Thread by @bkastl

Um die Woche des #Videoident Fails zu beenden hier mal ein Ausblick, was wahrscheinlich passieren wird:
1. Verfahren wird abermals gehackt.
2. Der Markt der Videoident-Anbieter wird irgendwelche "magischen Erkennungsmechanismen" gegen Manipulationen versprechen.

3. Manipulationen werden noch einfacher zugänglich und schneller erstellbar werden.
Beginne bei 1.

Aktuell steckt noch zu viel Geld von Seiten der Anbieter in Videoident-Verfahren, als dass diese Verfahren einfach aufgegeben werden.

Aber: Der Wettlauf Erkennung / Erstellung synthetischen Videomaterials entwickelt sich gerade schneller in Richtung Erstellung.

Beispiel Runway ML: Hier kommt Keying & Replacing in nahezu Echtzeit aus einem Machine Learning System. Komplett cloudbasiert.

https://twitter.com/pess_r/status/1557517982095626241?s=20&t=-LfqX4APi7owwMXBkRxtLg

Selbst wenn es an der technischen Seite weiter bei einem Hase-Igel-Wettlauf bleiben sollte, wird das nicht davor schützen, dass Videoident rein organisatorisch ein extrem bequemer Angriffsvektor für Social Engineering ist.

https://twitter.com/presseschauer/status/1557289551219007488

Für hohe oder substanzielle Schutzbedarfe (Gesundheitsdaten) führt kein Weg an anderen Verfahren zur Identifizierung vorbei.

Bei allen anderen Schutzbedarfen wird es eine Abwägung geben, ob der Schaden für die Anbieter tolerierbar ist.

Banken, Telkos etc. könnten das nach wie vor via Videoident lösen wollen, weil die Convenience und der Mehrumsatz durch solche Verfahren höher ist als die Kosten, um Manipulation oder Missbrauch auszuschließen.

Es ist billiger, einen Fall von Manipulation in Kauf zu nehmen, wenn es bei 100 anderen gut geht.

Diese Attitüde muss sich der jeweilige Bereich aber auch leisten können. Bei Gesundheitsdaten steht das nicht zur Diskussion.

Für Bürger*innen wird es aber auch notwendig sein, digitale Identifizierungsverfahren besser überprüfen zu können.

Dafür braucht es neben Technik auch vor allem digitale Aufklärung. Was macht das Verfahren? Wie kann ich erkennen, dass es valide ist?

Wir werden zwar nie die 100% Sicherheit schaffen, wir müssen aber auch daran arbeiten, wie viel Sicherheitsbewertung digitaler Identifizierungsverfahren Bürger*innen selbst brauchen. Es ist mehr als "hier ein Verfahren eines Partners, vertrau dem mal, wenn du weiterkommen willst"