Thema der Woche

04. Juli 2006

Erweiterter Zugriffsschutz für elektronische EU-Pässe

Die Europäische Kommission hat als Zugriffschutz für die Chip-Daten elektronischer Reisepässe (ePass) die so genannte Extended Access Control (EAC) verabschiedet, um die künftig in den Reisedokumenten gespeicherten Fingerabdrucksdataen gegen unberechtigten Zugriff zu schützen. Die Entwicklung der EAC geht maßgeblich auf das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) zurück, das den Kontrollmechanismus erarbeitet und in einer technischen Richtlinie veröffentlicht hat (vom BSI auf Anforderung per E-Mail erhältlich).

Staatssekretär Altmaier vom Bundesministerium des Innern (BMI) kommentierte: "Mit den elektronischen Reisepässen verfügen die Bürgerinnen und Bürger Europas über hochsichere Dokumente, die vor Fälschung und Missbrauch zuverlässig geschützt sind und gleichzeitig hohen Datenschutzanforderungen gerecht werden. Für Deutschland bedeutet die Verabschiedung der Extended Access Control den Startschuss für intensive Vorbereitungen auf die zweite ePass-Einführungsstufe, die in Deutschland 2007 realisiert werden soll."

Insgesamt kann nun EU-weit die Einführung der zweiten Generation elektronischer Reisepässe beginnen. Die Mitgliedsstaaten hatten sich Ende 2004 darauf verständigt, bis spätestens August dieses Jahres elektronische Reisepässe mit zunächst einem biometrischen Merkmal – dem digitalen Passfoto – einzuführen. Diese als weniger sensitiv angesehenen Bilder sind durch die so genannte Basic Access Control (BAC) geschützt (vgl. "Digitale Sicherheitsmerkmale im elektronischen Reisepass" im <kes>-Materialarchiv.

Die Extended Access Control (EAC) als erweiterter Zugriffschutz trägt zusätzlichen Datenschutzanforderungen bei Ergänzung der Fingerabdruckdaten Rechnung:

EAC sichert den Ausleseprozess durch weitreichendere kryptographische Mechanismen: Ein hiermit ausgestatteter ePass erreicht eine höhere Verschlüsselungsstärke als mit BAC und damit ein Sicherheitsniveau, das laut BSI als langfristig sicher angesehen wird.
EAC ermöglicht zudem per Public-Key-Infrastruktur (PKI) die Vergabe von Berechtigungen für Pass-Lesegeräte an Grenzkontrollstellen und die Definition selektiver (landesspezifischer) Zugriffsrechte. Das Auslesen der Fingerabdrücke soll somit nur zur Erfüllung hoheitlicher Aufgaben möglich sein. Mit EAC lässt sich auch festlegen, ob ein Lesegerät überhaupt auf die digital abgespeicherten Fingerabdrücke zugreifen darf oder nicht.

Weitere [externer Link] Informationen zum Reisepass mit biometrischen Merkmalen stellt das BSI online bereit.