbeitung der biometrischen Fotos auf schwerwiegende Sicherheitslücken in verwendeten Open Source Komponenten hingewiesen. Da bislang eine Reaktion bislang ausbleibt, werden hier zunächst keine weiteren Details genannt. Updates zu allen hier beschrieben Themen folgen laufend in diesem Blogpost.
Update (09.05.2025): Netzpolitik.org hat zu unserer Untersuchung einen Artikel veröffentlicht, damit hat der Artikel mehr Personen erreicht, als wir gedacht haben und uns haben ein paar Rückmeldungen erreicht. Im Artikel oben wird mehrfach abgeführt, dass die Passbilder verschlüsselt abgelegt werden, trotzdem halten wir eine Ablage in der AWS-Cloud aus datenschutzrechtlichen Gründen für problematisch.