Gesichtserkennung am Südkreuz: Bundespolizei hat falsch informiert – Wir fordern Abbruch des Tests [Update]

Laut Bundespolizei sollen Test-Personen einen RFID-Chip bei sich tragen. Zugeschickt wurden aber viel mächtigere iBeacons mit Beschleunigungs- und Temperaturmesser. Wir fordern den Abbruch des Tests.

Kerstin Demuth, Friedemann Ebelt

Veröffentlicht am 21.08.2017 (Letztes Update: 20.10.2017)

Auf dem Boden vor einer Rolltreppe ein riesiger Aufkleber: „Pilotprojekt Gesichtserkennung“

Neues zu Überwachungssensorik und anderen Themen rund um Datenschutz und Grundrechte gibt es in unserem Newsletter.

Bundespolizei hat Test-Personen falsch informiert

padeluun von Digitalcourage hat sich für den Versuch zur Gesichtserkennung am Bahnhof Südkreuz angemeldet. Den Transponder, den er bei sich tragen soll, hat er untersucht – und der kann viel mehr, als den Test-Personen angekündigt wurde. Darum fordert Digitalcourage, dass der Test sofort abgebrochen wird. (Bilder gibt es ganz unten im Text)

Wer an dem Pilotprojekt von Deutscher Bahn und Bundespolizei teilnimmt, muss einen Transponder bei sich tragen. Damit kann überprüft werden, ob die Gesichtserkennung durch die Überwachungskameras funktioniert. Wenn der Algorithmus das Gesicht nicht erkennt, wird die Person über den Transponder dennoch identifiziert. So soll die Zuverlässigkeit der Gesichtserkennung getestet und verbessert werden. Am 24. August 2017 wird Bundesinnenminister Thomas de Maizière zum Projekt am Bahnhof Südkreuz kommen.

Angekündigt für das Projekt war ein Chip im Kreditkartenformat – anscheinend hat die Bundespolizei erwartet, ein RFID-Chip sei für ihre Pläne ausreichend. Falsch gedacht. Den Teilnehmer.innen wurde in Wirklichkeit ein blukii Beacon (Wikipedia-Artikel) untergeschoben – ein aktiv sendender Bluetooth-Transponder, mit 50 Metern Reichweite, der unter anderem Daten wie Temperatur, Neigung und Beschleunigung messen und weitergeben kann. Durch diesen aktiv sendenden Transponder können besagte Daten auch außerhalb des Testgebietes ausgelesen werden. Lediglich eine freizugängliche App aus dem Google Play Store wird dafür benötigt.

Die Bundespolizei hat die Test-Personen falsch über die eingesetzte Technik informiert.
Die Test-Personen konnten darum dem Test nicht ausreichend informiert zustimmen.
Der Test zur Gesichtserkennung muss abgebrochen werden, weil die Test-Personen nie zugestimmt haben, einen blukii Beacon bei sich zu tragen.
[Korrektur: Angabe zur Batterielaufzeit gelöscht]
Die Kameras erfassen auch Menschen, die nicht in den Test eingewilligt haben.
Die Lesegeräte erfassen neben den blukii Beacons auch andere Bluetooth-Geräte. Auch hierzu haben die Betroffenen nie eingewilligt.

Aktualisierung vom Dienstag, 22. August 2017, 15:30 Uhr: Auf Presse-Nachfrage hat [Korrektur: das Innenministerium] auf die Vorwürfe von Digitalcourage reagiert (berliner-zeitung.de), eine öffentliche Pressemitteilung im Presseportal der Bundespolizei und des Innenministeriums gibt es noch immer nicht. Der Beschleunigungssensor sei vor Auslieferung deaktiviert worden. Allerdings konnten wir diese Daten vom Beacon von padeluun ohne Probleme mit der Standard-App auslesen, wie die Screenshots unten belegen. Weiter argumentiert die Bundespolizei, dass die Temperaturdaten aussortiert werden. Das ist vollkommen irrelevant, weil sie zunächst erhoben werden und die Test-Personen nicht darüber informiert wurden, dass sie kleine Überwachungs-Labore mit sich führen, die rund um die Uhr Temperatur-, Neigungs- und Beschleunigungs-Daten [Korrektur: laut Bundesministerium des Inneren] mit bis zu 256 KByte (2 MBit)] speichern und senden können. Keine Test-Person hat dem zugestimmt. Die Bundespolizei hat vorab in ihrem FAQ über den Einsatz von Transpondern informiert, die etwa die Größe einer Kreditkarte haben. Das weist eindeutig auf RFID-Technologie hin. Eine Kreditkarte mit Batteriefach wäre eine technisch sensationelle Neu-Entwicklung von Innenministerium und Bundespolizei. Zudem gab es vor Beginn des Tests Medienberichte, die von RFID-Technik berichtet haben. Die Bundespolizei hat diese Berichte nicht dementiert und nicht korrigiert. Test-Personen mussten davon ausgehen, dass RFID-Technik eingesetzt wird. Der Test muss sofort abgebrochen werden. Am Donnerstag, 24. August 2017 wird Bundesinnenminister Thomas de Maizière am Bahnhof Südkreuz über den Test informieren.

