Jusletter IT

Aus unterschiedlichen Gründen sind viele Flüchtlinge aus Krisengebieten ohne Ausweispapiere unterwegs: Im Heimatstaat sind die finanziellen und bürokratischen Hürden zum Erhalt von Pässen oder Identitätskarten zu hoch. Schleuser nehmen ihnen die Papiere weg oder sie gehen auf der Flucht verloren. In manchen Fällen soll auch am Zielort oder unterwegs die Zugehörigkeit zu einer gefährdeten Volksgruppe verschleiert werden. Wo immer sie aber an Staatsgrenzen kontrolliert werden, einen Asylantrag stellen oder Sozialleistungen in Anspruch nehmen, benötigen sie jedoch einen Nachweis ihrer Identität und ihrer Staatsangehörigkeit. Aus humanitären Gründen entscheiden dann die zuständigen Stellen oft nicht, Flüchtlinge zurückzuschicken oder ihnen lediglich Unterkunft und Verpflegung zu gewähren, sondern sie registrieren sie notdürftig¹ und erteilen ihnen einen prekären Aufenthaltsstatus. Die wichtigsten Ziele hierbei sind die Vermeidung von Dubletten und die Zuordnung einer Person zu genau einer Identität, um einerseits effektiv Hilfe leisten zu können, andererseits aber Missbrauch zu vermeiden.

Oft haben Flüchtlinge also keine Papiere. Aber die Beobachtung zeigt, dass sie sehr oft Smartphones besitzen. Diese benötigen sie zur Organisation ihrer Flucht, der nachfolgenden Reisen und zur Herstellung von Kontakt mit zurück gebliebenen Verwandten und Freunden. Der Stellenwert des Kommunikationsmittels ist dabei häufig oberhalb desjenigen von Essen oder einem trockenen Schlafplatz angesiedelt.^2,3 Aufgrund der Affinität zu Smartphones in Kreisen der betroffenen Personen stellt sich die Frage, ob man diesen nicht eine Art «e-ID» als Zwischenlösung zuteilen könnte, solange sie keine ausreichenden amtlichen Dokumente des Herkunfts- oder Aufnahmestaates besitzen. Und es stellt sich weiter die Frage, ob eine solche Übergangslösung nicht EU-weit einheitlich konzipiert werden könnte, indem man den fraglichen e-ID konform zur eIDAS-Verordnung 910/2014 über elektronische Identitäten ausgestaltet.

Bei der Ausgestaltung der inhaltlichen und Sicherheitsanforderungen an so einen e-ID ist eine Orientierung an den jeweiligen konkreten Zielen der Identifizierung von Nutzen. Denn in den ersten Phasen der Aufnahme und Versorgung von Flüchtlingen kommt der Feststellung des wirklichen Namens und der realen Herkunft des Betroffenen ein anderer, geringerer, Stellenwert zu als der Sicherheit der Verwaltungsverfahren. Für letztere ist es elementar, dass eine zuverlässige und persistente Identifikation durch klare Zuordnung eines Identifikationsmittels mit jeweils genau einer konkreten Person stattfindet. Für das Aufenthaltsrecht ist dies von besonderer Bedeutung, weil z.B. laut den «Schengen»-Vereinbarungen (abgesehen vom sogenannten Selbsteintrittsrecht⁴) immer nur ein EU-Mitgliedstaat international zuständig sein soll⁵. Dieses Ziel verfolgt auch die europäische Verordnung (EG) Nr. 1030/2002 zur einheitlichen Gestaltung des Aufenthaltstitels für Drittstaatenangehörige, die durch die VO Nr. 280/2008 zur Grundlage für EU-weit einheitliche Aufenthaltstitel mit biometrischen und anderen Identifikationsmerkmalen auf einer Chipkarte wurde. Auch für Asylverfahren ist es elementar, dass nicht über dieselbe Person mehrere Parallelverfahren mit eventuell unterschiedlichem Ausgang und mit Verzögerungswirkung stattfinden. Im Sozialrecht muss kontrollierbar sein, wer welche Leistungen empfängt. Eine Sicherung effektiver humanitärer Hilfe ist nur möglich, wenn niemand durch die Maschen des Netzes rutscht. Für die Sicherung und Zuweisung von Unterkunft, Verpflegung, medizinischer Versorgung, für die ausländerrechtliche Überwachung und für Sprachförderung ist so eine Eineindeutigkeit ebenfalls von größerer Bedeutung als die Frage, ob man den Namen dieses oder jenes Betroffenen mit Doppelkonsonanten oder Umlauten schreibt, oder ob er aus Somalia oder dem Südsudan stammt. Für diese 1:1-Zuordnung, die vom wirklichen Namen unabhängig stattfinden kann, ist weniger historische Recherche erforderlich, dafür aber eine zuverlässige und persistente Identifizierung. Für diese Zwecke erscheint eine elektronische Identität, die ausreichende technische Zuverlässigkeit bietet, mindestens genauso gut geeignet wie eine vom jeweiligen Heimatstaat ausgegebene Identitätskarte.

