So langsam kommt Licht ins Dunkel, im Hinblick auf das Video-Ident- (und das Foto-Ident-) Verfahren und dass diese im Grunde nur noch beerdigt werden können – die Prüfungen lassen sich mit einfachsten Mitteln austricksen. Sicherheitsforscher Martin Tschirsich vom Chaos Computer Club (CCC) konnte in zwei Anwendungsszenarien (Verimi ID-Wallet für digitalen Führerschein, gematik elektronische Patientenakte (ePA) zeigen, wie sich die Verfahren zum Identifikationsnachweis täuschen lassen. Das Versprechen, eine sichere Identifikation der Benutzer zu gewährleisten, lässt sich nicht einhalten – es drohen Betrug und wirtschaftliche Schäden.
Anzeige
Was ist Video-Ident
Im Video-Ident-Verfahren können Nutzer ihre Identität im Internet nachweisen, indem sie ein Video von sich und ihrem Ausweisdokument an einen Video-Ident-Anbieter übertragen und dort durch einen Mitarbeiter oder eine Software prüfen lassen. Anschließend kann der so Identifizierte beispielsweise Mobilfunkverträge abschließen, EU-weit rechtsverbindlich unterschreiben (QES), Kredite beantragen und Bankkonten anlegen – oder eine elektronische Patientenakte (ePA) eröffnen.
Ich habe dies schon mal zur Freischaltung einer Prepaid-SIM genutzt (ohne Identifikationsnachweis darf die nicht aktiviert werden) – und es gab auch einen Fall, wo ich dies mit einem Unternehmen abwickelte, die im Bankbereich aktiv waren. In beiden Fällen war es so, dass ein Mitarbeiter sowohl meine Person als auch den Ausweis im Live-Video sehen wollte und auch Anweisungen gab, die ich ausführen musste. Aber ein "ungutes Gefühl" blieb – was passiert mit den Informationen und ist das alles auch sicher. Daher setze ich i.d.R. auf das Post-Ident-Verfahren.
Es gibt wohl noch ein "abgespecktes Verfahren" namens Foto-Ident, wo kein Video, sondern Fotos zum Abgleich verwendet werden. Wird beim nachfolgend erwähnten Fall von Verimi genutzt. Dort lassen sich auch digitale Führerscheine oder andere Ausweise in einer ID-Wallet des Anbieters Verimi speichern.
Das Verfahren ist unsicher
Auf welch tönernen Füßen das ganze Video-Ident-Verfahren (aber auch Foto-Indent) im Grunde steht, hat Sicherheitsforscher Martin Tschirsich vom Chaos Computer Club (CCC) binnen weniger Tage in zwei konkreten Anwendungsfällen demonstriert, die ich hier im Blog beleuchtet habe. Weiterhin hat der CCC die Methoden offen gelegt.
Das Verimi Foto-Ident-Problem
Ich hatte es im Blog-Beitrag Verimi-Fiasko? Dem ID-Dienst droht wohl Ärger … vor einigen Tagen aufgegriffen. Der Identifikationsdienst (ID-Dienst) Verimi bietet seinen Nutzern die Möglichkeit, ihren Ausweis oder Führerschein mittels eines Foto-Ident-Verfahrens in der Verimi ID-Wallet zu laden. Die Foto-Ident-Prüfungen führt die Firma Veriff im entsprechenden Auftrag durch.
Anzeige
Neben internationalen Banken, FinTechs und Mobilitätsanbietern nutzen auch große Verlage die Foto-Ident-Prüfungen von Veriff, heißt es vom Hersteller. Das heißt, das Verfahren müsste "trustable" sein, wenn ich damit bei Banken zur Konteneröffnung vorstellig werde.
Sicherheitsforscher Martin Tschirsich zeigte, dass er genau diese Foto-Ident-Prüfungen von Veriff mit einfachen Mitteln austricksen konnte. Es war ein leichtes, mittels manipulierter Dokumente gefälschte Identitäten zu erzeugen und dann in der Verimi ID-Wallet zu speichern.
Das ePA Video-Ident-Problem
Heute hatte ich im Blog berichtet, dass die gematik die Verwendung des Video-Ident-Verfahren zur Identifikation von Nutzern durch Krankenkassen im Rahmen der Ausstellung einer elektronischen Patientenakte (ePA) aus Sicherheitsgründen untersagte (siehe den Beitrag gematik untersagt Video-Ident-Verfahren in der Telematikinfrastruktur (9. August 2022)).
Ich hatte dort nur den Hinweis gegeben, dass es einem Sicherheitsforscher gelungen sein soll, bei sechs verschiedenen Anbietern einer elektronischen Patientenakte fremde Identitäten verifizieren zu lassen. Der gematik, die die Telematik-Infrastruktur des Gesundheitswesens betreibt, hat dann die Notbremse gezogen und Video-Ident zur Identifikation bis auf weiteres untersagt.
