Armenien bereitet eine Umstellung des Systems der Ausweisdokumente für seine Bürger vor

Es ist geplant, ab dem Herbst 2026 neue biometrische Reisepässe auszugeben, und parallel dazu wird im Land eine neue Infrastruktur eingeführt, die auch die Nutzung automatisierter Grenzkontrollsysteme (E-Gates) ermöglichen soll. Der offiziellen Präsentation zufolge handelt es sich hierbei nicht nur um einen neuen Pass, sondern um eine Veränderung der staatlichen Identifikationsinfrastruktur. Im Mittelpunkt steht die Identität der Person und mit ihr eine der sensibelsten personenbezogenen Daten – die Biometrie.

Wird Bayraktar die neuen biometrischen Pässe der armenischen Bürger kontrollieren?

Doch kurz vor der Einführung dieses Systems erschien in der Öffentlichkeit eine Geschichte, die dieses technologische Projekt mit dem Krieg von 2020, den türkischen Bayraktar-Drohnen, der US-amerikanischen Investmentgesellschaft Advent International und dem französischen Technologiekonzern IDEMIA in Verbindung brachte. Am 26. Juni 2026 veröffentlichte „Hraparak“ einen Artikel mit dem Titel „Partner von ‚Bayraktar‘ als Sieger des Ausschreibungsverfahrens der Regierung der Republik Armenien anerkannt“. In dem Artikel wurde behauptet, dass in den Trümmern der von armenischer Seite während des Krieges 2020 abgeschossenen Bayraktar TB2-Drohnen Komponenten von US-Unternehmen gefunden wurden, was mit Advent International verknüpft wurde. Anschließend ging der Artikel auf das neue biometrische System Armeniens ein und merkte an, dass IDEMIA Teil des Konsortiums sei, das die staatliche Ausschreibung gewonnen habe, und dass die Mehrheit der IDEMIA-Aktien laut der Publikation Advent International gehöre. Durch die Verknüpfung dieser beiden Punkte stellte die Publikation die schwerwiegende Vermutung auf, dass die biometrischen Daten armenischer Bürger nicht befreundeten oder feindlich gesinnten Staaten zugänglich gemacht werden könnten.

Diese Darstellung der Geschichte nahm sehr schnell nicht nur eine technologische, sondern auch eine sicherheitspolitische Dimension an. Auf der einen Seite steht Bayraktar als eines der Symbole des Krieges von 2020, auf der anderen Seite stehen biometrische Daten, die mit der Identität jedes einzelnen Bürgers verknüpft sind. Die Kombination beider Punkte führt den Leser fast unmittelbar zu einem Schluss. Doch genau an dieser Stelle beginnt die eigentliche investigative journalistische Arbeit: Nicht sofort zu urteilen, ob dies wahr oder falsch ist, sondern die Abfolge der Fakten zu rekonstruieren, die tatsächlichen Unternehmensbeziehungen zu klären und das Bewiesene von Behauptungen der Quelle oder offenen Fragen zu trennen.

Das Innenministerium Armeniens trat nach der Veröffentlichung mit einer offiziellen Klarstellung an die Öffentlichkeit. Das Ministerium bezeichnete den Artikel als Desinformation und irreführend. Die Kernaussage der offiziellen Reaktion lautete: Advent International war kein Mitglied des Konsortiums, das aus der von der Regierung der Republik Armenien angekündigten Ausschreibung hervorging. Das Ministerium erinnerte daran, dass am 25. April 2025 die Vereinbarung über eine öffentlich-private Partnerschaft mit der geschlossenen Aktiengesellschaft „HayPass“ unterzeichnet wurde, deren Gründer das Konsortium „IN Smart Identity France SAS & ACI Technology S.à.r.l.“ ist. Advent International ist somit kein Mitglied des siegreichen Konsortiums in der Vertragskette.

