Unsere Dienerschaft in Brüssel

Sie hat sich über ihre Herrschaften erhoben und weitet ihre Befugnisse noch mehr aus – Ein jüngstes Beispiel: die App zur Altersverifizierung im Internet – Die offizielle Lesart – Eine App mit höchsten Datenschutzstandards? Anonym? Sicher? Nicht nachverfolgbar? Sicherheitsexperten widersprechen – Mitbegründer und CEO von Telegram: Fehler der App sind geplant – Jugendschutz vorgeschoben, um die anonyme Internet-Nutzung schrittweise abzuschaffen – „Ein Baustein im Zensur-Bauplan von Brüssel und Berlin“ – Die digitale Identität vor einem Wendepunkt – Gesichtskontrolle als Identitätsnachweis nur allein wird nicht mehr genügen – Was als Schutz gedacht ist, entwickelt sich zur dauerhaften Kontrolle – Sie wollen uns schon wieder eine Freiheit nehmen

Die EU-Kommission ist zu einem Machtapparat geworden, der seine Macht missbraucht. Die Deutsche Ursula von der Leyen als Kommissionspräsidentin personifiziert ihn. Sie und ihr Apparat spielen sich auf, als stünden sie über den nationalen Mitgliedstaaten und deren Regierungen. Sie stützen sich dabei auf Regelungen, die aus dem Ruder gelaufen sind. Diese Personen vergessen oder wollen nicht wahrhaben, dass sie unser Personal sind, also das der Bürger in den EU-Mitgliedsländern. Es sind unsere Angestellten, unsere Diener. Wir sind deren Herrschaft, nicht deren Untertan. In dieser Dienerschaft kommt von der Leyen die Rolle des Butlers zu, mehr nicht. Aber das Personal hat sich über die Herrschaft erhoben. Seine Befugnisse, die ihm nicht zustehen, weitet es aus.*) Dies zur Klarstellung vorweg.

Gewählte Gremien haben die EU-Kommission mit Kompetenzen versehen. Haben muss sie solche natürlich, doch wieviele, mit welchem Inhalt und mit welchen Machtbefugnissen? Kompetenzen sind verliehene Teile von Macht. Sie sind auf Zeit verliehen, nämlich überprüfbar und korrigierbar. Bekanntermaßen strebt Macht tendenziell nach absoluter Macht. Und wer Macht hat, will sie verewigen. Herrschende und Herrschsüchtige setzen Regelungen durch, die solches auf Dauer ermöglichen. Auf schleichende und für das Volk zunächst unmerkliche Weise ist es in der Europäischen Union schon weit gediehen. Unmerklich für das Volk hatte das auch geschehen sollen. Jetzt geschieht es ebenfalls wieder.

Die Anwendung (App), um Altersbeschränkungen auf Internet-Plattformen durchzusetzen

Nun nämlich plant die EU-Kommission eine technische Lösung zur Altersverifizierung im Internet. Sie hat sie als App konzipiert und diese gerade als technisch fertig vorgestellt. Die App soll als Standardwerkzeug dienen, um Altersbeschränkungen auf Internet-Plattformen durchzusetzen, und ist ein zentraler Bestandteil des EU-Gesetzes für digitale Dienste (Digital Services Act, DSA). In den 27 Mitgliedsstaaten wird sie laut von der Leyen für die Bürger verfügbar gemacht und soll ihnen als Internet-Nutzer ermöglichen, ihr Alter von über 13, 16 und 18 nachzuweisen, ohne weitere persönliche Informationen preiszugeben, vorgeblich.

