Biometrischer Pass

Preußischer Pass aus dem Jahr 1839

Einen Reisepass vergeben Staaten als Ausweisdokument für allgemeine Reisen der Bürger ins Ausland.

Zahlreiche Staaten stellen Reisepässe in unterschiedlichen Varianten aus, etwa als vorläufigen Pass oder als Pass mit einer größeren Anzahl von Seiten für Vielreisende. Die meisten Reisepässe enthalten neben den Angaben zur Person und zur Staatsangehörigkeit ihres Inhabers leere Seiten, die für zusätzliche amtliche Vermerke des Ausstellerstaates oder die Anbringung von Vermerken anderer Staaten, wie Visa, Aufenthaltstiteln oder Kontrollstempeln über die Ein- und Ausreise verwendet werden können.

Beim Reisepass handelt es sich um diejenige Form des Passes, die für allgemeine Reisezwecke ausgestellt wird. Zu unterscheiden sind hiervon insbesondere der Dienstpass und der Diplomatenpass, die für Reisen der Repräsentanten des ausgebenden Staates in dienstlicher Eigenschaft bestimmt sind.

Zu den allgemeinen Funktionen von Pässen oder Passersatzpapieren sowie zum deutschen Passrecht für Ausländer siehe unter Pass (Dokument).

Deutschland

Von der Bundesrepublik Deutschland wird der Reisepass für deutsche Staatsangehörige ausgegeben. Die Rechtsgrundlage hierfür ergibt sich aus dem Paßgesetz. Es gibt drei Versionen:

• Den bordeauxroten Europapass mit kontaktlosem Chip für die Speicherung biometrischer Daten (auch ePass genannt),
• den bordeauxroten Kinderreisepass ohne elektronischen Chip (für Kinder bis zum 12. Lebensjahr) sowie
• den grünen Vorläufigen Reisepass.

Jeder Deutsche kann von Geburt an einen Reisepass erhalten, bei Minderjährigen bedarf der Antrag jedoch der Zustimmung der Sorgeberechtigten. Der Reisepass ist Eigentum der Bundesrepublik Deutschland (Vermerk auf der letzten Innenseite des Passes). Im Mai 2007 befanden sich rund 28,2 Millionen deutsche Europapässe in Umlauf, jährlich werden etwa 400.000 Vorläufige Reisepässe ausgestellt ^[1].

Europapass

Erscheinungsbild

Deutscher Reisepass mit Biometrie-Chip (aktuelles Modell)

Der Europapass besteht aus einem bordeauxroten Umschlagdeckel mit goldfarbener Prägung, den eigentlichen Inhaltsseiten sowie der Datenseite, die die persönlichen Daten des Antragstellers enthält. Im Falle des deutschen Passes ist die Datenseite eine Kunststoffkarte (die Reisepasskarte), in der sich das Papier-Inlett sowie das Identigram^®-Merkmal befinden. Das Dokument wird in dieser Form seit dem 1. Januar 1988 zentral bei der Bundesdruckerei hergestellt. Durch die zentrale Produktion einschließlich der Integration aller Personaldaten in den Reisepass ergeben sich verlängerte Herstellungszeiten gegenüber der – in einigen Ländern üblichen – dezentralen Personalisierung direkt in den Meldestellen.

Die Passgültigkeit ist abhängig vom Alter des Antragstellers: Bei Personen bis zum 24. Lebensjahr ist er sechs Jahre gültig, bei älteren Personen zehn Jahre. Der Grund für die verkürzte Gültigkeit ist vor allem, dass sich die äußere Gestalt bei Babys, Kindern, Jugendlichen und jüngeren Erwachsenen schneller ändert als bei älteren Erwachsenen. An Bedeutung verloren hat vor dem Hintergrund der Absenkung des Einberufungshöchstalters die Absicht, durch kurze Passgültigkeiten ein unerlaubtes Auswandern von Wehrpflichtigen, die der Wehrüberwachung unterliegen, zu verhindern. Die Ausstellungsgebühr eines nur sechs Jahre gültigen Passes ist geringer als die eines zehn Jahre gültigen Reisepasses.

Seit dem 1. Juli 2003 können Vielreisende statt des üblichen – 32 Seiten umfassenden – Reisepasses gegen einen Gebührenaufschlag den „48-Seiten-Pass“ beantragen.

Die Beantragung eines Passes muss persönlich erfolgen, damit die Abgabe der notwendigen Unterschrift auf dem Ausweisdokument vom Verwaltungsbeamten kontrolliert wird. Außerdem ist ein Identitätsnachweis und ein aktuelles Passbild nötig.

Die Ausstellung dauert wegen der beschriebenen zentralen Herstellung des Reisepasses zwischen drei und sechs Wochen. Gegen eine Zusatzgebühr ist die Ausstellung innerhalb von zwei Werktagen möglich (sogenannter „Express-Pass“).

Die Seriennummer setzt sich aus drei Bestandteilen zusammen:

• vierstellige Behördenkennzahl
• fünfstellige laufende Nummer
• einstellige Prüfziffer

Seit Januar 2004 ist die Prüfziffer nur noch im maschinenlesbaren Teil zu finden.

Selbst mit einem bis zu einem Jahr abgelaufenen Reisepass ist es noch möglich, in bestimmte Länder der EU einzureisen. Allerdings verlangen beispielsweise manche Fluggesellschaften zwingend die Vorlage eines gültigen Dokumentes.

Zusätzliche Sicherheitsmerkmale

Im November 2001 führte Deutschland das Identigram^® als zusätzliches Sicherheitsmerkmal auf der Vorderseite der Reisepasskarte ein. Hierbei wird unter anderem das Lichtbild und die maschinenlesbare Zone zusätzlich holografisch versetzt zu den gedruckten Daten dargestellt werden. Darüber hinaus liegen kinegrafische Strukturen über dem gedruckten Lichtbild und der Bundesadler wird im rechten Bereich der Kartenvorderseite als Hologramm dreidimensional dargestellt.

Außerdem beinhaltet das Identigram ein maschinell erkennbares Echtheitsmerkmal in Form eines roten Punktes (5 mm Durchmesser) unter dem Lichtbild. Alle Informationen sind am besten unter einer Punktlichtquelle (z. B. Halogenspot oder direktes Sonnenlicht) zu erkennen.

