PIN online ändern Personalausweis

[Organisator]

Es geht schließlich hier nur um die PIN, welche ohne den Perso wertlos ist.

Wir müssen hier aber auch immer den Kontext betrachten. Das kann schon den Unterschied machen.
Bei der Anforderung, die PIN zurückzusetzen, ist der Kontext, dass der Besitzer des Personalausweises die PIN nicht mehr kennt. Wer kennt die PIN des Personalausweises nicht? Entweder der rechtmäßige Inhaber, der etwas verschusselt ist, oder aber beispielsweise jemand, der einen Personalausweis gefunden oder erbeutet hat. Eventuell sieht diese Person dem rechtmäßigen Eigentümer auch noch etwas ähnlich und erregt beim Quittieren des Empfangs der neuen PIN vor dem Haus, dessen Adresse er direkt auf dem Personalausweis ablesen kann, des rechtmäßigen Eigentümers auch kein Misstrauen beim Postboten.

Sobald du Personalausweis und PIN hast, kannst du damit Konten öffnen, Kredite bei x Banken beantragen und riesigen Schaden erzeugen.

Da sehe ich kein Problem - wenn ich die Bankkarte verliere, lasse ich sie sperren. Da kann der neue Besitzer auch nichts mehr mit anfangen. Perso - dito.

und btw. Das Verlustproblem hat nix mit der Pin zu tun. Wenn man ähnlich aussehen sollte kann man mit dem gestohlenen Perso auch ein Bankkonto eröffnen und sonstiges Schindluder treiben - ganz ohne Pin.

Muss man mit Perso und Pin persönlich erscheinen oder kann man dann auch Online Sachen machen? Oder muss man wenn man irgendwo persönlich erscheint, nicht gerade wegen des Probles des ähnlich en Aussehen, zusätzlich die Pin eingebe? Fragen über Fragen.

Pin kenne ich nur für reine online-Verfahren.

[Rheini]

Es geht schließlich hier nur um die PIN, welche ohne den Perso wertlos ist.

Wir müssen hier aber auch immer den Kontext betrachten. Das kann schon den Unterschied machen.
Bei der Anforderung, die PIN zurückzusetzen, ist der Kontext, dass der Besitzer des Personalausweises die PIN nicht mehr kennt. Wer kennt die PIN des Personalausweises nicht? Entweder der rechtmäßige Inhaber, der etwas verschusselt ist, oder aber beispielsweise jemand, der einen Personalausweis gefunden oder erbeutet hat. Eventuell sieht diese Person dem rechtmäßigen Eigentümer auch noch etwas ähnlich und erregt beim Quittieren des Empfangs der neuen PIN vor dem Haus, dessen Adresse er direkt auf dem Personalausweis ablesen kann, des rechtmäßigen Eigentümers auch kein Misstrauen beim Postboten.

Sobald du Personalausweis und PIN hast, kannst du damit Konten öffnen, Kredite bei x Banken beantragen und riesigen Schaden erzeugen.

Da sehe ich kein Problem - wenn ich die Bankkarte verliere, lasse ich sie sperren. Da kann der neue Besitzer auch nichts mehr mit anfangen. Perso - dito.

und btw. Das Verlustproblem hat nix mit der Pin zu tun. Wenn man ähnlich aussehen sollte kann man mit dem gestohlenen Perso auch ein Bankkonto eröffnen und sonstiges Schindluder treiben - ganz ohne Pin.

Muss man mit Perso und Pin persönlich erscheinen oder kann man dann auch Online Sachen machen? Oder muss man wenn man irgendwo persönlich erscheint, nicht gerade wegen des Probles des ähnlich en Aussehen, zusätzlich die Pin eingebe? Fragen über Fragen.

Pin kenne ich nur für reine online-Verfahren.

Na das spricht doch dafür da man nicht persönlich erscheinen muss, dass es gesichert sein sollte, dass die Pin nur demjenigen bekannt sein sollte, der der rechtmässige Besitzer des Persos ist.

