Bisher habe ich immer so aus Prinzip Onlineverifikation mit Kamera über Dienstleister wie Veriff gemieden und stattdessen Post-ident z.B. genutzt, weil ich einfach dem Schicken von Bilder von meinem Ausweis + Gesicht durch’s Netz sketpisch gegenüber stand, ohne mich damit aber genauer mit dem Vorgehen zu befassen.
Da es in Zukunft allerdings bestimmt schwieriger werden wird da drum herum zu kommen wollte ich deswegen mal hier fragen, wie ihr das Thema so seht. Würde sich da ggf. ein erhöhter Aufwand lohnen, um dem noch auszuweichen oder ist der Umgang mit den Daten eigentlich sicher und sparsam genug um sich darauf ein zu lassen?
Ich habe das bisher auch immer vermieden und mache Post-Ident in der Postfiliale, da ich diesen ganzen Drittanbietern, die für sowas genutzt werden, kein Stück über den Weg traue. Die haben ja auch alle nur Apps aus dem Play Store, das kommt noch erschwerend hinzu und ich kann überhaupt nicht beurteilen, wie sicher die die Daten auf ihren Servern verwahren bzw. welche Server da überhaupt zum Einsatz kommen. Insofern werde ich, egal wie umständlich es ist, so lange Postident in der Filiale machen, wie es möglich ist. Allerdings merke ich, dass das mehr und mehr abgeschafft wird.
Ich meine: ja, das lohnt sich. ZB kann man bei fast allen Banken Konten noch per PostIdent eröffnen. Es gibt ganz wenige Zahlungsdienstleister/Neobanken, bei denen das anders ist, bei diesen wenigen kann ich dann halt nicht Kunde werden. Videos von mir und Stimmproben lehne ich ab.
Ich halte es für die falsche Strategie, schon vorbeugend Verfahren zu akzeptieren, die man eigentlich nicht nutzen will, nur für den Fall, dass man es irgendwann vielleicht mal nicht wird vermeiden können. Damit unterstützt und beschleunigt man das ja selbst und handelt gegen die eigenen Interessen.
Dito. Zumal manchmal mehrere von denen für so ein Identifikationsverfahren eingesetzt werden. Und selbst wenn sie vertrauenswürdig wären: jede Stelle mehr, die ihre Finger drin hat, schwächt die Sicherheit.
Moin, danke für deine Antwort.
Vielleicht kommt das in meinem Text falsch rüber, aber ich wollte einfach nur mal rum fragen, ob meine Ansicht mittlerweile veraltet ist und irgendwie inzwischen das Ganze sicher genug sei. Ansonsten sehe ich das wie du.
Pauschal ist das schwierig zu beantworten, was genau Du unter „sparsam genug“ verstehst.
Meiner Einschätzung nach ist die AusweisApp + Online Ausweisfunktion des Personalausweises die datenschutzfreundlichste Verifizierungsmethode:
App ist Opensource.
Governikus ist ein deutsches Unternehmen aus Bremen und Dienstleister für das BSI, entwickelt die App und stellt die Authentifizierungsplattform bereit.
Kein weiterer Drittanbieter ist eingebunden.
AusweisApp kann übergreifend für alle Dienste verwendet werden. (*1)
(*1) Allerdings versuchen einige Unternehmen, wie Deutsche Post, ihr eigenes Süppchen zu kochen, indem Sie eine separate, proprietäre Verifizierungs-App anbieten, die aber auf genau dem gleichen Unterbau aufsetzt (Online Ausweis-Funktion + Kartenleser oder NFC über Smartphone), und genau das Gleiche macht. Da kauft man den Drittanbieter sozusagen automatisch mit ein, inkl. eines möglichen Datenabflusses.
Veriff ist übrigens ein Anbieter ursprünglich aus Estland. Inzwischen sitzt die Muttergesellschaft allerdings in den USA, mitsamt mehrheitlich US-Investoren. Andere ID/Verifizierungsdienstleister sind leider nicht besser.
Das Problem ist: je einfacher es wird, sich zu identifizieren, desto häufiger wird es auch verlangt werden, und zwar für jeden Scheiss. Gründe finden sich immer.
Genau das ist der Punkt. Und das Ärgerlichste an der ganzen Situation ist, dass es ja die Ausweis App gibt. Aber ich wüsste jetzt niemanden, der sie tatsächlich verwendet. Krankenkassen, Banken, etc. verlangen alle andere Identifikationsanbieter mit proprietären Apps aus dem Play oder Apple Store.
Ich verstehe das, aber ich sehe es so, dass es halt doch die datensparsamste App in diesem Bereich ist. Aber wenn die jetzt schon kaum genutzt wird, denke ich, dass unsere Zukunft wirklich massenhaft proprietäre Drittanbieter-Apps sind, die Daten ohne Ende sammeln und selbstverständlich Play- oder Apple-Dienste voraussetzen. Das finde ich einfach noch viel schlimmer.
