Identifizierung per Videoident zu unsicher?

Zuletzt aktualisiert am 1. Juni 2026

Bei Krankenkassen ist die Identifizierung per Video (Videoident) momentan gestoppt. Hintergrund ist ein erfolgreicher Angriff des Chaos Computer Clubs (CCC), bei dem der Zugang zu einer elektronischen Patientenakte einer Testperson mit manipulierten Ausweispapieren möglich war. Aus Angst vor dem Missbrauch von den so erreichbaren sensiblen Patientendaten wurden von den Krankenkassen nun zunächst alle Videoident-Anbieter unabhängig von bekannten Sicherheitslücken gesperrt.

Sind Videoident-Verfahren weiterhin unbedenklich was die Datensicherheit angeht?

Wo wird Videoident eingesetzt?

Bisher wurden Videoident-Verfahren in vielen Bereichen genutzt, in denen online Zugang zu sensiblen Daten möglich ist. Bei der Anmeldung eines Bankkontos, bei Kreditprüfungen, Versicherungsverträgen, Prüfungen für Carsharing-Dienste und im Gesundheitsbereich ist das Videoident-Verfahren ein bedeutender Bestandteil digitaler Datensicherheit.

Seit 2021 ist über das Videoident-Verfahren der Zugriff auf die sogenannte ePatientenakte und inzwischen auch auf das eRezept möglich.

Wie kann Videoident überlistet werden?

Im Bericht des CCC erklären die Sicherheitsforscher, wie es „mit Open-Source-Software sowie ein bisschen roter Aquarellfarbe gelungen ist, mittels ‚videotechnischer Neukombination mehrerer Quell-Dokumente‘ sechs Videoident-Lösungen zu überlisten und den Mitarbeitern bzw. der Software eine fremde Identität vorzugaukeln“. Die Angriffe blieben dabei unbemerkt.

Der CCC erlangte so Zugriff auf die Gesundheitsdaten der Testperson. Dies sei mit wenig Vorwissen in kurzer Zeit und mit wenig Aufwand möglich gewesen. Das Risiko und die Sensibilität dieser Daten seien auf der anderen Seite sehr hoch.

Auch der Einsatz einer KI im Verfahren behebe diese große Sicherheitslücke nicht. Die Sicherheitsforscher stellten fest: „Die Annahme, dass moderne Videoident-Verfahren die bekannten Schwächen ‚durch den Einsatz von künstlicher Intelligenz‚ beheben können, hat sich in der Praxis als falsch herausgestellt.

Warum gleich alle Videoident-Verfahren stoppen?

Die Gematik untersagte aufgrund der Ergebnisse des CCC bereits vor Veröffentlichung des Berichtes aus Sicherheitsgründen den Krankenkassen die Nutzung jeglicher Videoident-Verfahren.

Der IT-Branchenverband Bitkom kritisierte diese pauschale Entscheidung. Personen, die sich jetzt gegenüber der Krankenkasse identifizieren müssen, seien gezwungen, analoge Wege zu wählen. Damit sei eine „unnötige Hürde auf dem Weg zu einer digitalen Gesundheitsversorgung aufgebaut“. Die Sofortidentifizierung über das Videoident-Verfahren sei „zentral, um digitale Dienste schnell, sicher und einfach verfügbar zu machen“.  Es müsse bei Krankenkassen deshalb umgehend wieder zugelassen werden.

Der CCC fordert dagegen „diese unsichere Technologie nicht mehr dort einzusetzen, wo ein hohes Schadenspotential besteht“.

Stellungnahme des Gesundheits- und Innenministeriums

Das Bundesgesundheitsministerium sprach sich wie die Gematik für eine Sperrung aus.

Das Bundesinnenministerium bezeichnete das Videoident-Verfahren als „eine Brückentechnologie, die aufgrund ihrer Marktdurchdringung und Verfügbarkeit derzeit zur Fernidentifizierung genutzt wird“. Ob und inwiefern es weiter genutzt werden könne, werde sorgfältig geprüft.

Alternative Identifizierungsverfahren

Angesichts der Sicherheitsbedenken beim Videoident-Verfahren rücken alternative Identifizierungsmethoden in den Fokus. Die wohl sicherste Alternative ist der elektronische Personalausweis (eID). Mit der Online-Ausweisfunktion können sich Bürger sicher und datenschutzkonform digital identifizieren. Die Identität wird dabei kryptographisch verifiziert, wodurch Manipulationen wie beim Videoident-Verfahren ausgeschlossen sind.

Der elektronische Personalausweis bietet ein deutlich höheres Sicherheitsniveau als das Videoident-Verfahren. Die Identitätsdaten werden direkt aus dem Chip des Ausweises ausgelesen und kryptographisch geschützt übertragen. Eine Fälschung oder Manipulation ist mit vertretbarem Aufwand nicht möglich. Dennoch wird die eID-Funktion in Deutschland bislang nur von einem Bruchteil der Bevölkerung genutzt.