Bitkom kritisiert Verbot des Video-Ident
Der Schaden, der dort entstanden ist, lässt sich noch nicht abschätzen. Aber im Sinne von "manchmal kannst Du nicht genug fressen, wie Du kotzen möchtest" schiebe ich noch was nach. Die Bitkom (Bitkom e. V. ist der Branchenverband der deutschen Informations- und Telekommunikationsbranche) erdreistet sich in meinen Augen natürlich, das Verbot des Video-Ident-Verfahren der gematik zu kritisieren und einen unkomplizierten Zugang zu digitalen Versorgungsangeboten für die Patienten zu fordern (danke für den Blog-Leser, der mich in diesem Kommentar auf eine entsprechende Meldung verwies). Dazu wird Bitkom-Hauptgeschäftsführer Dr. Bernhard Rohleder in einer Mitteilung (Quelle: Ärztezeitung) so zitiert:
Mit dem pauschalen und unangekündigten Verbot von Video-Ident-Verfahren bei Krankenkassen hat die gematik den Patientinnen und Patienten in Deutschland einen Bärendienst erwiesen. Statt Anbieter mit Verdacht auf Sicherheitslücken anzusprechen und Lösungen zu erarbeiten, wurden alle Dienste pauschal gesperrt
Mit dem Verbot werde nun eine unnötige Hürde auf dem Weg zu einer digitalen Gesundheitsversorgung aufgebaut. Die ohnehin schleppend verlaufende Einführung der elektronischen Patientenakte werde damit unnötig erschwert, so Rohleder.
Persönlich stehe ich nur noch fassungslos da – Deutschland schafft sich ab – aber durch die Inkompetenz solcher Verbandsvertreter. Zumindest kann man in der Ärztezeitung lesen, dass das Bundesgesundheitsministeriums (BMG) die Reaktion der gematik begrüßt. "Patientendaten sind sensible Daten", so die Erinnerung eines Sprechers des BMG, die unbedingt geschützt werden müssten.
CCC legt Details offen
Der Chaos Computer Club (CCC) hat zum 9. August 2022 im Beitrag Chaos Computer Club hackt Video-Ident dann die Details des Hacks offen gelegt. Sicherheitsforscher Martin Tschirsich vom Chaos Computer Club (CCC) demonstriert in diesem Dokument, wie das Video-Ident-Verfahren zur Verifikation ausgehebelt werden kann.
Mit Open-Source-Software sowie roter Aquarellfarbe ist es Tschirsich gelungen, die Choreographie beim Video-Ident-Verfahren auszutricksen. Diese Choreografie sieht beim Video-Ident-Verfahren vor, den zu Identifizierenden anhand von Indizien wie im Videobild sichtbaren Hologrammen oder der Mimik zwei entscheidende Fragen beantworten: Ist der Ausweis echt? Ist die Person vor der Kamera echt? Die Video-Ident-Anbieter behaupten, ihre Lösungen würden Betrugsversuche sicher erkennen.
Tschirsich konnte jedoch nachweisen, dass diese Behauptung der Anbieter, dass das alles sicher sei, Schall-und-Rauch ist. Denn es ist ihm mittels "videotechnischer Neukombination mehrerer Quell-Dokumente" gelungen, sechs Video-Ident-Lösungen zu überlisten und den Mitarbeitern bzw. der Software dieser Anbieter eine fremde Identität vorzugaukeln. Bis heute blieben diese Angriffe unerkannt.
Martin Tschirsich ist auf diesem Gebiet kein Unbekannter, hatte er doch bereits 2019 demonstriert, wie Unbefugte in den Besitz von Gesundheitskarten, Arzt- und Praxisausweisen gelangen konnten. Ich hatte den Fall aus dem Jahr 2019, wo der CCC auf seinem Jahreskongress berichtete, dass sich Aktivisten einen Arztausweis für Dr. med. Cyber ausstellen ließen, im Blog-Beitrag Sicherheitslücken im deutschen Gesundheitsdatennetz aufgegriffen.
Der CCC schreibt, dass es keiner der gefürchteten und von KI erzeugten Deep Fakes bedurfte, sondern einfache Mittel und Uralt-Technik ermöglichten die Täuschung der Mitarbeiter oder KI-Systeme der Video-ID-Anbieter.
Der ePA-GAU
Besonders brisant: Seit 2021 ist das Video-Ident-Verfahren zur Identifikation im Bereich elektronische Patientenakte (ePA) und elektronisches Rezept (eRezept) im Einsatz. Der CCC schreibt, dass Tschirsich im Prinzip für eine beliebige Auswahl der 73 Millionen gesetzlich Versicherten eine elektronische Patientenakte (ePA) eröffnen und darüber deren in Arztpraxen, Krankenhäusern und bei Krankenkassen gespeicherten Gesundheitsdaten anfordern konnte. Wie schreibt das BMI – siehe oben – Patientendaten sind sensible Daten, die unbedingt geschützt werden müssten.
Unsichere Video-Ident-Technologie
Unter dem Strich beweist der Hack, dass die (auch im Ausland verwendete) Video-Ident-Technologie (wie die oben erwähnte Foto-Ident-Technologie) ein Totalausfall ist. Datenschützer und das BSI (Bundesamt für Sicherheit in der Informationstechnik) hätten laut CCC seit langem vor genau diesem Szenario gewarnt. Dieser Beitrag aus 2018 skizziert bereits, wie das Video-Ident-Verfahren im Labor ausgetrickst werden konnte.