Also unabhängig davon, ob und wann das nötig ist, verifiziere ich mich lieber mit der AusweisApp, also über irgendeinen profitorientierten Drittanbieter.
Das sollte, wenn nötig, vom Staat verpflichtend durchgesetzt werden, dass bspw. die Bank bei Kontoeröffnung die Möglichkeit mit eID bereitstellen muss. Genau dafür wurde die App ja von den Steuergeldern eingekauft.
Ja, ist marginal schlimmer für den Datenschutz. Aber dagegen wehren sich wenigstens ein paar Leute, weil sie das Problem mit den Drittanbietern noch verstehen können. Das grundsätzliche und viel größere Problem mit eID wird oft gar nicht verstanden.
Und wieso nicht? Im letzten Schritt erfolg die Authentifizierung immer über staatliche eID-Infrastruktur, auch mit der ID App von Unternehmen X. Bei der AusweisApp hast du jedoch den profitorientierten Mittelsmann X ausgeschlossen.
Die Entscheidung, die App zudem als Opensource zu veröffentlichen, halte ich für sehr fortschrittlich, was man sonst nicht so häufig behaupten kann (dadurch ist z.B. auch eine Linux Portierung vorhanden).
Ich bin auch gegen unnötige Verifizierung, aber im privaten Sektor lässt sich diese Tendenz vermutlich teilwese nicht aufhalten (wenn nicht genügend Leute dagegen sind). Siehe z.B. Google mit dem neusten Ansatz, sich mit biometrischen Daten statt Passwort anzumelden.
Nicht nur im privaten Sektor, die kommende Eudi Wallet beispielsweise wird ja auch über Google-Dienste und womöglich sogar Google-Konto laufen anstatt über zum Beispiel ein randomisiertes Token aus der Ausweis App, was einen als volljährig ausweisen könnte.
Dass man sich für die EUDI Wallet bei einer staatlichenEU/DE Stelle verifiziert, ist ja völlig OK.
Aber die Abhängigkeit zu Bigtech/Google wäre echt krass - und damit für mich schon eine Totgeburt. Ich frage mich manchmal, was noch alles passieren muss, dass solche Abhängigkeiten nicht von vornherein ausgeschlossen werden. Mein letzter Stand ist, dass in der Spezifikation theoretisch von einer offenen Interoperabilität die Rede ist - aber de-facto dann doch nur Google/Apple in Betracht gezogen werden.
Ich habe den Quellcode selber nicht geprüft, von daher sage ich dies hier mit Vorbehalt, aber es soll wohl drinstehen, dass die Verifikation über Google läuft. Da die App selber ja Open Source ist und das Repo auf GitHub zu finden ist, könnten das sicher Menschen, die mehr Ahnung als ich haben, verifizieren oder falsifizieren.
US-Abhängigkeit, obskure Drittanbieter… Ich denke, die Privatwirtschaft kann da machen was sie will, weil deren Juristen in die AGBs eben entsprechende Einverständniserklärungen als Vertragsbestandteil eingebaut haben und sich vom Konsumenten die ‚informierte Zustimmung‘ per Klick abnicken lassen. Das kann man ohne politischen Willen seitens des Gesetzgebers wohl nicht ändern, und man sieht ja, daß dieser nicht da ist.
Aber im Verkehr mit Ämtern, öffentlichen Stellen und Inanspruchnahme öffentlicher Infrastruktur-Dienstleistungen (Öffi-Verkehr, Post…) kann ich mir nicht vorstellen, daß ein Google-Konto faktisch für die Benutzung Voraussetzung sein soll. Ohne G-Konto oder Apple-Konto kann man die benötigten Apps ja nicht offiziell installieren und benützen. Und was ist wenn jemand entweder kein Smartphone besitzt oder es nicht ständig bei sich tragen will? Imho krasse Ungleichbehandlung bzw. Diskriminierung.
Mein Bankberater hat mir das mal so erklärt, dass aus Compliance-Gründen Kopien von Personalausweisen vorgehalten werden müssen. Postident scheint genau das zu übermitteln (s. der Link oben). eID nur über NFC (also ohne das Speichern der Perso-Kopie) würde für Banken nach dieser Logik nicht in Frage kommen.
Ich seh da gewisse Parallelen zu der Frage, wieso noch Faxgeräte verwendet werden - „weil wir das schon immer so gemacht haben“.
Wenn die staatliche Infrastruktur mich über Online Ausweisfunkion verifiziert, dann sollte das reichen, und nicht noch eine manuelle Kopie erstellt werden müssen. Wenn aus Compliance-Gründen erforderlich, kann man ja einfach den Verifizierungsvorgang loggen/speichern. M.W. lässt sich auch das Foto anfordern.
(dadurch ist z.B. auch eine Linux Portierung vorhanden).