Politik

Alliance Swisspass: Gegendarstellung zur Medienmitteilung der Stiftung für Konsumentenschutz

Von:

20. November 2021

Am 17. November 2021 informierte die Alliance Swisspass über die Einführung einer neuen Generation von Swisspass-Karten ab Mitte Dezember 2021. Gleichentags veröffentlichte die Stiftung für Konsumentenschutz eine Medienmitteilung mit der Behauptung, mit dem neuen Swisspass werde schleichend und unkontrolliert eine staatliche elektronische Identität (E-ID) eingeführt. Diese These entbehrt jeglicher Grundlage und die Alliance Swisspass fordert den Konsumentenschutz auf, zeitnah eine entsprechende Richtigstellung der Fakten vorzunehmen.

Im Auftrag der Alliance Swisspass stellt die SBB die Herausgabe der neuen Generation der Swisspass-Karte sicher. Sie hat, gestützt auf vor langer Zeit gefällte Branchenentscheide, gegenüber der Vorgängerversion zusätzliche Sicherheitselemente nach internationalen Industriestandards in der Karte verbaut, welche den Kundinnen und Kunden bei einer freiwilligen Nutzung einen Mehrwert bieten können:

Kontaktloses Bezahlen: Dank eines eingebauten EMV-fähigen Chips kann der Swisspass perspektivisch zum kontaktlosen Bezahlen genutzt werden. EMV ist ein von Europay, MasterCard und VISA entwickelter internationaler Standard für Bezahlkarten. Die öV-Branche wird keinerlei Kenntnis über Transaktionsdaten und somit über das Konsumverhalten der Nutzerinnen und Nutzer haben.
Türöffner: Die Sicherheitssysteme der Schweizer Firma LEGIC werden weltweit eingesetzt, unter anderem für Türsysteme. Der Swisspass kann von Unternehmen, welche die LEGIC-Technologie einsetzen, als Zutritts- oder Identifikationsmedium genutzt werden. Die öV-Branche wird weder Zugriff auf die vergebenen Zutrittsrechte noch auf die erfolgten Zutritte haben, sollte die Karte bei Drittfirmen als Türöffner eingesetzt werden. Konkrete Verwendungszwecke sind bislang nicht bekannt.
Sichere Anmeldung im Internet: Der Fast-Identity-Online-Standard – kurz FIDO2 – ist ein weltweit genutzter Authentifizierungsstandard, der eine vereinfachte Anmeldung bei Geräten und Webdiensten ermöglicht. Die öV-Branche wird keine Kenntnis über die Nutzung von FIDO2 für das sichere Anmelden bei Drittanbietern wie Google, Microsoft, Twitter oder Dropbox haben.

Aussagen, wonach die öV-Branche den qualitativ sicheren und mit neusten Sicherheitsmerkmalen ausgestatteten Swisspass als staatliche E-ID einsetzen würde oder dies beabsichtigt, sind falsch und weisen wir in aller Form zurück. Weder die Alliance Swisspass noch die SBB haben dafür einen Auftrag des Bundes – und die neue Swisspass-Karte wurde technisch auch nicht dahingehend konzipiert. Die verbauten Sicherheitsmerkmale auf dem Swisspass dienen einzig der Erhöhung der Sicherheit für die Kundinnen und Kunden und wurden nach dem Prinzip der Datensparsamkeit erstellt. Die Forderung des Konsumentenschutzes, wonach zuerst grundlegende Fragen des Datenschutzes geklärt werden müssen, lehnt die Alliance Swisspass aus oben genannten Gründen ab und fordert die Stiftung für Konsumentenschutz auf, die aufgestellten Behauptungen in Bezug auf die staatliche E-ID schnellstmöglich in geeigneter Form zu korrigieren.