Zweitpass

Bei nachvollziehbarer Begründung kann ein Zweitpass, evtl. Drittpass beantragt werden. Beispiele wären Reiserouten durch Länder, die in Feindschaft stehen und bei Vorhandensein eines Stempels des jeweils anderen Landes die Einreise verweigern, wie israelische Stempel bei anschließendem Besuch von arabischen Ländern (ausgenommen Ägypten und Jordanien). Oder man ist beruflich (zum Beispiel als Journalist) auf mehrere Pässe angewiesen, um sich frei bewegen zu können, während der andere Pass bei Botschaften zur Visumserteilung genutzt wird. Nach den deutschen Vorschriften ist im Extremfall die Ausstellung von bis zu zehn gültigen Reisepässen gleichzeitig möglich, allerdings haben die zusätzlichen Pässe eine Gültigkeit von maximal sechs Jahren.

Eintragung von Kindern

Die Möglichkeit der Eintragung von Kindern in den Reisepass der Eltern ist mit dem 1. November 2007 entfallen. Damit verteuerten sich besonders für Familien die Kosten für Pässe und Visa.

Vorläufiger Reisepass

Vorläufiger Reisepass (Umschlagsvorderseite)

Schriftzug „Reisepass“ auf dem Klebeetikett im Vorläufigen Reisepass

Der Vorläufige Reisepass ist – wie der Europapass – ein nationaler Pass. Er hat einen grünen Umschlagdeckel und keine Kunststoff-Passkarte. Seit Januar 2006 wird der Vorläufige Reisepass gemäß den Mindestsicherheitsstandards der EU ausgestellt: Er enthält einen fälschungsgesicherten Aufkleber mit den Daten des Passinhabers und ist maschinenlesbar. Dieser Aufkleber stellt die Datenseite dar. Das Dokument ist unabhängig vom Alter des Antragstellers maximal ein Jahr gültig. Üblicherweise wird der Vorläufige Reisepass nur noch dann ausgestellt, wenn gleichzeitig ein Europapass beantragt wird. Beim Vorläufigen Reisepass, der bis Ende Dezember 2005 ausgestellt wurde, fehlte die Datenseite. Er hatte statt dessen ein eingeklebtes Foto und wurde teilweise handschriftlich personalisiert.

Seit 1. Mai 2006 können Inhaber eines Vorläufigen Reisepasses nicht mehr ohne Visum in die USA einreisen, obwohl dieser maschinenlesbar ist. Das sogenannte „Visa-Waiver-Programm“ der USA gilt nur für den Europapass.^[2]

Für kurzfristige Reisen (nicht nur in die USA) besteht die Möglichkeit einer beschleunigten Ausstellung eines (endgültigen) Reisepasses innerhalb von zwei Werktagen (Express-Pass).

Der Vorläufige Reisepass kann grundsätzlich sofort von der zuständigen Passbehörde ausgestellt werden. Unter Umständen kann es in einigen Kommunen einen Arbeitstag bis zur Aushändigung dauern.

Kinderreisepass

Ein ab dem 26. Oktober 2006 ausgestellter Kinderreisepass berechtigt nicht zur visafreien Einreise in die USA; statt dessen benötigen Kinder in diesem Fall einen regulären Reisepass.^[3] Gleichfalls berechtigt ein vor dem Stichtag ausgestellter und danach verlängerter Kinderreisepass nicht zur visafreien Einreise.

Elektronischer Reisepass mit biometrischen Daten (ePass)

Entstehungsgeschichte

Seit 1997 befasste sich die ICAO, eine Unterorganisation der Vereinten Nationen, mit der Einführung von elektronisch auswertbaren biometrischen Merkmalen in Reisedokumenten^[4]. Im Jahre 2003 führte dies zur Vorstellung einer unter der Bezeichnung „Blueprint“ (engl. für „Blaupause“) bekannt gewordenen Empfehlung. Sie hält die UN-Mitgliedsstaaten dazu an, zukünftig biometrische Merkmale der Inhaber elektronisch auf dem Reisedokument zu speichern. Die Kriterien für die Auswahl der zu verwendenden Techniken sind weltweite Interoperabilität, Einheitlichkeit, technische Zuverlässigkeit, Praktikabilität und Haltbarkeit.^[5] Die vier zentralen Punkte des „Blueprint“ sind die Verwendung von kontaktlosen Chips (RFID), die digitale Speicherung des Lichtbilds auf diesen Chips, wobei weitere Merkmale wie Fingerabdrücke oder Irismuster ergänzt werden können, die Verwendung einer definierten logischen Datenstruktur (Logical Data Structure, LDS) und ein Verfahren zur Verwaltung von digitalen Zugangsschlüsseln (Public Key Infrastructure, PKI). Die Vorgaben wurden in der Weiterentwicklung des Standards 9303 der ICAO zusammengefasst.^[6]

Am 13. Dezember 2004 beschloss der Rat der Europäischen Union auf Druck der USA, die Pässe der Mitgliedsstaaten gemäß diesem Standard mit maschinenlesbaren biometrischen Daten des Inhabers auszustatten.^[7][8] Am 22. Juni 2005 billigte das deutsche Bundeskabinett einen Vorschlag des damaligen Bundesinnenministers Otto Schily zur Einführung eines solchen Reisepasses, der ihn als „wichtigen Schritt auf dem Weg zur Nutzung der großen Fortschritte der Biometrie für die innere Sicherheit“ bezeichnete.^[9]

Diese Begründung ist umstritten. Es wird argumentiert, dass der deutsche Reisepass schon vor der Biometrisierung als eines der fälschungssichersten Dokumente weltweit gegolten habe. Es sei beispielsweise kein Terrorakt in Europa bekannt, zu dessen Durchführung ein gefälschter Pass oder Personalausweis benutzt wurde. Dem wird entgegen gehalten, dass bereits die RAF-Terroristen regelmäßig falsche oder verfälschte Dokumente missbrauchten.

