Identität in Ecuador nach den Datenlecks

Jede Identitätsprüfung aus der Ferne in Ecuador — ein Konto eröffnen, eine Leitung aktivieren, einen Wettgewinn auszahlen, einen Verkauf abschließen — läuft heute gegen einen Gegner, der die abgefragten Daten bereits besitzt. Dieses Whitepaper zeigt, was geleakt wurde, warum fotobasierte Prüfung nichts mehr beweist, was der ICAO-9303-Chip stattdessen beweist, was das Datenschutzgesetz daraus macht und wie ein Gebrauchtwagen-Marktplatz dieses Design auf beiden Seiten eines Verkaufs einsetzt.

• Die Identitätsdaten der Ecuadorianer sind bereits öffentlich. Das Novaestrat-Leck von 2019 legte rund zwanzig Millionen Datensätze offen, darunter siebzehn Millionen Ecuadorianer und 6,7 Millionen Kinder [1]. Im Mai 2026 tauchten 14,8 Millionen Identitätsdatensätze und mehr als zehn Millionen hochauflösende Ausweisbilder in Darknet-Foren auf, mit Unterschriften und Fingerabdruckdaten [2].
• Wer diese Daten abfragt, prüft deshalb niemanden. Ausweisnummer, Foto des Dokuments und Selfie sind drei Dinge, die ein Angreifer beschaffen oder fälschen kann. Identitätsbetrug in Ecuador stieg im Jahresvergleich um 26 % [5], und die Generalstaatsanwaltschaft verzeichnete zwischen Januar und Oktober 2025 4.784 Anzeigen wegen Identitätsanmaßung [4].
• Der Angreifer wird schneller besser als die Abwehr, die ihn beobachtet. Video-Injection-Angriffe auf die Gesichtsprüfung unter iOS wuchsen im zweiten Halbjahr 2025 um 1.151 %, Angriffe über native virtuelle Kameras um 2.665 % [6]. Genaueres Hinsehen auf ein Bild verliert mit jeder Modellgeneration an Boden.
• Ein Nachweis nutzt sich nicht ab. Der Chip in Ecuadors Chip-Cédula (dem Personalausweis) und in ICAO-E-Pässen trägt die Signatur des ausstellenden Staates. Sie zu validieren — Passive Authentication — ist kein Urteil über ein Bild, und um sie zu fälschen, braucht man den privaten Schlüssel des Staates, kein besseres generatives Modell. Der Abgleich des Live-Gesichts mit dem Porträt in diesem signierten Chip beweist, dass die Person der Inhaber des Dokuments ist.

Den Rest regelt das Gesetz. Seit Mai 2023 ahndet die LOPDP leichte Verstöße mit 0,1 %–0,7 % und schwere mit 0,7 %–1 % des Vorjahresumsatzes [8] — damit wird ein gespeichertes Archiv von Ausweisscans zu einem dauerhaften Haftungsrisiko. Sensible Daten behandelt man am besten, indem man sie gar nicht erst hält: Fakten empfangen, keine Dateien.