TR 03126-4 - Bundesamt für Sicherheit in der Informationstechnik ...

TR 03126-4: Einsatzgebiet „Handelslogistik“
11.3.4.2 Verbleibende Risiken durch „Tracking“
Beschreibung des Risikos
Transponder nach EPCglobal können über Entfernungen von bis zu mehreren Metern ausgelesen
werden sofern sie nicht durch mechanische Zerstörung oder die Aktivierung des Kill-
Kommandos deaktiviert sind. Die EPC ist nicht zugriffsgeschützt und kann mithilfe von handelsüblichen
Lesegeräten ausgelesen werden. Gleiches gilt auch für die UID, die ansonsten
im EPCglobal-Konzept eine untergeordnete Rolle spielt. Dadurch ist es technisch möglich,
Transponder, die beim Verkauf des Produkts nicht deaktiviert wurden, wieder zu erkennen
und technisch möglich Bewegungsprofile dieses Transponders zu generieren.
Rechtlich ist die Erstellung von Bewegungsprofilen ohne Zustimmung der Person nach dem
Datenschutzgesetz nicht erlaubt.
Aus Sicht der IT-Sicherheit sind Bewegungsprofile einer Sache (wie z. B. eines Herrenanzugs
mit eingenähtem Transponder) an sich zunächst unkritisch. Es können allerdings datenschutzrechtliche
Risiken auftreten, wenn z. B. das Bewegungsprofil des Herrenanzugs
einer natürlichen Person zugeordnet werden kann. Es soll an dieser Stelle noch mal darauf
hingewiesen werden, dass aktuell hochwertige Kleidung ausschließlich mit abnehmbaren
Transpondern ausgerüstet wird. Das hier beschriebene Szenario ist hypothetischer Art, die
eingenähte Version kommt nur bei Mietwäsche zum Einsatz nicht bei Endkundenanwendungen.
Falls keine weitere Nutzung des Transponders nach dem Verkauf des Produkts erforderlich
oder gewünscht ist, kann der Transponder beim Verkauf deaktiviert und die potenzielle unrechtmäßige
Erstellung von Bewegungsprofilen so verhindert werden. Im vorliegenden
Einsatzszenario ist die Nutzung des Transponders nach dem Verkauf erforderlich. Deshalb
werden hier Schutzmaßnahmen angewendet, die die Zuordnung von möglicherweise unrechtmäßig
erstellten Bewegungsprofilen zu den im Kundendatensystem des Einzelhändlers
möglicherweise gespeicherten personenbezogenen Daten unterbinden.
In der öffentlichen Diskussion werden häufig verschiedene Datenerfassungssysteme (z. B.
Kamera, Kundendatensystem, RFID-Lesegeräte) in Abhängigkeit gestellt, die potenziell zur
Generierung von Bewegungsprofilen führen könnten. Es verbleibt in der Tat auch nach Anwendung
der Maßnahme MT11.1 ein Risiko, dass der Einzelhändler oder auch andere, die
über EPC-konforme Lesegeräte verfügen, Bewegungsprofile rechtswidrig anlegen und sich
über zusätzliche Kanäle Informationen, die einen Bezug des Profils des Transponders zu
einer Person herstellen können, besorgen. Beispielsweise könnte ein Bewegungsprofil eines
Transponders mit Bewegungsprofilen abgeglichen werden, die mithilfe einer kameragestützten
Überwachungsanlage mit Gesichtserkennung erstellt werden könnten. Der Personenbezug
ließe sich dann unter Umständen mittels Befragungen anderer Personen, die zu dem
aufgezeichneten Gesichtsbild befragt werden, herstellen.
Potentielle Auswirkungen
Zuordnung von unrechtmäßig erstellten Bewegungsprofilen zu Personen unter Nutzung systemfremder
Informationen.
Übersicht
Potentiell betroffene
Entitäten
Potentiell betroffene
Sicherheitsziele
Bewertung
Kunde Datenschutz Die Zuordnung von Bewegungsprofilen
zu Personen unter Nutzung sys-
174 Bundesamt für Sicherheit in der Informationstechnik