Am 25. Mai 2007 hat der Deutsche Bundestag mit den Stimmen der Großen Koalition ein neues Passgesetz verabschiedet^[10], auf dessen Grundlage seit 1. November 2007 in den neuen Reisepässen zusätzlich die Abdruckbilder von zwei Fingern in den Chips gespeichert werden. Eine dauerhafte Vorhaltung der Fingerbilder in Kopie bei den Einwohnermeldeämtern ist – anders als zuvor von Bundesinnenminister Wolfgang Schäuble vorgeschlagen – nicht Inhalt des Gesetzes.^[11]

Ausgabeverfahren

Fingerabdruckscanner, der für die Datenerfassung im deutschen Reisepass eingesetzt wird

Bei der Passantragstellung werden folgende persönliche Daten erhoben: Vornamen und Familienname, Geburtsort und -datum, Wohnort, Geschlecht, Körperhöhe, Augenfarbe, Passfoto, Unterschriftenprobe. Seit November 2007 werden in Deutschland zusätzlich zwei Fingerabdrücke (flach, nicht gerollt) erfasst und als komprimierte Bilder gespeichert. Kinder vor Vollendung des 6. Lebensjahres müssen bei der Beantragung eines ePasses keine Fingerabdrücke abgeben.^[12]

Im optisch maschinenlesbaren Bereich der Passkarte befinden sich folgende Informationen: Vornamen, Familienname, ausstellender Staat, Passnummer, Geschlecht, Geburtsdatum und Ablaufdatum des Passes. In dem kontaktlosen Chip (RFID-Chip) des Passes werden darüber hinaus das biometriefähige Passfoto und die beiden Fingerabdrücke gespeichert.

Im deutschen Reisepass kommen Chips nach ISO/IEC 14443 der Firmen NXP Semiconductors (von Philips ausgegliedert) mit Typ A (72 kB) und Infineon Typ B (64 kB) zum Einsatz. Weltweit sind auch Chiphersteller wie STMicroelectronics, Sharp und Samsung in diesem Geschäft aktiv.

Die Chipintegration erfolgte ab dem 1. November 2005, die Aufnahme der Fingerabdrücke des rechten und linken Zeigefingers in einer zweiten Stufe seit dem 1. November 2007.^[13] Als Software zum Lesen der auf dem Chip gespeicherten Information steht als internationale Referenzimplementierung das im Auftrag des BSI entwickelte Golden Reader Tool zur Verfügung.

Schutzziele

Der Reisepass mit digital gespeicherten biometrischen Daten soll die Sicherheit des Dokumentes gegen Fälschung, Verfälschung und Missbrauch erhöhen.^[14] Diese Begründung ist jedoch umstritten. Auf eine Kleine Anfrage im Bundestag wurde geantwortet, dass zwischen 2001 und 2006, also zu Zeiten des Reisepasses ohne digital gespeicherte biometrische Daten, nur sechs Fälschungen und 344 Verfälschungen von deutschen Reisepässen festgestellt wurden. Kein ge- oder verfälschter deutscher Reisepass wurde in diesem Zeitraum bei terroristischen Anschlägen oder deren Vorbereitung genutzt.^[15] Daher bestreiten Kritiker, dass Terrorismusabwehr ein plausibler Grund für die Einführung sei. Befürworter argumentieren, dass insbesondere im Zusammenhang mit illegaler Immigration der Dokumentenmissbrauch, also die Nutzung eines fremden Passes durch eine äußerlich ähnliche Person, mithilfe der im ePass enthaltenen Biometrie verhindert werden könne^[16]. Dies erfordert den Einsatz geeigneter Technik und Organisation, die eine ausreichende Schutzhöhe gegen Angriffe auf biometrische Geräte erzielt.

Die Reisepässe mit digital gespeicherten biometrischen Daten der Inhaber werden neben der ICAO vor allem von den USA gefordert. Als Druckmittel verwendeten die USA unter anderem die Drohung, EU-Bürgern keine Visumfreiheit mehr bei der Einreise in die USA zuzugestehen. Seit dem 26. Oktober 2004 ist der maschinenlesbare Reisepass (wie er in der EU als Europapass bereits Standard ist) bei Reisen von Deutschen in die USA Pflicht. Pässe, die nach dem 25. Oktober 2006 ausgestellt wurden, müssen zusätzlich die biometrischen Daten beinhalten.

Ziel ist, dass alle in die USA Einreisenden bereits in ihrem Herkunftsland biometrisch erfasst werden. Daneben müssen sich alle Einreisenden in die USA im Rahmen des „US-VISIT“-Systems bei der Einreise einer Abnahme von Fingerabdruck und Foto unterziehen.

Für November 2010 ist geplant, dass maschinenlesbare biometrische Daten auf freiwilliger Basis auch bei bundesdeutschen Personalausweisen gespeichert werden.

Anwendungen

Mit der Einführung von ePässen ist es möglich die Kontrollprozesse beim Grenzübertritt teilweise oder vollständig zu automatisieren. Durch geeignete Verfahren und Kombination von Personenvereinzelung, Dokumentenechtheitsprüfung und biometrischer Inhaberverifikation können Reisende in Selbstbedienung entsprechend ausgestattete Kontrollpunkte bedienen. Insbesondere Flughafenbetreiber und Grenzschutzbehörden erwarten eine Entlastung des Kontrollpersonals und eine Verringerung der Wartezeiten für Passagiere.

Im Juni 2007 hat erstmalig in Europa der Internationale Flughafen von Faro in Portugal mehrere derartige mit biometrischer Gesichtserkennung ausgestattete Gates in Betrieb genommen.

Elektronische Sicherheitsmerkmale

Die ICAO spezifiziert ^[17] einige Sicherheitsmechanismen, die verschiedenen Zwecken dienen, wovon aber nur die Passive Authentication verpflichtend zu implementieren ist. Die EU weicht von den ICAO-Vorgaben ab und definiert weitere dieser Sicherheitsmechanismen als verpflichtend.^[18] Neben der Passive Authentication sind das die Basic Access Control sowie die Extended Access Control für Fingerabdrücke. Deutsche Reisepässe implementieren deshalb aktuell Basic Access Control und in Zukunft Extended Access Control, aber nicht die fakultative Active Authentication.

