Ein von Utah angeführtes Gouverneurskonsortium gibt zehn Bundesstaaten bis Januar 2027 Zeit, Datenschutz-first-Regeln für digitale IDs zu verabschieden. Ziel ist es laut dem Bericht, zu handeln, bevor sich der Mobile-ID-Standard ISO 18013-5 weiter ohne Aufsicht verbreitet. In der Berichterstattung zitierte Expertinnen und Experten sagen, dass dieser Standard staatliche Tracking-Fähigkeiten beibehält. Für die Einwohnerinnen und Einwohner läuft die Debatte auf eine Frage hinaus: Tracking-Datenschutz bei digitalen ID-Nachweisen, und ob die Stellen, die Ihre mobile ID ausstellen, sehen können, wo und wann Sie sie verwenden.
Ein Hinweis zur Quellenlage: Der Quellartikel ist kurz, und der uns verfügbare Text ist abgeschnitten. Er nennt ein Konsortium, eine Gruppe von zehn Bundesstaaten, eine Frist im Januar 2027 und den Standard ISO 18013-5. Er erwähnt außerdem jemanden namens Bramwell, aber der verfügbare Text vervollständigt diesen Verweis nicht. Dieser Beitrag beschränkt sich auf diese Punkte und erklärt die Technologie in allgemeinen Begriffen. Er erhebt keine Ansprüche auf Details zum Rahmenwerk des Konsortiums, die die Quelle nicht bestätigt.
Was die Frist im Januar 2027 für Einwohnerinnen und Einwohner bedeutet
Laut dem Bericht haben zehn Bundesstaaten bis Januar 2027 Zeit, Datenschutz-first-Regeln für digitale IDs zu verabschieden. Die Logik hinter einer Frist ist, dass technische Standards dazu neigen, sich zu verfestigen, sobald sie weit verbreitet sind. Wenn mobile IDs in mehr Bundesstaaten unter einem Standard eingeführt werden, der Tracking erlaubt, und keine Aufsichtsregeln existieren, werden diese Designentscheidungen schwer rückgängig zu machen.
Für Einwohnerinnen und Einwohner bedeutet das praktisch, dass die kommenden Monate der Zeitraum sind, in dem Regeln am ehesten gestaltet werden können. Landesparlamente, Kraftfahrzeugbehörden und Gouverneursbüros können noch entscheiden, welche Daten ein digitales ID-System protokollieren darf, wie lange es diese Daten aufbewahrt und wer darauf zugreifen darf. Sobald ein System live ist, bedeutet eine Änderung dieser Einstellungen in der Regel, Teile davon neu zu bauen.
Wie Credential-Tracking in ISO 18013-5 Mobile IDs funktioniert
ISO 18013-5 ist ein internationaler Standard für mobile Führerscheine. Er definiert, wie ein Telefon Identitätsdaten gegenüber einem Verifizierer präsentiert, etwa einem Polizeibeamten, einem Einzelhändler oder einer Flughafenkontrolle. Die Quelle sagt, Expertinnen und Experten seien der Ansicht, dass der Standard staatliche Tracking-Fähigkeiten beibehält. Der uns vorliegende Artikeltext führt den Mechanismus nicht aus, daher hier die allgemeine Sorge in einfachen Worten.
Das Tracking-Risiko in jedem digitalen Credential-System stammt üblicherweise aus einigen wenigen Quellen:
- Verifizierungsprotokolle. Wenn die App eines Verifizierers oder ein Backend-Dienst jedes Mal aufzeichnet, wenn ein Credential geprüft wird, können diese Aufzeichnungen eine Historie darüber aufbauen, wo Sie Ihre ID vorgezeigt haben.
- Kontakt mit dem Aussteller. Wenn eine Prüfung erfordert, dass das System den staatlichen Aussteller kontaktiert, kann der Aussteller erfahren, wann und wo das Credential verwendet wurde.
