Erläuternder Bericht

1.3.2 Verworfene Alternativlösungen

1.3.2.1 Neukonzeption der Datenbankarchitektur

Das Bundesamt für Justiz und der EDÖB haben im Mai 2017 einen Auftrag zur Erstellung einer Risikofolgenabschätzung einer systematischen Verwendung der AHVN erteilt. Im resultierenden Gutachten12 erinnert der Experte daran, dass kein System absolut vor Angriffen geschützt werden könne. Gelinge es, in mehrere Datenbanken einzudringen, könnten die darin enthaltenen Personendaten anhand von so genannten Quasi-Identifikatoren (Namen, Vornamen und Geburtsdatum der registrierten Personen) bereits mit einer Genauigkeit von 99,98 % verknüpft werden. Werde zusätzlich ein eindeutiger Personenidentifikator wie die AHVN verwendet, liefere dies namentlich aus der Sicht des Angreifers somit keinen nennenswerten Präzisionszuwachs. Die vorgeschlagene systematische Verwendung der AHVN durch Behörden würde die Situation mit Bezug auf den Datenschutz nicht entscheidend verändern. Das Gutachten schildert ferner Möglichkeiten, wie den vielfältigen Verknüpfungsmöglichkeiten von Datenbanken mit personenbezogenen Daten (über Quasi-Identifikatoren oder die AHVN) grundsätzlich begegnet werden könnte. Allein die Einführung von sektorspezifischen Identifikatoren sei allerdings nicht sinnvoll.

Sollen die Datenschutzbedenken grundsätzlich ausgeräumt werden, empfiehlt der Gutachter, die gesamte Datenbanklandschaft neu zu konzipieren. Personenbezogene Daten und Sachdaten müssten in getrennten Datenbanken gespeichert sein. Die personenbezogenen Daten müssten zudem redundanzfrei gehalten werden. Redundanz bei Informationen liegt vor, wenn Daten mit identischem Informationsgehalt mehrfach vorhanden sind. Attribute wie beispielsweise Name, Vorname oder AHVN einer Person dürften daher nur in einer einzigen Datenbank gespeichert werden. Die Verknüpfung der personenbezogenen Daten mit den Sachdaten dürfte ausschliesslich anhand von speziellen und geheim zu haltenden Verknüpfungstabellen (sog. «Linkage Tables») möglich sein.

Bei derartig neukonzipierten Datenbanken wäre zwar der Datenaustausch grundsätzlich nicht in Frage gestellt. Die Attribute könnten aber nicht mehr dezentral abgespeichert werden und die Datenzugriffe müssten immer über jene zentral gehaltene Datenbank erfolgen, die diese Attribute enthält. Dadurch würden der Netzverkehr und die Zugriffe auf diese Datenbanken zunehmen, was wiederum die Fehleranfälligkeit ansteigen lässt. Die Datenbanken würden «Bottle Necks» und kritische Systeme darstellen, die permanent verfügbar gehalten werden müssten. Dies zu konzipieren und umzusetzen wäre zudem aufwändig und würde bei Bund, Kantonen und Gemeinden sehr hohe Kosten verursachen. Wie die Erfahrungen mit dem Jahr-2000-Problem gezeigt haben, können nämlich bereits kleine Änderungen in Datenformaten und in der Art und Weise, wie die Daten gespeichert und verarbeitet werden, auf der Kostenseite sehr hohe Auswirkungen haben. Zudem würde die Beseitigung von Redundanz auch zu Schwierigkeiten im operativen Betrieb der entsprechenden Datenbanken führen: Ohne Redundanz wäre es schwieriger, allfällige Fehler bei der Eingabe oder Verarbeitung von Daten durch die Benutzer zu erkennen und zu korrigieren. Bei Datenverlust ist es ohne Redundanz nicht mehr möglich, auf redundante Kopien zuzugreifen. Sind Redundanzen beseitigt, ist man bei Datenverlusten noch stärker als üblich auf Backups angewiesen. Darüber hinaus wären ohne Redundanz Konsistenzprüfungen schwierig, weil kein Abgleich gegen andere (redundante) Datenbanken erfolgen kann. Eine Vorgabe, wonach der Vorschlag des Gutachters flächendeckend umzusetzen sei, hätte deshalb zahlreiche Nachteile und hohe Kosten zur Folge. Zwar kann es in bestimmten Einzelfällen durchaus sinnvoll sein, bei geschlossenen Anwendungskreisen – wie z.B. im Gesundheitswesen – eine Datenbankarchitektur mit minimaler Datenhaltung vorzusehen, wenn neue Datenbanken erstellt werden. Dies ist allerdings nur sinnvoll, wenn eine solche Struktur für einen grossen Anwendungskreis integral neu eingeführt werden kann. In allen anderen Fällen werden nur einzelne Datenbanken neu geschaffen oder es werden in bestehenden Datenbanken neue Attribute ergänzt. Aus diesen Gründen - operative Schwierigkeiten, geringer Mehrwert einerseits, aber hohe Kosten anderseits - wird daher darauf verzichtet, von den systematischen Verwendern der AHVN zu verlangen, dass sie ihre Datenbankarchitektur von Grund auf überarbeiten. Wenngleich auf eine generelle gesetzliche Vorgabe verzichtet wird, bleibt es den jeweiligen systematischen Nutzern jedoch unbenommen, ihre Datenbankarchitektur entsprechend dem Vorschlag des Gutachters anzupassen.

1.3.2.2 Bewilligungsverfahren

Die Einführung eines Bewilligungsverfahrens für systematische Verwender der AHVN wurde ebenfalls geprüft. Nach einem solchen System würde die Befugnis zur systematischen Verwendung der AHVN durch Verfügung einer Bewilligungsbehörde erteilt. Diese hätte in jedem Einzelfall zu prüfen, ob der Gesuchsteller bezüglich der systematischen Verwendung der AHVN den Datenschutz und die Informationssicherheit gewährleisten kann. Die gesuchstellende Behörde hätte insbesondere zu belegen, dass sie in der Lage ist, die erforderlichen Massnahmen technischer und organisatorischer Art einzuhalten. Die Bewilligungsbehörde hätte zudem anhand von periodischen Stichprobenkontrollen bei den Inhabern der Bewilligung zu prüfen, ob diese die Bewilligungsvoraussetzungen weiterhin erfüllen und ob sie die Sorgfalts- und Mitwirkungspflichten einhalten. Ein solches System liesse sich indessen nur mit einem Ausbau des Verwaltungsaufwands und insbesondere mit hohen Kosten einrichten, dem kein angemessener zusätzlicher Nutzen gegenüberstünde, zumal die IT-Systeme naturgemäss stetem Wandel unterstehen und die Erteilung der Bewilligung jeweils nur aufgrund einer Momentaufnahme zum Bewilligungszeitpunkt erfolgen könnte. Mit Blick darauf, dass den Behörden von Bund, Kantonen und Gemeinden zudem eine hohe Gesetzestreue attestiert wird, ist auf aufwändige Kontroll- und Überwachungsmechanismen zu verzichten und stattdessen auf den Grundsatz der Selbstkontrolle zu setzen.