Passive Authentication (verpflichtend)

Die Passive Authentication dient der Sicherstellung der Authentizität der elektronisch gespeicherten Daten, indem diese mit einer elektronischen Signatur gesichert werden. Dadurch wird jede nachträgliche Modifikation der Daten vom Lesegerät detektiert, da dabei die Signatur ungültig wird. Die Erstellung einer 1:1-Kopie wird jedoch ausdrücklich nicht verhindert.

Basic Access Control (optional)

Basic Access Control ist ein Mechanismus zur Wahrung der Privatsphäre, bei dem das elektronische Lesen der Daten erst freigegeben wird, wenn das Lesegerät nachgewiesen hat, dass es Kenntnis vom Inhalt der optisch auszulesenden maschinenlesbaren Zone hat. Dadurch wird sichergestellt, dass der Passinhaber das Dokument physisch demjenigen, der es auslesen will, übergeben hat oder wenigstens geöffnet gegen einen optischen Scanner hält oder wie bei Reisen in die USA die Daten in ein Webformular eingetragen hat, was als Einverständnis zum elektronischen Lesen gewertet wird.

Active Authentication (optional)

Unter Active Authentication versteht man einen Mechanismus zum Verhindern von 1:1-Kopien. Dabei kommt ein asymmetrisches Kryptosystem zum Einsatz: Der öffentliche Schlüssel befindet sich in den signierten Daten deren Authentizität von der Passive Authentication sichergestellt wird, während der private Schlüssel im gesicherten Speicher des Chips ist und nicht ausgelesen werden kann. Der Chip kann dann dem Lesegerät seine Kenntnis des privaten Schlüssels über ein Challenge-Response-Verfahren nachweisen. Dabei generiert das Lesegerät eine Zufallszahl, schickt diese zum Chip, wo sie signiert und die Signatur zurückgeschickt wird. Wenn die Signatur stimmt, ist hinreichend sichergestellt, dass der Chip im Besitz des privaten Schlüssel ist und daher nicht kopiert wurde.

Eine mögliche Schwachstelle dieses Verfahrens ergibt sich, wenn das Lesegerät der Zufallszahl eine versteckte Semantik zuordnet. Ein Inspektionssystem könnte beispielsweise Ort und Zeit in die Zufallszahl kodieren, die dann vom Chip signiert wird, und die Signatur aufbewahren. Damit könnte dann zu einem späteren Zeitpunkt eine dritte Partei davon überzeugt werden, dass sich der Chip – und damit der Pass und dessen Inhaber – zu einem bestimmten Zeitpunkt an einem bestimmten Ort befunden haben.

Extended Access Control (optional)

Die Extended Access Control ist ein Mechanismus zur Verwaltung von Zugriffsrechten. Während die Daten die mit Basic Access Control gelesen werden können – also Name, Geburtsdatum, Gesichtsbild, etc. – ohnehin jedermann zugänglich sind, der im physischen Besitz des Passes ist, ist für die Zukunft die Aufnahme zusätzlicher, sensiblerer Daten geplant, z. B. der Fingerabdrücke. Über Extended Access Control sollen dann diese zusätzlichen Daten geschützt werden, wobei die Kontrolle darüber, welche Staaten welche der zusätzlichen Daten lesen können, bei den passausgebenden Staaten liegen soll.

Die genaueren Details werden von ICAO nicht spezifiziert und obliegen den passausgebenden Staaten. EU-weit war das Bundesamt für Sicherheit in der Informationstechnik (BSI) maßgeblich an der Entwicklung der Extended Access Control beteiligt.^[19] Die Spezifikation ^[20] bildet die Grundlage für den EU-Ratsbeschluss vom 28. Juni 2006.^[21]

Angriffe auf die Sicherheit von Pässen

Es wurde die Möglichkeit demonstriert, den RFID-Chip eines deutschen Reisepasses zu klonen, das heißt den Inhalt auszulesen und auf einen leeren Smart-Card-RFID-Chip zu kopieren. Man platzierte zudem den erzeugten Chip im Reisepass auf eine Weise, dass ein Lesegerät den geklonten und nicht den originalen Chip auslas. Dadurch wurde ein gültiger Reisepass modifiziert, der wie der deutsche Reisepass nicht den von der ICAO optional empfohlenen Klonschutz Active Authentication (AA) aufweist.^[22] Es ist umstritten, ob die Klonbarkeit des Chips ein Sicherheitsrisiko darstellt, da diese Modifikation nicht zu einer Missbrauchsfähigkeit des Passes im Vergleich zum Original führt. Lesegeräte, die sich jedoch nur auf die im RFID-Chip gespeicherten Daten stützen, können hiermit getäuscht werden.

Das Ändern der Daten war nicht möglich, da die Daten des RFID-Chips über 224 Bit (ECDSA) bzw. 2048 Bit (RSA) große Schlüssel manipulationsgeschützt sind. Soll das beschriebene Verfahren tatsächlich zum Fälschen oder Verfälschen von Pässen, wenn auch nur zum Ändern der elektronischen Identität, verwendet werden, so müsste ein Fälscher entweder die 2048 Bit RSA-Signatur brechen oder die optische Signatur im Reisepass verändern. Das Knacken eines 2048 Bit RSA-Schlüssels ist nach Expertenmeinung auf absehbare Zeit unmöglich. Das Ändern der optischen Signatur, aufgedruckt im Innenteil des Passes, wird durch verschiedene Sicherheitsmechanismen (beispielsweise durch Hologramme) erschwert und kann in der Regel leicht durch Sicherheitsbeamte und optische Passlesegeräte erkannt werden.

Ein britischer Sicherheitsexperte hat beschrieben, wie er sich mit Hilfe eines handelsüblichen Lesegeräts und eines von ihm selbst geschriebenen Computerprogramms sowie mit Kenntnis der Inhaberdaten Zugriff auf weitere Passdaten einer Person verschaffen konnte. Dass sich das unbefugterweise gelesene britische Dokument in einem versiegelten Umschlag befand, sei für ihn kein Hindernis gewesen. Die Inhaberin des Ausweises habe nichts von dem Auslesen ihrer Passdaten mitbekommen.^[23]

Der vorgenommene Angriff beruht darauf, dass der Lesezugriffsschutz Basic Access Control (BAC) des elektronischen Passes einen kurzen und somit schwachen Schlüssel aufweist. Dieser Schlüssel wird zudem zum Teil aus den persönlichen Daten der Person (Geburtsdatum) gebildet, was die wirksame Länge des Schlüssels weiter verkürzt, falls diese Daten bekannt sind. Dies war beim Angriff der Fall; es gab vorab Kenntnis der persönlichen Inhaberdaten. Dennoch wurden vier Stunden unmittelbaren Kontakts zum Chip im Reisepass benötigt, was nicht einem Auslesen im Vorübergehen entspricht. Daher ist umstritten, ob diese Form des Skimming ein Sicherheitsrisiko darstellt.

