Kommentar zur eID-Strategie der Bundesregierung Blick auf den neuen Personalausweis

E-Mail, E-Commerce, E-Government: Elektronische Dienste und Vorgänge haben durchaus ihren Reiz, doch mit der Rechtssicherheit ist es nicht immer allzu weit her. Vor diesem Hintergrund will die Bundesregierung mit dem neuen Personalausweis einen digitalen Identitätsnachweis etablieren. Doch hält der nPA, was die Regierung verspricht?

Anbieter zum Thema

Arvato Systems

SEPPmail - Deutschland GmbH

Keeper Security EMEA Ltd.

Körperliche Anwesenheit beim Einkaufen hat durchaus seinen Reiz: Wer auf einem Flohmarkt ein Schnäppchen machen will, bekommt seine Ware und gibt im Gegenzug dem Verkäufer das Geld. Bei einem solchen Handelsgeschäft sind die Beteiligten nicht nur anonym. Der Kunde kann auch gleich vor Ort die Qualität der Ware in Augenschein nehmen, der Verkäufer die Echtheit des Geldes anhand der Sicherheitsmerkmale auf den Scheinen prüfen.

Treffen sich die Beteiligten hingegen auf einem virtuellen Flohmarkt wie eBay, haben sie ein Problem: Sie sehen weder den Vertragspartner noch das Geld oder die Ware und können lediglich auf die Redlichkeit des Gegenübers hoffen. Eine größere Rechtssicherheit entstünde für Käufer und Verkäufer, wenn jeder dem anderen seine Identität zuverlässig nachweisen würde.

Durch digitale Identitätsnachweise wären die Leistungspflichten belegbar und ein Vertragspartner könnte klagen, würde der andere vertragsbrüchig. Besondere Bedeutung hätte das bei immateriellen Rechtsgeschäften, bei denen keine Gegenstände ausgetauscht sondern lediglich Dienstleistungen erbracht werden. Diese Idee war der Geburtshelfer des nPA, so das Kürzel für den neuen Personalausweis.

Auf diesem Legitimationsdokument sind Lichtbild sowie Name, Anschrift und Geburtsdatum nicht nur aufgedruckt, sondern auch in elektronischer Form auf einem „kontaktlosen“ Chip enthalten. Dadurch kann die Identität einer Person nicht nur beim Zoll oder auf der Straße mit einem mobilen Lesegerät elektronisch geprüft werden. Auch im Internet gegenüber Behörden, (Finanz-)Dienstleistern und Einzelhändlern aller Art hat der Besitzer einen Identitätsnachweis.

Der nPA allein genügt nicht

Wer einen neuen Ausweis beantragt, erhält einen Brief per Post mit der Persönlichen Identifikationsnummer (PIN), dem ‚Personal Unblocking Key’ (PUK) und einem Sperrkennwort. Der Ausweis muss bei der Meldebehörde abgeholt werden. Außerdem sind zusätzliche Hard- und Software fürs elektronische Ausweisen notwendig: Bei Gebrauch wird der Ausweis auf einen Kartenleser gelegt.

Das Bundesamt für die Sicherheit in der Informationstechnik (BSI) stellt die „AusweisApp“ zur Verfügung, die auf dem Rechner installiert sein muss, damit sich Ausweis, Kartenleser und Computer verstehen. Die ‚AusweisApp2’ gibt es seit November 2014 für diverse Versionen von Mac OS und Windows; nicht mehr unterstützt werden hingegen künftige Versionen der GNU/Linux Distributionen von Ubuntu, Debian und OpenSuse.

Das Kartenlesegerät ist als Basis-, Standard- oder in einer Komfort-Version verfügbar. Die Luxusausführung verfügt auch über ein eigenes Display und eine separate Tastatur, um die PIN einzugeben.

Mit dem Basisleser „ID Token“ der Wormser Firma Kobil können etwa die Kunden der CosmosDirekt Versicherung den Stand ihrer Konten im Internetportal des Unternehmens prüfen, Geld überweisen und Versicherungen abschließen. Den ID Token können Unternehmer beispielsweise von der Datev für 19,90 Euro erwerben.

Das Interesse hält sich in Grenzen

Die Bürger scheinen allerdings bislang noch nicht von der Neuerung überzeugt zu sein: Nach Angaben des Innenministeriums lassen nur 30 Prozent der Bürger die Online-Funktion freischalten. Wer freischaltet, hat aber noch kein Lesegerät gekauft. Der diesbezügliche Umsatz ist bei Kobil offenbar so gering, dass das Unternehmen dazu keine Angaben machen möchte.

