Genau zu wissen, wer anwesend ist, wer verwundet ist und wer vermisst wird, ist eine der ältesten Anforderungen in militärischen Operationen – und eine der schwersten im Chaos des Gefechts zu erfüllen. Papierlisten, mündliche Musterungen und mitgeführte Casualty Feeder Reports haben Armeen über Jahrhunderte gedient, führen aber genau dann zu Verzögerung, Übertragungsfehlern und Statuslücken, wenn Kommandeure zuverlässige Personaldaten am dringendsten brauchen. Digitale Personalstatus-Systeme ersetzen diese analoge Kette durch automatisierte RFID-Torleser, biometrische Registrierungsstationen, strukturierte Verwundetenmeldungs-Workflows und Echtzeit-Stärkedashboards, die genaue Stärkedaten vom Trupp bis ins Theater nahezu in Echtzeit schieben. Dieser Artikel behandelt den gesamten Status-Stack: JRSOI-Eingangsstatus, RFID-gestützte Musterung, biometrische Registrierung und Identitätsverifikation, P1–P4-Verwundetenkategorie-Management, P-TRAP-Stärkemeldung, HR- und Bezugssystemintegration und biometrischer Datenschutz für Koalitionsumgebungen.
Statusanforderungen über militärische Operationen hinweg
Die Personalstatusführung wirkt an mehreren distinkten Punkten eines Einsatzlebenszyklus, und jeder Punkt hat andere Datenerfassungsbeschränkungen, Dringlichkeitsanforderungen und nachgelagerte Nutzer. Diese unterschiedlichen Kontexte zu verstehen, verhindert die Bereitstellung einer Einheitslösung, die ein Statusproblem löst und die anderen ignoriert.
JRSOI-Statusführung. Joint Reception, Staging, Onward Movement, and Integration ist der erste Statusknoten für Personal, das ins Einsatzgebiet kommt. Jeder ankommende Soldat muss eindeutig mit einer Einsatztransportliste abgeglichen, seine Identität verifiziert und seine Anwesenheit im Statussystem des Einsatzgebiets erfasst werden, bevor er den Aufnahmebereich verlässt. JRSOI ist auch der Ort der biometrischen Registrierung für zuvor nicht registrierte Personen: 10-Print-Fingerabdrücke und Irisbilder werden erfasst und mit der Personalakte verknüpft. Eine JRSOI-Statuslücke – ein Soldat, dessen Name auf der Liste nicht zum vorgelegten Ausweis passt oder dessen CAC am Leser versagt – muss von der S1-Abteilung sofort geklärt werden, denn sobald der Soldat ohne gültigen Statuseintrag in die Truppe eingeht, wird er für das Personalsystem unsichtbar.
Dienstlisten-Statusführung. Innerhalb einer Einheit verfolgt die Dienstlisten-Statusführung, welche Soldaten zu einem Zeitpunkt dienstfähig sind und welche beurlaubt, auf vorübergehendem Dienst, krankgeschrieben oder mit anderen Aufgaben abwesend sind. Die Dienstliste ist die Grundlage der täglichen Stärkemeldung. Digitale Dienstlistensysteme greifen direkt auf die HR-Datenbank zu und ziehen Urlaubsgenehmigungen und TDY-Befehle automatisch heran, damit die S1-Abteilung Papierdokumente nicht jeden Morgen manuell gegen die Liste abgleichen muss. Jede Abweichung zwischen Dienstliste und physischer Musterung – ein als anwesend markierter Soldat, der nicht auffindbar ist – löst eine sofortige Statusprüfung aus und, wenn nicht innerhalb eines definierten Fensters geklärt, eine Vermisstenmeldung.