[BAT]

Zur Identifizierung ein aktueller Auszug zu den Lichtbildern:

Um dieses hohe Niveau zu gewährleisten sind jedoch auch hohe Sicherheitsanforderungen erforderlich. Lichtbilderfassungssysteme (unabhängig vom Hersteller) arbeiten mit Algorithmen und Künstlicher Intelligenz. Durch gezielte Angriffe auf das System könnten diese Komponenten überlistet oder falsch angelernt werden. Um Beeinträchtigungen oder Manipulationsangriffen auf die Lichtbilderhebung während der
Selbsterfassung wirksam vorzubeugen, wurden durch das Bundesamt für Sicherheit
in der Informationstechnik Sicherheitsniveau-Mindestvorgaben auf einem niedrigeren, für eine Vielzahl von Geräteherstellern umsetzbaren Level festgelegt.
Für die Behörden bedeutet das, dass Aufnahmesysteme für die Selbsterfassung von
Biometrie (Lichtbild und/oder Fingerabdrücke) ab dem 1. Mai 2025 nur innerhalb der
Behörde und nur in einem Bereich aufgestellt und betrieben werden dürfen, in dem
der Lichtbilderfassungsprozess vom Arbeitsplatz des Behördenpersonals1 ohne
sichtverdeckende Hindernisse beobachtet werden kann. Ein permanentes aktives
Beobachten ist nicht erforderlich. Eine ausschließliche Videoüberwachung genügt
nicht.

[SamFisher]

Ich verstehe es daher nicht, warum man es so kompliziert mit dem Perso macht und die Leute zu einem Termin bei der Behörde zwingt. Im Zweifel kostet der PIN-Wechsel halt das Entgelt vom Postboten für die Überprüfung der Identität - so what?

Das ist eine Entscheidung der Behörde. In der Verordnung ist nur festgelegt, dass Ausgabe und persönlicher Empfang dokumentiert sein müssen.

Die Behörde kann das auch via Einschreiben mit persönlicher Übergabe verschicken.

[SamFisher]

Es geht schließlich hier nur um die PIN, welche ohne den Perso wertlos ist.

Wir müssen hier aber auch immer den Kontext betrachten. Das kann schon den Unterschied machen.
Bei der Anforderung, die PIN zurückzusetzen, ist der Kontext, dass der Besitzer des Personalausweises die PIN nicht mehr kennt. Wer kennt die PIN des Personalausweises nicht? Entweder der rechtmäßige Inhaber, der etwas verschusselt ist, oder aber beispielsweise jemand, der einen Personalausweis gefunden oder erbeutet hat. Eventuell sieht diese Person dem rechtmäßigen Eigentümer auch noch etwas ähnlich und erregt beim Quittieren des Empfangs der neuen PIN vor dem Haus, dessen Adresse er direkt auf dem Personalausweis ablesen kann, des rechtmäßigen Eigentümers auch kein Misstrauen beim Postboten.

Sobald du Personalausweis und PIN hast, kannst du damit Konten öffnen, Kredite bei x Banken beantragen und riesigen Schaden erzeugen.

Und wenn man dann an die vielen Dinge denkt, die Strafrechtlich noch höher gewichtet sind, als "nur" Geld.

Korrekt. Die qualifizierte Signatur ersetzt die Schriftform. Ich kann damit jede Aktion und jeden Vertrags abschließen, solange im Gesetz nichts anders geregelt ist. Und das natürlich zum Schaden/Lasten eines Dritten.

Noch braucht die Kündigung des Arbeitsvertrages ein Schriftstück. Daran arbeitet der Gesetzgeber aber schon.

Bei einer Risikobetrachtung wird nicht nur die Eintrittswahrscheinlichkeit betrachtet. Die unterscheidet sich nicht so sehr von einer Bank-PIN.

Es wird auch immer die Schadenshöhe betrachtet. Und die ist beim Perso viel viel höher.

