Nect: Warum das System grundlegend falsch konzipiert ist

Wer heute online einen neuen Tarif bei Krankenkasse, Versicherung oder Telekom abschließen will, landet oft bei der Identifizierung über die Nect Wallet aus Hamburg. Die App verlangt ein Smartphone mit NFC, liest die Daten aus dem Chip des Personalausweises aus und nutzt dafür die eID-Funktion samt sechsstelliger PIN. Nach diesem ersten Durchlauf speichert das System Name, Geburtsdatum, Anschrift und weitere Ausweisinhalte in einem eigenen Identitätsprofil, das in der Wallet und auf Servern des Anbieters liegt. Für den Nutzer wirkt der Vorgang wie eine einmalige Formalität, tatsächlich entsteht jedoch eine dauerhafte Kopie der staatlichen Identität in einer privaten Infrastruktur.

Genau diese Kopie bildet die Grundlage des ReIdent-Verfahrens, mit dem Nect wirbt. Wenn eine weitere Versicherung oder ein anderer Dienst dieselbe Person identifizieren will, greift die App nicht mehr auf den staatlichen eID-Server zu, sondern auf den bereits vorhandenen Datensatz in der Nect eigenen Datenbank. Statt erneut Karte und PIN einzusetzen, reicht ein Selfie-Video, das per Software mit den in der Wallet hinterlegten Merkmalen abgeglichen wird. Für die Unternehmen ist diese Wiederverwendung oft günstiger als eine neue eID-Abfrage, weil nur noch ein interner biometrischer Vergleich statt eines hoheitlichen Online-Ausweises bezahlt werden muss. Für den Nutzer bedeutet das, dass die ursprünglich streng an Karte und PIN gebundene Identität in eine wiederverwendbare Datei überführt wird, die auf einem Smartphone und in einem Cloud-System liegt.

Damit verschiebt sich die Sicherheitslogik spürbar. Der Personalausweis mit eID ist technisch so ausgelegt, dass der Zugriff auf die Daten nur mit physischer Karte, Geheimnummer und einer gesicherten Gegenstelle im staatlich kontrollierten System möglich ist. Die Nect Wallet ersetzt dieses Modell durch eine Kombination aus Geräte-Entsperrung und Videoerkennung, deren Stärke von der Hardware, der Umgebung und der jeweiligen Implementierung im Smartphone abhängt. Angreifer müssen nicht mehr jede einzelne Karte manipulieren, sondern können versuchen, an zentral gespeicherte Datensätze und deren Wiederverwendungsschnittstellen zu gelangen. Datensicherheitsexperten warnen seit Jahren davor, Kopien von Ausweisdokumenten in privaten Archiven zu lagern, weil Missbrauch, Identitätsdiebstahl und Phishing mit solchen Kopien erheblich einfacher werden. Die Wallet erzeugt genau eine solche Kopie, verknüpft sie mit biometrischen Merkmalen und setzt sie über Branchen hinweg ein.

Hinzu kommt eine strukturelle Verschiebung der Datenmacht. Während der Online-Ausweis rechtlich auf Datensparsamkeit, Zweckbindung und technische Zugriffsbeschränkungen ausgelegt ist, lebt das Geschäftsmodell von Nect davon, dass eine zentrale Instanz als Identitätsdrehscheibe für viele Unternehmen fungiert. Krankenkassen und andere Dienstleister binden ihre Prozesse so, dass Nutzer ohne Wallet die gewünschten Verträge oder Leistungen oft nicht mehr vollständig digital abschließen können. Wer den Komfortweg wählt, akzeptiert neben den Bedingungen seiner Versicherung zusätzlich die Vertragsbedingungen und Datenschutzerklärungen von Nect, die eigene Zwecke wie Betrugsprävention, Produktverbesserung oder statistische Auswertungen vorsehen. Die langfristige Speicherung dieser Angaben eröffnet die Möglichkeit, aus Nutzungsverläufen Profile zu bilden, etwa darüber, wann welche Identifizierung bei welchem Unternehmen stattgefunden hat. Verbraucherschützer warnen im Kontext der geplanten EU-Digital-Wallet bereits vor der Gefahr umfassenden Trackings durch zentrale Identitätscontainer; ein privat betriebener Identitäts-Hub wie die Nect Wallet bewegt sich technisch in eine ähnliche Richtung.

Regulatorische Prüfungen ändern an dieser Schieflage wenig, denn diese Prüfungen ersetzen nicht die Grundentscheidung, ob Bürger überhaupt akzeptieren sollten, dass ihr hoheitliches Ausweisdokument in eine langlebige Privatkopie überführt wird, die bei jedem neuen Vertrag als billige Abkürzung dient. Das Personalausweisrecht erlaubt Kopien nur unter engen Bedingungen und betont die Risiken, wenn solche Kopien in falsche Hände geraten. Nect baut ein Geschäftsmodell darauf auf, dass genau diese Kopien massenhaft gespeichert werden. Eine kurzfristige Ersparnis von Kosten für jedes neue Video-Selfie gegen den dauerhaften Export der eigenen Ausweisidentität in eine Plattform, deren ökonomischer Anreiz in möglichst häufiger Wiederverwendung genau dieser Kopie liegt. (pz)

Schlagwörter: Nect + Hamburg + Datenschutz

Wie bewerten Sie den Schreibstil des Artikels?