Verfolgung an Verwundetensammelpunkten. An Verwundetensammelpunkten (CCPs) und medizinischen Behandlungseinrichtungen (MTFs) kreuzt sich die Statusführung mit der medizinischen Triage. Jeder an einem CCP ankommende Verwundete muss identifiziert (idealerweise per CAC-Scan oder biometrischem Abgleich), einer Triage-Kategorie zugeordnet und im Verwundetenverfolgungssystem erfasst werden. Der CCP-Statuseintrag speist sowohl den Casualty Feeder Report der Einheit als auch die medizinische Evakuierungsliste und stellt sicher, dass der von der S1-Abteilung als Verwundeter geführte Soldat dieselbe Person ist, die auf der MEDEVAC-Flugliste erscheint. Siehe unseren Artikel zu militärischen Medizin-Apps TCCC für die digitalen Abläufe auf Ebene von Verwundungsort und Behandlungseinrichtung.
RFID-gestützte Personalmusterung
Die RFID-Musterung automatisiert die Kopfzahl, die sonst einen Truppführer dazu zwänge, Namen aufzurufen und die Anwesenheit jedes Soldaten physisch zu prüfen. Durch Einbetten passiver UHF-RFID-Tags in Ausweise, Armbänder oder Erkennungsmarken-Halter protokolliert das System Personalbewegungen durch Schlüsselengstellen automatisch und aktualisiert den Statusserver ohne Handlung des einzelnen Soldaten.
UHF-RFID-Portalleser für die Einheitsmusterung
Portalleser an Lageraus- und -eingängen bilden das Rückgrat der Garnisonsstatusführung. Ein Standard-UHF-RFID-Portal nutzt zwei bis vier Antennen, die so angeordnet sind, dass sie eine Lesezone über die volle Torbreite erzeugen. Passive Tags im 860–960 MHz-Band (UHF RFID) antworten im HF-Feld des Lesers innerhalb von 3–8 Metern und liefern einen eindeutigen Electronic Product Code (EPC), den der Leser mit Zeitstempel und Leserstandort an den Statusserver übermittelt. Bei Fahrzeugbewegungen erfassen windschutzscheibenmontierte Tags Fahrzeug- und Besatzungsstatus gleichzeitig beim Durchfahren – ein einziger Durchfahrvorgang protokolliert sowohl Mittelbewegung als auch Personaldurchgang.
Portal-Leseereignisse werden vom Statusserver mit einem Regelsatz verarbeitet, der die resultierende Statusaktualisierung bestimmt:
- Eingangslesung am Haupttor — setzt den Status auf Present (On Post), wenn zuvor Off Post.
- Ausgangslesung am Haupttor — setzt den Status auf Off Post, protokolliert die Abgangszeit; alarmiert S1, wenn der Soldat keinen genehmigten Passierschein oder Urlaubsschein hat.
- Eingangslesung im Bereitstellungsbereich — markiert den Soldaten als Staged for Movement und speist die Musterungszahl vor dem Einsatz.
- Eingangslesung in der Flugzeug-Boardingspur — markiert den Soldaten als Manifested für den zugehörigen Flugserial.
- Lesung eines unbekannten Tags — erzeugt einen Alarm für Sicherheitspersonal; das Tag ist nicht in der Statusdatenbank registriert.
Kartendleser-Integration für CAC/PIV
Nicht jeder Statuspunkt kann die Infrastrukturkosten eines festen Portallesers rechtfertigen. CAC/PIV-Kartendleser – Kontaktkartenleser oder NFC-Kontaktleser – bieten eine günstigere Alternative für Orte mit geringerem Durchsatz: Check-in-Schreibtische der Einheitsführung, Fahrzeugpark-Disposition, Waffenraum-Meldung und Verwundetensammelpunkte. Der CAC-Leser extrahiert die Card Holder Unique Identifier (CHUID) und verifiziert optional die PIN oder den biometrischen Abgleich auf der Karte und meldet dann das Ereignis an den Statusserver. Da der CAC bereits die Identitätsinformationen und den PKI-Zugang des Soldaten enthält, ist keine separate RFID-Infrastruktur nötig – die Karte selbst ist das Token.