Die offizielle Lesart

Nach offizieller Lesart soll die Alters-App den Zugang zu schädlichen oder illegalen Inhalten für Minderjährige einschränken und Plattformen dazu verpflichten, ihre Verantwortung im Jugendschutz zu übernehmen. Die Lösung basiere auf dem Modell des digitalen Covid-Zertifikats und sei als Open-Source-Lösung konzipiert. Sie solle in die nationalen digitalen Brieftaschen (Digital Identity Wallets) der Mitgliedstaaten integriert werden. Die App speichere keine persönlichen Informationen über die Altersgrenze hinaus und sei vollständig anonym und nicht nachverfolgbar. (Wortlaut der diesbezüglichen Pressemitteilung der EU-Kommission und die vollständige Darstellung hier).

App mit höchsten Datenschutzstandards? Anonym? Sicher? Nicht nachverfolgbar? Sicherheitsexperten widersprechen

Doch kaum hatte von der Leyen die Verifizierungs-App als „technisch fertig" und mit „den höchsten Datenschutzstandards" versehen gelobt sowie deren Open-Source-Natur als Transparenzfunktion betont, wurde sie schnell eines Besseren belehrt. Nur einen Tag später jedenfalls fielen Sicherheitsberater mit Kritik über die Leyen-App her als sei es – pardon für das Wortspiel – eine Laien-App. Einer gar ließ wissen, er habe die Schutzmaßnahmen in weniger als 2 Minuten umgangen. Grundlegende Design-Mängel im EU-Altersverifikationssystem schildert Sicherheitsberater Paul Moore. Mehrere Entwickler stellten das Design infrage. Sensible Authentifizierungsdaten sollten niemals direkt zugänglich oder bearbeitbar für Endnutzer sein. Andere äußerten umfassendere Bedenken bezüglich der Logik der App, darunter Beschränkungen, wie oft ein Nutzer sein Alter überprüfen kann und ob Ablaufdaten auf den Altersdaten vorhanden sind: „Warum hat der Altersnachweis ein Ablaufdatum? Sobald ich über 18 bin, werde ich immer über 18 sein. Ich werde nicht jünger!" kritisierte einer.

Mitbegründer und CEO von Telegram: Fehler der App sind geplant

Umfänglich meldete sich auch Pavel Durov zu Wort, der Mitbegründer und CEO von Telegram, der den Vorfall als mehr als nur einen technischen Fehler darstellt. In einem Beitrag auf seinem Telegram-Kanal analysiert er, die Schwächen der App seien kein Zufall, sondern geplant. Die App der EU sei von Natur aus hackbar. Er skizziert, was nach seiner Meinung eine umfassendere Entwicklung für das Projekt sein könne, nämlich zunächst ein als datenschutzfreundlich vermarktetes System einzuführen, dieses als eine 'privatsphäre-respektvolle', aber hackbare App zu präsentieren, dann aber nach unvermeidlichen Sicherheitsverletzungen das Privatsphäre-Respektvolle  zu entfernen, um die App zu 'reparieren' und mit dieser ‚Reparatur‘ die Kontrollen zu verschärfen. Das Endergebnis beschreibt er als „ein Überwachungsinstrument, das als datenschutzwürdig verkauft wird." (Quelle: Cyber News vom 16. April mit weiteren Einzelheiten hier).

Jugendschutz vorgeschoben, um die anonyme Internet-Nutzung schrittweise abzuschaffen

Um den Schutz von Kindern vor schädlichen Inhalten, Cybermobbing und Kriminalität geht es nur vorgeblich und wohlklingend. Tatsächlich bedeutet es weit mehr. Letztlich nämlich ist es der Einstieg dafür, die Identität für Online-Nutzer zentral zu überprüfen, das Nutzungsverhalten mit echten Identitäten potenziell zu verknüpfen und die anonyme Internet-Nutzung schrittweise abzuschaffen. So sieht es auch Digitalrechtsexperte Patrick Breyer. Er warnt vor dem Ende von Anonymität und mehr Kontrolle im Netz. Im Interview mit der Berliner Zeitung zieht der Jurist ein düsteres Fazit. Während Brüssel von notwendigem Jugendschutz spreche, sieht er in der EU-App einen „Trojaner“, der die Totalüberwachung durch die Hintertür einführe. Er erklärt, welche Risiken er für die Nutzer sieht und weshalb er die Maßnahme nicht als wirksamen Schutz für Jugendliche betrachtet. (16.April, Quelle hier).  