Diese Klarstellung ist wichtig, schließt aber nicht die gesamte Geschichte ab. Sie beantwortet eine spezifische Frage: War Advent International Mitglied des siegreichen Konsortiums der armenischen Ausschreibung? Die offizielle Antwort lautet Nein. Eine separate Frage ist jedoch, welche Unternehmens- oder Investitionsbeziehungen im besagten Zeitraum zwischen Advent und IDEMIA bestanden. Und eine weitere Frage: Steht diese Beziehung in irgendeiner Weise im Zusammenhang mit dem Zugriff auf die Daten armenischer Bürger? Diese drei Fragestellungen müssen strikt voneinander getrennt werden, da Vertragspartner, Aktionäre, Investoren und Technologiepartner nicht denselben rechtlichen Status haben.

Die offizielle Beschreibung des Wettbewerbs für das biometrische System in Armenien ist eindeutig. Gewinner war das französische Konsortium „IDEMIA Identity Security France und ACI Technology S.à.r.l.“. Am 25. April 2025 wurde im Beisein des stellvertretenden Premierministers Mher Grigoryan, der Innenministerin Arpine Sargsyan und des Exekutivdirektors der vom Konsortium gegründeten CJSC „HAYPASS“, Regis Bouchier, eine Vereinbarung über eine öffentlich-private Partnerschaft unterzeichnet. Die Vereinbarung betrifft die Ausstellung und Bereitstellung von Identitätsdokumenten sowie die Infrastruktur für den Betrieb und die Wartung der in diesem Prozess genutzten Mittel. Im Rahmen des Projekts soll HAYPASS bis zur zweiten Hälfte des Jahres 2026 eine neue Infrastruktur mit neuen Lösungen zur Erfassung biometrischer Daten, einem neuen geografischen Netzwerk und Büros mit moderner technischer Ausstattung einführen. Die Standardisierung der Gebäudebedingungen, der Serverinfrastruktur und der Druckausrüstung der Zentrale des Dienstes ist ebenfalls geplant. Das offizielle Ziel besteht darin, den armenischen Bürgern und Personen mit anderem Rechtsstatus in Armenien sichere und hochwertige Identitätsdokumente zur Verfügung zu stellen sowie personenbezogene Daten und die rechtliche Identität einer Person auf einem neuen Schutzniveau zu sichern.

Wichtig ist auch, dass nicht alle Funktionen des Passsystems an einen privaten Partner übertragen werden. Der offiziellen Präsentation zufolge wird das Innenministerium weiterhin die Statusbestimmung, die Identitätsprüfung sowie die Verwaltung und Führung des staatlichen Bevölkerungsregisters über den Migrations- und Staatsbürgerschaftsdienst durchführen. Der private Partner ist für die Erfassung biometrischer Daten, den Druck der Dokumente und deren Zustellung an die Begünstigten verantwortlich.

Diese Unterscheidung ist von Bedeutung, da in öffentlichen Diskussionen die Formulierung „ein privates Unternehmen setzt das biometrische System um“ als Übertragung der vollständigen Kontrolle über die Daten der Bürger vom Staat auf ein privates Unternehmen wahrgenommen werden kann. Das offizielle Dokument beschreibt keine solche vollständige Übertragung, sondern eine Trennung staatlicher und privater Funktionen. Daraus ergibt sich jedoch sogleich die nächste Frage: Wenn ein privater Partner biometrische Daten erfasst, in welchem Umfang hat er Zugriff auf diese Daten? Wo werden die Daten gespeichert, wer hat technischen Zugriff, wer kontrolliert diesen Zugriff, wie werden Sicherungskopien aufbewahrt, gibt es Unterauftragsverarbeiter oder Drittanbieter-Technologiedienste und verlassen die Daten zu irgendeinem Zeitpunkt das Territorium Armeniens? Diese Fragen sind an sich kein Beweis für eine Bedrohung. Es sind Fragen, die beantwortet werden müssen, um die Sicherheit des Systems zu bewerten.