Handgeführtes RFID für die Statusführung im Feld
Feste Leser können nicht jede Statusanforderung in einer Einsatzumgebung abdecken. Handgeführte UHF-RFID-Leser – Geräte etwa in der Größe eines großen Smartphones mit integrierter Richtantenne – ermöglichen Trupp- und Zugführern Stichprobenmusterungen überall: Sammelbereiche, Patrouillenbasen, vorgeschobene Einsatzbasen und Hubschrauberlandezonen. Der Führer fährt das Handgerät über die angetretenen Soldaten, und das Gerät protokolliert jede Tag-Lesung in einer lokalen Musterungsliste. Ist das Gerät mit dem taktischen Netz verbunden, synchronisieren die Lesungen in Echtzeit mit dem Statusserver. In einer verbindungslosen Umgebung werden Lesungen lokal gespeichert und bei wiederhergestellter Verbindung synchronisiert. Das Handgerät zeigt, welche registrierten Soldaten nicht gelesen wurden, und fordert den Führer auf, jeden Fehlenden physisch zu finden oder zu melden, bevor die Musterung abgeschlossen wird.
Für die Integration mit Blue-Force-Tracking-Android-Militär-Systemen können handgeführte RFID-Leser mit Android-Geräten gekoppelt werden, auf denen Statusanwendungen laufen; die Musterungsdaten werden über das taktische gemeinsame Lagebild der Einheit gelegt, damit Führer sehen, welche Soldaten in jedem Gitterquadrat eindeutig erfasst sind und welche unbestätigt bleiben.
Biometrische Registrierung und Identitätsverifikation
RFID-Tags und CAC-Karten können verlorengehen, weitergegeben oder bewusst von jemand anderem als dem registrierten Inhaber mitgeführt werden. Die biometrische Registrierung schafft eine nicht fälschbare Verbindung zwischen den physischen Merkmalen einer Person und ihrem Identitätsdatensatz und ermöglicht so eine eindeutige Identitätsverifikation, die kein physisches Token leisten kann.
10-Print-Fingerabdruck-Registrierung
Die Zehnfinger-Registrierung erfasst alle zehn Fingerabdrücke in flachen und gerollten Abdrücken mit einem zertifizierten Fingerabdruckscanner. Die militärische Registrierung folgt den FBI/DOD-Standards für Bildqualität (mindestens 500 dpi Auflösung, NFIQ2-Qualitätswert über einem definierten Schwellenwert für jeden Finger). Aufnahmen mit niedriger Qualität – verursacht durch trockene Haut, Schnitte oder Schmutz auf dem Sensor – müssen abgelehnt und sofort neu erfasst werden; eine Vorlage mit schlechter Qualität erzeugt bei der Verifikation eine hohe Falsch-Abweisungsrate. Für Personen, die nicht alle zehn Finger registrieren lassen (Amputation, schwere Verbrennungen), müssen alternative biometrische Modalitäten – Iris oder Gesicht – die fehlenden Finger ersetzen.
Registrierte Vorlagen werden in der zentralen biometrischen Datenbank gespeichert und mit der Dienstnummer der Person verknüpft. Verifikationsterminals an Zugangskontrollpunkten gleichen einen Live-Scan gegen die gespeicherte Vorlage ab und geben eine Match-/No-Match-Entscheidung innerhalb von 1–3 seconds. Für Hochdurchsatz-Kontrollpunkte wird zuerst der CAC gezogen, um die spezifische Vorlage der beanspruchten Identität abzurufen (1:1-Verifikation), was schneller und genauer ist als die Suche in der vollständigen Datenbank (1:N-Identifikation).
Iris-Scan-Registrierung
Das Irisscannen ist die bevorzugte Biometrie für Umgebungen, in denen Soldaten Handschuhe tragen und die Berührung eines Fingerabdrucksensors unpraktisch ist, oder in denen eine schnelle Verifikation aus Abstand erforderlich ist. Moderne Dual-Iris-Kameras erfassen Bilder beider Augen gleichzeitig aus 20–60 cm Entfernung und können mit Nahinfrarot-Beleuchtung arbeiten, was nächtliche Registrierung und Verifikation ermöglicht. Irisvorlagen sind kompakt (unter 1 KB pro Auge) und über die Zeit extrem stabil – anders als Fingerabdrücke ändern sich Irismuster nicht mit Alter oder physischem Verschleiß.
