Wortlaut

Bei Schweizer Banken soll das Passwort für das E-Banking durch den Fingerabdruck der Kundinnen und Kunden ersetzt werden. Weiss der Bundesrat von diesen Änderungen, wurden diese rechtlich und bezüglich Datenschutz geprüft, und wie gedenkt er die Cybersicherheit seiner Landsleute sicherzustellen?

Begründung

Zahlreiche Schweizerbürgerinnen und -bürger werden zurzeit von ihrer Bank aufgefordert, ihr Passwort durch den Fingerabdruck zu ersetzen, um sich in ihr Online-Banking einloggen zu können (via Smartphone oder für das Online-Shopping mit der Kreditkarte über den Computer). Dies überrascht, da die Verwendung von Fingerabdrücken bis heute nur im Zusammenhang mit der Polizei oder der Justiz steht: Hier verhindern die geltenden rechtlichen Rahmenbedingungen, die restriktiv sind, jegliche Art von Missbrauch.

Die Verwendung von biometrischen Daten (Erfassung, Bearbeitung, Weitergabe, Speicherung) ist ein grosses gesellschaftspolitisches Thema und ist weit mehr als eine rein technische Frage. Denn der digitale Fingerabdruck ist unwiderruflich, und die vielen Vorkommnisse der letzten Zeit, die in den Medien stark diskutiert wurden, zeugen davon, wie fragil dieser Erfassungsvorgang ist. Die Beziehungen zwischen einer Bank und ihren Kundinnen und Kunden sind zwar privater Natur, aber die Tatsache, dass eine private Institution über diese sehr persönlichen Daten verfügt, muss die politischen Behörden aufgrund der Fülle dieser Informationen interessieren. Wie können die Banken von nun an garantieren, dass mit den Fingerabdrücken absolut vertraulich umgegangen wird, dass sie nicht missbraucht oder an Dritte (öffentliche oder private Institutionen) weitergegeben werden?

Daher frage ich den Bundesrat: Ist diese neue Praxis der Banken bekannt? Wurde sie rechtlich und in Bezug auf den Datenschutz geprüft? Wie gedenkt der Bund die Schweizerinnen und Schweizer, ihr Privatleben, ihre physische Integrität und ihre biologische Identität zu schützen? Und könnte die momentane - und potenzielle - Gesetzeslücke nicht negative und nachteilige Auswirkungen auf die Schweizerbürgerinnen und -bürger haben?

Stellungnahme des Bundesrates

Authentisierungsverfahren mittels Nutzung biometrischer Daten sind für verschiedene Anwendungen bereits seit mehreren Jahren im Einsatz und finden zunehmende Verbreitung. Bekanntes Beispiel ist die Entsperrung von mobilen Endgeräten über Fingerabdrücke. Die von den Banken verwendeten Lösungen der Multi-Faktor-Authentifizierung nutzen üblicherweise die bestehenden "Touch-ID"-Systeme. Die biometrischen Daten gelangen somit nicht bis zu den Systemen der Banken. Die Anwendung solcher Verfahren als Alternative zu oder in Kombination mit Passwörtern durch Banken muss wie bei vergleichbaren Anwendungen grundsätzlich durch die informierte, freiwillige Einwilligung der betroffenen Person gerechtfertigt sein. Grundlegend neue rechtliche Fragen sind damit folglich nicht verbunden.

Die rechtlichen Bedingungen für die Sammlung und Bearbeitung von Personendaten werden durch das Datenschutzgesetz festgelegt. Mit der Revision des Datenschutzgesetzes (17.059) schlägt der Bundesrat der Bundesversammlung vor, biometrische Daten als besonders schützenswerte Personendaten zu definieren. Diese Änderung steht in Übereinstimmung mit der Richtlinie (EU) 2016/680, die zum Schengen-Besitzstand gehört (Art. 3 Ziff. 13 und Art. 10), und der neuen Datenschutz-Grundverordnung der EU (Verordnung [EU] 2016/679, Art. 4 Ziff. 14 und Art. 9) und ist als Reaktion auf die zunehmende Nutzung von biometrischen Daten und die damit verbundenen Risiken zu werten.

Die Cybersicherheit der Bevölkerung ist dem Bundesrat ein sehr wichtiges Anliegen. Über verschiedene Massnahmen - welche in der Nationalen Strategie zum Schutz der Schweiz vor Cyberrisiken beschrieben sind - will er die Risiken eines Datenmissbrauchs oder -diebstahls durch Cyberangriffe für die Bevölkerung mindern. Er arbeitet zu diesem Zweck eng mit der Wirtschaft, den Hochschulen und den Kantonen zusammen und trägt dazu bei, die Bevölkerung über den sicheren Umgang mit neuen Technologien zu informieren.

Antwort des Bundesrates.