Badnjević ignoriert Urteil des Staatsgerichts: IDDEEA sammelt elektronische Unterschriften von Bürgern „aus der Ferne“ ohne Rechtsgrundlage

(Patria) - Vertreter der Agentur für Identifikationsdokumente, Daten und Datenaustausch von Bosnien und Herzegowina (IDDEEA) und des Innenministeriums des Kantons Sarajevo (MUP KS) stellten letzte Woche den Dienst eDokumenti – CIPS vor, über den Bürger des Kantons Sarajevo, wie mitgeteilt wurde, ab sofort CIPS-Bescheinigungen elektronisch erhalten können, vorausgesetzt, sie besitzen eine gültige elektronische Signatur, die bei der IDDEEA hinterlegt ist.

Wenige Tage vor dieser Veranstaltung, die als wichtiger Schritt in Richtung Digitalisierung von Prozessen und Modernisierung der öffentlichen Verwaltung beworben wurde, erließ die Berufungskammer des Staatsgerichts von Bosnien und Herzegowina ein Urteil, mit dem die Klage der IDDEEA gegen die Entscheidung der Agentur zum Schutz personenbezogener Daten in Bosnien und Herzegowina abgewiesen wird.

Mit dieser Entscheidung wurde der IDDEEA zuvor untersagt, Bürgern ohne Rechtsgrundlage eine elektronische Identität zuzuweisen, und sie wurde angewiesen, die persönlichen Daten der Bürger von Bosnien und Herzegowina zu löschen, die in der Testphase des elektronischen Identitätssystems der Bürger gesammelt wurden, schreibt Istraga.ba.

Trotz des genannten Gerichtsurteils und des Verbots der Agentur zum Schutz personenbezogener Daten hat die IDDEEA mit der Entwicklung von E-Diensten fortgefahren, in deren Rahmen sie elektronische Signaturen von Bürgern sammelt.

Der Direktor der IDDEEA, Almir Badnjević, behauptet, das Verbot beziehe sich nicht auf den Dienst eDokumenti, da seiner Meinung nach „elektronische Identität und qualifizierte elektronische Signatur nichts miteinander zu tun haben“.

- Aus „Unwissenheit“ und „mangelndem Verständnis“ des Themas haben die genannten Herren die Angelegenheit der elektronischen Identität, die im Juli 2024 eingestellt wurde, in diese Angelegenheit hineingezogen und die Angelegenheit der elektronischen Signatur, die in der Entscheidung der Agentur AZLP oder des Staatsgerichts von Bosnien und Herzegowina nirgends erwähnt wird.

Elektronische Identität und qualifizierte elektronische Signatur haben nichts miteinander zu tun. Die Zuständigkeit für die elektronische Signatur liegt ausschließlich beim Ministerium für Kommunikation und Verkehr von Bosnien und Herzegowina – behauptet Badnjević.

Aus dem Urteil des Staatsgerichts von Bosnien und Herzegowina geht jedoch hervor, dass entgegen den Behauptungen von Badnjević die elektronische Signatur im größten Teil des Urteils erwähnt wird. Wie durch das Urteil der Berufungskammer des Staatsgerichts von Bosnien und Herzegowina vom 28. November bestätigt wurde, hat die IDDEEA ein System eingerichtet und Daten in der Testphase verarbeitet, die gesetzlich nicht vorgeschrieben sind, und dieses System umfasst auch die elektronische Signatur der Bürger.

„Das Gesetz über die elektronische Signatur kennt weder die Begriffe ‚Fernsignatur‘ noch ‚Cloud-Signatur‘, noch regelt dieses Gesetz die Verarbeitung personenbezogener Daten, sodass die Agentur keine gesetzliche Grundlage hat, Cloud-Signaturen oder Fernsignaturen auszustellen, da sie gesetzlich befugt ist, qualifizierte digitale Signaturen auszustellen, die Bestandteil des Personalausweises sind.

Daher ist kein System für elektronische Identität vorgeschrieben, und somit ist weder die ‚Fernsignatur‘ noch die ‚Cloud-Signatur‘ geregelt, und dieses System ist auch nicht durch das Gesetz über die IDDEEA von Bosnien und Herzegowina geregelt“, heißt es in der Entscheidung des Staatsgerichts von Bosnien und Herzegowina.



Die Begriffe „Fern-elektronische Signatur“ und „Cloud-Signatur“ beziehen sich auf die Art und Weise, wie die elektronische Signatur technisch erstellt und gespeichert wird.

Bei einer „Fern“- oder „Cloud“-Signatur befinden sich das Zertifikat und der private Schlüssel nicht auf dem Computer oder USB-Token des Bürgers, sondern werden auf den Servern des autorisierten Dienstanbieters gespeichert. Bürger signieren Dokumente aus der Ferne, normalerweise mit Zwei-Faktor-Authentifizierung (Passwort und SMS-Code, mobile Anwendung, Biometrie).