Bei Koalitionsoperationen müssen Irisdatenbanken sorgfältig abgeschottet werden: die Freigabe biometrischer Referenzdaten über nationale Grenzen hinweg erfordert ausdrückliche Rechtsgrundlage und Datenfreigabevereinbarungen. Das Registrierungssystem muss die Rechtsgrundlage festhalten, unter der jede Person registriert wurde, und die Bedingungen, unter denen ihre Vorlage geteilt werden darf.
CAC/PIV-Integration und schnelle Kontrollpunkt-Verifikation
Die Common Access Card (CAC) und das Personal Identity Verification (PIV)-Zugangsmedium betten eine biometrische Referenzvorlage und ein PKI-Zertifikat in die Karte selbst ein und ermöglichen so eine offline biometrische Verifikation ohne Abfrage eines zentralen Servers. An einem Kontrollpunkt mit biometrie-fähigem Kartendleser läuft der Prozess so: Karte einstecken, Finger an den On-Card-Matcher halten, Match-Ergebnis vom Secure Element der Karte erhalten. Die gesamte Transaktion dauert 3–5 seconds und benötigt keine Netzwerkverbindung. Diese Offline-Verifikationsfähigkeit ist kritisch für vorgeschobene Kontrollpunkte, an denen die Verbindung zur biometrischen Datenbank nicht garantiert werden kann.
Verwundeten- und Vermisstenverfolgung
Die Verwundetenverfolgung ist die Funktion des Personalstatus-Systems mit dem höchsten Einsatzrisiko. Fehler in der Verwundetenmeldung – falscher Name, falsche Kategorie, verzögerte Meldung – wirken sich direkt auf die Benachrichtigungsfristen der nächsten Angehörigen, die Genauigkeit der Bezugsflagge und das Lagebild des Kommandeurs zum Kampfkraftverlust aus.
Management der Verwundetenkategorien P1/P2/P3/P4
Die vier Dringlichkeitskategorien müssen am Verwundungsort erfasst und auf jeder nachfolgenden Versorgungsebene aktualisiert werden. Digitale Statussysteme zeigen die aktuelle Kategorie prominent an und versehen jede Kategorieänderung mit einem Zeitstempel und schaffen so eine prüfbare Spur der Verwundetenentwicklung durch die Evakuierungskette:
- P1 (Urgent) — lebensrettende Intervention innerhalb von 1 hour erforderlich. Löst die sofortige Erstellung einer MEDEVAC-Anforderung im Statussystem aus. Das System alarmiert gleichzeitig die S1-Abteilung und den Sanitätsoffizier.
- P2 (Priority) — Intervention innerhalb von 4 hours erforderlich. Erzeugt eine Priority-MEDEVAC-Anforderung und markiert den Verwundeten für das nächste verfügbare Evakuierungsmittel.
- P3 (Routine) — Intervention innerhalb von 8 hours akzeptabel. Der Verwundete wird für den nächsten regulären Evakuierungsflug eingeplant.
- P4 (Expectant/Convenience) — in Massenanfallsituationen: Verletzungen so schwer, dass die Behandlung unverhältnismäßige Ressourcen verbrauchen würde; oder im Standardbetrieb: leichte Verletzungen, die nur Selbstversorgung erfordern.
Bei einem Massenanfall muss das System die gleichzeitige Eingabe mehrerer P1-Verwundeter ohne Oberflächenstau unterstützen. Das empfohlene Design ist ein Schnelleingabemodus mit CAC-Scan oder RFID-Lesung, der die Identitätsfelder automatisch befüllt, wobei der Sanitäter nur Kategorie und Verletzungsart bestätigt – das senkt die Eingabezeit pro Verwundeten auf unter 30 seconds.
Digitaler Casualty-Feeder-Report-Ablauf
Der Casualty Feeder Report (CFR) ist das Dokument auf Einheitenebene, das den formellen Verwundetenprozess einleitet. Ein digitaler CFR erfasst die Pflichtdatenelemente und überträgt sie innerhalb der gefristeten Zeitspanne an die S1-Abteilung (typischerweise 1 hour nach dem Verwundetenereignis bei KIA/WIA, 4 hours bei DNBI). Der digitale Ablauf:
- Befüllung der Identitätsfelder per CAC-Scan oder manueller Eingabe, abgeglichen mit der Einheitsliste.
