Ab 1. Mai 2025: Passbilder nur noch digital

Fotografen stehen vor einer wichtigen Veränderung: Ab dem 1. Mai 2025 dürfen Pass-, Ausweis- und Ausländerbehörden nur noch biometrische Lichtbilder in digitaler Form für die Antragstellung von Reisepässen, Personalausweisen und elektronischen Aufenthaltstiteln annehmen und verarbeiten. Fotostudios und Fotodienstleister sind dann verpflichtet, Lichtbilder ausschließlich elektronisch über gesicherte Übermittlungswege an die Behörden zu übermitteln.

Um die sichere digitale Übermittlung dieser Lichtbilder zu gewährleisten, hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) die Technische Richtlinie BSI TR-03170 veröffentlicht. Diese Richtlinie definiert die Anforderungen an die sichere Übermittlung biometrischer Lichtbilder von Dienstleistern, wie beispielsweise Fotografen, an die entsprechenden Behörden.

Das bedeutet:

• Registrierung bei zertifizierten Cloud-Lösungen:
  Fotografen müssen sich bei einem nach TR-03170 zertifizierten Cloud-Dienst registrieren. Die Identität des Fotografen wird dabei durch die Nutzung eines elektronischen Identifizierungsmittels auf dem Vertrauensniveau "hoch" gemäß eIDAS-Verordnung überprüft, beispielsweise mittels des Personalausweises mit Online-Ausweisfunktion.
• Vertragliche Vereinbarungen mit Cloud-Anbietern:
  Es ist erforderlich, vertragliche Vereinbarungen mit dem Anbieter des zertifizierten Cloud-Dienstes zu treffen, der die Übermittlung und Speicherung der biometrischen Lichtbilder übernimmt. Diese Anbieter stellen sicher, dass die Daten gemäß den rechtlichen und technischen Vorgaben behandelt werden.

Prozess der Bildübermittlung:

• Vorbereitung:
  Die Erstellung des Lichtbildes unterliegt keinen spezifischen Vorgaben durch die TR-03170. Fotografen können die Lichtbilder wie gewohnt nach den allgemeinen biometrischen Anforderungen aufnehmen.
• Verschlüsselung und Upload:
  Nach der Aufnahme wird das Lichtbild von der Anwendungssoftware verschlüsselt und sicher in die Cloud hochgeladen.
• Barcode-Erstellung:
  Nach erfolgreichem Upload generiert die Anwendungssoftware einen Barcode, der alle notwendigen Informationen für den Abruf des Lichtbildes enthält. Dieser Barcode wird ausgedruckt und der betreffenden Person übergeben.
• Abruf durch die Behörde:
  Die Person nimmt den ausgedruckten Barcode mit zur Pass- oder Personalausweisbehörde. Die Behörde scannt den Barcode, um über eine gesicherte Verbindung auf das verschlüsselte Bild in der Cloud zuzugreifen und dieses für die Ausstellung des Dokuments zu verwenden.

Es ist wichtig zu beachten, dass die Infrastruktur zur Zertifizierung von Cloud-Diensten und Anwendungen derzeit im Aufbau ist. Sobald zertifizierte Lösungen verfügbar sind, werden diese auf der Seite "Nach Technischen Richtlinien zertifizierte Produkte & Systeme" des BSI veröffentlicht.

Durch die Umsetzung dieser Schritte können Fotografen sicherstellen, dass sie auch nach dem 1. Mai 2025 weiterhin Passbilder für behördliche Dokumente anbieten und den neuen gesetzlichen Anforderungen entsprechen.

Weitere Informationen erhalten Betriebe auf der Website des Bundesamtes für Sicherheit in der Informationstechnik (BSI).