Im Fall der IDDEEA-Agentur betonte das Gericht von Bosnien und Herzegowina, dass die IDDEEA keine Lösung für die sogenannte Cloud-Signatur implementiert hat und „ausschließlich Systeme zur Ausstellung elektronischer Signaturen auf der Grundlage qualifizierter Zertifikate eingerichtet hat“.

Die elektronische Verarbeitung von Daten auf andere Weise und ohne Rechtsgrundlage eröffnet laut Einschätzung der Berufungskammer „Möglichkeiten des Missbrauchs personenbezogener Daten“ von Bürgern.

„Da die Rechtsgrundlage für die Verarbeitung personenbezogener Daten Artikel 18 des Gesetzes über die elektronische Signatur ist, ist der Schutz personenbezogener Daten so vorgeschrieben, dass der Aussteller nur diejenigen personenbezogenen Daten verwenden darf, die unmittelbar von der betreffenden Person benötigt werden oder mit deren Zustimmung von Dritten, so dass der Kläger keine gesetzliche Grundlage für die elektronische Verarbeitung von Daten auf andere Weise hatte“, schlossen die Mitglieder des Rates.

Aufgrund der Gerichts- und Verwaltungsentscheidungen ist klar, dass die IDDEEA derzeit keine Rechtsgrundlage hat, elektronische Signaturen von Bürgern aus der Ferne entgegenzunehmen und zu hinterlegen.

Dennoch hat sich Direktor Badnjević entschieden, das Gerichtsurteil zu ignorieren und einen rechtlichen Vakuum zu nutzen, um ein System zur elektronischen Ausstellung von CIPS-Bescheinigungen einzurichten, und eröffnet in diesen Tagen unermüdlich Büros zur Aktivierung elektronischer Signaturen in Städten in ganz Bosnien und Herzegowina.

Novo Sarajevo, Doboj Jug, Usora, Čitluk, Bihać, Brčko sind einige der Orte, an denen bereits Registrierungsbüros der IDDEEA zur Aktivierung qualifizierter elektronischer Signaturen eingerichtet wurden.

Allein für Projekte zur Modernisierung des Dokumentenpersonalisierungszentrums und der Netzwerkinfrastruktur sowie für die Personalisierungs- und Softwareintegrationsausrüstung sind Ausgaben von fast fünf Millionen Euro vorgesehen.

Istraga hat mehrere Cybersicherheitsexperten kontaktiert, die bewerteten, dass die Eröffnung lokaler Büros für elektronische Signaturen ohne vorherige Einrichtung angemessener Sicherheitssysteme ein ernsthaftes Risiko für mögliche Hackerangriffe und den Diebstahl und Missbrauch von Bürgerdaten darstellt.

Tatsächlich verfügen lokale IT-Systeme oft über unsichere Netzwerke, die anfällig für Angriffe sind, und es stellt sich auch die Frage der Schulung der Mitarbeiter der Registrierungsbüros, um auf potenzielle Sicherheitsvorfälle reagieren zu können.

Anstatt auf konkrete rechtliche und sicherheitstechnische Dilemmata zu antworten, versucht der Direktor der IDDEEA, Almir Badnjević, die zahlreichen Kritikpunkte, die er in diesen Tagen erhält, in ein politisches Problem zu verwandeln, indem er diejenigen, die auf die Mängel des bestehenden Systems hinweisen, beschuldigt, die Zuständigkeiten der staatlichen Agentur untergraben zu wollen.

Politische Interessen im Zusammenhang mit der Arbeit der IDDEEA bestehen zweifellos, und zwar nicht nur in der Republika Srpska, wo die derzeitige Regierung alles, was staatlich ist, standardmäßig behindert, sondern auch in der Föderation Bosnien und Herzegowina.

Die digitale Transformation und die „Revolution der öffentlichen Verwaltung“ sind ein Prioritätsprojekt des Ministers für Kommunikation und Verkehr, Edin Forto, der auf eine möglichst schnelle Umsetzung drängt, und es steht außer Zweifel, dass gerade dieser Bereich von Naša stranka als eines der wichtigsten Argumente für den Erfolg ihrer politischen Vertreter im kommenden Wahljahr genutzt wird.

Obwohl die Europäische Kommission in ihrem Erweiterungsbericht für 2025 feststellte, dass in Bosnien und Herzegowina keine Fortschritte im Bereich der digitalen Transformation erzielt wurden, behaupten Forto und Badnjević, dass „eine solche Bewertung die tatsächliche Situation nicht widerspiegelt“ und dass Bosnien und Herzegowina über eine digitale Infrastruktur verfügt, die „nach EU-Standards funktioniert“.

Die Frage ist nicht, ob die Digitalisierung umgesetzt werden soll, sondern ob sie gesetzeskonform, sicher und im Interesse der Bürger umgesetzt wird oder ob die Kosten der beschleunigten „Revolution“ gerade diejenigen tragen werden, deren Daten im Graubereich von Recht und Sicherheit gesammelt werden.