Am 21. Mai 2026 gab das Innenministerium bekannt, dass der Druck der neuen biometrischen Pässe in den Niederlanden bereits begonnen hat und diese den armenischen Bürgern ab Herbst 2026 zur Verfügung stehen werden. Das Ministerium gab außerdem bekannt, dass eine spezielle Sicherheitslösung für Armenien entwickelt wurde, darunter Fasern mit der armenischen Trikolore in der Zusammensetzung des Passpapiers. Eine der wichtigsten Formulierungen derselben Erklärung war, dass biometrische Daten ausschließlich unter der Kontrolle der Republik Armenien gespeichert werden.

Nach offizieller Position wird das Datenmanagement von einer Spezialeinheit des Migrations- und Staatsbürgerschaftsdienstes des Innenministeriums durchgeführt, und der private Partner nutzt die Daten nur im Rahmen der Dienstleistungserbringung und unter staatlicher Aufsicht. Armenien wird sich an hohen europäischen Standards im Bereich des Datenschutzrechts orientieren, einschließlich der Anforderungen der Konvention 108+ des Europarates. Im Rahmen desselben Systems werden auch automatisierte Grenzkontrolllösungen (E-Gates) eingeführt, die Passagieren mit den entsprechenden Dokumenten den automatisierten Grenzübertritt ohne direktes Eingreifen eines Grenzschutzbeamten ermöglichen sollen. Gemäß der staatlichen Präsentation ist das System auch ein wichtiger Schritt im Prozess der Visaliberalisierung mit der Europäischen Union.

Somit handelt die vom Staat präsentierte Geschichte von technologischer Modernisierung. Um diese Geschichte zu verstehen, muss man jedoch auch den Unternehmensweg von IDEMIA betrachten. Die IDEMIA-Gruppe ist nach eigener Darstellung in den Bereichen Biometrie und Kryptographie, Zahlungsverkehr, sicheres Reisen sowie Zugangs- und Identitätslösungen tätig. Die Gruppe präsentiert drei Hauptbereiche: IDEMIA Secure Transactions, IDEMIA Public Security und IDEMIA Smart Identity. Der letzte Bereich ist für diese Geschichte besonders wichtig, da er sich mit physischen und digitalen Identitätslösungen befasst. Nach Angaben des Unternehmens arbeitet IDEMIA mit mehr als 600 staatlichen Organisationen und mehr als 2.400 Unternehmen in über 180 Ländern zusammen; die Gesamtzahl der Mitarbeiter der Gruppe liegt bei etwa 15.000.

Allerdings hat IDEMIA in den letzten Jahren auch eine Unternehmensumstrukturierung durchlaufen. Im September 2024 berichtete Le Monde, dass die französische staatliche IN Groupe exklusive Verhandlungen über den Erwerb der IDEMIA-Sparte Smart Identity aufgenommen habe. Diese Sparte war auf die Herstellung nationaler Personalausweise, Reisepässe und anderer sicherer Identitätsdokumente spezialisiert. Laut der Publikation sollte der Deal die Größe der IN Groupe erheblich steigern. Smart Identity erzielte zu diesem Zeitpunkt einen Umsatz von rund 430 Millionen Euro und beschäftigte rund 1.700 Mitarbeiter, davon 250 in Frankreich. Zwei der Produktionszentren befanden sich in den Niederlanden und in Tschechien. Der Deal wurde auch als Gelegenheit für IN Groupe dargestellt, international zu expandieren. Das Management des Unternehmens sprach von der Stärkung seiner Positionen in Europa, Afrika, Lateinamerika und Asien sowie der Teilnahme an größeren internationalen Ausschreibungen. Die technologische Expertise von Smart Identity sollte die Fähigkeiten von IN Groupe ergänzen, insbesondere in einem Kontext, in dem Identitätsdokumente rasch digitalisiert werden.

IDEMIA entstand 2016 durch die Fusion der ehemaligen Morpho-Sparte von Safran und Oberthur Technologies. Diese Historie zeigt, dass die Unternehmensstruktur um IDEMIA nicht einfach und unveränderlich ist. Geschäftsbereiche wurden getrennt, Sparten verkauft sowie die Eigentums- und Führungsstruktur des Unternehmens zu unterschiedlichen Zeiten angepasst.