Datenschutzrechtliche Problematik

Ohne ausreichende Sicherheitsmaßnahmen könnten RFID-Chips im Reisepass dazu führen, dass die gespeicherten Daten ohne willentliche und aktive Handlung des Besitzers (wie dem Vorzeigen des Ausweises) verdeckt ausgelesen werden könnten. Dieses unbemerkte Auslesen könnte zum Beispiel durch den Aufenthalt in einem mit RFID-Lesetechnik bestückten Bereich erfolgen oder durch Annäherung einer Person mit einem mobilen Lesegerät auf kurze Distanz zum Betroffenen bzw. seinem Reisepass.

Bei europäischen Reisepässen soll das Auslesen durch Unbefugte allerdings durch das Basic Access Control-Verfahren unterbunden werden. Dabei ist das Auslesen des Chips möglich, wenn zuvor die maschinenlesbare Zone des Passes optisch gelesen wurde, das Dokument also einem Beamten oder einer im Besitz eines Lesegerätes befindlichen Person ausgehändigt wurde. Alternativ können die Daten des maschinenlesbaren Bereichs auch aus einer Datenbank stammen, was ein verdecktes Detektieren eines bestimmten, erwarteten Dokuments ermöglicht. Das Lesegerät muss sich mit den Daten aus der maschinenlesbaren Zone am RFID-Chip anmelden. Schlägt diese Anmeldung fehl, so gibt der Chip keine Daten seines Inhabers preis. Weiterhin sollen nur dafür vorgesehene Lesegeräte den Chip auslesen können; die Kommunikation zwischen Lesegerät und Chip erfolgt verschlüsselt. Das Verfahren stellt sicher, dass keine personenbezogenen Daten gelesen werden können, die nicht schon zuvor bekannt sind.

Datenschutzproblematik des österreichischen Reisepasses in der Kritik in Form eines Stencils

Insbesondere für seine Aktivitäten zur Einführung des biometrischen Reisepasses wurde Otto Schily die Negativauszeichnung Big-Brother-Lifetime-Award 2005 verliehen.

Einige empfinden auch die bestimmungsgemäße Verwendung des ePasses als Sicherheitsrisiko für den Schutz der persönlichen Daten. Jedes Land, das die entsprechenden Lesegeräte angeschafft hat, kann die mit Biometrie-Technik nutzbaren Daten des Passes auslesen, speichern und verarbeiten. Technisch kann dies verhindert werden: Der RFID-Chip lässt sich in einer handelsüblichen Mikrowelle zerstören. Dazu wird der ePass hineingelegt und der Einschalter nur für Bruchteile von Sekunden eingeschaltet. Danach ist der Chip in der Regel zerstört. Dabei kann durch ein kurzes Aufflammen des RFID-Chips allerdings auch der Pass zerstört werden. Der Pass behält seine Gültigkeit, da er weiterhin eine Identifikation der Person ermöglicht. Diesem Vorgehen wird entgegen gehalten, dass es sich um Sachbeschädigung handele, da der Reisepass Eigentum der Bundesrepublik Deutschland sei, und dass die biometrischen Daten von Ländern, die diese bei der Einreise verlangen, dann statt dessen mit entsprechenden Sensoren vor Ort erhoben würden. Beim Beispiel der USA sind das eine digitale Fotografie und die Aufnahme mindestens zweier Fingerabdruckbilder.

Ein Anwalt klagt derzeit (Stand: Dezember 2007) gegen die Stadt Bochum auf Erteilung eines Reisepasses ohne Erfassung seiner Fingerabdrücke. ^[24] Die Juristin und Schriftstellerin Juli Zeh, die insbesondere ihr Grundrecht auf Menschenwürde verletzt sieht, hat am 28. Januar 2008 Verfassungsbeschwerde gegen die Einführung biometrischer Merkmale in Reisepässen mit dem Antrag erhoben, die entsprechenden Regelungen im Passgesetz für nichtig zu erklären.^[25]

Kosten und Gebühren

Am 1. November 2005 wurde der elektronische Reisepass („ePass“) in Deutschland eingeführt. Damit einhergehend hat sich die Herstellung der Dokumente deutlich verteuert. Als Folge davon wurde die Passgebührenverordnung angepasst. Mit 59 Euro hat sich die Gebühr für die Ausstellung eines Reisepasses gegenüber dem Vorgängermodell ohne Chip mehr als verdoppelt.

Nach der Passgebührenverordnung ergeben sich aktuell folgende Gebühren:

Antragstellung vor Vollendung des 24. Lebensjahres (Gültigkeitsdauer sechs Jahre):

• Reisepass – 32 Seiten 37,50 Euro
• Reisepass – 48 Seiten 59,50 Euro
• Express-Reisepass – 32 Seiten (Ausstellung innerhalb von 48 Stunden) 69,50 Euro
• Express-Reisepass – 48 Seiten (Ausstellung innerhalb von 48 Stunden) 91,50 Euro

Antragsstellung nach Vollendung des 24. Lebensjahres (Gültigkeitsdauer zehn Jahre):

• Reisepass – 32 Seiten 59 Euro
• Reisepass – 48 Seiten 81 Euro
• Express-Reisepass – 32 Seiten (Ausstellung innerhalb von 48 Stunden) 91 Euro
• Express-Reisepass – 48 Seiten (Ausstellung innerhalb von 48 Stunden) 113 Euro

Ein Vorläufiger Reisepass mit einem Jahr Gültigkeit wird gegen eine Gebühr von 26 Euro ausgestellt, er wird jedoch nicht in allen Ländern akzeptiert, bei der Einreise kann es zu Problemen kommen.

Die Gebühr ist vom Antragsteller zu entrichten. Die Dokumente selbst bleiben auch nach der Aushändigung Eigentum der Bundesrepublik Deutschland.