- Aufbewahrung. Selbst bescheidene Protokolle werden sensibel, wenn sie lange aufbewahrt oder mit anderen Datenbanken kombiniert werden.
Ob eine bestimmte staatliche Bereitstellung eines dieser Dinge tut, hängt davon ab, wie sie konfiguriert ist – genau deshalb sind Aufsichtsregeln wichtig. Ein Standard kann datenschutzfreundliche Nutzung erlauben und dennoch Tracking zulassen. Die Regeln darum herum entscheiden, was die Einwohnerinnen und Einwohner bekommen.
Reale Einführungen zeigen, warum das wichtig ist. Unsere Berichterstattung über Indonesiens digitale ID IKD, die 20,5 Millionen Nutzer erreicht, betrachtet Datenschutzrisiken, die auftreten, wenn eine nationale digitale Identität schnell skaliert.
Datenschutz-first-Alternativen: selektive Offenlegung und Zero-Knowledge-Beweise
Datenschutz-first-Design für digitale IDs stützt sich in der Regel auf zwei Ideen.
Selektive Offenlegung ermöglicht es Ihnen, nur das Attribut zu teilen, das ein Verifizierer benötigt. Eine Bar muss wissen, dass Sie über 21 sind, nicht Ihre Adresse oder Ihr vollständiges Geburtsdatum. Ein gut gestaltetes Credential kann genau diese eine Tatsache offenlegen.
Zero-Knowledge-Beweise gehen noch einen Schritt weiter. Sie ermöglichen es Ihnen, zu beweisen, dass eine Aussage wahr ist, etwa „Ich bin über 18“, ohne die zugrunde liegenden Daten überhaupt offenzulegen und ohne dem Verifizierer etwas zu geben, das über Besuche hinweg mit Ihnen verknüpft werden kann.
Diese Techniken reduzieren, was Verifizierer erfahren, aber sie stoppen Tracking nicht automatisch. Protokollierung beim Verifizierer, Kontakt mit dem Aussteller und lange Aufbewahrungsfristen können sie untergraben. Datenschutz-first-Regeln müssen daher sowohl die Kryptografie als auch die umliegenden Datenpraktiken abdecken.
Dieselbe Spannung zeigt sich bei Online-Altersprüfungen. Ein Roundtable von SFLC.in zu Datenschutzrisiken bei der Altersverifikation zeigt, wie Verifikationssysteme mehr sammeln können, als sie benötigen.
Rechte, auf die Sie in den digitalen ID-Regeln Ihres Bundesstaates achten sollten
Die Quelle listet die spezifischen Anforderungen des Konsortiums nicht auf, daher verstehen Sie dies als Checkliste für Leserinnen und Leser und nicht als Beschreibung seines Rahmenwerks. Wenn Ihr Bundesstaat über eine mobile ID debattiert oder sie einführt, achten Sie auf:
- Ein Verbot der Tracking-Nutzung. Regeln, die es dem Aussteller untersagen, zu protokollieren, wo und wann Sie Ihr Credential vorzeigen.
- Datenminimierung. Verifizierer sollten nur die Attribute anfordern, die sie benötigen, und das System sollte selektive Offenlegung unterstützen.
- Kurze, definierte Aufbewahrungsfristen. Alle Protokolle, die existieren, sollten nach einem festgelegten Zeitplan gelöscht werden.
- Unabhängige Aufsicht. Ein Prüfverfahren oder eine Regulierungsbehörde, die kontrollieren kann, ob das System sich wie versprochen verhält.
- Freiwillige Nutzung. Eine physische ID-Option, die vollständig gültig bleibt, damit niemand in die digitale Version gezwungen wird.
- Grenzen für Sekundärnutzung. Einschränkungen für die Weitergabe von Daten an andere Behörden oder kommerzielle Parteien.
