Digitaler Führerschein, ID-Wallet und der Einsatz von Blockchain/DLT im Teilprojekt „Ökosysteme digitale Identitäten“
der Abgeordneten Anke Domscheit-Berg, Nicole Gohlke, Dr. André Hahn, Ina Latendorf, Petra Pau, Sören Pellmann, Martina Renner, Dr. Petra Sitte und der Fraktion DIE LINKE.
Vorbemerkung
Nur wenige Tage vor der Bundestagswahl im September 2021 wurde der sogenannte digitale Führerschein im Rahmen von SSI-Pilotprojekten des Bundeskanzleramtes durch eine Pressemitteilung des damaligen Bundesministeriums für Verkehr und digitale Infrastruktur (heute Bundesministerium für Digitales und Verkehr – BMDV) der breiten Öffentlichkeit vorgestellt (siehe https://www.bmvi.de/SharedDocs/DE/Pressemitteilungen/2021/114-scheuer-digitaler-fuehrerschein.html). Die technische Basis des digitalen Führerscheins bildet das initiierte Ökosystem für digitale Identitäten, die dazugehörige ID-Wallet-App ist bereits seit dem 5. Mai 2021 durch die Digital Enabling GmbH in den App Stores von Google sowie Apple verfügbar. Dabei zeigte die Antwort der ehemaligen Staatsministerin für Digitales Dorothee Bär auf die Schriftliche Frage 1 auf Bundestagsdrucksache 19/32661, dass der Zuschlag zur Entwicklung der App an das Tochterunternehmen Digital Enabling GmbH ohne öffentliche Ausschreibung erteilt wurde, indem auf einen bereits bestehenden Rahmenvertrag mit der System Vertrieb Alexander GmbH (SVA) zurückgegriffen wurde. Dieses auch nach Auffassung der Fragestellerinnen und Fragesteller fragwürdige und intransparente Verfahren kritisierte u. a. Transparency International Deutschland e. V. in einer eigenen Stellungnahme (siehe https://www.transparency.de/aktuelles/detail/article/fragwuerdige-vergabe-fuer-die-entwicklung-desdigitalen-fuehrerscheins-durch-bundesregierung/). Eine indirekte Vergabe über die SVA an Drittunternehmen war bereits zuvor stark kritisiert worden, als sich im Zuge der sogenannten Berateraffäre ein Untersuchungsausschuss damit beschäftigte. Nach wenigen Tagen musste die ID-Wallet-App wieder aus den App-Stores entfernt werden, weil IT-Sicherheitsforscherinnen und IT-Sicherheitsforscher massive Sicherheitsrisiken aufgedeckt hatten. Mittlerweile wurde öffentlich, dass bereits vor der Veröffentlichung kritische Einschätzungen diverser Stellen vorlagen (u. a. der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit [BfDI], das damalige Bundesministerium des Innern, für Bau und Heimat [BMI], das Bundesamt für Sicherheit in der Informationstechnik [BSI] etc.) vorlagen (siehe u. a. für den BfDI: https://fragdenstaat.de/dokumente/141996-untitled/, S. 1), die nach Einschätzung der Fragestellerinnen und Fragesteller offenbar ignoriert wurden. So kritisierte das BSI in einem Bericht bezüglich des Anwendungsfalls Digitaler Hotel Check-in u. a. die zugrunde liegende Blockchain-Technologie. „Denn durch die Nutzung der Blockchain-basierten Lösung im SSI-Piloten wird die Komplexität und damit einhergehend die grundsätzliche Anfälligkeit für Sicherheitslücken des gesamten Systems bei unklarem Nutzen deutlich erhöht“ (siehe https://fragdenstaat.de/dokumente/141932-bmi_idwallet/, S. 6).
Wir fragen die Bundesregierung:
Fragen14
Wird die Bundesregierung – im Zusammenhang mit der o. g. Anwendung – auch weiterhin eine Blockchain-basierte Lösung zugrunde legen (falls ja, bitte Begründung beifügen)?
Falls ja, welches Problem löst die Blockchain-Technologie nach Ansicht der Bundesregierung, das es ohne sie nicht gäbe und das nicht durch andere Technologien (einfacher) lösbar ist?
Wie bewertet die Bundesregierung die inhaltlich übereinstimmende und voneinander unabhängige Kritik des BfDI, des BSI sowie von Expertinnen und Experten aus der Zivilgesellschaft an dieser Lösung?
Wer zeichnete verantwortlich für die grundsätzliche Entscheidung für die Technologie und die letztliche Auswahl der konkreten Blockchainbasierten Lösung (bitte die Namen, Positionen, Abteilungen bzw. Organisationseinheiten, Bundesbehörden und das Bundesministerium angeben)?
Welche technische und funktionale Bewertung lag dieser Entscheidung zugrunde?
Welche alternativen Technologien wurden dabei ggf. in Betracht gezogen, und warum wurde gegen sie entschieden (je betrachtete Alternative bitte begründen)?
Weshalb und auf welcher rechtlichen Grundlage wurde für die Nutzung eines bestehenden Rahmenvertrages mit der SVA entschieden, anstatt einer öffentlichen Ausschreibung?
Wie bewertet die amtierende Bundesregierung diese Art der Vergabe?
Inwiefern (inklusive genauer Angabe des Zeitpunkts sowie der konkreten Art und Weise) wurden das BSI und der BfDI in die Prüfung der App „ID Wallet“ (also nicht nur allgemein beim Projekt Digitale Identitäten) vor sowie nach der Veröffentlichung der App einbezogen, und zu welcher Bewertung kamen diese jeweils (bitte eventuelle Stellungnahmen und Einschätzungen beider Behörden im Wortlaut und mit Datum des Eingangs angeben)? Falls das BSI und der BfDI vor bzw. nach der Veröffentlichung nicht spezifisch zur ID-Wallet eingebunden wurden, bitte jeweils begründen, warum nicht?
Welche technischen Änderungen bzw. Verbesserungen plant die Bundesregierung hinsichtlich der ID-Wallet-App, und bis wann soll die ID-Wallet-App wieder verfügbar sein?
In welcher Weise wird die Bundesregierung das BSI, den BfDI und die Zivilgesellschaft in die weiteren Arbeitsprozesse einbinden?
Wird die amtierende Bundesregierung die Gespräche zwischen der vorherigen Bundesregierung und den am Gesamtprojekt beteiligten Unternehmen über eine dauerhafte Governance für das Gesamtökosystem Digitale Identitäten fortsetzen (siehe Antwort auf die Schriftliche Frage 2 auf Bundestagsdrucksache 19/32661, Antwort bitte begründen)?
Welche Anforderungen stellt die Bundesregierung an Unternehmen, die potenziell an einer dauerhaften Governance Digitaler Identitäten beteiligt sein sollen, vor allem mit Blick auf die nationale Souveränität?
Welche Verbesserungen plant die Bundesregierung zur bestehenden eID-Lösung (z. B. durch die Schaffung eines Grundrechts auf digitale Identität, durch vereinfachte Zugänglichkeit, modernisierte Protokolle, reduzierte Kostenstruktur, Zusatzfunktionen wie z. B. FIDO u. a.)?