Worldcoin vs. Spanien: Höchstes Gericht des Landes untersagt Iris Scans

Worldcoin (WDC) verteilt Token für Menschen, die sich die Iris scannen lassen, um einen „Proof of Humanity“ zu schaffen. In Spanien schieben die Aufsicht für Datenschutz und das höchste Gericht dem Projekt einen Riegel vor.

Worldcoin zieht sich aus Spanien zurück. Das Krypto-Projekt von OpenAI-Gründer Sam Altman, das die Worldcoin-Token an User ausschüttet, die sich bei sogenannten „Orbs“ die Iris scannen lassen, reagiert damit auf eine Beschwerde der spanischen Agentur für Datenschutz (AEPD) und ein Urteil des höchsten Gerichts.

Die AEPD hatte am 8. März verfügt, dass Worldcoin gegen spanische Datenschutzgesetze verstoße und daher sämtliche Aktivitäten in Spanien einzustellen sowie alle Scans spanischer Bürger zu löschen habe. Die Behörde reagierte damit auf Beschwerden, dass Worldcoin private Daten ohne die zureichende Zustimmung der User, insbesondere minderjähriger, sammle, und diesen ihr Recht verweigere, die Zustimmung später zurückzuziehen und die Daten löschen zu lassen. Das Projekt verstoße damit gegen die generellen Datenschutzgesetze der EU (General Data Protection Regulations, GDPR).

Die Worldcoin-Betreiberfirma Tools for Humanity (TFH) GmbH, aus Erlangen, hat Einspruch gegen den Bescheid eingelegt. Sie argumentiert, durch das Verbot entstehe ihr ein nicht wieder gut zu machender Schaden, sowohl in Spanien als auch global. Ferner sei die AEPD gar nicht verantwortlich, sondern das Bayerische Landesamt für Datenschutzaufsicht. Da die TFH und die Worldcoin Stiftung in Bayern angemeldet sind, ist die Ansbacher Behörde europaweit federführend bei deren Beaufsichtigung. Dieses kontrolliert die TFH intensiv und erwartet für die kommenden Wochen ein vorläufiges Ergebnis.

Den Einspruch von TFH hat das höchste Gericht von Spanien hat abgewiesen. Der Schutz persönlicher Daten, begründet sie, habe Vorrang vor dem kommerzielle Interesse eines Unternehmens.

Kurios an dem Fall ist aber, dass Worldcoin überhaupt keine Iris-Scans speichert.

Wie sich Worldcoin um Privatsphäre bemüht

Worldcoin speichert lediglich die Hash der Iris bzw. eine (etwas komplexere) mathematische Ableitung von dieser. Sie beweist als „World ID“, dass man ein einzigartiger Mensch ist. Dies sei, so die zentrale Idee, essenziell für ein Zeitalter der künstlichen Intelligenz, in der Mensch und Maschine online nicht länger zu unterscheiden sind.

Es geht Worldcoin daher nicht darum, „wer du bist, sondern nur, dass du einzigartig bist.“ In diesem Sinn bemüht sich das Unternehmen, den Anteil privater Daten auf ein absolutes Minimum zu reduzieren.

Dies beginnt damit, dass Bilddateien niemals den „Orb“ verlassen, nachdem dieser die Iris der Teilnehmer gescannt hat. „Sobald du verifiziert bist, werden sie permanent gelöscht.“ Das einzige, was bleibe, sei eine Nachricht, die den Iris Code enthält, „eine Kette von Nummern, die der Orb generiert.“ Das ist die sogenannte World ID, welche auch tatsächlich onchain gespeichert wird.

Man könnte jedoch mit einem weiteren Scan der Iris feststellen, wie die World ID einer bestimmten Person lautet, etwa jemanden, den man gerade ausraubt, und dadurch nachvollziehen, auf welchen Internetseiten sich jemand angemeldet hat, was er wo gekauft und wie bezahlt hat und so weiter. Daher verwendet Worldcoin einen Zero-Knowledge-Proof: Wenn man sich per World ID anmeldet, signiert man nicht mit einem privaten Schlüssel, der mit einer Adresse verbunden ist – wie man es bei Ethereum derzeit macht – sondern durch eine kryptographische Methode, die beweist, dass man der Besitzer einer gültigen World ID ist – aber nicht verrät, welcher.

Der von Worldcoin mitentwickelte Semaphore-Algorithmus bildet ein solches Verfahren – quasi eine Ringsignatur wie bei Monero – für Ethereum ab, wo das Worldcoin-Token derzeit noch läuft. Mit der erst im Januar vorgestellten formalen Verifizierung von „Semaphore Merkle Tree Batcher (SMTB)“ gelangt den Worldcoin-Entwicklern ein kleiner kryptographischer Durchbruch, der auch über das Projekt hinaus nützlich sein kann.

Wenn man im Web3, wie es derzeit besteht, sich mit einer Worldcoin ID anmelden würde anstatt seiner Web3-Adresse, würde dies die Privatsphäre hier massiv verbessern – während die User ihren Backup-Seed quasi im eigenen Auge speichern.

Versteht das Gericht die Technologie? Interessiert es sie überhaupt?

Worldcoin beklagt daher, dass die AEPD „inakkurate und irreführende Behauptungen über unsere Technologie verbreitet, und das, nachdem sie unsere Bemühungen, ihnen eine akkurate Sicht auf Worldcoin und die World ID zu vermitteln, über Monate hin ignoriert haben.“

Interessanterweise klagt die TFH am höchsten Gericht nicht gegen eine falsche Darstellung der Technologie, sondern mit ökonomischen und juristischen Argumenten. Möglicherweise lässt das Gericht den technischen Schutz nicht gelten, weil es bereits einen Schwarzmarkt für World IDs gibt, etwa in China, oder weil das Unternehmen nicht garantieren kann, dass die Betreiber der Orbs diese nicht manipulieren. Missbrauch ist schlicht nicht zu verhindern, wäre die Botschaft, wenn eine digitale ID und eine Blockchain im Spiel ist.

Möglicherweise aber sind die spanischen Aufseher und Richter gar nicht in der Lage, die Technologie adäquat einzuschätzen. Oder es gibt schlicht juristisch keine valide Antwort in der EU darauf, dass Daten onchain und damit nicht löschbar gespeichert werden.

Es ist, so oder so, schade, da mit Worldcoin ausgerechnet ein Unternehmen abgestraft wird, das ein wichtiges Problem angeht – im Internet zu beweisen, ein Individuum zu sein -, sich ernsthaft Mühe gibt, dabei die maximale Privatsphäre zu erhalten – dabei sogar die Open-Source-Forschung für die dafür nötigen Methoden vorantreibt – und dies noch sauber und hoch transparent dokumentiert. Gerade staatliche Behörden sollten Worldcoin in dieser Hinsicht nacheifern, anstatt es zu verbieten.