Was das für Sie bedeutet
Wenn Sie in einem der zehn Bundesstaaten leben, sind die nächsten Monate der Zeitraum, in dem öffentliche Beiträge am meisten zählen. Wenn Sie woanders leben, gelten dieselben Fragen, während sich mobile IDs ausbreiten. Sie müssen digitale IDs nicht ganz vermeiden. Das Ziel ist zu wissen, wie die Version Ihres Bundesstaates Protokollierung und Aufbewahrung handhabt, bevor Sie sich darauf verlassen.
In der Zwischenzeit können Sie eine physische ID für Situationen behalten, in denen Sie lieber keinen digitalen Datensatz erzeugen möchten, und Sie können Ihre Kraftfahrzeugbehörde fragen, was sie speichert, wenn eine mobile ID verifiziert wird.
Kernaussagen
- Prüfen Sie das Programm Ihres Bundesstaates. Sehen Sie sich die veröffentlichte Datenschutzrichtlinie Ihrer Kraftfahrzeugbehörde für ihre mobile ID an und prüfen Sie, ob sie Protokollierung und Aufbewahrung behandelt.
- Fragen Sie direkt nach Tracking. Kontaktieren Sie Ihre Vertretung im Bundesstaat oder die Behörde und fragen Sie, ob die Vorlage Ihres Credentials aufgezeichnet oder auf Sie zurückverfolgt werden kann.
- Unterstützen Sie Datenschutz-first-Regeln. Kommentieren Sie vorgeschlagene Regeln oder Gesetze, die Tracking begrenzen und selektive Offenlegung verlangen.
- Halten Sie Optionen offen. Behalten Sie nach Möglichkeit eine physische ID.
- Lernen Sie von anderen Einführungen. Die oben verlinkten Artikel zu Indonesiens IKD und zu Altersprüfungen von SFLC.in zeigen, wie digitale ID- und Verifikationssysteme Datenschutzrisiken erzeugen können, wenn Schutzmaßnahmen hinter der Bereitstellung zurückbleiben.
Der Tracking-Datenschutz bei digitalen IDs wird in den Regeln entschieden, die jetzt geschrieben werden, daher lohnt es sich herauszufinden, was Ihr Bundesstaat plant.
 beschreiben. Eine Firma, die viele sensible Kunden betreut, hat starke Gründe, ein öffentliches Leck zu vermeiden, und das wissen die Angreifer. Die Nennung eines prominenten Ziels auf einer Leak-Site erregt zudem Aufmerksamkeit – unabhängig davon, ob die Behauptung standhält.
## Was Kunden und Einzelpersonen jetzt prüfen sollten
Es gibt keine bestätigte Sicherheitsverletzung, auf die reagiert werden müsste, daher ist das Ziel ruhige Vorbereitung, nicht Panik. Einige praktische Schritte sind es wert, unternommen zu werden:
- **Achten Sie auf offizielle Mitteilungen.** Wenn PwC oder einer Ihrer eigenen Berater einen Vorfall bestätigt, kommen Benachrichtigungen in der Regel per E-Mail oder Post. Lesen Sie sie sorgfältig und bewahren Sie eine Kopie auf.
- **Prüfen Sie, bevor Sie klicken.** Behauptungen wie diese lösen oft Phishing aus, das eine Sicherheitsmeldung nachahmt. Gehen Sie direkt auf die offizielle Website der Organisation, anstatt Links in unerwarteten Nachrichten zu folgen.
- **Fragen Sie Ihre eigenen Ansprechpartner.** Wenn Ihr Unternehmen mit PwC zusammenarbeitet, fragen Sie Ihren Account-Kontakt oder Ihre Rechtsabteilung, ob sie über etwas informiert wurden und welche Daten geteilt wurden.
- **Überprüfen Sie, was Sie gesendet haben.** Erstellen Sie eine grobe Liste der personenbezogenen, finanziellen oder Mitarbeiterdaten, die Ihre Organisation an externe Berater weitergegeben hat. Sie können das Risiko nicht einschätzen, ohne zu wissen, was draußen ist.
