Datenschutz bringt RFID arg in Bedrängnis

In vielen Anwendungsszenarien genügen RFID-Chips, auf denen lediglich eine weltweit eindeutige Identifikationsnummer (der sogenannten Electronic Product Code, EPC) gespeichert ist. Mittels drahtloser Kommunikation der Chips mit einem RFID-Lesegerät kann der EPC ausgelesen, ein Produkt eindeutig identifiziert und die zum Produkt gehörigen Daten von einem nachgelagerten Informationssystem abgerufen werden.

Die physische Welt lässt sich somit ohne Medienbrüche und echtzeitnah in der virtuellen Systemwelt abbilden und die mit RFID ausgestatteten Produkte aufgrund der Verknüpfung mit Informationssystemen "smart" werden. Es entsteht ein sogenanntes "Internet of Things".

Vom "Internet of Things" zum "Internet of People"?

Wie eingangs erwähnt, kann RFID über die Endprodukte auch Einzug in die privaten Haushalte erhalten und begleitet den Verbraucher damit über die Kleidung und die alltäglichen Gebrauchsgegenstände (wie bspw. das Handy) in seinem Alltag. Was nun für die mit RFID ausgestatteten Produkte möglich ist - nämlich die Virtualisierung in der Systemwelt - ist vice versa auch auf den Alltag des Verbrauchers übertragbar.

Aufgrund der eindeutigen Identifizierbarkeit der Chips ließen sich über die zum Verbraucher gehörenden Produkte in einfacher Weise Verhaltensmuster erstellen (sogenanntes Profiling) oder Bewegungen von Personen im öffentlichen Bereich sowie am Arbeitsplatz verfolgen. In gemeinsamer Verwendung von RFID mit Kunden- oder Kreditkarten ist zudem eine personenbezogene Zuordnung der Daten möglich.

Ansätze zur Adressierung von Datenschutz- und Datensicherheitsaspekten

Datenschutzrechtliche Bedenken im Bereich der elektronischen Datenverarbeitung sind nicht neu, jedoch wird mit RFID eine neue Dimension der Datenerhebung erreicht. Moderne RFID-Chips haben die Größe eines Reiskorns und können nahezu unsichtbar in Produkte integriert werden. Mittels drahtloser Kommunikation der Chips mit den Lesegeräten ist es daher möglich, unbemerkt und ohne Kontrollmöglichkeit des Nutzers, Daten auszulesen.

Schnell waren Begrifflichkeiten wie „der Schnüffelchip“ gefunden und prägten die Wahrnehmung von RFID in der Gesellschaft. Verbraucherschutzorganisationen konnten immer wieder erfolgreich öffentlichen Druck auf Industrieunternehmen und Handelsketten ausüben und die Öffentlichkeit gegen aktuelle RFID-Projekte mobilisieren. Die Folgen für die betroffenen Unternehmen waren teilweise gravierend, so dass laufende Projekte unter Imageverlust und hohen Kosten wieder eingestellt werden mussten. Der Kontrollverlust, ob und in welchem Rahmen RFID-Chips ausgelesen werden, stellt also eines der Kernprobleme der RFID-Technologie dar.

Die mediale Diskussion über die gesellschaftlichen Konsequenzen von RFID und die Möglichkeit einer adäquaten Adressierung der datenschutzrechtlichen Bedenken führen zu zwei Lösungsansätzen:

• Technologischer Ansatz (Privacy-enhancing Technologies, PET)

• Regulatorischer Ansatz (Gesetzgebende Regulierung, Selbstregulierung)

Privacy-enhancing Technologies (PET) sind technische Schutzmaßnahmen, welche das unkontrollierte Auslesen der Chips verhindern. PET haben allerdings die Nachteile, dass sie teilweise sehr kostenintensiv sind und dem Verbraucher auch nützliche Funktionalitäten von RFID dauerhaft verwehrt. Hauptkritikpunkt der Anwendung von PET ist allerdings, dass die Verantwortung des Schutzes an den Verbraucher abgegeben wird und dieser - sofern er nichts unternimmt - RFID schutzlos ausgeliefert ist.

PET allein reichen also nicht aus, um die Problematik des Kontrollverlustes adäquat zu adressieren und sind daher durch regulatorische Maßnahmen zu ergänzen. Derartige Maßnahmen können legislativ durch die Anpassung der Datenschutzgesetze in Bezug zur RFID-Technologie erfolgen oder per aktiver Selbstregulierung der RFID-einsetzenden Unternehmen in Form eines Verhaltenskodex.

Unabhängig davon, welche Form der Regulierung gewählt wird, die folgenden Elemente sind zentrale Bedingungen für die Vereinbarkeit von RFID und Datenschutz und Datensicherheit:

• Schaffung von Transparenz beim Einsatz von RFID: Unternehmen müssen die Öffentlichkeit informieren und Lesegeräte sowie RFID-Chips entsprechend kennzeichnen. Die Vermittlung von Informationen schafft zudem Vertrauen bei den Verbrauchern.

• Kein verstecktes Profiling: Die Grundsätze des Datenschutzrechtes müssen auch für RFID-Systeme gelten, was bedeutet, dass die Prinzipien der Datensparsamkeit und die Zweckbindung der Datenerhebung gegeben sein müssen.

• Möglichkeit der Deaktivierung: Dem Verbraucher muss die Möglichkeit eingeräumt werden, selbst über die Nutzung von RFID-Services entscheiden zu können und sich auf die Abschaltbarkeit von RFID-Funktionen verlassen zu können.

Auf dem Weg zu einer ausgereiften Technologie

RFID ist schon lange kein Hype-Thema mehr. Jedoch hat sich die Technologie noch nicht in dem Maße durchgesetzt, wie es in den vergangenen Jahren prophezeit wurde. Ursache hierfür sind unter anderem auch die Risiken der unbekannten sozialen Auswirkungen beim Einsatz von RFID. Diese Hürde kann nur genommen werden, wenn verlässliche Sicherheiten für die Einhaltung des Datenschutzes gegeben sind und die Technologie eine breite gesellschaftliche Akzeptanz findet.

Die verlangsamte Marktdurchdringung von RFID ist demzufolge nicht unbedingt negativ, da nun die Gelegenheit besteht, Datenschutz und Datensicherheit vor einer breiten Einführung von RFID zu integrieren und eine genaue Kosten-Nutzen-Prüfung in Bezug auf bestimmte Datenschutz- und Sicherheitsrisiken durchzuführen.

Jan Kroll ist Senior IT Advisor bei KPMG.