Der Teufelskreis «keine staatlichen Papiere > keine Registrierung für einen Mobilfunkvertrag > keine SIM-Karte > kein Zugang zu Apps > keine mobile ID» kann durchbrochen werden, wenn SIM-Karten ausgegeben werden, die nicht zum Telefonieren genutzt werden können. In diesem Fall muss kein Mobilfunkvertrag geschlossen und registriert werden, daher muss auch kein staatliches Ausweispapier vorgelegt werden. Eine solche SIM-Karte kann aber dennoch in einem Netz erkannt und eineindeutig registriert werden. Sie kann zwar, muss ab er nicht in einem Mobiltelefon des Nutzers eingebaut sein. Eine solche «kastrierte» SIM-Karte hat Safaricom in Kooperation mit dem UN-Flüchtlingshilfswerk UNHCR und GSMA entwickelt und zur Anwendung gebracht.⁶ Sie kann auch bei Bedarf in ein Gerät der ausgebenden Stelle oder in Geräte von kooperierenden Stellen (Rotes Kreuz, UNHCR, Bank, Supermarkt, Ausländerbehörde, Sozialamt, Flüchtlingshilfeverein, etc.) eingelegt werden, damit sie über eine mobile-ID-App dem Inhaber zugeordnet werden kann. Falls auf der Karte persönliche Merkmale des Besitzers gespeichert sind, wird sie somit zu einem Identifikationsmittel für alle kooperierenden Stellen. Über weitere Apps kann dem Inhaber über das Netzwerk z.B. Geld zugeleitet werden, auch ohne dass er am gewöhnlichen Telefonverkehr teilnimmt.

Da die Voraussetzungen der staatlichen vorab-Identifizierung entfallen, kann der Inhaber einer solchen Karte mit seiner vorläufigen mobilen ID identifiziert und gezählt werden und an Apps und Netzwerken teilnehmen, die ansonsten für einen längeren Zeitraum unerreichbar gewesen wären. Im Heimatland, aus dem er geflohen ist, konnte er sich hingegen aus finanziellen oder politischen Gründen nicht registrieren. Der Aufnahmestaat kann seinen Flüchtlingsstatus deshalb nicht zureichend prüfen und ist nur sekundär – nach Artikel 27 der der Flüchtlingskonvention – für Ausweispapiere zuständig.⁷ Zudem kostet jedes Papier Gebühren, die für Teile der Bevölkerung unerschwinglich sind. In solchen Fällen wirkt eine nichtstaatliche mobile ID immer noch besser als nichts.

Praktische Anwendungsfälle für solche vom Aufnahmestaat akzeptierten Interimsmaßnahmen werden aus Kenia und dem Irak berichtet. Die Berichte finden sich in folgenden Quellen:

• Strategiepapier der GSMA über Identifikation und den Zugang von Flüchtlingen zum Mobilfunk von Yiannis Theodorou,⁸
• Bericht über Flüchtlinge und Identitäten: Argumente für auf Mobilfunktechnologie basierende Registrierungen und Hilfeleistungen,⁹
• Digitale Identitäten und die Rolle des Mobilfunks, gesetzliche und politische Trends, die sich negativ auf die Situation in Entwicklungsländern ausüben,¹⁰
• Whitepaper über Folgewirkungen der Pflicht zur Registrierung von Nutzern von vorausbezahlten SIM-Karten.¹¹

2015 startete die Initiative «Bamba Chakula» in Kenia, die es dem Welternährungsprogramm (WFP) ermöglicht, elektronische Lebensmittel-Gutscheine direkt auf SIM-Karten ohne Telefon- und Internetfunktionalität zu übertragen. Diese Gutscheine können bei Anbietern in den Flüchtlingslagern eingelöst werden. Die Sondergenehmigung der kenianischen Kommunikationsbehörde ist an die Eigenschaften der SIM-Karten geknüpft: sie sind Pin-geschützt und können nur verwendet werden, um die elektronischen Gutscheine zu erhalten; sie können nicht für Telefonanrufe SMS, Browser oder Zugang zu mobilen Gelddiensten verwendet werden.