[Organisator]

Ich verstehe es daher nicht, warum man es so kompliziert mit dem Perso macht und die Leute zu einem Termin bei der Behörde zwingt. Im Zweifel kostet der PIN-Wechsel halt das Entgelt vom Postboten für die Überprüfung der Identität - so what?

Das ist eine Entscheidung der Behörde. In der Verordnung ist nur festgelegt, dass Ausgabe und persönlicher Empfang dokumentiert sein müssen.

Die Behörde kann das auch via Einschreiben mit persönlicher Übergabe verschicken.

Das wäre doch ein gangbarer Weg und würde einerseits Verwaltungsaufwand sparen, die Kosten für den Bürger gering halten und - wie in deinem Folgepost genannt - auch das Risiko (mit besonderem Blick auf die Schadenshöhe) minimieren.

Perspektivisch würde ich allerdings eine reine online-Lösung sehen, die z.B. über ein digitales Bürgerkonto einen sicheren Zugang zu der Perso-Pin, aber auch zu anderen Verwaltungsdienstleistungen und verlässlichen Kommunikationsmöglichkeiten bietet. Andere Länder können das schon ganz gut.

[SamFisher]

Perspektivisch würde ich allerdings eine reine online-Lösung sehen, die z.B. über ein digitales Bürgerkonto einen sicheren Zugang zu der Perso-Pin, aber auch zu anderen Verwaltungsdienstleistungen und verlässlichen Kommunikationsmöglichkeiten bietet. Andere Länder können das schon ganz gut.

Du meinst das hier: https://id.bund.de/de (wird demnächst in "DeutschlandID" umbenannt).

Leider gibt es in Deutschland bei der Digitalisierung ein sehr großes Problem: Das Föderalismus-Prinzip.

Das verhindert eigentlich aus sich selbst heraus, dass es einheitliche und gute Lösungen geben kann. Der Bund hätte eventuell die Mittel, aber nicht die Kompetenz. Die Länder dagegen mach das nicht einheitlich, weil ja jeder machen darf, was er will. Denn jedxes Land ist unabhängig und weiß es, bis zum nächsten Sicherheitsvorfall, garantiert auch besser, als die anderen.

Und darunter kommen noch mal die Kommunen, usw.

Wer etwas Zeit hat, dem empfehle ich diese beiden Podcasts:
https://lagedernation.org/podcast/ldn301-keine-weiteren-fragen-digitalisierung-der-deutschen-verwaltung-teil-1/
https://lagedernation.org/podcast/ldn302-baustellen-loesungen-digitalisierung-der-deutschen-verwaltung-teil-2/

Es ist teilweise unvollstellbar, wie schwach die Digitalisierung nur aufgrund der Bund/Länder-Aufteilung ist.

Und selbst, wenn man sich in der Digitalisierung einig ist, steht garantiert der Datenschutz auf der Matte.

Zitat aus dem Wiki-Artikel zu BundID:
"Für Studenten und Auszubildende wurde 2023 die Auszahlung der Energiepreispauschale in Höhe von 200 Euro an die Voraussetzung gekoppelt, dies über eine BundID zu beantragen. Es wird erwartet, dass die Nutzungszahlen dementsprechend ansteigen. Kritiker bemängeln, dass hier die Freiwilligkeit der datenschutzrechtlichen Einwilligung unter Artikel 7 der Datenschutz-Grundverordnung (DSGVO) fehle."

[Organisator]

Die Deutschland-ID kenne ich noch nicht - aber klingt mal eines Blickes wert.

Ansonsten gibt es auch andere Digitalisierungsprojekte, die der Bund an sich gezogen hat und die Länder partizipieren können. Wenn man sich einig ist, kann das wohl auch hier was werden.

Datenschutz ist sicherlich ein Thema, aber in den anderen Ländern der EU, in der das erfolgreich gelöst wurde, gilt die selbe DGSVO. Von daher ist es eher die Frage des "wie" als des "ob".