Bei einer Beantragung an einer deutschen Auslandsvertretung (Botschaft, Konsulat) sind zusätzlich noch Gebühren für eine Amtshandlung im Ausland nach dem Auslandskostengesetz zu entrichten, die Gebühren dürfen bei Auslandsvertretungen nach § 20 des Passgesetzes ^[26] bis zu 300 % der inländischen Gebühren betragen, um Kaufkraftunterschiede auszugleichen. Für eine Ausstellung außerhalb der Dienstzeit kann die Gebühr auf bis zu 200 % des sonst fälligen Betrages festgesetzt werden.

Seit dem 1. November 2007 sind die Gebühren und Auslagen für die Ausstellung oder Änderung von Pässen in der Passverordnung festgelegt.

Umsetzung der zweiten Stufe

Seit dem 1. November 2007 werden in den Chips zusätzlich die Fingerabdruckbilder von zwei Fingern gespeichert. Einige Auslandsvertretungen meldeten in diesem Zusammenhang technische Probleme und nahmen ab Mitte Oktober 2007 für mehrere Monate keine neuen Anträge an. In dieser Zeit konnten dort nur vorläufige Reisepässe ausgestellt werden.^[27] Diese technischen Probleme bezogen sich allerdings nicht auf den Chip bzw. das Dokument, sondern auf die technische Ausstattung der Botschaften und Konsulate, in denen die – für die Ausstellung der Dokumente notwendige – Infrastruktur (Software und Geräte) fehlte.

Gleichzeitig entfiel zu diesem Zeitpunkt die Möglichkeit, Kinder mit im Pass eintragen zu lassen. Das Feld Ordens- oder Künstlername entfiel ersatzlos. Die Gültigkeitsdauer für Pässe jüngerer Antragsteller unter 24 Jahren wurde von fünf auf sechs Jahre angehoben. Antragsteller ab dem 24. Lebensjahr (bislang 26. Lebensjahr) erhalten nunmehr einen für zehn Jahre gültigen Reisepass. Die EU-Amtssprachen Rumänisch und Bulgarisch wurden im Pass aufgenommen. Auf der letzten Vorsatzseite wurde eine „Gebrauchsanweisung“ eingefügt. Die Seriennummern wurden auf zufällig zu vergebende alphanumerische Seriennummern umgestellt.^[28]

Alphanumerische Seriennummern beim ePass

Die Seriennummern enthalten seit dem 1. November 2007 alphanumerische Seriennummern. Diese alphanumerischen Zeichen setzen sich zusammen aus der vierstelligen Behördenkennzahl (alphanumerisch), einer zufälligen fünfstelligen alphanumerischen Passnummer (ZAP), gefolgt von einer Prüfziffer.^[29]

• Die Behördenkennzahl (BHKZ) als Bestandteil der Passseriennummer beginnt zwingend mit einem alphanumerischen Zeichen (Buchstaben).
• Die Passnummer (fünfstellig) als Bestandteil der Seriennummer wird zentral durch die Bundesdruckerei erzeugt.
• Zulässig für die Seriennummer des Reisepasses sind nur die Ziffern 0, 1, 2, 3, 4, 5, 6, 7, 8, und 9 sowie die Buchstaben C, F, G, H, J, K, L, M, N, P, R, T, V, W, X, Y und Z.
• Die Behördenkennzahl als Bestandteil der Pass-Seriennummer des Reisepasses beginnt mit den Zeichen C, F, G, H, J oder K; zunächst soll nur das C verwendet werden.
• Alphanumerische Seriennummern werden im ePass (auch mit 48 Seiten sowie im Express-Pass), im Dienstpass und im Diplomatenpass verwendet.

Nichtelektronischer Reisepass

DDR-Reisepass

Wer einen vor dem 1. November 2005 ausgestellten – das heißt nicht mit einem Chip ausgestatteten – Reisepass besitzt, kann diesen bis zum Ende seiner Gültigkeit weiternutzen.

Einreise in die USA ohne elektronischen Reisepass

Solange das Ausstellungsdatum eines maschinenlesbaren Passes vor dem 26. Oktober 2006 liegt, fällt er unter eine Übergangsregelung der US-Behörden, die eine visumfreie Einreise und Transit in die USA weiterhin zulässt (Older, but still valid ^[30]). Pässe nach diesem Datum müssen elektronische Reisepässe sein. Da in Deutschland bereits seit dem 1. November 2005 nur noch elektronische Pässe ausgegeben werden, ist davon auszugehen, dass alle maschinenlesbaren deutschen Reisepässe, die derzeit im Umlauf sind, während ihrer gesamten Gültigkeitsdauer zur Einreise in die USA berechtigen. Mit vorläufigen Pässen (auch maschinenlesbaren) sowie ab dem 26. Oktober 2006 ausgestellten Kinderreisepässen ist eine visumfreie Einreise in die USA nicht mehr möglich (s. o.). Für eine visumfreie Einreise in die USA sollte deshalb gleich ein endgültiger Pass beantragt werden. Gegen eine Zusatzgebühr von 32 Euro kann er innerhalb von drei Werktagen als „Express-Pass“ ausgestellt werden.

Historische Eintragungen

Beruf

Bei Einführung der ersten Reisepässe in den 1950er-Jahren hatte die Bundesrepublik Deutschland zwar die Passgesetzhoheit, jedoch behielten sich die Alliierten die Bestimmungen zum Reiserecht vor. Hierbei war für Deutsche, die reisen wollten, ein Visum vorgeschrieben. Für dieses musste zwingend der ausgeübte Beruf angegeben werden. Dies ist heute auch noch bei einem beantragten Visum so, jedoch steht die Berufsangabe selbst heute nur noch im Visumsantrag. Das war der Grund, weshalb die Angabe des Berufs in früheren Pässen enthalten war. Mitte bis Ende der 1960er-Jahre führte dies jedoch zu anderen Schwierigkeiten, insbesondere bei Reisen in Ostblockländer, also in die DDR und das sogenannte „sozialistische Ausland“. Da die Berufsangabe nicht mehr zwingend notwendig war, konnte sie mit der Einführung neuer Pässe mit der Verordnung vom 12. Juni 1967 entfallen.

