Amazon und Mastercard: Online-Käufe mit Selfies statt mit Passwort?

Amazon hat ein Patent für das Bezahlen per Selfie angemeldet. Der Titel des Patents: „Image Analysis for User Authen­ti­cation“(Übersetzung: „Bild-Analyse zur Nutzer-Feststellung“). Die Idee: Kunden können demnächst ein Bild oder ein Video von sich machen, um einen Kaufvorgang abzuschließen.

Online-Shopping soll so noch einfacher werden – und sicherer. Denn ein Passwort wäre damit unnötig –  und könnte nicht mehr geknackt oder gehackt werden. Auch könnten Kinder nicht mehr aus Versehen (oder mit voller Absicht) unerlaubt mit dem Account der Eltern einkaufen gehen.

MasterCard testet bereits das Selfie zur Verifi­zierung

Amazon ist allerdings kein Vorreiter. MasterCard testet nach eigenen Angaben derzeit bereits ein entspre­chendes System, das anhand eines Video-Selfies den Nutzer verifiziert. Und ihn somit von der Pflicht entbindet, alle geforderten Kredit­kar­ten­in­for­ma­tionen einzugeben. Angeblich soll das System ab Sommer bereits in einigen Ländern zum Einsatz kommen. Darunter soll auch Deutschland sein.

Der Wunsch nach neuen Verifi­zie­rungs­me­thoden kommt nicht von ungefähr: Mastercard hat mittels Umfragen festge­stellt, dass über die Hälfte der Befragten mehrmals pro Woche wichtige Passwörter vergessen. Abgesehen davon zeigen Untersu­chungen immer wieder, dass viele Nutzer in der Auswahl Ihrer Sicher­heits­pass­wörter nicht besonders einfallsreich sind.

Die Verifi­zierung durch Selfies könnte Online-Shopping und -Banking also sicherer machen. Sie wirft allerdings auch rechtliche Fragen auf, besonders in Bezug auf Datenschutz. Denn ein Foto kann mehr Informa­tionen preisgeben, als viele ahnen.

Selfies und Datenschutz: Wirklich vereinbar?

Jede Foto-Videoaufnahme einer Person enthält personen­be­zogene Daten. Den Umgang mit ihnen regelt das Bundes­da­ten­schutz­gesetz (BDSG). Augen- oder Haarfarbe sind klassische Beispiele für personen­be­zogene Daten. Aber zum Beispiel auch, ob jemand Brillen­träger ist. Da das bereits einen Rückschluss auf die Gesundheit der abgebildeten Person zulässt, gehört diese Information zu einer Extra-Kategorie, den „besonderen personen­be­zogenen Daten“. Sie heißen auch „sensible Daten“.

Dazu gehören Informa­tionen wie die rassische und ethnische Herkunft, politische Meinungen und religiöse oder philoso­phische Überzeu­gungen. Über Kennzeichen wie Hautfarbe, Kopfbe­deckung, Tattoos oder andere Merkmale kann bereits ein Foto ausreichen, um diese Informa­tionen aufzudecken. Die Verarbeitung dieser sensiblen Daten ist rechtlich aber nur unter sehr engen Voraus­set­zungen möglich.

Rechts­an­wältin Friederike Lemme von der Arbeits­ge­mein­schaft IT-Recht im Deutschen Anwalt­verein (DAV) erklärt: „Sofern jemand zur Datenver­ar­beitung seine Einwil­ligung gibt – was beim Hochladen eines Selfies zur Identi­fi­kation regelmäßig der Fall sein dürfte – muss sich die Einwil­ligung im Falle besonderer Arten personen­be­zogener Daten auch genau auf diese beziehen.“

Die Nutzer müssten also mindestens vor jedem Verifi­zierungs-Selfie noch eine Einver­ständ­nis­er­klärung zur Verarbeitung ihrer sensiblen Daten abgeben.

Kunden­selfies bei Amazon: Wirklich nur zur Verifi­zierung gedacht?

Aber was passiert abgesehen von der eindeutigen Identi­fi­zierung mit der Foto-/Video-Aufnahme? Können Kunden das wirklich nachvoll­ziehen?

Hier sieht Rechts­expertin Lemme die Gefahr für Missbrauch: „Ich kann mir vorstellen, dass die Unternehmen ein großes Interesse daran haben, nicht nur die üblichen Daten von Kunden zu sammeln. Sondern darüber hinaus auch ein Portfolio an Kundenfotos aufzubauen.“

Denn nicht nur die Frage, was wer wann gekauft hat, ist für die Konzerne interessant. Sie wollen wissen: Was hat der Kunde während des Kaufs gedacht? Wie hat er sich gefühlt? Moderne Software zur Bildanalyse kann diese Daten aus Fotos filtern.

Wie sieht die Wohnung des Käufers aus? Was für Kleidung trägt er? Immer mehr Schlüsse zu einer einzelnen Person werden möglich. Erhält jemand, der auf seinen Selfies oft Hemden trägt, plötzlich Werbean­zeigen von Hemden-Herstellern?

Fazit: Selfie-Verifi­zierung löst alte Probleme und schafft neue

Die derzeitig gängigen Sicher­heits­systeme im Internet unter Verwendung von Passwörtern, TAN-Nummern und Sicher­heits­fragen sind verbes­se­rungs­würdig. Verifi­zierung per Selfie könnte etliche dieser Probleme lösen. Nutzer müssten sich keine Passwörter mehr merken und keine Zeit damit verschwenden, ständig ihre Konten neu aufzusetzen. Kauf- und Zahlungs­vorgänge könnten in der Praxis schneller, sicherer und kunden­freund­licher abgewickelt werden.

Das stete Übermitteln von Foto/Video-Material an private Unternehmen ist allerdings datenschutz­rechtlich bedenklich. Denn in diesen Daten steckt eine Fülle an Information, was Ihre Weiter­ver­wendung für die Wirtschaft äußerst attraktiv macht. Rechtlich müsste das System einer Selfie-Verifi­zierung so zugeschnitten sein, dass es nicht zum Missbrauch personen­be­zogener und besonders sensibler Daten kommen kann.