Ein weiteres alternatives Verfahren ist das Postident-Verfahren der Deutschen Post. Hierbei identifiziert sich die Person persönlich in einer Postfiliale. Dieses Verfahren gilt als sehr sicher, ist aber weniger komfortabel als digitale Alternativen.

Datenschutzrechtliche Bewertung von Identifizierungsverfahren

Aus datenschutzrechtlicher Perspektive unterliegen alle Identifizierungsverfahren den Vorgaben der DSGVO. Die Verarbeitung der Identitätsdaten muss auf einer rechtmäßigen Grundlage erfolgen und den Grundsätzen der Datenminimierung, Zweckbindung und Speicherbegrenzung genügen.

Beim Videoident-Verfahren werden in der Regel Videoaufnahmen der Person und ihres Ausweises erstellt und gespeichert. Dies stellt eine erhebliche Verarbeitung personenbezogener Daten dar. Die Speicherung dieser Aufnahmen muss zeitlich begrenzt sein und darf nur dem Zweck der Identifizierung dienen. Anbieter von Videoident-Verfahren müssen als Auftragsverarbeiter nach Art. 28 DSGVO eingebunden werden.

Im Gesundheitsbereich, wo besonders sensible Daten betroffen sind, gelten gemäß Art. 9 DSGVO verschärfte Anforderungen. Die Verarbeitung von Gesundheitsdaten ist grundsätzlich verboten und nur unter bestimmten Voraussetzungen zulässig. Ein unsicheres Identifizierungsverfahren, das den Zugang zu solchen Daten ermöglicht, ist daher besonders kritisch zu bewerten.

Die Rolle der Gematik und regulatorische Entwicklungen

Die Gematik als Betreibergesellschaft der Telematikinfrastruktur im deutschen Gesundheitswesen spielt eine zentrale Rolle bei der Regulierung der Identifizierungsverfahren. Ihre Entscheidung, das Videoident-Verfahren für den Gesundheitsbereich zu sperren, war eine direkte Reaktion auf die Sicherheitslücken, die der CCC aufgedeckt hatte.

In der Folge hat die Gematik die Anforderungen an Identifizierungsverfahren im Gesundheitswesen verschärft. Künftig sollen nur noch Verfahren zugelassen werden, die ein mit dem elektronischen Personalausweis vergleichbares Sicherheitsniveau bieten.

Auf europäischer Ebene arbeitet die EU an der eIDAS-Verordnung 2.0, die eine einheitliche digitale Identität für alle EU-Bürger schaffen soll. Die European Digital Identity Wallet soll es ermöglichen, sich grenzüberschreitend sicher und datenschutzkonform zu identifizieren. Die Umsetzung dieser Verordnung wird auch Auswirkungen auf die in Deutschland verwendeten Identifizierungsverfahren haben.

Empfehlungen für Unternehmen

Unternehmen, die Identifizierungsverfahren einsetzen, sollten die aktuelle Entwicklung aufmerksam verfolgen und ihre Prozesse gegebenenfalls anpassen. Die Verwendung des Videoident-Verfahrens ist zwar außerhalb des Gesundheitsbereichs weiterhin zulässig, doch die aufgedeckten Schwachstellen sollten Anlass geben, die eigenen Sicherheitsanforderungen zu überprüfen.

Wo immer möglich, sollte die eID-Funktion des elektronischen Personalausweises als bevorzugtes Identifizierungsverfahren angeboten werden. Parallel dazu sollten Unternehmen ihre Mitarbeiter und Kunden für die Risiken unsicherer Identifizierungsverfahren sensibilisieren und die Nutzung sicherer Alternativen aktiv fördern.

Technische Hintergründe der Sicherheitslücke

Der CCC nutzte für seine Angriffe eine Kombination aus physischen und digitalen Manipulationstechniken. Zunächst wurden die Sicherheitsmerkmale eines echten Personalausweises analysiert. Anschließend wurde mithilfe von Bildbearbeitungssoftware ein manipuliertes Dokument erstellt, das die Identitätsdaten der Zielperson enthielt, aber das Foto des Angreifers zeigte. Durch den Einsatz von Aquarellfarbe wurden die holographischen Elemente des Originaldokuments nachgeahmt.

Während des Videoident-Verfahrens wurde das manipulierte Dokument per Videokamera präsentiert. Die Mitarbeiter der Videoident-Anbieter erkannten die Manipulation nicht. Ebenso versagten die von einigen Anbietern eingesetzten KI-Systeme, die eigentlich Fälschungen erkennen sollten. Der CCC demonstrierte damit, dass das Videoident-Verfahren in seiner aktuellen Form weder durch menschliche Prüfer noch durch automatisierte Systeme ausreichend gesichert ist.