Besondere Kennzeichen

Bis 1988 war das Angabenfeld „Besondere Kennzeichen“ in bundesdeutschen Reisepässen enthalten. Wegen möglicher Diskriminierungen von Personen, bei denen unter dieser Rubrik insbesondere körperliche Merkmale aufgeführt wurden, hat man diese zuletzt durch einen Strich gekennzeichnet und mit der Einführung des EU-Reisepasses ganz weggelassen.

Österreich

Der biometrische EU-Reisepass Österreichs

Österreichischer Reisepass Nr. 13 aus dem Jahre 1865

Reisepasskarte im österreichischen Reisepass

Österreich gibt – wie alle Staaten der Europäischen Gemeinschaft – einen bordeauxroten Reisepass gemäß den Mindestsicherheitsstandards der EU aus. Er hat grundsätzlich eine Gültigkeitsdauer von zehn Jahren (außer bei Kindern unter zwölf Jahren, die je nach Alter zwei, vier bzw. fünf Jahre gelten) und kann nicht verlängert werden, im Gegensatz zu den alten grünen Pässen oder noch älteren beigefarbenen, die fünf Jahre galten, und zweimal um weitere fünf Jahre verlängert werden konnten. Österreichische grüne Pässe, die im Ausland – beispielsweise bei Botschaften oder Konsulaten – ausgestellt wurden, hatten hingegen eine Gültigkeitsdauer von zehn Jahren.

Seit dem 16. Juni 2006 werden biometrische Pässe (sogenannte „Sicherheitspässe“) ausgegeben, die mit einem kontaktlosen Chip versehen sind. Hierfür wird ein Passbild benötigt, das bestimmte Kriterien an die biometrische Erfassung erfüllen muss (Infos siehe: hier). Er kostet 70 Euro. Auf dem Chip wird das digitale Gesichtsbild sowie bei Pass-Ausstellungen seit dem 30. März 2009 auch die verpflichtend abzugebenden zwei Fingerabdrücke gespeichert. In Österreich wird der Reisepass entweder von Magistraten oder Bezirkshauptmannschaften ausgestellt. Eine zulässige nachträgliche Änderung ist die Eintragung von Kindern. Es kann auch beim Erwerb eines akademischen Titels eine Eintragung in den Reisepass erfolgen. Für alle anderen Änderungen muss ein neuer Pass ausgestellt werden. Der neue Reisepass wird zentral in der Österreichischen Staatsdruckerei gefertigt und per Rückscheinbrief innerhalb von fünf bis sieben Tagen zugestellt (bei Express-Bearbeitung in drei Tagen, hierfür werden zusätzlich 30 Euro erhoben).

In Österreich ist der Besitz eines Reisepasses nicht vorgeschrieben. Ein Nichtmitführen im Ausland ist jedoch auch nach österreichischem Recht strafbar. Das gilt auch für die Schengen-Staaten, in denen beim Grenzübertritt üblicherweise der Reisepass nicht kontrolliert wird. In den meisten europäischen Staaten kann allerdings statt des Reisepasses auch ein Personalausweis mitgeführt werden.

Mit Reisepässen, die zwischen dem 26. Oktober 2005 und dem 15. Juni 2006 ausgestellt wurden, konnte nur dann visumfrei in die USA eingereist werden, wenn diese nachträglich behördlicherseits mit einem Aufkleber („Fotovignette“ mit einem gedruckten Bild des Inhabers) ausgestattet wurden.

Schweiz

Biometrischer Reisepass der Schweiz seit 2006

Der Reisepass in der Schweiz hat eine kräftige rote Farbe und ist auf der Vorderseite mit dem Schweizerkreuz versehen. Der inhaltliche Aufbau ähnelt dem des Europapasses. Anstelle des Geburtsortes ist der Bürgerort aufgeführt. Auf jeder Seite des Passes werden die Sehenswürdigkeiten der einzelnen Kantone der Schweiz dargestellt.

Gemäss dem Willen des Bundesrats und der Mehrheit des Parlaments sollen ab 1. März 2010 alle Schweizer Pässe und alle Schweizer Identitätskarten zwingend mit biometrischen Daten und einem RFID-Chip versehen werden.^[31]

Referendum: Ein überparteiliches Komitee ergriff am 18. Juli [2008] gegen das Gesetz das Referendum. Dieses kam mit 63.733 gültigen Unterschriften zustande, womit eine Volksabstimmung über das Gesetz erzwungen wurde. Diese findet am 17. Mai 2009 statt.^[32]

Die unterzeichneten stimmberechtigten Schweizer Bürgerinnen und Bürger verlangen, gestützt auf Art. 141 der Bundesverfassung vom 18. April 1999 und Art. 59ff. des Bundesgesetzes vom 17. Dezember 1976 über die politischen Rechte, dass der Bundesbeschluss vom 13. Juni 2008 über die Genehmigung und die Umsetzung des Notenaustauschs zwischen der Schweiz und der Europäischen Gemeinschaft betreffend die Übernahme der Verordnung (EG) Nr. 2252/2004 über biometrische Pässe und Reisedokumente (Weiterentwicklung des Schengen-Besitzstands) der Volksabstimmung unterbreitet wird (Datum der Veröffentlichung: 24. Juni 2008 – Ablauf der Referendumsfrist: 2. Oktober 2008).

Liechtenstein

Der Liechtensteiner Pass wurde umgestaltet, als der Pass wegen der Sicherheitsforderungen der USA fälschungssicherer gemacht werden musste. Die Farbe wurde von Olivgrün in Blau geändert und der Pass bekam das kleinere ID-3-Format. Zudem wurde vor der ersten Inhaltsseite eine maschinenlesbare Passkarte eingebunden. Beim Ändern auf dieses neue Format passierten einige kleine Fehler: So wurden auf der Passkarte die Landesfarben falsch wiedergegeben und die Passnummern begannen bei der neuen Auflage wieder von vorn, sodass zwei verschiedene Personen die gleiche Passnummer haben konnten. Außerdem begannen die Kennbuchstaben vor den Seriennummern mit einem „R“ (für Reisepass), was Probleme bei der Auslesung der Daten ergab. Aus diesem Grund mussten die Pässe erneut geändert werden und ihre Nummern beginnen seitdem mit dem – international üblichen – „P“ (für Passport) statt mit einem „R“.

