Das Risiko, dass sich Menschen mehrfach für humanitäre Hilfsprogramme registrieren, schwebt wie ein Damoklesschwert über den Programmen. „Hilfsorganisationen versuchen, so vielen Menschen wie möglich zu helfen“, erklärt CISPA-Faculty Dr. Wouter Lueks. „Und bei der Verwirklichung dieses Ziels wollen sie sicherstellen, dass sie Empfänger:innen nicht zweimal Hilfe gewähren. Denn dann kann jemand anderes keine Hilfe erhalten.“ Lueks suchte nach einem Ansatz, um die doppelte Ausgabe humanitärer Hilfe zu verhindern. Da in Regionen mit humanitären Krisen der Rückgriff auf Ausweisdokumente meist nicht möglich oder mit Risiken verbunden ist, sind biometrische Daten das Mittel der Wahl. „Kern der von uns designten Lösung ist, dass wir diese Daten nur für einen Zweck verwenden wollen: Wir wollen in der Lage sein, zu entscheiden, ob die biometrischen Daten der Person, die wir vor uns haben, bereits registriert wurden“, erklärt Lueks.
Aber wie läuft das Verfahren nun konkret ab? „Wenn eine Person zu einer Registrierungsstelle kommt und um Registrierung bittet, werden biometrische Daten von ihr genommen, zum Beispiel ein Fingerabdruck“, erklärt Lueks. Dafür braucht es ein an einen Computer angeschlossenes Lesegerät und eine Internetverbindung. „Dann wird ein so genanntes kryptografisches Protokoll zwischen dem Computer in der Registrierungsstation und einem zweiten Computer an einem anderen Ort ausgeführt, in unserem Fall in der IKRK-Zentrale in Genf“, fährt Lueks fort. „Das Ergebnis dieses Protokolls ist eine Ja-Nein-Entscheidung. Ja, ich habe die biometrischen Daten in der Datenbank gefunden oder Nein, ich habe sie nicht gefunden. In diesem Fall können die Daten des Empfängers hinzugefügt werden“. Auf dem lokalen Computer werden die Daten nur für den Moment der Datenaufnahme gespeichert und dann wieder gelöscht.
Sicherheit des Verfahrens
„Die Tatsache, dass biometrische Daten nicht veränderbar sind, macht ihre Speicherung in Datenbanken jedoch sehr riskant“, so der CISPA-Forscher. „Sie hinterlassen Spuren von Informationen darüber, dass bestimmte Personen hier waren, dass sie sich registriert haben und so weiter. Wir haben in der Vergangenheit etwa nach dem Abzug der USA aus Afghanistan gesehen, dass die einfache Tatsache, dass Menschen sich für ein bestimmtes Programm angemeldet haben, sehr weitreichende Folgen für ihr zukünftiges Leben haben und ihre Sicherheit bedrohen kann.“ Aus diesem Grund haben Lueks und seine Kolleg:innen verschiedene Sicherheitsmechanismen in ihr Verfahren eingebaut. „Entscheidend ist, dass die beiden Computer zusammenarbeiten müssen, um diese Ja/Nein-Entscheidung zu treffen“ erklärt Lueks. „Wenn einer der beiden Computer die Kooperation verweigert, oder konkreter gesagt, wenn jemand in Genf beschließt, das System abzuschalten, werden keine weiteren Informationen aus dem System herausgegeben.“ Nicht einmal der physische Zugriff auf einen der beiden Computer wird die biometrischen Daten der Hilfsempfänger:innen preisgeben: Das System ist so konzipiert, dass der Zugriff auf die Daten verhindert wird.
Einbettung der Registrierung in die Verteilung humunitärer Hilfe
Das Verfahren, das Lueks und seine Kolleg:innen in ihrem aktuellen Paper vorstellen, zielt auf den Registrierungsprozess ab. Dieser ist jedoch nur ein Teil des komplexen Prozesses zur Verteilung humanitärer Hilfe. Ein weiterer wichtiger Teil ist die tatsächliche Ausgabe von Gütern. Auch hier gilt es zu verhindern, dass Menschen mehr als einmal Hilfe empfangen. Um dies zu verhindern, entwickelten die Forscher:innen bereits im vergangenen Jahr ein Token-basiertes System zur Verteilung humanitärer Hilfe. Konkret würde diese bedeuten, dass Hilfe-Empfänger:innen nach der erfolgreichen Registrierung einen Token etwa in Form einer Smart-Card bekommen, mit der sie die ihnen zustehenden Güter abholen können. Das Design des Tokens verhindert dabei, das pro Ausgaberunde mehr als eine Ausgabe pro Person erfolgen kann. Obwohl die damalige Lösung sich auf Haushalte, nicht auf Einzelpersonen bezog, ließe sich der Ansatz problemlos mit dem jetzt entwickelten Verfahren kombinieren. Für die Zukunft kann Lueks sich vorstellen, einen Prototyp für die Anwendung beider Verfahren zu entwickeln. Seitens seiner Kooperationspartner vom IKRK bestände daran auf jeden Fall Interesse.
