Das Timing könnte kaum unglücklicher sein: Brasiliens Sozialversicherungsbehörde INSS hat am 22. Juni eine Verordnung im Amtsblatt veröffentlicht, die den biometrischen Identitätsnachweis für zentrale Sozialleistungen verbindlich regelt – nur einen Monat, nachdem die Behörde ein massives Datenleck in ihren eigenen Systemen zugeben musste.

Konkret betroffen sind laut brasilianischen Medienberichten Neuanträge auf Altersrente, die Sozialhilfe BPC und den Haftunterhalt für Angehörige von Inhaftierten. Wer keinen biometrischen Datensatz in einer staatlichen Datenbank hinterlegt hat, bekommt 30 Tage Zeit, das nachzuholen. Verstreicht die Frist, wird der Antrag automatisch geschlossen – gewertet als “Verzicht” des Antragstellers. Eine Benachrichtigung gibt es nicht: kein Brief, kein Anruf, kein E-Mail, wie brasilianische Fachportale betonen.

Die Behörde erfasst die Daten dabei nicht selbst, sondern gleicht mit bestehenden staatlichen Registern ab: dem neuen biometrischen Personalausweis CIN, dem Wählerregister oder dem Führerschein. Wer nirgends registriert ist, muss sich neu erfassen lassen – in der Praxis über die CIN, die Fingerabdrücke und Gesichtsbild enthält. Laut dem US-Portal “Reclaim The Net” soll die CIN ab 1. Jänner 2028 der einzige akzeptierte Standard für Gewährung, Aufrechterhaltung und Verlängerung der betroffenen Leistungen sein.

Ausnahmen gelten für Personen über 80, Flüchtlinge und Staatenlose, Auslandsbrasilianer, Bewohner schwer erreichbarer Gebiete sowie Menschen, die aus gesundheitlichen Gründen nicht reisen können. Auch Krankengeld, Mutterschaftsgeld und Hinterbliebenenpensionen sind von der Biometriepflicht ausgenommen. Bestandsrentner müssen vorerst nichts tun – die Pflicht greift bei Neuanträgen und später bei Verlängerungen.

Millionen Datensätze offen im Netz – die Behörde beschwichtigt

Die Behörde begründet die Maßnahme mit Betrugsprävention: Die Biometrie soll sicherstellen, dass das Geld beim rechtmäßigen Empfänger landet. Genau diese Begründung wirkt nach den Ereignissen vom Frühjahr allerdings befremdlich.

Am 21. Mai musste das INSS einräumen, dass eine Sicherheitslücke im System der Staatsholding Dataprev Daten von Versicherten offengelegt hatte. Eine Abfrage in der App “Meu INSS”, die eigentlich ein Login erfordern sollte, war ohne jede Anmeldung erreichbar. Nach späteren Angaben von Dataprev, über die die staatliche “Agência Brasil” berichtete, waren 2,8 Millionen Steuernummern samt Geburtsdaten betroffen – rund 98 Prozent davon Verstorbene, aber auch etwa 52.000 lebende Versicherte. Bereits 2024 hatte es laut “Folha de S.Paulo” ein Datenleck bei der Behörde gegeben.

Das INSS beschwichtigt: Die Gewährung von Leistungen verfüge über “eine Reihe von Sicherheitssperren”, die internen Kontrollen seien verstärkt worden. Biometrische Daten waren von dem Leck nicht betroffen.

Kritiker überzeugt das nicht. “Reclaim The Net” warnt, Brasilien bündle damit die biometrischen Daten von zig Millionen Leistungsbeziehern in einer zentralen Basis – also genau jener Art von Datenspeicher, bei der ein einziger falsch konfigurierter Zugang zum Massenleck wird. Auch die Daten Verstorbener seien keineswegs harmlos: Sie ließen sich für Betrug gegen Hinterbliebene und Nachlässe missbrauchen.