Als Reaktion auf die Forschungsergebnisse wurden die Sicherheitsvorkehrungen für die Video-Identifikation bereits verschärft, heißt es im Bericht. In einer Antwort der Bundesregierung aus 2019 hieß es noch, dass bislang keine konkreten Sicherheitsvorfälle zur Kenntnis gelangt seien. Die alte Leier "kann ja sein, aber es ist ja noch nichts passiert".
Mit den aktuellen Fällen ist der Nachweis nun aber wohl erfolgt, dass die Prüfungen nicht "trustable" sind. Der CCC schreibt, dass der Angriff von einem interessierten Hobbyisten und erst recht von motivierten Kriminellen in kurzer Zeit und mit geringem Aufwand ausführbar sei. Daher wird das Risiko des weiteren Missbrauchs als hoch eingeschätzt.
Die Wunderwaffe "KI-Prüfung", die Anbieter in der Vergangenheit als Maßnahme gegen Täuschungsversuche anführten, wurde durch Tschirsich widerlegt. Der Sicherheitsforscher dazu:
Die Annahme, dass moderne Video-Ident-Verfahren die bekannten Schwächen ‚durch den Einsatz von künstlicher Intelligenz' beheben können, hat sich in der Praxis als falsch herausgestellt.
Der CCC legt den Finger in eine ziemlich verkorkste Entwicklung. Zitat aus der Mitteilung des CCC:
Besonders bitter ist die jetzige Situation mit Blick auf die vergangenen Jahre: Zuerst wird der teure elektronische Personalausweis mit dem Versprechen eingeführt, einen besseren Schutz vor Identitätsdiebstahl im Internet zu schaffen. Das Projekt erwies sich als Rohrkrepierer. Kaum jemand nutzt auch nach zehn Jahren die sichere Online-Identifizierung, die der Personalausweis beinhaltet und die jeder einzelne Besitzer auch mit einem vervielfachten Preis bezahlt hat.
Stattdessen kam ein nun nachgewiesen unsicheres Video-Ident-Verfahren mit eklatanten Lücken zum Einsatz, gegen das auch grundsätzliche Bedenken bestehen: Im Rahmen der Identitätsüberprüfung fallen bei den Dienstleistern beispielsweise biometrische Informationen an. Ein selektives Offenbaren nur der für den Identifikationsvorgang notwendigen Informationen, welches im elektronischen Personalausweis von Anfang an eingebaut wurde, ist hier nicht einmal vorgesehen. Denn mit dem Personalausweis kam zwar auch eine zwangsweise Erfassung biometrischer Daten, zum Identitätsnachweis im Geschäftsverkehr werden sie aber gerade nicht transferiert.
Der CCC fordert eine Beweislastumkehr – nicht der Betroffe soll Schwächen der Systeme nachweisen müssen, die Verfahrensbetreiber sollten vielmehr verpflichtet werden, deren Sicherheit nach anerkannten Regeln zu belegen. Auf das am Horizont stehende Deep Fake-Thema, wo per Computer Personen imitiert werden, ist noch gar nicht abgestellt worden.
Datenschutzbeauftragter warnte ..
Interessant ist übrigens der Hinweis des CCC, auf die Empfehlungen des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit. Dieser hatte bereits 2020 den Einsatz von Video-Ident zur Absicherung von Gesundheitsdaten überall dort für datenschutzrechtlich unzulässig erklärt, wo sehr hoher Schutzbedarf besteht. Wie das Video-Ident-Verfahren bei der gematik zur Identifikation von Versicherten für die elektronische Patientenakte (ePA) Einzug halten konnte, bleibt für mich unerklärlich.
Und die oben von Bitkom-Hauptgeschäftsführer Dr. Bernhard Rohleder zitierten Aussagen sind in meinen Augen ein Skandal. Hätte er doch bloß geschwiegen …
Ähnliche Artikel:
gematik untersagt Video-Ident-Verfahren in der Telematikinfrastruktur (9. August 2022)
Sicherheitslücken im deutschen Gesundheitsdatennetz
Elektronische Patientenakte (ePA 2.0) als Sicherheitsrisiko?
Elektronische Patientenakte: Bär will Datenschutz schleifen
Problem mit statischer Aufladung bei eGK 2.1-Lesegeräten
Datenleck: Old-School-'Hack' für Gesundheitskarte
Cyber-Angriff zieht IFAP-Arzneimitteldatenbank in Mitleidenschaft
Digitalisierung im Gesundheitswesen: Ärzteverbände fordern einjähriges Moratorium
Gesundheitswesen: Einrichtungen Hauptziel von Ransomware-Angriffen
Datenschutz-GAU: Finger weg von der Gesundheits-App Vivy
Nächstes Sicherheitsdesaster bei Vivy-Gesundheits-App
Anzeige
Foto-Ident ist etwas anderes als Video-Ident oder nur ein anderes Wort?
Es ist etwas gänzlich anderes, aber Günter hat's in den letzten zwei Beiträgen öfter durcheinander gehauen (Verimi = Foto-Ident, er spricht plötzlich von Video-Ident).
Foto-Ident kann jeder 6-Jährige austricksen. Bei Video-Ident ist es schon schwieriger.
Der Vorposter hat Recht – formal ist es etwas anderes – bei einem reichen wohl Fotos (Foto-Ident) – beim anderen ist ein Videostream erforderlich (Video-Ident).