„Lisa Häger, Sprecherin von de Maizière erklärte, die Testpersonen würden einen „aktiv sendenden Bluetooth-Transponder mit iBeacon-Funktion und einem Beschleunigungssensor“ bei sich tragen.“ – Quelle: http://www.berliner-zeitung.de/28206282 ©2017

Aktualisierung vom Donnerstag, 24. August 2017, 10:30 Uhr: Laut Bericht der Berliner Zeitung, fordert Bundesdatenschutzbeauftragte Andrea Voßhoff den Stopp des Pilotprojekts am Südkreuz. Da eine informierte Einwilligung nicht vorliege, müsse diese zunächst von allen Teilnehmern eingeholt und der Test bis dahin abgebrochen werden, so Voßhoff auf Anfrage der Berliner Zeitung am Mittwochabend. – Quelle: http://www.berliner-zeitung.de/berlin/gesichtserkennung-bundesdatenschuetzerin-will-projekt-am-suedkreuz-stoppen-28215348

Korrektur und Klarstellung, 31. August 2017
Wir lassen uns gerne daran erinnern, sauber zu recherchieren. In der Tat bezogen wir uns in früheren Texten auf die Herstellerangaben des Blukii Beacon Modell S statt des tatsächlich genutzten Modell L. Diese beiden unterscheiden sich allerdings nur in der Batterielaufzeit und in der Reichweite. Danke für den Korrekturhinweis. Wir haben die Modellangabe und auch weitere kleine Ungenauigkeiten im Text korrigiert.
Das ändert jedoch nichts an unserer grundsätzlichen Kritik an dem Gesichtserkennungstest am Südkreuz und unserer Forderung, den Versuch umgehend abzubrechen. Diese Forderung unterstützt auch die Bundesdatenschutzbeauftragte.

Unabhängig vom genauen Wortlaut der Beschreibung des Transponders hat die Bundespolizei die Versuchsteilnehmer.innen nicht ausreichend über die Funktion dieser Beacons unterrichtet. Der Versuch muss abgebrochen werden!
Wir haben nie unterstellt, dass die Polizei auf zusätzlich anfallende Daten tatsächlich zugreifen würde. Vielmehr nehmen wir an, dass sie selbst nicht wissen, was sie da eigentlich machen.
Wir haben weder bewusst noch vorsätzlich die Einstellungen des Beacon geändert. Wir haben den Öffnungsvorgang nicht dokumentiert, können also nicht ausschließen, dass die zusätzlichen Features durch uns eingeschaltet worden sind. Wir haben allerdings auch nicht behauptet, dass die Bundespolizei mehr Daten erhebt und verarbeitet als nur die Nummer. Unsere Kritik war: Alle Teilnehmer.innen müssen über diese Fähigkeiten des Beacons vor der Zustimmung informiert worden sein.
Durch den Einsatz von Bluetooth-Empfängern mit hoher Reichweite werden potentiell auch Bluetooth-Geräte (Telefone, Kopfhörer etc.) aller Besucher.innen des Bahnhofs Südkreuz durch das Projekt erfasst. Nicht nur jene, die – nach unzureichender Aufklärung – als Testteilnehmer.innen der Erfassung zugestimmt haben. Ob das der Fall ist, haben die Projektverantwortlichen uns gegenüber bisher weder bestätigt noch dementiert.
Was nicht untergehen darf: Nach Auffassung vieler Jurist.innen ist das Gesamtprojekt unzulässig, da die gesetzliche Grundlage für massenweises Abtasten von Gesichtern fehlt. Der angestrebte flächendeckende Einsatz wird ebenfalls unzulässig sein. Eine Anfrage bei der EU-Kommission, ob Gesichtserkennung in Europa überhaupt mit dem neuen EU-Datenschutz ab Mai 2018 vereinbar wäre, stellte die Europaabgeordnete Cornelia Ernst am 25. August 2017.

Weitere Informationen

Presse

- -
(Für höhere Auflösung, auf das Bild klicken, Screenshots: Digitalcourage CC BY SA 4.0)

Blukii
Bild: iBeacon „blukii. Beacon / L“ der Schneider Schreibgeräte GmbH, Produktinformationen

„Wie groß ist der Transponder? Der Transponder wird ungefähr die Größe einer Kreditkarte haben.“ – Ausschnitt aus dem FAQ der Bundespolizei, Stand: 22. August, 15:52 Uhr