„Ein Baustein im Zensur-Bauplan von Brüssel und Berlin“

Auch für die Redaktion von Tichys Einblick ist die EU-Alters-App „kein isoliertes Werkzeug, sondern ein Baustein einer viel größeren Entwicklung“. Die EU-Kommission beschreibe selbst, dass ihre Lösung mit der künftigen europäischen digitalen Identitätsinfrastruktur zusammenpasse und als Übergangsmodell zu dieser Architektur gedacht sei. Das heiße im Klartext: Hier werde nicht bloß ein Problem für Minderjährige gelöst. Hier werde die technische und politische Gewöhnung an Identitätsnachweise im Netz organisiert – als ein Baustein im Zensur-Bauplan von Brüssel und Berlin. Erst heiße es Jugendschutz, dann Plattformpflichten, dann Standards, dann Interoperabilität, dann die nächste Stufe. „Am Ende steht ein Netz, in dem Anonymität nicht mehr als Freiheitsraum gilt, sondern als zu schließende Lücke.“ (16. April, Quelle hier).

Die digitale Identität vor einem Wendepunkt

Den weiteren Weg in die totale Identitätskontrolle beschreibt ein Beitrag des Schweizers Online-Info-Dienstes Uncut-News vom 15. April. Die digitale Identität stehe vor einem Wendepunkt. Was lange als sicher gegolten habe – ein kurzer Blick in die Kamera, ein Selfie zur Verifikation – verliere durch neue Deepfake-Technologien seine Glaubwürdigkeit. Systeme, die Milliarden Nutzer schützen sollten, würden sich inzwischen in Echtzeit täuschen lassen. Das habe Konsequenzen, die weit über technischen Betrug hinausgingen. „Das Grundprinzip der letzten Jahre war einfach: Dein Gesicht ist dein Schlüssel. Doch genau dieses Prinzip bricht jetzt zusammen. Wenn ein Gesicht perfekt simuliert werden kann, verliert es seinen Wert als Identitätsnachweis. Banken, Plattformen und Behörden stehen damit vor einem fundamentalen Problem: Sie können nicht mehr sicher feststellen, wer vor ihnen steht.“

Gesichtskontrolle als Identitätsnachweis nur allein wird nicht mehr genügen

Die Reaktion darauf sei bereits absehbar. Reiche ein biometrisches Merkmal nicht mehr aus, würden mehrere kombiniert. Gesicht allein genüge nicht mehr. Systeme greifen zusätzlich auf Stimme, Verhalten, Geräteinformationen und Standortdaten zurück. Identität werde damit zu einem umfassenden Profil, das ständig überprüft werde. Zugriff auf digitale Dienste werde zunehmend an diese Verifikation gebunden. Kein Login mehr ohne Prüfung, kein Zugang ohne Bestätigung. Was heute noch optional wirke, werde schrittweise zur Voraussetzung. Bankkonten, Kommunikationsdienste und Plattformen würden sich in Richtung vollständig kontrollierter Zugangssysteme entwickeln.

Was als Schutz gedacht ist, entwickelt sich zur dauerhaften Kontrolle

„Dieser Wandel“, so Uncut-News weiter, „geschieht nicht plötzlich. Er erfolgt schrittweise. Jede neue Sicherheitsstufe wird mit realen Bedrohungen begründet – Betrug, Cyberangriffe, Deepfakes. Doch die eingeführten Maßnahmen verschwinden nicht mehr. Sie werden zur neuen Grundlage. Was als Schutz gedacht ist, entwickelt sich damit zu einer dauerhaften Infrastruktur. Eine Infrastruktur, die nicht nur Sicherheit ermöglicht, sondern auch Kontrolle. Denn wer Identität prüft, entscheidet über Zugang. Und wer Zugang kontrolliert, beeinflusst Verhalten.“