Am Ende des Tages läuft es aber auf die gleiche Technik hinaus: Anhand der ermittelten Informationen feststellen, ob das gezeigte Ausweisdokument echt ist und der Person entspricht, die auf Fotos oder Videos zu sehen ist.
Und hier konnte Martin Tschirsich zeigen, dass er sich falsche Identitäten erschleichen konnte. Ergo sind diese Ansätze nicht sicher bzw. vertrauenswürdig im Hinblick auf das, was die Anbieter vorgeben zu tun.
Ich habe den obigen Text noch etwas nachgebessert und die zwei verschiedenen Verfahren etwas deutlicher hervorgehoben.
Aber am Ende des Tages bleibt: Ich muss mich für bestimmte Sachen zweifelsfrei identifizieren können. Es sollen möglichst keine Fehler passieren, wenn der Zweck dieser Übung nicht konterkarriert werden soll (z.B. anonyme Prepaid-SIM-Karten aktivieren, Bankkonten anlegen, elektronische Patientenakte anlegen, sich als Berechtigter (Arzt, Therapeut, Apotheker etc.) ausweisen).
@…mehrere Sessions durchführen – weil entweder die Videoverbindung schlecht war, der Mitarbeiter nichts erkennen konnte…
Ich habe das VideoIdnet kürzlich auch mal für eine SIM-Karte bei der Telekom gemacht. Fast ein Problem wäre gewesen, daß ich das Kameraobjektiv an meinem Laptop dauerhaft abgeklebt hatte. Dafür habe ich den Klebestreifen eines Post-it-Zettels draufgepappt. Scheinbar hat dieser Klebstoff die Oberfläche des Objektives angegriffen wodurch kein scharfes Bild mehr möglich war. Es ging aber gerade so noch und wurde akzeptiert.
"Und die oben von Bitkom-Hauptgeschäftsführer Dr. Bernhard Rohleder zitierten Aussagen sind in meinen Augen ein Skandal. Hätte er doch bloß geschwiegen … "
Ja, für ihn selbst wäre das besser gewesen, aber für die Allgemeinheit ist es besser, dass Lobbyisten wie er solche Fehler machen, indem sie ihre katastrophale Einstellung verraten. Ich hoffe, dass es Konsequenzen für ihn hat. Aber ob es danach für die Allgemeinheit besser wird, wage ich zu bezweifeln. Die Konsequenz wird vermutlich leider nur die sein, dass man sich in Zukunft in ähnlich gelagerten Fällen vorher mit dem Präsident besprechen muss, bevor man etwas äußert.
Vielleicht sollte Bitkom-Hauptgeschäftsführer Dr. Bernhard Rohleder seine Kinder oder Enkel bitten, ihm diese lästige Sache mit dem Datenschutz und so weiter zu erklären… Wahrscheinlich ist er in Zeiten der Faxgeräte hängen geblieben…
Ich bin auf der einen Seite ja immer hin- und hergerissen – schüttet man das Kind mit dem Bade aus oder nicht. Aber auf der anderen Seite ist die Aussage von Herrn Dr. Rohleder absolut daneben, passt in das Funktionäre-/Lobbyisten-Klische und wurde glücklicherweise durch die Veröffentlichung des CCC konterkarriert. Ich denke, beim Bitkom beißt man sich inzwischen selbst in den Hintern.
Das Problem: Der Großteil der Deutschen bekommt überhaupt nicht mit, oder interessiert sich nicht dafür, was an vielen Stellen passiert. Und dann wird von Stellen entschieden, die nicht die Kompetenz/Weitsicht haben, da die Probleme zu sehen. Dass die elektronische Patientenakte (ePA) als Opt-out-Modell vorgesehen ist – habe ich hier noch gar nicht thematisiert.
Ich verlinke mal auf diesen Tweet, wo das diskutiert wird. Ein Rechtsgutachten der Bertelsmann-Stiftung hat sich damit befasst und der Ärztetag befürwortete auch "opt-out" – hat der betreffende in seinem Blog "Der digitale Patient" thematisiert.
Tenor: Opt-out ist notwendig, damit die ePA überhaupt genutzt wird. Also erst mal machen – wenn dann alle Patienten per ePA digitalisiert sind, kann ein Patient ja immer noch opt-out wählen. Ich hatte darauf hingewiesen, dass der Großteil der Leute das gar nicht abschätzen kann und ich aus Sicherheitsbedenken arge Bauchschmerzen habe. Bei den Tweets und der Antwort hier dreht sich mir der Magen um – überspitzt formuliert: Wir müssen das machen – Bertelsmann hat das so festgestellt und das ist auch gut so. Der Betreiber des Blogs, Dr. Etgeton, gehört zur Bertelsmann-Stiftung – und deren Rechtsgutachten und die Aussagen werden dann in Entscheiderkreisen als "na bitte, geht doch" herumgereicht.
Ich kann mir persönlich nur schwer vorstellen, dass der Großteil der Ärzte dem Entschluss des deutschen Ärztetags da voll informiert und in Kenntnis der Folgen, dediziert zustimmt. Alleine die Forderungen, dass es einfach funktionieren muss, und die Sicherheit der Patientendaten gewährleisten muss, ist ja bereits ein Oxymoron – was gerade widerlegt wurde.