Weblinks

• Pässe und Ausweise (offizielle Informationsseite des Bundesministeriums des Innern zum Reisepass)
• Einreisebestimmungen (Auswärtiges Amt zu Einreisebestimmungen in anderen Ländern)
• Der Reisepass mit biometrischen Merkmalen (offizielle Informationsseite des Bundesamts für Sicherheit in der Informationstechnik zum elektronischen Reisepass)
• Sicherheitsmerkmale der Reisepasskarte (Bundesdruckerei)
• Zweite Verordnung zur Änderung passrechtlicher Vorschriften (enthält die aktuellen, amtlichen Muster der deutschen Reisepässe)
• Aufbau des biometrischen Reisepasses, Stern-Grafik
• Reisepass in Österreich (offizielle Behördenseite)
• Ausweise und Pässe in der Schweiz (offizielle Behördenseite), Schweizer Pass/Identitätskarte mit Fotos
• Informationen über Passproduktion
• Preise, Biometrie, Kritik. Recht umfangreich. (Tagesschau)
• EU-Pässe mit Fingerabdruck und Digitalfoto (Heise-News)
• Einseitig.info „Ziviler Gehorsam“ – ein Diskussionsbeitrag zum neuen Reisepass
• Aufregung um teure biometrische Reisepässe (Golem IT-News)
• ePass – der biometrische Reisepass Buch zum ePass (einige Kapitel sind online verfügbar)
• Infoportal vom Interessenkreis biometrische Ausweise
• USA verschieben Termin für Biometrie-Pass-Pflicht (Heise-News)
• Informationen des U.S. Department of Homeland Security bzgl. der Passerfordernisse für die Einreise in die USA
• Anti-Schnüffel-Schutzhülle für elektronischen Reisepass (Heise-News)
• Chaos Computer Club Materialsammlung und Hintergrundinformationen zum Thema elektronischer Reisepass („ePass“)
• Reisepass auf Reisen schützen Tipps zum schützen von Reisepass und Dokumenten in unsicheren Gebieten und vor Witterungseinflüssen
• GlobalTester – Open Source Tool zum Testen von e-Passports und Smart Cards allgemein

Einzelnachweise

1. ↑ Deutscher Bundestag, Drucksache 16/5507, 29. Mai 2007
2. ↑ US-Botschaft in Berlin unter [1]
3. ↑ US-Botschaft in Berlin unter [2]
4. ↑ Dokumentation der ICAO
5. ↑ Biometrie in Reisedokumenten
6. ↑ Ergänzung des Standards 9303 der ICAO
7. ↑ EU-Verordnung Nr. 2252/2004 vom 13. Dezember 2004 über Normen für Sicherheitsmerkmale und biometrische Daten in von den Mitgliedstaaten ausgestellten Pässen und Reisedokumenten
8. ↑ Studie zur Verhandlung der Verordnung (EG) Nr. 2252/2004 vom 13. Dezember 2004 im Rat der Innen- und Justizminister der Europäischen Union mit Hyperlinks zu den relevanten Primärquellen (auf Englisch) University of Oslo: ARENA – Centre for European Studies, Working Paper Nr. 11/2006, 25. September 2006
9. ↑ Elektronische Pässe sind beschlossene Sache Handelsblatt.com, 22. Juni 2005
10. ↑ Gesetz zur Änderung des Passgesetzes und weiterer Vorschriften dip.Bundestag.de
11. ↑ Tagesschau:Fingerabdrücke künftig in Pässen
12. ↑ Informationsblatt der Bundesdruckerei zur Produktionsumstellung ePass (Fingerabdruck) im November 2007
13. ↑ Presseerklärung des Bundesinnenministeriums zur Fingerabdruckspeicherung in Reisepässen
14. ↑ Bundesministerium des Innern, Fragen und Antworten zum ePass, abgerufen am 19. Juni 2007
15. ↑ Deutscher Bundestag, Drucksache 16/5507, 29. Mai 2007.
16. ↑ Drucksache 16/1/07 des Deutschen Bundesrats
17. ↑ PKI for Machine Readable Travel Documents offering ICC read-only access v1.1
18. ↑ Entscheidung der Kommission vom 28. Februar 2005 über die technischen Spezifikationen zu Normen für Sicherheitsmerkmale und biometrische Daten in den von den Mitgliedsstaaten ausgestellten Pässen und Reisedokumenten
19. ↑ BSI: Informationen zu Extended Access Control
20. ↑ BSI: Advanced Security Mechanisms for Machine Readable Travel Documents – Extended Access Control (EAC) – Version 1.11
21. ↑ EU: ENTSCHEIDUNG DER KOMMISSION vom 28/VI/2006 über die technischen Spezifikationen der Normen für Sicherheitsmerkmale und biometrische Daten in von den Mitgliedstaaten ausgestellten Pässen und Reisedokumenten
22. ↑ Wired: Hackers Clone E-Passports, 3. August 2006
23. ↑ Computerwoche.de
24. ↑ Download der Klageschrift
25. ↑ Interview mit Juli Zeh und Download der Verfassungsbeschwerde in der Internetzeitschrift Humboldt Forum Recht 05/2008
26. ↑ Passgesetz § 20
27. ↑ Hinweis der deutschen Botschaft Luxemburg auf technische Probleme
28. ↑ Bundesdruckerei: Infoschreiben für Meldebehörden, Nr. 3/Juli 2007
29. ↑ Bundesdruckerei: Infoschreiben für Meldebehörden, Nr. 4/September 2007
30. ↑ http://www.dhs.gov/xtrvlsec/programs/content_multi_image_0021.shtm Visa Waiver Program: Passport Requirements Timeline, Homeland Security
31. ↑ CH: Bundesbeschluss über die Genehmigung und Umsetzung des Notenaustauschs zwischen der Schweiz und der EU betreffend die Übernahme der Verordnung (EG) Nr. 2252/2004 über biometrische Pässe und Reisedokumente (Weiterentwicklung des Schengen-Besitzstands), 13. Juni 2008
32. ↑ Biometrischer Pass und Reisefreiheit: Volksabstimmung im kommenden Mai