Vertrauen wird ersetzt durch permanente Überprüfung

Die Richtung sei klar erkennbar. Der Zugang zu zentralen digitalen Diensten werde zunehmend an biometrische Daten gekoppelt. Ohne diese Daten werde Teilnahme schwieriger. Nicht weil sie direkt verboten werde, sondern weil Alternativen verschwänden. Deepfake-Technologie habe damit eine Entwicklung beschleunigt, die bereits im Gange gewesen sei. Die Antwort auf unsichere Identität sei nicht weniger Kontrolle, sondern mehr. Am Ende stehe eine grundlegende Verschiebung. Vertrauen werde ersetzt. Nicht durch bessere Systeme, sondern durch permanente Überprüfung. (Quelle hier).

Sie wollen uns schon wieder eine Freiheit nehmen

Zurück zum Anfang. Unsere Dienerschaft als EU-Kommission und in Deutschland als Bundesregierung erhebt sich über uns, die wir ihre Herrschaft sind. Sie wollen uns schon wieder eine Freiheit nehmen. Sie missbrauchen die ihnen verliehene Macht, verschaffen sich mehr Macht und umhüllen ihr Treiben mit demokratischem Schein. Wenn denn schon mit uns Bürgern (noch) Demokratie gespielt wird, müssen wir uns, auf demokratische Regeln berufen, auf sie bestehen und sie wahrnehmen. Der Souverän sind wir. Bürger jedoch, die sich ducken und sich als Untertanen verhalten, sind als Souverän totale Versager. Dann verlieren sie an Freiheit immer mehr.

„Von Demokratie, Föderalismus und Gewaltenteilung bleibt nur eine leere Hülle“

Vom schönen Schein der Demokratie hat der Rechtswissenschaftler Hans Herbert von Arnim mit ebendiesem Titel ein ganzes Buch geschrieben. Dessen Untertitel lautet: „Politik ohne Verantwortung – am Volk vorbei.“ Das ist vor 26 Jahren gewesen, und sein Wahrheitsgehalt ist noch immer gültig. Eine Kernbotschaft darin lautet: „Um die Verantwortung der politischen Klasse ist es schlecht bestellt. Sie hat sich unabhängig gemacht vom Auftrag der Wähler und weitgehend sogar vom Ausgang der Wahlen. Parteiübergreifende Kartelle betreiben eine intensive Politik der Machtsicherung. Mit dem Ergebnis, dass wir von einem System der organisierten Verantwortungslosigkeit regiert werden. Von Demokratie, Föderalismus und Gewaltenteilung bleibt nur eine leere Hülle.“

______________________________________

*) Mit den bestehenden, dies belegenden Rechtsvorschriften mögen diese Beschreibung kundige Juristen ausfüllen. Deren Umfang und rechtlich abstrakte Darstellung würde den Rahmen dieses Beitrags ohnehin sprengen.

**) Die App speichere eine verschlüsselte PIN lokal, aber entscheidend sei, dass die Verschlüsselung nicht an den Identitätsspeicher des Nutzers gebunden sei, in dem sensible Verifizierungsdaten gespeichert würden. Das öffne die Tür zu einer überraschend einfachen Umgehung. Um bestimmte Werte, die mit der PIN verknüpft seien, aus den Konfigurationsdateien der App zu löschen und neu zu starten, könne ein Angreifer eine neue PIN einstellen, während er weiterhin Zugriff auf Zugangsdaten behalte, die unter dem vorherigen Profil erstellt worden seien. Tatsächlich akzeptiere die App wiederverwendete Identitätsdaten unter einer neu definierten Zugriffskontrolle. Moore wies außerdem auf weitere Schwächen hin und äußerte: „Im Ernst, von der Leyen – dieses Produkt wird irgendwann der Auslöser für einen enormen Einbruch sein. Es ist nur eine Frage der Zeit."