Und auf die Hürden im Praxisalltag hat da mit Sicherheit keiner geschaut – für mich sieht es wie eine "Funktionärsentscheidung" aus "irgendwie ist es schon gut, dess es ist erforderlich, dass valide Daten für Versorgungs- und Forschungszwecke abrufbar bereitgehalten werden – wird schon irgendwie gut gehen".
"Dass die elektronische Patientenakte (ePA) als Opt-out-Modell vorgesehen ist – habe ich hier noch gar nicht thematisiert."
Das war mir bisher, ehrlich gesagt, auch nicht klar und bewusst! Spricht mal wieder Bände für die Akzeptanz, dass dies so vorgesehen ist. Zwangsbeglückung mit (hoffentlich) offener Hintertür … Geht gar nicht! Werde dem, sofort nach Einrichten meiner Akte, dann widersprechen!
Günter, ich fürchte, am Ende werden wir vielleicht noch froh sein, wenn es zu einem Opt-out-Modell kommt, weil das immerhin bedeuten würde, dass die Nutzung der elektronischen Patientenakte im Grundsatz freiwillig bliebe. – Andreas Strausfeld, Chef des IT-Dienstleisters Bitmarck in Essen, hat Anfang August eine verpflichende Einführung der ePA gefordert.* Gesellschafter der Bitmarck sind (lt. Wikipedia) Krankenkassen wie DAK und Knappschaft; die Bitmarck selbst ist im Auftrag der Krankenkassen maßgeblich an der Entwicklung der ePA beteiligt.
_________________________
* https[:]//www.waz.de/wirtschaft/wirtschaft-in-nrw/bitmarck-chef-elektronische-patientenakte-muss-pflicht-sein-id236021661.html (Der Artikel ist online leider nicht frei zugänglich.)
Vor einem Jahr stellte NVidia seine Deep Fake Technologie vor, um die Leistungsfähigkeit der neuen Grafikkarten zu demonstrieren.
Das "Augmented Reality SDK" von "NVIDIA Maxine" soll sogar ein Gesicht so animieren können, dass alleine ein Audio-Stream ausreichend ist, um die Gesichtsmimik daran anzupassen. Das animierte Gesicht kann man mit Texturen belegen, die man aus Fotos oder Videoaufnahmen einer anderen Person erstellt hat.
Es kann auch Augenkontakt simuliert werden, obwohl die Person woandershin schaut.
Das Programm "Avatarify Python" erlaubt Echtzeit Deep Fakes im Live Videochat auch für Laien.
Wenn man das Motion-Tracking nicht nur auf das Gesicht legt, sondern auch auf das Ausweisdokument, dann kann man ich Echtzeit auch einen anderen oder einen gefälschten Ausweis live im Videochat bewegen und das Passfoto etc austauschen.
Erinnere die Story von der älteren Frau, die sich per Filter auf eine 24jährige gemorpht hat und wohl über viele Monate ihre live-stream-fangemeinde geleimt hat.
Die Nummer fiel erst auf, als sie einmal das falsche Videosignal aufgeschaltet hat und der Schwindel auffog.
Mal ganz ehrlich/doof gefragt :
Sind Bänker wirklich solche Bänkster?
Zu welchem Prozentsatz?
Hier ein ungeeignetes Verfahren verkaufen, und obendrein versuchen, die Bafin zu betrügen, damit sie die Daten überhaupt verarbeiten./dürfen.
Vermutlich billigend inkauf nehmend, dass Kriminelle eine andere Identität bekommen um z. B. illegales Geld zu waschen?
Nun, passt doch zu der Enthüllung von c't in Sachen gematik und eigentlich nicht notwendigem 300 Mio. € Update der Kommunikationsgeräte (angeblich müssen die dort installierten Zertifikate manuell ausgetauscht werden) bei Ärtzen und Apothekern. Sowohl die Sicherheit der persönlichen Daten wie auch das Geld der Krankenversicherten scheint dieser Gesellschaft nicht im geringsten wichtig. Erstaunlich ist allerdings wirklich, dass trotz Warnung des BSI dieses Verfahren für die ePA eingeführt worden ist. Und die Bitkom … naja, dort ist man in vielerlei Hinsicht irgendwie im Zeitalter von Nixdorf und Co. stehengeblieben.
Das Thema habe ich noch auf dem Radar – kam bisher aber nicht dazu, das alles mal zusammen zu fassen.
Unangenehmer Weise häufen sich diese Theme auch irgendwie.
Wir haben in Deutschland eine lange Zeit Dauerfeuer gegen "Bedenkenträger" auf allen Kanälen bekommen. Sogar Worte wie "Bedenkenträger" als rituelle Herabwürdigung für Menschen mit Problembewusstsein kultiviert.
Da ist diese Entwicklung hier nur normal und die klare Reaktion der Gematik schon eher ungewöhnlich.
So ist das auch im täglichen Kleinklein. Der Hinweis auf (teils drastische) Risiken wird gerne damit gekontert, dass man ja nur persönlich etwas gegen das jeweilige Projekt hätte und deswegen mit allen Mitteln dagegen agitieren würde.
Als "Bedenkenträger" wird man schnell aussortiert, wenn man keine anderen, bedeutsamen Fähigkeiten einbringt. Erst sozial isoliert, weil Zuspruch für andere karriereschädigend wirkt und man dann jeden Kontakt zu denen verliert, die sich da nicht "anstecken" wollen. Und dann ist man irgendwann ganz raus. Und alle ducken sich weg.