[MoinMoin]

@organisator
Auch interessant in dem Zusammenhang, dass eu Wallet
https://digital-strategy.ec.europa.eu/de/policies/eudi-wallet-implementation

Und selbe DSGVO heißt nicht selber regionale Regeln, die die DSGVO "aushebelt" oder verschärft.
Man könnte z.B. auch in D ein Gesetz schaffen, was es trotz der DSGVO ermöglicht, dass jeder Bürger die Steuererklärung aller anderen Bürger einsehen kann.

[Organisator]

@organisator
Auch interessant in dem Zusammenhang, dass eu Wallet
https://digital-strategy.ec.europa.eu/de/policies/eudi-wallet-implementation

Und selbe DSGVO heißt nicht selber regionale Regeln, die die DSGVO "aushebelt" oder verschärft.
Man könnte z.B. auch in D ein Gesetz schaffen, was es trotz der DSGVO ermöglicht, dass jeder Bürger die Steuererklärung aller anderen Bürger einsehen kann.

Bist du dir sicher? Nach meinem Wissen gelten solche Regelungen direkt (wohl hier der Fall) oder müssen durch entsprechende Gesetze in nationales Recht umgesetzt werden. In beiden Fällen wäre es unlogisch, wenn nationales Recht dabei gegen höherrangiges EU-Recht verstoßen könnte.

[SamFisher]

Die EU DSGVO ist das höherrangige Recht und muss umgesetzt werden.

Allerdings biete es wie die meisten EU Regeln an vielen Stellen etwas Interpretationsspielraum.

Zum Beispiel enthält §4 DSGVO zwar eine Kategorisierung personenbezogener Daten, aber keine abschließende Auflistung. Über die Frage, ob die sexuelle Ausrichtung oder Religion ein personenbezogenes Datum ist, kann man diskutieren. Beides ist dort nicht erwähnt.

Da der Absatz aber mit „alle Informationen“ beginnt, neigt man in Deutschland dazu, den Bereich möglichst weit auszulegen.

[maiklewa]

Servus,

ich hatte erst vor ein paar Wochen einen neuen Perso beantragt. Erst bekam ich den PIN-Brief nach Hause. Dann ging ich aufs Bürgerbüro, um den abzuholen. Von wem bekam ich denn jetzt den PIN-Brief, doch von der Bundesdruckerei, oder?

Den PIN kann man aber doch nur mit nem Smartphone über NFC ädern, wenn man diesen PIN-Brief noch hat?

Gruß

[lumer]

Die EU DSGVO ist das höherrangige Recht und muss umgesetzt werden.

Allerdings biete es wie die meisten EU Regeln an vielen Stellen etwas Interpretationsspielraum.

Zum Beispiel enthält §4 DSGVO zwar eine Kategorisierung personenbezogener Daten, aber keine abschließende Auflistung. Über die Frage, ob die sexuelle Ausrichtung oder Religion ein personenbezogenes Datum ist, kann man diskutieren. Beides ist dort nicht erwähnt.

Da der Absatz aber mit „alle Informationen“ beginnt, neigt man in Deutschland dazu, den Bereich möglichst weit auszulegen.

Das ist off-topic, aber die Beispiele sind sehr schlecht gewählt. Bei den von dir genannten Daten handelt es sich nach Art. 9 DSGVO sogar um besondere Kategorien von pbD.
Und selbst wenn es dort nicht aufgeführt wäre, solltest du die Definition in Art. 4 Nr. 1 DSGVO bis zum Ende lesen. Die Kategorien fallen mindestens unter die kulturelle und/oder soziale Identität der Person.
Einzubeziehen ist auch die Rechtsprechung des EuGH. Wenn sogar die Anmerkungen eines Prüfers an einer schriftlichen Prüfung sowohl personenbezogene Daten für den Geprüften als auch für den Prüfenden darstellen, dann sind solche intimen Details wie die Religion oder die sexuelle Orientierung erst recht umfasst. Und zwar europaweit.