- **Behalten Sie Ihre Konten im Auge.** Wenn Sie Mitarbeiter oder Kunde einer Firma sind, die große Berater nutzt, beobachten Sie Bank- und Kreditaktivitäten und seien Sie vorsichtig bei unaufgeforderten Anrufen oder E-Mails, die sich auf Ihren Job oder Ihre Finanzen beziehen.
## Wie Sie die Exposition begrenzen, wenn Berater Ihre Daten halten
Sie können nicht vollständig kontrollieren, wie ein Dritter Ihre Informationen sichert, aber Sie können reduzieren, was er hält und wie lange er es aufbewahrt.
**Teilen Sie das Minimum.** Senden Sie nur die Unterlagen, die ein Auftrag erfordert. Schwärzen oder entfernen Sie Felder, die nicht benötigt werden, wie vollständige Geburtsdaten oder amtliche Ausweisnummern.
**Legen Sie Aufbewahrungsfristen fest.** Verträge können festlegen, wie lange ein Berater Daten nach Projektende aufbewahrt, und die Löschung oder Rückgabe danach verlangen. Alte Dateien auf den Servern einer Firma sind eine Exposition ohne Nutzen.
**Fragen Sie nach Sicherheit und Benachrichtigung.** Organisationen können Details dazu anfordern, wie Berater Daten schützen und wie schnell sie Kunden über einen vermuteten Vorfall informieren müssen. Eine schnellere Benachrichtigung gibt allen mehr Zeit zu reagieren.
**Nutzen Sie starke Kontohygiene.** Wenn Sie ein Portal für den Dokumentenaustausch nutzen, verwenden Sie ein einzigartiges Passwort und Multi-Faktor-Authentifizierung. Das stoppt keinen Angriff auf die Systeme des Beraters selbst, aber es schützt die Konten, die Sie kontrollieren.
**Lernen Sie aus vergleichbaren Fällen.** Das Druckmuster ist nicht einzigartig für diese Listung. Im [ATB-Fall mit einer Gruppe namens DataSuckers](/en/atb-hit-by-datasuckers-400k-demand-7-9m-affected) wurde eine Lösegeldforderung mit der Behauptung einer großen Zahl betroffener Personen kombiniert. Zu lesen, wie sich solche Situationen entfalten, hilft Ihnen zu erkennen, wie eine glaubwürdige Benachrichtigung aussieht und wie eine unbestätigte Prahlerei aussieht.
## Was das für Sie bedeutet
Wenn Sie keine Verbindung zu PwC haben, erfordert nichts an dieser Behauptung heute Maßnahmen. Wenn Sie für die Firma arbeiten oder mit ihr zusammenarbeiten, oder wenn Ihr Arbeitgeber Daten mit großen Beratern teilt, ist die sinnvolle Reaktion, informiert zu bleiben, Annahmen in beide Richtungen zu vermeiden und auf offizielle Kommunikation zu achten. Die übergeordnete Lektion gilt für alle: Ihre Daten können bei Organisationen liegen, die Sie nie ausgewählt haben, und das Risiko hängt teilweise davon ab, wie wenig davon sie halten.
## Wichtige Erkenntnisse
Die Behauptung über die Everest-Ransomware-PwC-Datenoffenlegung bleibt unbestätigt, ohne öffentliche Proben oder unabhängige Bestätigung zum Zeitpunkt der Berichterstattung. Dennoch zeigt sie, warum Berater attraktive Ziele sind und warum Kunden wissen sollten, was sie geteilt haben. Verstehen Sie, wie Doppelerpressung funktioniert, achten Sie auf Sicherheitsmeldungen Ihrer Berater und behandeln Sie unerwartete Nachrichten über einen Vorfall mit Vorsicht. Unser Erklärartikel über Doppelerpressung und der ATB-Fall sind ein guter nächster Schritt, wenn Sie sehen möchten, wie solche Situationen sich typischerweise entwickeln.](/api/img?p=articles%2F8282%2Fimage-0.jpg&w=640)