Ich weiß nicht, wann es passiert ist. Aber die Gesellschaft ist mittlerweile größtenteils unmündig geworden. Die Denkrichtung wird vorgegeben und wer abweicht gehört nicht dazu.
Nun, dies habe ich mich auch schon öfters gefragt. Liegt wohl daran, dass in dem ganzen Digitalisierungs-Dilemma (und natürlich nicht nur dort) keiner mehr inzwischen so recht durchblickt und sehr viel Orientierungslosigkeit vorherrscht. Aber Menschen brauchen nun mal Koordinaten und Orientierung(en) um vernünftig durchs Leben zu kommen. Wo "Chaos" usw. vorherrscht, wird sehr gerne und sehr schnell der Ruf nach diversen "kompetenten Führern/Machern" laut. Egal, ob im Kleinen oder Großen. Und diese "Führer", oder auch "Macher", haben/bekommen dann weitestgehende Handlungsfreiheit(en). Es ist keine Frage: Das Leben wurde in den letzten 10 – 15 Jahren nicht einfacher, sondern eher komplizierter. Eben durch immer mehr Möglichkeiten, die einem zur Auswahl stehen. Vielfalt ist gut, hat aber ab einem gewissen Volumen auch seine Grenzen. Spätestens dort, wo es dann anfängt, dass für die breite Masse das dann alles nicht mehr so recht durchschaubar und handhabbar ist.
Die überwiegend große Mehrheit ist faul im Denken, wie im Handeln und lässt sich eben sehr gerne alles Mögliche (und auch Unmögliche) "abnehmen". Man kann es auch als "betreutes Denken und Handeln" bezeichnen. MS z. B. verhält sich ja auch sehr oft so: "Wir wissen schon was gut für euch ist … – Und wenn es euch nicht passt, dann machen wir es trotzdem so! Einfach deshalb schon, weil wir es so wollen!" Und von der vorgegebenen "Mainstrem-Denkrichtung" abzuweichen, erfordert nun mal Rückgrat, Standhaftigkeit und ein gutes Selbstbewusstsein. Außerdem ist es anstrengend und meist nicht gerade – wie du selbst schreibst – besonders karrierefördernd … Und der Mensch ist nun mal ein Herdentier und fühlt sich mitten in der großen (Schaf)herde am sichersten. An den Rändern, oder noch weiter abseits der Herde, tummeln sich meist nur die extrem Mutigen, oder die Ver-/Ausgestoßenen. Wie sagte schon Einstein: "Um ein tadelloses Mitglied einer Schafherde sein zu können, muss man vor allem ein Schaf sein." Damit dürfte sehr viel (aus)gesagt sein … ;-) Er hat ja eh sehr viel verstanden, der gute Einstein. Vor allem war er ein ausgesprochen demütiger Wissenschaftler, der sich selbst permanent hinterfragt hat und nie einen Beweis als allerletzten Beweis angesehen hat. (>> „Ich denke, ich habe recht – aber in letzter Instanz bin ich mir dann doch nicht so ganz sicher …") Eine sehr sympathische Eigenschaft, die unseren heutigen Wissenschaftlern (oder die, die sich dafür halten) leider sehr oft abhandengekommen zu sein scheint …
nPA/eID (ohne Bildüberprüfung natürlich) funktioniert seit sehr vielen Jahren absolut problemlos, sicher, schnell und mit jedem halbwegs modernen Smartphone, auch am PC. Es sollte von den Anbietern einfach genutzt werden. VideoIdent dauert recht lang, man muss fragwürdige Software installieren, Rechte gewähren, das ganze ist mehr als mühsam, da es viele Minuten Zeit in Anspruch nimmt – ganz anders als nPA/eID.
Ist für sehr wenige Vorgänge eine Gesichtskontrolle nötig, gibt es immer noch PostIdent.
Wer die eID-Funktion seines nPA nicht freigeschaltet hat, hat kein Mitleid und das selbst so bewusst entschieden. So wie Menschen ohne E-Mail oder Smartphone. Jedem das Seine, man muss dann aber auch mit den Konsequenzen leben und nicht jammern.
> VideoIdent dauert recht lang, man muss fragwürdige Software installieren, Rechte gewähren, …
Hier funktioniert das ganz einfach im Browser.
Bevor jetzt alle Richtung nPA rennen:
Dieser ist ebenfalls nicht sicher. Denn G&D beziehungsweise "der Staat" hat eine "Sicherungskopie" des geheimen Schlüssels in Klartext (und natürlich auch der PIN).
Damit kann man perfekte nPA-Kopien erstellen und im Namen eines Bürgers rechtsgültige Unterschriften erzeugen, die dieser nicht anfechten kann.
Normalerweise werden geheime Schlüssel in dem Chip einer Smartcard erzeugt und können aus guten Grund nicht ausgelesen werden. Das Vorgehen beim nPA verletzt elementarste Sicherheitsregeln.
Daher bleibt mein PIN Brief versiegelt. Der einzige Beweis, dass das Terroristenkonto nicht von mir eröffnet wurde…
> Denn G&D beziehungsweise "der Staat" hat eine "Sicherungskopie" des geheimen Schlüssels in Klartext (und natürlich auch der PIN).