Im Jahr 2025 gab IDEMIA den Abschluss des Verkaufs von Smart Identity bekannt. Gemäß der offiziellen Erklärung des Unternehmens war die Transaktion eine wichtige Etappe der im Februar 2024 begonnenen strategischen Umstrukturierung. Die IDEMIA-Gruppe konzentrierte sich auf Secure Transactions und Public Security, während Smart Identity Teil der IN Groupe wurde. Die Transaktion wurde am 1. Juli 2025 endgültig abgeschlossen.

Hier wird die Chronologie wichtig. Die Vereinbarung zwischen Armenien und HAYPASS wurde am 25. April 2025 unterzeichnet, und der Abschluss des Verkaufs von Smart Identity erfolgte danach. Daher müssen alle Ansprüche bezüglich der Eigentumsverhältnisse oder der Kontrolle der Unternehmen mit einem spezifischen Datum verknüpft werden. Die Struktur von 2024 kann nicht automatisch als die Struktur von 2026 dargestellt werden, und Beziehungen, die nach Juli 2025 bestanden, können die Situation im April desselben Jahres nicht ohne Klarstellung beschreiben.

Genau in dieser Unternehmensgeschichte wird die Frage um Advent International wichtig. In den vorgelegten Materialien wird Advent im Kontext einer Investmentgeschichte im Zusammenhang mit IDEMIA dargestellt. Doch selbst wenn eine solche Unternehmensbeziehung besteht, muss sie von der vertraglichen Beziehung in der armenischen Ausschreibung unterschieden werden. Advent konnte eine Investitions- oder Eigentümerbeziehung zu IDEMIA haben und gleichzeitig kein Mitglied des siegreichen Konsortiums der armenischen Ausschreibung sein. Diese beiden Fakten widersprechen sich nicht.

Hier kann ein einziges Wort, „Partner“, die Bedeutung der Geschichte völlig verändern. Partner kann Vertragspartei, Investor, Aktionär, Mutter- oder Tochtergesellschaft, Technologieanbieter oder Teil derselben Unternehmensgruppe bedeuten. Die rechtlichen Bedeutungen dieser Begriffe sind nicht identisch. Werden sie in einer journalistischen Geschichte vermischt, kann der Leser die verschiedenen Beziehungsarten als eine einzige durchgehende Verbindung wahrnehmen.

Das gleiche Problem besteht bei der Bayraktar-Geschichte. In der Eingabe behauptet die ANCA, dass auf dem Schlachtfeld gesammelte Beweise gezeigt hätten, dass Ausrüstung der Advent International-Tochtergesellschaft Cobham PLC/Comant in türkischen Bayraktar-Drohnen gefunden wurde, die von Aserbaidschan eingesetzt wurden. Auf dieser Grundlage forderte die ANCA Advent International auf, den Verkauf von militärischer oder Dual-Use-Technologie an die Türkei und Aserbaidschan einzustellen, und appellierte an die US-Behörden, entsprechende Exportbeschränkungen und Untersuchungen umzusetzen.

Diese Information ist als veröffentlichte Quellenbehauptung wichtig. Die vorgelegten Materialien enthalten jedoch neben der Behauptung der ANCA zu den Bayraktar-Komponenten keine vollständige unabhängige technische Untersuchung. Die korrekte journalistische Formulierung lautet daher „ANCA behauptet, dass…“, anstatt diese Behauptung als eine vollständig unabhängig verifizierte Tatsache darzustellen. Dies mag wie ein kleiner Formulierungsumstand erscheinen, aber tatsächlich bestimmt dieser Unterschied die Qualität des Journalismus. Wenn es um nationale Sicherheit, Krieg und personenbezogene Daten geht, kann das Verwandeln der Behauptung einer Quelle in eine Tatsache den Leser zu einem Schluss verleiten, den die Quelle unabhängig nicht beweist.

