Offener Brief: Bundeszentralregister Bundesdatenschtzbeauftragter

Entwurf, aktuell in der Bearbeitung

Sehr geehrte Bundesjustizministerin, sehr geehrter Bundesdatenschutzbeauftragter!

Im Rahmen meines Antrags auf Verlängerung des Taxischeins wurde von der Meldestelle der Gemeinde Petersberg ein Führungszeugnis zur Vorlage beim Landkreis Saalekreis, Strassenverkehrsamt beantragt. Diese Dienststelle ist umgezogen und hat offensichtlich keinen Nachsendeantrag gestellt.

Daraufhin bekomme ich den in Kopie beiliegenden Brief vom "Bundesamt für Justiz". Einerseits schreiben sie, die Zusendung der Daten an mich sei nicht zulässig, andererseits möchten sie die Adresse, wohin sie die Daten schicken sollen, von mir haben.

Wenn es gängige Praxis des Bundeszentralregisters und nicht nur ein Einzelfall wäre, sich die Empfängeradresse oder den Telefonanschluss von nichtautorisierten Stellen oder auf nichtauthentifizierte Weise geben zu lassen, bestünde dort offensichtlich eine grobe Sicherheitslücke, die es vor allem Leuten, die Abläufe, Umgangston und die Formen gut kennen, ermöglicht, über Social Engeneering an alle beliebigen Daten zu kommen.

Ich habe mich deshalb telefonisch dorthin gewandt und meine Bedenken erklärt.

Beim ersten Anruf wurde mir daraufhin bestätigt, wenn ich ihnen die Adresse nicht gebe, werde mein Führungszeugnis vernichtet und die 13.- Euro, die ich dafür bezahlt habe, wären dann futsch. Ich habe geantwortet, dass es hier nicht um 13 Euro geht, sondern dass ich denen Gelegenheit geben will, diese Lücke rasch zu schliessen, weil sie öffentlich werden wird und ich alles andere sowieso schriftlich machen werde. Daruf hin: "So ja numal gar nicht".

Beim zweiten Anruf habe ich gesagt, dass meine Taxischeinverlängerung schon überfällig sei und ich sie deshalb bitten würde, doch ausnahmsweise die Empfängeradresse selbst zu ermitteln. Ich sei politisch in der Piratenpartei aktiv für mehr Datenschutz, was es mir unmöglich machte, dieses Procedere zu akzeptieren.

Nach langem hin und her wurde klar, dass die Sachbearbeiterin wirklich keine Möglichkeit sah, die Empfängeradresse behördenintern zu ermitteln. Ich habe dann versucht, über Google und die Webseite des Saalekreises die Adresse zu ermitteln, fand aber auch nur die alte. Auf die dort angegebene Faxnummer wollte ich nicht vertrauen. Eine eigene Faxnummer habe ich nur deshalb nicht angegeben, weil ich keine parat hatte. Schliesslich habe ich die Adresse doch noch auf einem Kassenbon gefunden und dann durchgesagt.

Ich bin als sachkundiger Bürger besorgt über die Sicherheit der Daten im Bundeszentralregister und daran interessiert, alle offensichtlichen Lücken dort unverzüglich zu schliessen. Zugleich bin ich besorgt, dass die Offensichtlichkeit solcher Lücken dort weiter bestritten wird. Die Erfahrung mit grossen Softwarekonzernen in der Vergangenheit hat gezeigt, dass diese zunächt erst dann reagierten, wenn die Lücke öffentlich breit diskutiert wurde. Dies setzt die betroffenen Benutzer bzw. Bürger allerdings für den Zeitraum, bis die Lücke dann endlich geschlossen ist, einer erhöhten Gefahr aus, wenn die Behörde nicht verantwortlicherweise den Betrieb unterbricht.

Ich bitte Sie, mir den Eingang des Schreibens zu bestätigen und bekannt zu geben, welche Maßnahmen veranlasst werden.

Mit freundlichen Grüßen, Martin Eigmüller