Hast du einen Link/Nachweis für diese Aussage?
>> Ich verlinke mal auf diesen Tweet, wo das diskutiert wird. Ein Rechtsgutachten
>> der Bertelsmann-Stiftung hat sich damit befasst und der Ärztetag befürwortete
>> auch "opt-out" – hat der betreffende in seinem Blog "Der digitale Patient"
>> thematisiert.
Hm, bei wem lässt die Gematik nochmal ihre Server laufen (und vermutlich auch die Software entwickeln und warten)? ich glaube, es war Arvato … eine Bertelsmann-Tochter – aber Interessenkonflikt? nein, kann ja gar nicht sein – Honi soit qui mal y pense.
Und was die Kompetenz der diversen Ärztevertretungen angeht: da habe ich oft das Gefühl, dass sie im Umgang mit Politikern und Firmenbossen einfach "star struck" sind (naja, und die Kernkompetenz halt einfach in der Medizin liegt – was ja auch ok ist).
Ach so, nicht vergessen: die Politik hat die ehemals gut gefüllten Töpfe der Krankenkassen für Themen wie die IT-Infrastruktur, überteuerte Masken oder im Unterhalt teure Impf- und Testzentren weit geöffnet (auch und insbesondere für nicht-ärztliche Player, die das jeweilige Thema als Investition sahen und sehen) – Resultat? diese Töpfe sind – freundlich formuliert – gar nicht mehr so gut gefüllt, die Beiträge gehen nach oben, aber selbst das wird wohl nicht reichen – welch' Überraschung!
Aber um zum Thema zurückzukommen: wenn das ganze Geld der Versicherten (um dieses Geld geht es nämlich) wenigstens gut angelegt worden wäre – ok; aber (wieder mal) für Schlamp einen Haufen Geld zu verbrennen – nein danke. Es ist ja nicht so, dass wir in Deutschland keine guten IT-Sicherheitsforscher hätten.
Avarto? Waren das nicht die mit dem total sicheren, da besonderem, Anwalts Postfach? BeA ? Private Schlüssel beim Provider im HSM.
Ähnlich gut wie DE-mail?
*****
Wer die eID-Funktion seines nPA nicht freigeschaltet hat, hat kein Mitleid und das selbst so bewusst entschieden. So wie Menschen ohne E-Mail oder Smartphone. Jedem das Seine, man muss dann aber auch mit den Konsequenzen leben und nicht jammern.
******
Welche Konsequenzen wären das? Und was hat Mitleid damit zu tun?
Verstehe ich nicht.
Antworten
Man muss dann einfach zur Postfiliale laufen und das PostIdent-Verfahren durchlaufen, statt sich einfach rechtssicher am PC zu authentifizieren. Oder noch mühsamere Verfahren wie z. B. bei einem Online-Mahnantrag.
"Man muss dann einfach zur Postfiliale laufen …"
Wow, stell dir vor … Bloß nicht zu viel Zeit in Bewegung investieren, gelle? Was für ein Grund … (Und wir haben ja auch zum Glück kein "Gewichtsproblem" der Bevölkerung in D … Ach so ja, darf man ja auch nicht mehr kritisieren; Stichwort "Bodyshaming" und so …)
Und das Verfahren in der Postfiliale ist kurz und knackig, innerhalb einiger Minuten problemlos erledigt – so meine Erfahrung jedenfalls.
Gibt übrigens auch noch das Fahrrad, oder vielleicht sogar ein "Andy S. E-Roller" und sogar evtl. ein Kfz, das man z. B. auf dem Weg zur/von der Arbeit, oder dem Einkaufen usw., dann einbinden kann – so mach ich das z. B. immer in solchen Fällen. Aber ich laufe auch ganz gerne sehr oft bewusst; einfach weil's gut tut … Die eID-Funktion meines Persos ist freigeschaltet, der entsprechende PIN-Brief zur Aktivierung allerdings, liegt seit Jahren originalverschlossen in einem Ordner, da ich bisher nicht den Drang/Zwang verspürte, diese Funktion unbedingt nutzen zu müssen. Trotz allem, fühle ich mich auch nicht "bemitleidenswert" … :-)
Ich habe halt Papier hier privat wie in der Verwaltung schon vor ca. 30 Jahren weitestgehend abgeschafft, da zu unsicher/unverschlüsselt (Diebstahl, Brand, sonstiger juristischer Untergang, keine Volltextsuche) und nicht automatisch georedundant. Von der unnötigen Umweltverschmutzung/Ressourcenverbrauch ganz zu schweigen.
Das mag jeder für sich entscheiden, welche Sicherheitsbedenken für ihn/sie höherwertig/bedenklicher sind, wie viele Daten man vorzuhalten und zu sichern hat und wie immens wichtig diese ggf. sind.
Wem Datensicherheit egal ist, kann z. B. auch Threema nutzen. Dann sind halt die letzten oder gar Unmengen von Chatverläufen weg auf nimmer Wiedersehen, wenn mal das Handy gestohlen wird, kaputt geht, eine Fehlfunktion oder was auch immer hat. Gibt genügend Leute, bei denen das kein Problem darstellte oder die mit so etwas leben könnten. Ich nicht.