- Verwundetenereignisdaten: Date-Time-Group, Lage (10-stelliges Gitter), Umstände (Feindkontakt, Unfall, DNBI) und Erstkategorie.
- Digitale Signatur durch den meldenden Offizier.
- Automatische Übertragung an die S1-Abteilung des Bataillons über den taktischen Datenkanal, mit einer Zustellquittung für die SOP-Konformität.
- Automatische Erstellung einer AR 600-8-1-konformen Verwundetenmeldung zur Übertragung an das Personalbetriebszentrum des Theaters.
JCAVS-Integration
JCAVS (Joint Casualty and Verification System) ist das System of Record auf Theater-Ebene für die Verifikation und Benachrichtigung bei Verwunden. Die Integration zwischen dem Statussystem der Einheit und JCAVS erfordert die Zuordnung der CFR-Datenelemente in das JCAVS-Aufnahmeschema und die Einrichtung eines sicheren Datenpfads zum Personalbetriebszentrum des Theaters. Gut integrierte Systeme beseitigen die manuelle Wiedereingabe von Verwundetendaten in JCAVS, die historisch eine Quelle von Fehlern und Verzögerungen bei der Benachrichtigung der nächsten Angehörigen war. JCAVS gibt der Einheit nach Empfang der Meldung eine Verwundetenverfolgungsnummer zurück, die das Statussystem der Einheit gegen den Einzelendatensatz als Bestätigung der Annahme protokolliert.
Stärkemeldung und P-TRAP
Die Stärkemeldung wandelt individuelle Statusdatensätze in das aggregierte Kampfkraftlagebild um, das Kommandeure für Planung und Ressourcenzuteilung nutzen. Die Daily Strength Report ist die Hauptausgabe, doch das Statussystem treibt auch Personal Status Reports auf Abruf für Einsatzplanung und Gefechtsnachbereitung an.
Digitale Stärkemeldungserstellung
Eine digitale Stärkemeldung aggregiert den aktuellen Status jedes Soldaten in die vom Meldeformat geforderten Standardkategorien: Sollstärke, dienstfähige Stärke, Istarke-Verfügbarkeit (anwesend abzüglich nicht einsetzbar) und Verwundetenzwischensummen nach Art. Die Meldungserstellungs-Engine fragt die Statusdatenbank zum konfigurierten Meldezeitpunkt ab (typischerweise 30 minutes vor der Einreichungsfrist) und erzeugt die Meldung im geforderten Format für die elektronische Übertragung an die übergeordnete Stelle. Kommandeure können jederzeit eine Live-Voransicht im S1-Dashboard abrufen, was besonders bei laufenden Operationen wertvoll ist, in denen die Stärke stündlich schwanken kann.
P-TRAP-Ablauf
P-TRAP (Personnel Tracking, Reporting, and Processing) ist der Workflow und Werkzeugsatz, der regelt, wie S1-Abteilungen Stärkedaten sammeln, validieren und melden. In einem digitalisierten P-TRAP-Ablauf:
- Unterstellte Einheiten reichen digitale Statusmeldungen zur vorgeschriebenen Meldezeit bei der S1 des Bataillons ein und ersetzen damit den Sprachfunk-PERSTAT, der einen Unteroffizier zwang, jede unterstellte Einheit nacheinander durchzugehen.
- Das S1-Werkzeug des Bataillons aggregiert die Meldungen der Unterstellten automatisch und markiert jede Einheit, die bis zur Meldungsfrist nicht eingereicht hat.
- Automatisierte Validierungsregeln prüfen auf häufige Fehler: Stärkesummen, die nicht aufgehen, Verwundetenstatus ohne tragende CFRs oder Istarke-Werte, die eine Einheit unter der einsatzfähigen Schwelle anzeigen würden.
- Die validierte Bataillonsstärkemeldung wird an die S1 der Brigade übertragen, die dieselbe Aggregation und Validierung durchführt, bevor sie an die Division weitermeldet.