Die wichtigste Kette dieser Geschichte liegt genau dort: Es gibt eine ANCA-Behauptung bezüglich einiger Bayraktar-Komponenten. Es gibt eine Unternehmenshistorie zwischen Advent International und IDEMIA, die in bestimmten Zeiträumen betrachtet werden muss. Gewinner der Ausschreibung der armenischen Regierung war das Konsortium aus IDEMIA Identity Security France und ACI Technology. Dieses Konsortium wurde von HAYPASS gegründet. HAYPASS hat einen PPP-Vertrag mit Armenien unterzeichnet. Armenien setzt ein biometrisches System um.

Die Gesamtheit dieser Fakten beweist jedoch nicht automatisch, dass die Daten armenischer Bürger der Türkei oder einem anderen feindlich gesinnten Staat zugänglich sind. Für diesen letzten Schluss wird ein weiteres, sehr spezifisches Beweisglied benötigt: der Mechanismus des Datenzugriffs.

Dieser Mechanismus muss beschrieben werden können. Welche juristische Person hat Zugriff? Aufgrund welcher vertraglichen Bestimmung? Wo befindet sich die Datenbank? Wer hat administrativen Zugriff? Wer kann die Daten exportieren? Wo werden die Sicherungskopien aufbewahrt? Werden ausländische Cloud- oder sonstige Technologiedienste genutzt? Gibt es Unterauftragsverarbeiter? Wie wird der Zugriff protokolliert? Wer kontrolliert diese Aktivitäten? Die Antworten auf diese Fragen können tatsächlich zeigen, ob die Bedrohung, von der die Publikation spricht, existiert.

Das Gesetz der Republik Armenien „Über den Schutz personenbezogener Daten“ schafft den rechtlichen Rahmen für diese Fragen. Das Gesetz betrachtet personenbezogene Daten als alle Informationen, die sich auf eine natürliche Person beziehen und die direkte oder indirekte Identifizierung der Person ermöglichen oder ermöglichen können. Als Verarbeitung gilt das Erfassen, Eingeben, Systematisieren, Speichern, Nutzen, Übertragen, Berichtigen, Sperren, Vernichten und sonstige Handlungen. Biometrische Daten werden gesetzlich als Informationen definiert, die die physischen, physiologischen und biologischen Merkmale einer Person charakterisieren.

Das Gesetz verlangt, dass Daten rechtmäßig und für festgelegte Zwecke verarbeitet werden. Ohne Einwilligung der betroffenen Person dürfen sie nicht für andere Zwecke verwendet werden, außer in gesetzlich vorgesehenen Fällen. Die Verarbeitung muss einem legitimen Zweck dienen, und die Mittel müssen angemessen, erforderlich und verhältnismäßig sein. Der Umfang der verarbeiteten Daten muss das für das Erreichen des legitimen Zwecks erforderliche Minimum darstellen. Das Gesetz verbietet auch die Verarbeitung übermäßiger Daten, wenn derselbe Zweck in anonymisierter Form erreicht werden kann.

Diese Grundsätze bedeuten, dass die Sicherheit eines biometrischen Systems nicht nur eine Frage des Unternehmensnamens ist. Wichtig ist auch, zu welchem Zweck die Daten erhoben werden, wie lange sie gespeichert werden, wer der Verarbeiter ist, wer die bevollmächtigte Person ist, welche Handlungen durchgeführt werden können und an wen die Daten übertragen werden dürfen.

Das Gesetz räumt dem Konzept der bevollmächtigten Person einen besonderen Stellenwert ein. Dies kann eine juristische oder natürliche Person, eine staatliche oder kommunale Behörde sein, die vom Datenverarbeiter in den gesetzlich oder vertraglich festgelegten Fällen mit der Erfassung, Eingabe, Systematisierung oder sonstigen Verarbeitung personenbezogener Daten beauftragt wurde. Mit anderen Worten: Die Einbindung eines privaten Partners bedeutet an sich nicht, dass der Staat die rechtliche Kontrolle über die Daten verliert. Stattdessen sollte eine klare vertragliche und technische Begrenzung vorliegen.

