Nach zehn Jahren Pause war es letze Woche wieder einmal soweit: In Zürich sind die Big Brother Awards verliehen worden. Insgesamt 40 Nominierungen standen der Jury für den Negativpreis für Datensünder zur Auswahl. Drei Awards wurden schlussendlich in den Kategorien «Staat», «Public-Private-Partnership» und «Publikum» vergeben.

In der Kategorie «Staat» wurde der Kanton Zürich als Preisträger «gewürdigt», und zwar mit seinen Zwangsmassnahmengerichten. Diese sind für die Bewilligung von Zwangsmassnahmen im Rahmen von Strafuntersuchungen zuständig: Sie beurteilen somit, ob Grundrechtseingriffe wie Untersuchungshaft, Telefonüberwachung, Verwanzung von Wohnungen, die von den Staatsanwaltschaften beantragt werden, angewendet werden dürfen.

Die preisverleihende Jury bestehend aus Fachpersonen der Stiftung für Konsumentenschutz, der Digitalen Gesellschaft, der p≡p-Stiftung und des Chaos Computer Club Schweiz kritisieren in der Begründung, dass bei den teils geheimen Überwachungsmassnahmen die Zwangsmassnahmengerichte sich in ihrem Urteil weitgehend auf die Aussagen der Untersuchungsbehörden stützen müssten, da naturgemäss die verteidigende Partei nicht angehört werden könne.

Speziell wird in diesem Zusammengang der Einsatz von Staatstrojanern, von IMSI-Catchern und direkten Man-In-The-Middle-Angriffen bei Providern durch die Kantonspolizei Zürich kritisiert. Das ausführliche Dossier zur Begründung des Awards findet sich hier.

Im Bereich «Public-Private-Partnership» kommt sodann das Elektronische Patientendossier (EPD) des Bundesamts für Gesundheit zu Big-Brother-Ehren. Dieses wird schon seit Längerem vom Chaos Computer Club der Schweiz (CCC-CH) kritisiert, da es eine zentralisierte Architektur ohne Ende-zu-Ende-Verschlüsselung aufweist. Dadurch könnten Hacker gleich grössere Mengen der hochschützenswerten Daten abgreifen, wird in der Begründung für die Negativauszeichnung zu Bedenken gegeben.

Zudem werde das EPD nur von zwei Systemanbietern, nämlich Post und Swisscom, betrieben, die des weiteren eine ähnliche Architektur verwenden würden. «Damit entstehen zentralisierte Abgriffspunkte», heisst es daher seitens der Preisverleiher. Warum die Jury zum Schluss kam, dass mit dem EPD eine «grössere Datenschutzkatastrophe droht», ist auch hier in einem Dossier festgehalten.

Gemäss den Preisverleihern sind fast ein Fünftel der Nominierungen zur Stimmerkennung von Swisscom erfolgt. Da der Telekomriese das System im April 2019 eingestellt hat, konnte Swisscom nicht in den Genuss des Awards kommen. Da bei den Nominationen gelegentlich auch das System von PostFinance erwähnt wurde, das nach wie vor aktiv ist und dieselbe Stimmerkennungssoftware verwendet, konnte sich das Finanzinstitut den Publikums-Award sichern.

PostFinance verwendet seit September 2018 den «Stimmabdruck», um Kundinnen und Kunden am Telefon zu identifizieren. Dabei ist die Stimmerkennung grundsätzlich aktiviert.

Die Jury findet die Sammlung dieser Stimmabdrücke heikel, da es sich dabei um ein sehr persönliches, biometrisches Datum handle – vergleichbar mit einem Fingerabdruck. Ein solcher Stimmabdruck sei geeignet, eine Person über weite Teile ihres Lebens, also auch in Situationen ausserhalb von PostFinance, zu überwachen, heisst es.

Zudem wird kritisert, dass Schweizer Kundinnen und Kunden sich explizit um die Deaktivierung und Löschung der Massnahme bemühen müssten, während bei ausländischen Kontoinhaberinnen und -inhabern dank DSGVO die Stimmerkennung standardmässig deaktiviert sei und von diesen per Opt-in zugelassen werden können.

Schliesslich warnen die Big-Brother-Award-Verleiher davor, dass ein Stimmabdruck mittels Sprachgenerierung nachgemacht werden könne und somit Identitätsdiebstahl möglich sei.

Auch zum dritten Preisträger hat die Jury ein ausführliches Dossier angelegt.