- Der gesamte Meldezyklus – von der Einreichung der unterstellten Einheit bis zum Eingang im Theaterhauptquartier – dauert in einer vollständig digitalisierten P-TRAP-Implementierung unter 30 minutes, gegenüber 2–4 hours bei einem Sprach- und Papierzyklus.
S1-Dashboard-Integration
Das S1-Dashboard gibt dem Personaloffizier und dem Stab eine Echtzeitansicht der Einheitenstärke, geordnet nach unterstellter Einheit, Ebene und Statuskategorie. Kritische Dashboard-Funktionen für den Einsatzbetrieb sind: Schwellenalarme, wenn die Istarke einer Einheit unter das Minimum des Kommandeurs fällt (typischerweise 60–70% für Kampfeinheiten); Verwundetentrendanalyse der Stärkeverlustrate über die letzten 24–48 hours; und ein Personalwiederaufstellungstracker, der eingehende Ersatzleute aus der JRSOI-Pipeline mit den Einheiten verknüpft, die sie auffüllen sollen.
Integration mit HR- und Bezugssystemen
Personalstatusdaten haben nachgelagert direkte finanzielle und rechtliche Folgen. Ein Verwundetenstatus, der nicht umgehend an das HR- und Bezugssystem übertragen wird, kann monatelang falsche Bezüge für den Verwundeten oder seine Familie nach sich ziehen – ein Problem, das erhebliche Belastung verursacht und Monate zur Klärung braucht. Umgekehrt kann eine durch einen fehlerhaften Statuseintrag ausgelöste Bezugsflagge die Bezüge eines Soldaten ohne Grundlage kappen. Die automatisierte Integration zwischen Statussystem und HR/Bezug muss zuverlässig, prüfbar und darauf ausgelegt sein, sowohl Fehlalarme als auch übersehene Alarme zu minimieren.
TAPDB-G-Anbindung. Die Total Army Personnel Database – Global (TAPDB-G) ist der maßgebliche Personaldatensatz der Army. Statusänderungen, die den offiziellen Datensatz betreffen – WIA, MIA, KIA und die Rückkehr zum Dienst aus diesen –, erzeugen automatisierte Aktualisierungstransaktionen an TAPDB-G. Diese Transaktionen nutzen die Dienstnummer des Soldaten als Primärschlüssel und enthalten die genehmigende Einheit, die Date-Time-Group der Statusänderung und die digitale Signatur des genehmigenden Offiziers.
Bezugsflagge bei Verwundetenstatus. Wenn WIA- oder MIA-Status bestätigt ist, erzeugt das Statussystem eine Bezugsflaggen-Transaktion an IPPS-A (Integrated Personnel and Pay System – Army) oder das anwendbare nationale System. Die Bezugsflagge löst eine Prüfung der Bezugsansprüche des Soldaten aus: Gefechtszuschlag wird gestartet, falls noch nicht aktiv, kampfbedingte Sonderentschädigung wird bewertet, und die Begünstigtendaten der Servicemembers' Group Life Insurance werden für den Casualty Assistance Officer aufbereitet. Bei MIA-Soldaten hält eine Überweisungsflagge bestimmte freiwillige Abzüge bis zur Statusbestätigung zurück.
SRB/ORB-Aktualisierungsauslöser. Aktualisierungen von Soldier Record Brief (SRB) und Officer Record Brief (ORB) werden durch Dienststatusänderungen ausgelöst, die den Dauerbetrieb berühren: Krankenhausaufenthalt über 30 days, Rückkehr zum Dienst nach Hospitalisierung, Wechsel von MIA zu KIA oder Returned to Military Control. Diese Aktualisierungen müssen innerhalb der regulierten Frist (typischerweise 5 business days) abgeschlossen werden, um die Datensatzgenauigkeit für Beförderungsausschüsse und Verwendungsverfahren zu wahren.
Datenschutz und Datensicherheit für Personalbiometrie
Militärische biometrische Daten gehören zu den sensibelsten Personaldaten, die eine Verteidigungsorganisation verarbeitet. Eine kompromittierte Fingerabdruck- oder Irisvorlage kann nicht wie ein Passwort widerrufen und neu ausgegeben werden – sobald ein Gegner eine Referenzvorlage besitzt, ist die biometrische Modalität für diese Person dauerhaft kompromittiert. Datenschutzkontrollen müssen dieser Sensibilität angemessen sein.