Die humanitären Organisationen WFP und UNHCR haben die Verantwortung zur Identifizierung und Überprüfung des Kunden. Sie verteilen die SIM-Karten. Der Hersteller Safaricom interagiert nicht direkt mit einzelnen Flüchtlingen. Datenaustauschvereinbarungen zwischen den Organisationen ermöglichen Geldtransfers, die auf gespeicherten biometrischen Daten der PROGres-Datenbank des UNHCR gestützt sind: Wenn ein Begünstigter Nahrungsmittelhilfe benötigt, wird anhand der biometrischen Daten auf dem UNHCR-Server seine Identität geprüft und der Geldtransfer durch Safaricom erlaubt; dieses Unternehmen überträgt dann einen Gutschein auf die SIM-Karte des Empfängers. Sobald so ein Gutschein beim Lebensmittelhändler eingelöst wird, erhält dieser Geld auf sein mobiles Konto.

Da laut Umfragen des WFP im Kakuma Camp nur 40% der Asylsuchenden Mobiltelefone hatten, wurden SIM-Karten verteilt, die in Smartphones von Freunden oder Familienmitgliedern sowie in Leergeräten bei den Händlern eingelegt werden können, um die Gutscheine zu empfangen und einzulösen. Verlorene oder beschädigte SIM-Karten werden über Helpdesks in den teilnehmenden Flüchtlingslagern ersetzt. Bis Juni 2016 hatte das Programm 2,8 Millionen US-Dollar in lokale Märkte in Dadaab und 1,7 Millionen US-Dollar in Kakuma gebracht. Die Verwaltungskosten sind niedriger, als wenn Bargeld verteilt worden wäre oder als wenn Lebensmittelrationen in natura zugeteilt worden wären. Außerdem werden lokale Märkte einbezogen, anstatt durch Hilfslieferungen Konkurrenz zu erhalten; und die Begünstigten können auswählen, was sie essen möchten.

Im Gegensatz zu Kenia haben Hilfsorganisation im Irak die Möglichkeit zur Erbringung von Dienstleistungen, einschließlich mobilem Geld, für Flüchtlinge. Denn aufgrund der Erkenntnis, dass viele Flüchtlinge keinen gültigen Pass haben, hat die Zentralbank des Irak (CBI) eine Ausnahmeregel aufgestellt, die Flüchtlingen Zugriff auf ein mobiles Konto nichtstaatlicher «know-your-customer»-Systeme (KYC) erlaubt. Solange ein Flüchtling in der biometrischen Datenbank des UNHCR einen vollständigen Datensatz hat und eine UNHCR-Registrierungsbescheinigung besitzt, kann er dieses Dokument verwenden, um ein mobiles Konto zu eröffnen, wenn auch mit Überweisungsgrenzen. Aufgrund dieser Regelung können humanitäre Agenturen elektronische Zahlungssysteme für Flüchtlinge einrichten. Im April 2016 startete das WFP eine digitale Geldkarte, SCOPE-Karte genannt, um Nahrungsmittelhilfe für Binnenvertriebene und syrische Flüchtlinge im Irak zu gewährleisten. Die Nutzer dieses Systems registrieren ihren ID und ihre Fingerabdrücke in der Datenbank des WFP, welches elektronisch mit den Karten verbunden ist. Eine aktivierte SCOPE-Karte verbindet sich in einem angeschlossenen Lebensmittelgeschäft mit der Datenbank, um die Identität zu bestätigen und den Geldtransfer zu bewirken, wie bei einer normalen Debitkarte. Im Dezember 2016 startete das WFP ein weiteres Pilotprojekt für mobilen Geldtransfer im Bezirk Erbil durch den Mobilfunkbetreiber AsiaCell, dessen Plattform hawala53 dort bereits ein umfangreiches Agenturnetzwerk hatte, was den Dienst für viele Flüchtlinge unmittelbar zugänglich machte.

Es könnte für gewisse Anwendungsszenarien von Nutzen sein, eine solche mobile ID auch im juristischen Umfeld der EU anzuerkennen. Daher soll angeregt werden, die praktische Möglichkeit sowie die technischen, politischen und rechtlichen Voraussetzungen dafür zu prüfen.