Das Gesetz sieht vor, dass im Falle der Übertragung der Datenverarbeitung der Zweck der Verarbeitung, der Umfang der Daten, die Aktivitäten, der Kreis der betroffenen Personen und die Sicherheitsmaßnahmen festgelegt werden müssen. Dies ist im Falle des neuen Systems in Armenien von Bedeutung, da der private Partner offiziell in den Prozess der Erfassung biometrischer Daten und der Herstellung von Dokumenten eingebunden ist.

Das Gesetz sieht besondere Anforderungen an biometrische Daten vor. Grundlage für die Verarbeitung muss eine gesetzliche Grundlage oder eine entsprechende Einwilligung sein, je nach Situation. Die betroffene Person muss über die Rechtsgrundlage der Verarbeitung, den Zweck, die Liste der zu verarbeitenden Daten, den möglichen Umfang der Datenübermittlung und die Gültigkeitsdauer der Einwilligung informiert werden.

Das Gesetz sieht auch Rechte der Bürger vor. Ein Bürger kann Informationen über die Verarbeitung seiner personenbezogenen Daten erhalten, sich mit seinen Daten vertraut machen und in gesetzlich vorgesehenen Fällen deren Berichtigung, Ergänzung, Sperrung oder Vernichtung verlangen. Ist er der Ansicht, dass die Verarbeitung seiner Daten seine Rechte verletzt, kann er sich an die zuständige Aufsichtsbehörde für Datenschutz oder an das Gericht wenden.

Für den Fall eines Datenlecks begründet das Gesetz zudem eine spezifische Pflicht. Im Falle eines Lecks personenbezogener Daten aus elektronischen Systemen ist der Verarbeiter verpflichtet, unverzüglich eine Erklärung zu veröffentlichen und die zuständigen staatlichen Stellen sowie die Datenschutzbehörde zu benachrichtigen. Bei Feststellung rechtswidriger Handlungen ist der Verarbeiter verpflichtet, die Verstöße zu beseitigen und in den gesetzlich vorgesehenen Fällen die Daten zu vernichten.

Die Aufsichtsbehörde ist per Gesetz eine unabhängige Struktur. Sie kann die Konformität der Verarbeitung personenbezogener Daten mit dem Gesetz überprüfen, Verwaltungsstrafen verhängen, die Sperrung, Aussetzung oder Beendigung der Datenverarbeitung verlangen, die Berichtigung oder Vernichtung von Daten fordern, ein Register der Datenverarbeiter führen und die für die Datenverarbeitung genutzten Geräte, Dokumente sowie Computerprogramme inspezieren. Der Verarbeiter biometrischer oder besonderer Kategorien von Daten ist verpflichtet, die Aufsichtsbehörde vor der Verarbeitung solcher Daten über die Absicht zur Verarbeitung zu benachrichtigen. Die Benachrichtigung muss die Daten des Verarbeiters oder der bevollmächtigten Person, den Zweck und die Rechtsgrundlage der Verarbeitung, den Umfang der Daten, die Betroffenen, den Umfang der durchgeführten Operationen, eine Beschreibung der Sicherheitsmaßnahmen und die Fristen der Verarbeitung enthalten.

Das Gesetz beschränkt auch die Übermittlung von Daten an Dritte und andere Staaten. Die Übermittlung in ein anderes Land ist aus den gesetzlich vorgesehenen Gründen zulässig, und beim Fehlen eines angemessenen Schutzniveaus können zusätzliche Garantien und die Genehmigung der Aufsichtsbehörde erforderlich sein. Diese Bestimmung ist wichtig im Falle der Behauptung, dass die Daten ausländischen Staaten zugänglich werden könnten. Die ausländische Herkunft der Technologie und die Übermittlung von Daten ins Ausland sind nicht derselbe Rechtakt. Wenn jedoch eine Übermittlung stattfindet, muss sie eine rechtliche und vertragliche Grundlage haben.