Besonders bemerkenswert ist, dass der Angriff mit vergleichsweise geringem Aufwand und ohne spezielles technisches Vorwissen durchgeführt werden konnte. Die eingesetzten Werkzeuge, darunter Open-Source-Software und handelsübliche Materialien, sind für jedermann zugänglich. Dies unterstreicht die grundsätzliche Anfälligkeit des Verfahrens und die Dringlichkeit, auf sicherere Alternativen umzusteigen.

Auswirkungen auf die digitale Identität in Europa

Die Sicherheitsprobleme beim Videoident-Verfahren haben weitreichende Auswirkungen auf die Entwicklung der digitalen Identität in Europa. Die EU-Kommission arbeitet mit Hochdruck an der Umsetzung der eIDAS-Verordnung 2.0, die bis 2026 eine europaweit einheitliche digitale Identitätslösung schaffen soll. Die European Digital Identity Wallet soll es Bürgern ermöglichen, sich online und offline sicher zu identifizieren, ohne auf unsichere Verfahren wie Videoident zurückgreifen zu müssen.

Die Wallet wird auf kryptographischen Verfahren basieren und die Identitätsdaten direkt aus den nationalen Ausweisdokumenten ableiten. Eine Manipulation, wie sie beim Videoident-Verfahren möglich ist, wäre damit praktisch ausgeschlossen. Zudem soll die Wallet datenschutzfreundlich gestaltet sein und dem Grundsatz der Datenminimierung entsprechen. Nutzer können selbst entscheiden, welche Daten sie in welchem Kontext freigeben.

Für Unternehmen bedeutet dies, dass sie ihre Identifizierungsprozesse mittelfristig auf die European Digital Identity Wallet umstellen müssen. Die frühzeitige Vorbereitung auf diese Umstellung ist empfehlenswert, um den Übergang möglichst reibungslos zu gestalten und die datenschutzrechtlichen Anforderungen von Anfang an zu erfüllen. Die Einbindung eines Datenschutzbeauftragten in diesen Prozess ist dabei wichtig.

Wirtschaftliche Folgen der Videoident-Sperre

Die Sperrung des Videoident-Verfahrens im Gesundheitsbereich hat erhebliche wirtschaftliche Folgen. Anbieter von Videoident-Lösungen, die einen bedeutenden Teil ihres Umsatzes im Gesundheitswesen erzielen, mussten Umsatzeinbußen hinnehmen. Gleichzeitig entstanden den Krankenkassen Mehrkosten, da sie auf teurere Alternativen wie das Postident-Verfahren oder die persönliche Identifizierung in Geschäftsstellen umsteigen mussten.

Für die Versicherten bedeutete die Sperre einen erheblichen Komfortverlust. Personen, die sich beispielsweise für den Zugang zur elektronischen Patientenakte identifizieren wollten, konnten dies nicht mehr bequem von zu Hause aus erledigen, sondern mussten eine Postfiliale oder eine Geschäftsstelle der Krankenkasse aufsuchen. Besonders für ältere oder mobilitätseingeschränkte Personen stellte dies eine erhebliche Hürde dar.

Langfristig könnte die Videoident-Sperre jedoch einen positiven Effekt haben, indem sie die Entwicklung und Verbreitung sicherer digitaler Identifizierungsverfahren beschleunigt. Die verstärkte Nutzung des elektronischen Personalausweises und die Entwicklung der European Digital Identity Wallet sind wichtige Schritte in diese Richtung. Unternehmen, die frühzeitig auf diese sicheren Alternativen setzen, verschaffen sich einen Wettbewerbsvorteil und stärken gleichzeitig das Vertrauen ihrer Kunden in die Sicherheit der digitalen Prozesse.

Die Sicherheitsprobleme beim Videoident-Verfahren zeigen exemplarisch, dass Bequemlichkeit und Sicherheit in einem Spannungsverhältnis stehen. Während digitale Identifizierungsverfahren den Alltag erleichtern, dürfen sie nicht auf Kosten der Sicherheit sensibler Daten gehen. Die Zukunft liegt in kryptographisch gesicherten Verfahren wie dem elektronischen Personalausweis und der European Digital Identity Wallet, die sowohl Komfort als auch Sicherheit bieten. Unternehmen und Behörden sollten den Übergang zu diesen sicheren Alternativen aktiv vorantreiben und ihre Kunden dabei unterstützen.

Die Balance zwischen digitaler Innovation und Datensicherheit bleibt eine der zentralen Herausforderungen unserer Zeit.

Sie benötigen Unterstützung im Bereich Datensicherheit oder auch Datenschutz? Unser Team an Experten hilft Ihnen gerne weiter!