Verschlüsselung für biometrische Daten auf taktischen Geräten
Jedes Gerät, das biometrische Vorlagen speichert – Registrierungsstationen, handgeführte Verifikationsleser und lokale biometrische Datenbankserver –, muss Daten im Ruhezustand mit AES-256 verschlüsseln, mit Schlüsseln, die von einem Hardware-Sicherheitsmodul (HSM) oder einer Trusted Execution Environment (TEE) verwaltet werden. Verschlüsselungsschlüssel dürfen nicht in Anwendungskonfigurationsdateien oder Umgebungsvariablen auf dem Gerät liegen. Die Schlüsselrotation muss mindestens jährlich erfolgen, mit sofortiger Rotation, wenn ein Gerät als verloren oder erbeutet gemeldet wird. Auf Android-basierten taktischen Geräten stellt das Android-Keystore-System einen TEE-gestützten Schlüsselspeicher bereit, der diese Anforderung auf FIPS 140-2-Level-2-validierter Hardware erfüllt.
Aufbewahrungsrichtlinie für biometrische Vorlagen
Aufbewahrungsfristen für biometrische Vorlagen müssen in der Data-Governance-Richtlinie festgelegt und vom System durchgesetzt werden, statt sich auf administrative Prozesse zu verlassen. Standardpraxis:
- Zentrale Datenbank — aufbewahren für die Dauer der Dienstzeit zuzüglich einer nach nationalem Recht definierten Zeit nach dem Ausscheiden (typischerweise 7–10 years für militärische Unterlagen).
- Taktische Handgeräte — zwischengespeicherte Vorlagen nach 24–72 hours automatisch ablaufen lassen; erneute Registrierung nötig, wenn das Gerät länger als das Cache-Intervall offline ist.
- Protokolle der Kontrollpunkt-Verifikation — Match-/No-Match-Entscheidungsprotokolle (ohne die Vorlage selbst) 90 days zu Prüfzwecken aufbewahren; danach löschen.
- Watchlist-Vorlagen für festgehaltene oder feindliche Kombattanten — unterliegen einer eigenen Rechtsgrundlage und einem vom Theaterrechtsberater definierten Aufbewahrungsplan.
PII-Handhabung nach DSGVO für Koalitionskräfte
Wenn Koalitionskräfte aus EU-Mitgliedstaaten an gemeinsamen Operationen teilnehmen, unterliegen ihre Personalbiometriedaten der DSGVO, unabhängig davon, wo die Verarbeitung stattfindet. Praktisch bedeutet das: eine Rechtsgrundlage für die Verarbeitung muss benannt sein (typischerweise Artikel 9(2)(g) – erhebliches öffentliches Interesse, oder gleichwertiges nationales Recht); Betroffenenrechte (Auskunft, Löschung) müssen in der Systemarchitektur berücksichtigt werden; und Übermittlungen biometrischer Daten an Nicht-EU-Partnerländer erfordern einen Angemessenheitsbeschluss, Standardvertragsklauseln oder eine Ausnahme nach Artikel 49. Das Statussystem muss die Rechtsgrundlage jedes biometrischen Datensatzes, die Nationalität der betroffenen Person und alle grenzüberschreitenden Übertragungsereignisse protokolliert halten, damit eine DSGVO-Compliance-Prüfung ohne Rekonstruktion der Verarbeitungsgeschichte aus verstreuten Protokollen möglich ist.
In der Praxis ist der einfachste architektonische Ansatz für Koalitionsoperationen die biometrische Datenbankföderation nach Nationalität: jedes Land führt seine eigene biometrische Datenbank und verarbeitet nur eigene Staatsangehörige; der Abgleich mit Partnerdatenbanken bei konkreten Verifikationsanfragen erfolgt unter einer formellen Datenfreigabevereinbarung mit dokumentierter Rechtsgrundlage, nicht durch eine zusammengeführte multinationale Datenbank, die jede nationale Compliance-Prüfung erschwert.