Aus diesem Grund ist der wichtigste nächste Schritt in der öffentlichen Diskussion nicht eine neue Schlagzeile, sondern eine Prüfung der Dokumente. Es muss nachvollziehbar sein, wie der Datenfluss vom Antrag des Bürgers bis zum Druck des Dokuments und der Speicherung der Daten im System verläuft. Es muss klar sein, auf welcher Stufe welche Daten verwendet werden, wer in diesem Moment der Datenverarbeiter ist und auf welcher Rechtsgrundlage sie an die nächste Ebene übertragen werden.

In dieser Geschichte gibt es immer noch Fragen, die durch die bereitgestellten Materialien nicht vollständig beantwortet werden. Zum Beispiel die vollständige technische Architektur, die endgültige Liste externer Unterauftragsverarbeiter, der Standort von Datensicherungen, die Grenzen jeder Art von administrativem Zugriff und die Ergebnisse eines unabhängigen Sicherheitsaudits. Das Fehlen dieser Informationen beweist an sich keine Bedrohung, aber diese Informationen sind notwendig, damit die Öffentlichkeit die Sicherheit des Systems unabhängig beurteilen kann.

Diese Geschichte zeigt auch, wie Desinformation aus einer Mischung realer Fakten entstehen kann. Die gesamte Geschichte muss nicht erfunden sein. Es kann ein Kausalzusammenhang zwischen realen Fakten hergestellt werden, den die ursprünglichen Quellen nicht bestätigen. Die Behauptung der ANCA zu Bayraktar mag eine reale veröffentlichte Tatsache sein. Die Unternehmenshistorie von Advent und IDEMIA mag real sein. Das Ergebnis der Ausschreibung der armenischen Regierung ist real. Die Gründung von HAYPASS und der PPP-Vertrag sind real. Die Einführung des neuen biometrischen Systems ist real. Doch die Summe dieser Fakten ergibt noch nicht die Behauptung, dass die Daten armenischer Bürger der Türkei zugänglich sind.

Dieselbe Logik gilt für das staatliche Dementi. Die Erklärung des Innenministeriums, dass Advent kein Mitglied des siegreichen Konsortiums war, ist eine wichtige Tatsache. Das bedeutet jedoch nicht, dass alle Fragen zur Unternehmenshistorie der Firmen verschwunden sind. Um größeres öffentliches Vertrauen aufzubauen, ist es notwendig, nicht nur die falsche Verbindung zu dementieren, sondern auch die rechtliche Natur der realen Verbindungen zu erklären.

Öffentliches Vertrauen ist besonders wichtig, da ein Bürger nicht wählt, welches technologische System der Staat zur Verwaltung seiner Identität verwendet. Er nutzt dieses System schlichtweg. Seine biometrischen Daten können nicht ersetzt werden, so wie ein Passwort ersetzt werden kann. Wenn Daten durchsickern, beschränkt sich das Problem nicht auf die Neuausstellung eines einzelnen Dokuments. Daher muss die Sicherheit des Systems nicht nur technologisch, sondern auch organisatorisch und rechtlich sein.

Im Herbst 2026, wenn den Bürgern neue biometrische Pässe zur Verfügung stehen, wird diese Geschichte kein bloßer Medienstreit mehr sein. Sie wird zu einer funktionierenden staatlichen Infrastruktur. Von diesem Moment an wird jeder neue Pass nicht nur mit dem Foto und den biometrischen Daten einer Person verknüpft sein, sondern auch mit der Frage, wie sehr ein Bürger dem System vertraut, das seine Identitätsdaten speichert und verarbeitet.

Der dokumentierte Teil dieser Geschichte erlaubt die Aussage, dass Armenien ein neues biometrisches System einführt, dass ein französisches Konsortium die Ausschreibung gewonnen hat, dass HAYPASS einen PPP-Vertrag unterzeichnet hat, dass der Staat die Kontrolle Armeniens über die Daten erklärt und dass die Gesetzgebung spezifische Regeln für den Schutz biometrischer Daten festlegt.