Für mich ist Threema als weiteres halbwegs professionelles Chat Tool gestorben, als sie ihre zumindest täglichen automatischen verschlüsselten Cloud-Backups der Chat-Verläufe heimlich still und leise deaktiviert haben. Das war der erste und einzige Datenverlust, den ich in meinem durchaus schon recht langen Leben erleiden durfte. Nicht tragisch in dem Fall, aber maximal unprofessionell.
Da sieht man mal wieder, wie doch einzelne Sichtweisen, Meinungen und diverse Notwendigkeiten auseinander liegen können. Will da jetzt nicht jedes einzelne Detail aufdröseln, aber in der Summe, kann ich deinen Ausführungen für mich persönlich (!) so gut wie nichts abgewinnen. Ich denke, dass ich meine persönlichen Unterlagen/Daten usw., "so weit" auch ganz gut im Griff und (ab)gesichert habe. Ein gewisses letztes Restrisiko bleibt natürlich, wie immer und überall. Aber du schreibst ja selbst: "Gibt genügend Leute, bei denen das kein Problem darstellte oder die mit so etwas leben könnten." – Bei diesem Punkt kann ich dir zumindest recht geben, da dieser ab einer gewissen Grenze dann bei mir auch greift. Kann es auch anders ausdrücken: Ab einem gewissen Punkt ist es dann halt so, wenn was schief geht … Das Leben ist nun mal voller Unwägbarkeiten und negativer Überraschungen – und endet irgendwann sogar tödlich … Von daher: Jeder wie er oder sie es braucht; passt schon … :-)
Ich würde ja gerne mal Wissen wie so ein Video-Ident abläuft.
Ich kann mir ABSOLUT nicht vorstellen, dass die Mitarbeiter das immer konsequent prüfen und wirklich Leute ablehnen wo die Kameraqualität einfach schlecht ist, die Oma beim x-ten Versuch es nicht hinbekommt den Person richtig in die Kamera zu halten. Kann mir nicht vorstellen, dass die Leute es immer konsequent durchziehen.
Bei der Software ebenfalls, weil man ja durchaus "üben/Testen" kann und irgendwann evtl. einen Weg findet es irgendwie zu umgehen.
Diese Video-Ident Anbieter müssten ja auch permanent Anzeigen rausfeuern, weil es sicher genug Leute gibt die hier betrügen möchten?
Ansonsten ist die Hemmschwelle aus meiner Sicht auch deutlich Größer irgendwie hin zu gehen. Beim Video-Ident ist man ja mehr oder weniger anonym.
Ich mit meinen fast 80 Lenzen – ich gehöre also alterstechnisch eindeutig zu der männlichen Variante des von Dir zitierten Personenkreises, der es "beim x-ten Versuch nicht hinbekommt" ;-) – musste mich ebenfalls zum ersten Mal in meinem Leben einer solchen Video-Ident-Prozedur (wegen Neueröffnung eines Trading-Accounts) unterziehen. Eigentlich wollte ich das Post-Ident-Verfahren nutzen, mein Sohn meinte jedoch, es würde viel schneller gehen.
Und ja, die Hemmschwelle war sehr sehr hoch, da ich gelegentlich mit meinen Enkeln mal Video-Calls mache, jedoch nicht mit irgendwelchen wildfremden Personen.
Bei mir lag es noch nicht einmal daran, dass meine Internetverbindung zu schwach war oder die Video-Session aus irgendwelchen anderen Gründen abbrach, sondern einzig und allein daran, dass ich noch nicht einmal jedes 2. Wort verstanden habe. Es war eine Mischung aus schnellgesprochenem, osteuropäischem Dialekt, ein bisschen Nuscheln und einer Sprachqualität wie aus einem Mono-Radio aus den 50ern (und die klangen besser).
Nach mehrfacher Bitte, doch langsamer und deutlicher zu sprechen, hatte die Dame dann wohl keine Lust mehr und hat "aufgelegt".
Beim zweiten "Anruf"-Versuch landete ich in einer Warteschleife … und nach 20 Minuten war wieder genau dieselbe Dame "dran".
Ich legte sofort auf, druckte mir die notwendigen Unterlagen aus, lief 5 Minuten zum Heinz ins Postamt, der mir natürlich sofort bestätigte, dass ich auch wirklich ich bin (kenne ihn schließlich seit fast 40 Jahren) und war dann 10 Minuten später wieder daheim.
IT und Digitalisierung hin oder her. Ein Fluch und ein Segen zugleich.
Wohl dosiert und in den richtigen, verantwortungsbewussten Profi-Händen sicherlich ein Segen.
In der Komplexität der von Menschen erschaffenen Systeme (und damit meine ich nicht nur die IT-Systeme) und der damit einhergehenden Herausforderung, die Übersicht zu behalten und diese zu beherrschen, sehe ich jedoch den Fluch.
Entschuldigt bitte, wenn ich euch mit meinem Wort zu Sonntag gelangweilt habe :-)
Nein, nix "gelangweilt", sondern ein sehr schön geschriebener und interessanter Erfahrungsbericht von jemandem, der entsprechende Lebenserfahrung besitzt (die in der heutigen Zeit leider sehr oft nicht mehr gehört, oder ernst genommen wird). Und deinen vorletzten Absatz unterschreibe ich persönlich voll und ganz, da dieser es eigentlich kurz und knackig auf den Punkt bringt!