Die von der Allianz Swisspass kritisierte Medienmitteilung der Stiftung für Konsumentenschutz im Wortlaut:
Ab Mitte Dezember sollen neue Swisspass-Karten die alten ersetzen. Nebst dem offensichtlichen Designwechsel gibt es wichtige Änderungen, die auf den ersten Blick nicht sichtbar sind. Mit neuen Funktionen soll der Swisspass zum Türöffner werden: Als Schlüssel für physische Türen, als Login für Geräte und Online-Dienstleistungen sowie über eine kontaktlose Bezahlfunktion. Es handelt sich dabei um eine schleichende und unkontrollierte Einführung einer elektronischen Identität (E-ID), wie dies der Konsumentenschutz im Vorfeld der Abstimmung zum verworfenen E-ID-Gesetz befürchtet hatte. Weder gibt es rechtliche Grundlagen, noch steht der Schutz der Privatsphäre der Nutzerinnen bei den Betreibern im Vordergrund. Der Eidgenössische Datenschützer (EDÖB) wurde nicht konsultiert und erfährt erst durch die heutige Medienmitteilung vom Vorhaben. Der Konsumentenschutz fordert Korrekturen, bevor die Karten an die Nutzer abgegeben werden. Wie die Branchenorganisation des öffentlichen Verkehrs (ÖV) Alliance Swisspass heute mitteilt, erhält der neue SwissPass neben einem visuellen Lifting – Berge und rot wie ein Schweizerpass – und den bisherigen Dienstleistungen für den ÖV und Tourismus neue Funktionen: Er wird zum Öffner für echte Türen, Bezahl- und Loginkarte für Geräte und Online-Dienstleistungen. Der Swisspass bietet mit diesen Erweiterungen Funktionen einer E-ID, obwohl das Volk im vergangenen Frühling eine durch Unternehmen betriebene E-ID deutlich verworfen hatte. Der Konsumentenschutz hatte genau diese Entwicklung befürchtet: private Anbieter versuchen das Feld zu besetzen, ohne dass sie rechtliche Vorgaben für den Daten- und Konsumentenschutz einhalten müssen. EDÖB wurde nicht konsultiert Gänzlich unklar bleibt vorderhand, wie die Privatsphäre der Nutzer des neuen Swisspass geschützt werden soll. Die Datenschutz-Erklärung für den Swisspass wurde jedenfalls bisher nicht angepasst. Eine Anfrage des Konsumentenschutzes an die Alliance Swisspass blieb bisher unbeantwortet. Der Eidgenössische Datenschützer wurde nach eigenem Bekunden für die Erweiterungen des Swiss Passes jedenfalls nicht konsultiert. Verbesserungen dringend gefordert Der Konsumentenschutz befürchtet, dass der Schutz der Daten und Privatsphäre wirtschaftlichen Interessen der Kartenbetreiberinnen untergeordnet wird. Er fordert, dass die Karte nicht ausgegeben wird, bevor die grundlegenden Fragen des Datenschutzes geklärt und geregelt sind. Ausserdem muss den Kartennutzern die Möglichkeit gegeben werden, die Funktionen im Benutzerportal datenwirksam auszuschliessen oder abzuschalten.

Die von der Allianz Swisspass kritisierte Medienmitteilung der Stiftung für Konsumentenschutz im Wortlaut:

Ab Mitte Dezember sollen neue Swisspass-Karten die alten ersetzen. Nebst dem offensichtlichen Designwechsel gibt es wichtige Änderungen, die auf den ersten Blick nicht sichtbar sind. Mit neuen Funktionen soll der Swisspass zum Türöffner werden: Als Schlüssel für physische Türen, als Login für Geräte und Online-Dienstleistungen sowie über eine kontaktlose Bezahlfunktion. Es handelt sich dabei um eine schleichende und unkontrollierte Einführung einer elektronischen Identität (E-ID), wie dies der Konsumentenschutz im Vorfeld der Abstimmung zum verworfenen E-ID-Gesetz befürchtet hatte. Weder gibt es rechtliche Grundlagen, noch steht der Schutz der Privatsphäre der Nutzerinnen bei den Betreibern im Vordergrund. Der Eidgenössische Datenschützer (EDÖB) wurde nicht konsultiert und erfährt erst durch die heutige Medienmitteilung vom Vorhaben. Der Konsumentenschutz fordert Korrekturen, bevor die Karten an die Nutzer abgegeben werden.

Wie die Branchenorganisation des öffentlichen Verkehrs (ÖV) Alliance Swisspass heute mitteilt, erhält der neue SwissPass neben einem visuellen Lifting – Berge und rot wie ein Schweizerpass – und den bisherigen Dienstleistungen für den ÖV und Tourismus neue Funktionen: Er wird zum Öffner für echte Türen, Bezahl- und Loginkarte für Geräte und Online-Dienstleistungen. Der Swisspass bietet mit diesen Erweiterungen Funktionen einer E-ID, obwohl das Volk im vergangenen Frühling eine durch Unternehmen betriebene E-ID deutlich verworfen hatte. Der Konsumentenschutz hatte genau diese Entwicklung befürchtet: private Anbieter versuchen das Feld zu besetzen, ohne dass sie rechtliche Vorgaben für den Daten- und Konsumentenschutz einhalten müssen.

EDÖB wurde nicht konsultiert

Gänzlich unklar bleibt vorderhand, wie die Privatsphäre der Nutzer des neuen Swisspass geschützt werden soll. Die Datenschutz-Erklärung für den Swisspass wurde jedenfalls bisher nicht angepasst. Eine Anfrage des Konsumentenschutzes an die Alliance Swisspass blieb bisher unbeantwortet. Der Eidgenössische Datenschützer wurde nach eigenem Bekunden für die Erweiterungen des Swiss Passes jedenfalls nicht konsultiert.

Verbesserungen dringend gefordert

Der Konsumentenschutz befürchtet, dass der Schutz der Daten und Privatsphäre wirtschaftlichen Interessen der Kartenbetreiberinnen untergeordnet wird. Er fordert, dass die Karte nicht ausgegeben wird, bevor die grundlegenden Fragen des Datenschutzes geklärt und geregelt sind. Ausserdem muss den Kartennutzern die Möglichkeit gegeben werden, die Funktionen im Benutzerportal datenwirksam auszuschliessen oder abzuschalten.