Für asylrechtliche Verfahren und für die damit verbundenen Verfahren zur Registrierung, vorläufigen Unterbringung und humanitären Versorgung wäre eine grenzübergreifende elektronische Identität auch schon vor Erteilung eines Aufenthaltstitels nützlich zur Dublettenvermeidung, aufgrund der geringen Entwicklungskosten wegen des bereits bestehenden Systems, und aufgrund der Sicherheit, immer denselben Beteiligten vor sich zu haben (unabhängig davon, wie er wirklich heißt).

Die rechtliche Möglichkeit einer Anerkennung einer nichtstaatlichen mobilen elektronischen Identität besteht prinzipiell, wenn diese Identität eine eIDAS-konforme Technologie verwendet und wenn sie weit genug verbreitet und praktisch so einfach anwendbar ist, dass ein echtes Potenzial zur Verwaltungsvereinfachung im Raume steht. Die praktische Anwendbarkeit könnte darin gesehen werden, dass u.a. für Kenia und Irak bereits konkrete Anwendungsszenarien realisiert worden sind. Die App «Verify-MY» in Malaysia hat überdies gezeigt, dass die staatliche Akzeptanz solcher nichtstaatlicher elektronischer Identitätsnachweise erhöht wird, wenn eine Ausweiskarte mit Foto auf der Rückseite einen QR-Code hat, der Beamten erlaubt, auf die biometrischen Datenbanken der Hilfsorganisationen zuzugreifen und somit den Inhaber der SIM-Karte direkt mit diesen hinterlegten Daten zu identifizieren (https://verification.unhcr.org.my/).

Mindestens ein EU-Staat müsste diese Technik nach Artikel 9 Absatz 1 der VO (EU) 910/2014 («eIDAS») notifizieren¹². Die Voraussetzungen hierfür wiederum ergeben sich aus Artikel 7 der eIDAS-Verordnung. Beispielsweise müsste der notifizierende Mitgliedsstaat selbst diese Identifizierung anerkannt und sie für mindestens ein öffentlich-rechtliches Verfahren zur Nutzung freigegeben haben; sie müsste grenzüberschreitend interoperabel sein und es müsste eine online-Authentifizierung zur Verfügung stehen. Zudem wäre es nützlich, wenn die GSMA oder ihr technischer Dienstleister für die mit der Identifizierung verbundenen Verfahren aufgrund eines Konformitätsbewertungsberichts als qualifizierter Vertrauensdiensteanbieter zertifiziert wäre. Bisher scheint nur das UNHCR die mobile ID der GSMA zu akzeptieren, aber kein EU-Mitgliedsstaat. Allerdings bietet die oben erwähnte Verordnung (EG) Nr. 1030/2002 zur einheitlichen Gestaltung des Aufenthaltstitels bereits seit fast zehn Jahren die Grundlage für einen EU-weit einheitlichen elektronischen ID für Drittstaatsangehörige, sodass es durchaus denkbar erscheint, diese Verordnung von Chipkarten- auf Mobiltechnologie weiterzuentwickeln.

Da die GSMA in ihrer online-Darstellung auf eIDAS hinweist, scheint es denkbar, dass sie zur Unterstützung einer effektiven Flüchtlingsarbeit in Europa auch plant, eIDAS-Konformität für mobile eIDs bescheinigt zu bekommen. Daher wurde angefragt, ob entsprechende Verfahren eingeleitet sind und in welchem Stadium sie sich befinden. Dazu äußerte sich GSMA¹³ wie folgt:

GSMA sei selbst kein Entwickler, sondern eine Industrievereinigung der Mobilfunkanbieter und -netzbetreiber (MNOs), die sich um netzwerkübergreifende Standards und um die Verbreitung des Mobilfunks kümmere. Die vorgestellten Entwicklungen werden demnach von einzelnen Mitgliedern der Vereinigung verantwortet, aber von GSMA medial präsentiert. Deren Rolle sei es, den engen Zusammenhang zwischen Identitätsnachweisen und Mobilfunk in den Fokus zu rücken. Denn in etwa 130 Staaten sei es zwingend vorgeschrieben, einen Identitätsnachweis seiner Regierung vorzuzeigen, um eine mobile SIM-Karte freizuschalten. Wenn Regierungen auf dieser Regelung bestehen, ohne sicherzustellen, dass ausreichend viele Einwohner ein Ausweisdokument besitzen, führe dies zur digitalen und finanziellen Exklusion von Armen und Flüchtlingen. GSMA verfolge daher sowohl ein grundsätzliches Programm «Digitale Identitäten» (plattformneutral, mit einem Schwerpunkt für Flüchtlingsarbeit) als auch ein spezielleres Programm «Mobile Connect», das zwar derzeit nicht in der Flüchtlingsarbeit genutzt werde¹⁴, aber von Netzbetreibern als technische Lösung übernommen werden könne. Das Programm «Mobile Connect»¹⁵ erarbeitete einen Standard für die digitale Identifizierung. Es beruht auf dem OpenID-Connect-Protokoll, welches seinerseits auf dem Standard OAuth2.0 aufgebaut ist. Im Kern wird nach diesem Standard zusammen mit der jeweiligen Nachricht eine Art Nummer (PCR, Pseudonymous Customer Reference) übertragen, und zwar in Form eines URL-fähigen JSon WebToken (JWT¹⁶). Ein solcher PCR ist eineindeutig pro Nutzer und Applikation. GSMA-Projekte mit Blick auf eIDAS-Regeln sind aktuell auch in der Entwicklung: am 4. Mai 2017 startete eine GSMA-Arbeitsgruppe um Marta Ienco in Brüssel die «eIDAS-Mobile-Connect-Pilotphase 2» mit einem internationalen Test zur eIDAS-Konformität dieser Technologie.¹⁷ Und der mit GSMA kooperierende Kartenhersteller Gemalto hat bereits 2016 in einer Pressemitteilung damit geworben, für Vertrauensdiensteanbieter eIDAS-konforme Identifikationssysteme anbieten zu können.¹⁸ Die konkrete Verbindung der Flüchtlingsarbeit der GSMA mit der Herstellung der eIDAS-Konformität ihrer Werkzeuge steht aber noch aus.

Organisatorische Probleme könnten daraus resultieren, dass die GSMA in der Schweiz registriert ist und ihre Hauptniederlassung in London hat (beinahe-EU und bald-nicht-mehr-EU). Wenn aber eines der oben erwähnten mobile-ID-Verfahren als eID-Verfahren durch ein EU-Mitglied nach eIDAS-Regeln notifiziert würde, könnte Flüchtlingen, die kooperativ sind, nach dem Vorbild in Kenia und Irak ein ID zugewiesen werden, der in Verbindung mit biometrischen Daten und in Kombination mit der von GSMA propagierten «mobile-Connect»-Technologie online prüfbar macht, ob der Inhaber derjenige ist, der online beim ID-Service-Provider bzw. beim UNHCR registriert ist. Dies könnte ein Schritt zur Verkleinerung des auch von der Weltbank beklagten «identity gap»¹⁹ werden.

Außer den humanitären Zielen könnten somit mittelfristig auch straffere Verwaltungsverfahren erreicht werden. Denn sobald nationale Ausländerbehörden so einen ID akzeptieren, können sie den übermittelten «PCR»/Web-Token in ihre eigenen Registrierungsverfahren als zusätzliches Datenfeld einbeziehen und zeitlich bereits vor Erteilung eines vorläufigen Aufenthaltstitels grenzüberschreitend eindeutig die internationale Zuständigkeit nach den Schengen-Regeln (insbesondere nach der Dublin-III-VO²⁰) prüfen, entscheiden und nachprüfbar auf einem Server hinterlegen. Sie können sich dann darauf verlassen, dass der Inhaber der gespeicherten elektronischen Identität derjenige ist, dem sie zugeordnet wurde. Sie können zielgenauer Sozialleistungen gewähren, Aufenthaltsorte zuweisen und überwachen, Personenkontrollen durchführen und Asylverfahren mithilfe einer «vorläufigen Identität» beginnen, deren Ergebnisse dann gegebenenfalls später auf den «wahren Namen» umgeschrieben werden. Nachdem der eID des sogenannten elektronischen Aufenthaltstitels gemäß der Verordnung (EG) Nr. 1030/2002 seit September 2017 als eIDAS-konforme elektronische Identität an die EU notifiziert worden ist²¹, könnte ein vorläufiger mobiler eID bei Erteilung eines solchen Aufenthaltstitels auch in diesen überführt werden, damit die Verfahrenshistorie EU-weit gewahrt bleibt.

Eine Förderung der bestehenden Initiativen und eine Kooperation zwischen GSMA, UNHCR und EU erscheint angezeigt, ebenso deren wissenschaftliche Begleitung durch Rechtsinformatiker.