Gleichzeitig gibt es die veröffentlichten Anschuldigungen der ANCA bezüglich der Komponenten von Bayraktar und der Unternehmenshistorie von IDEMIA, deren verschiedene Phasen mit spezifischen Daten betrachtet werden sollten.

Was noch einer zusätzlichen dokumentarischen Überprüfung bedarf, ist der tatsächliche technische Datenfluss, die Rolle aller Unterauftragsverarbeiter, die mögliche Einbindung ausländischer Technologiedienste, das vollständige Spektrum administrativer Zugänge und die Ergebnisse eines unabhängigen Sicherheitsaudits.

Daher lautet die wichtigste Frage in dieser Geschichte letztendlich nicht „Wer ist der Partner von Bayraktar?“, sondern eine viel einfachere und messbare Frage: Wer kann auf welcher Rechtsgrundlage und mit welchen technischen Möglichkeiten Zugriff auf die biometrischen Daten armenischer Bürger haben? Wenn dieser Zugriff beschränkt ist, sollte klar sein, warum und wie. Wenn Daten nicht nach außerhalb Armeniens übertragen werden, sollte dies überprüfbar sein. Wenn ein privater Partner nur den für die Dienstleistungserbringung erforderlichen Zugriff hat, sollte diese Grenze in Verträgen und technischen Kontrollmechanismen sichtbar sein.

Die Antwort auf diese Fragen kann viel wichtiger sein als jede politische Erklärung. Denn beim Datenschutz wird Vertrauen nicht nur durch die Formulierung „Vertrauen Sie uns“ aufgebaut. Es wird mit einem überprüfbaren System aufgebaut, in dem festgestellt werden kann, wer zu welchem Zweck, auf welcher Rechtsgrundlage und in welchen Grenzen auf die Daten zugegriffen hat.

Wenn es um die menschliche Identität geht, ist der gefährlichste Fehler nicht nur die Übertragung falscher Daten. Der gefährlichste Fehler ist das Verwischen der Grenze zwischen Tatsache, Quellenbehauptung, Vermutung und Beweis.

VERWENDETE QUELLEN

„Hraparak“, „Partner von ‚Bayraktar‘ als Sieger der Ausschreibung der Regierung der RA anerkannt“, 26. Juni 2026.

Innenministerium der RA, „Vereinbarung über eine öffentlich-private Partnerschaft zur Einführung eines biometrischen Systems unterzeichnet“, 25. April 2025.

Innenministerium der Republik Armenien, „Klarstellung: Das im Artikel genannte Unternehmen hat keine Beteiligung am Konsortium, das die von der Regierung der Republik Armenien angekündigte Ausschreibung gewonnen hat“, 26. Juni 2026.

Innenministerium der Republik Armenien, „Arbeiten zur Einführung automatisierter Grenzkontrollsysteme (E-Gates) parallel zum biometrischen System im Gange“, 21. Mai 2026.

IDEMIA Group, Offizielle Mitteilungen zum Verkauf von IDEMIA Smart Identity an IN Groupe.

Le Monde, „IN Groupe, ex-Imprimerie nationale, rachète un de ses concurrents français spécialisé dans les titres d’identité“, 19. September 2024.

ANCA, „Tell Advent: Selling Drone Equipment to Turkey Kills Armenian Civilians“.

Einschlägige Bestimmungen des Gesetzes der RA „Über den Schutz personenbezogener Daten“.

Das Material wurde im Rahmen des Programms zur Überwachung von Desinformationsströmen erstellt. Journalist: Sargis Asatryan

 

#CivilSocietyCooperation #ishrarmenia #ishrfactcheck

Das Projekt wird mit finanzieller Unterstützung des Auswärtigen Amtes der Bundesrepublik Deutschland durchgeführt.

ISHR Armenien ist allein für den Inhalt der Materialien verantwortlich.