Auch bei Kobils Wettbewerbern scheint das Geschäft mit Lesegeräten noch nicht berauschend zu sein. Dietmar Wendling, Geschäftsführer der Identive Group sagt: „Im Rahmen des IT-Investitionsprogramms der Bundesregierung wurden in den Jahren 2010 und 2011 über eine dreiviertel Million unserer Lesegeräte (…) an Endverbraucher in der Bundesrepublik Deutschland abgegeben.

Das hat zu einer gewissen Marktsättigung geführt. Daher waren die Verkäufe in 2012 eher schleppend, ziehen jedoch mittlerweile wieder an. Da es im Allgemeinen sehr ruhig um den neuen Personalausweis und die eID Funktion geworden ist, rechnen wir auch nicht mit einem rasanten Absatzanstieg, solange diese Funktion von den E-Commerce Plattformen nicht unterstützt und aktiv promoted wird.“

Weniger schwülstig bringts Gerhard Fercho, Vorsitzender der Geschäftsführung des Unternehmensberaters CSC in Deutschland auf den Punkt: „Jeder Schokoriegel wird heute von den Unternehmen aggressiver beworben als innovative und vor allem sichere Geschäftsmodelle rund um den neuen Personalausweis. Hier gilt es, verstärkt Aufklärungsarbeit zu leisten“.

Komfortable Kartenleser

Hersteller anderer Kartenleser wie ACS, Feig Electronic, Gemalto, HID und Reiner SCT haben sich nicht einmal die Mühe gemacht, die Fragen des Autors zu beantworten. Insbesondere bei Reiner SCT dürfte der Frust über den schleppenden Geschäftsverlauf groß sein: Das Unternehmen bietet nicht nur einen schlichten Basisleser, sondern – als einziger Anbieter überhaupt – auch hochwertigere Standard- und Komfortleser an.

Mit dem Luxusgeräöt ließe sich auch die elektronische Post rechtsverbindlich signieren. Mit 159,90 Euro ist das Gerät aber achtmal so teuer wie seine vergleichsweise günstigen Wettbewerber und hat wohl entsprechend hohe Entwicklungskosten verursacht.

Fachleute empfehlen die Investition in einen solchen Komfort-Leser aus Sicherheitsgründen ausdrücklich – der Grund: Wenn sich der Anwender einen Schädling auf seinem Rechner eingehandelt hat, kann der Angreifer alle Tastatureingaben und jede Mausbewegung verfolgen. Tippt nun der Anwender seine PIN über die Tastatur des Rechners ein, kann der Angreifer auch diese Eingabe verfolgen.

Somit könnte der Cracker beliebig viele Bestellungen „im Stapel“ ausführen, sobald der Basisleser Kontakt zum Ausweis hat. Mit einem Komfort-Leser wäre das nicht möglich, weil die PIN da am Lesegerät selbst eingegeben wird. Über die tatsächliche Nutzung des Ausweises auf allen Kartenlesegeräten zusammen sind keine Zahlen bekannt.

Zu kompliziert, zu unsicher

Das Desinteresse des Bürgers hat seine Gründe: Nach Ansicht von Matthias Schulze vom Forschungs- und Technologieverbund Thüringen e.V. (FTVT) sei bereits das Beantragen der eSignatur viel zu kompliziert. Angesichts dessen ist der normale Anwender mit der Entscheidung für einen Basis- oder einen Komfort-Leser gleich völlig überfordert. Und die Begeisterung des Publikums wird sich wohl auch nicht kurzfristig erhöhen. Professor Jörg Schwenk, Inhaber des Lehrstuhls für Netz- und Datensicherheit der Ruhr Universität Bochum fällt per Mail ein vernichtendes Urteil über den Ausweis

Auf die Frage, ob denn der neue Personalausweis mehr Sicherheit für die Kunden brächte, schreibt Schwenk: „Ein ganz klares NEIN. Die eID-Funktion des nPA ist wesentlich unsicherer als z.B. chipTAN oder smsTAN“. Ob der der Basisleser zu empfehlen sei? Antwort Schwenk: „Ebenfalls ein klares NEIN. Sobald der nPA sich in der Nähe des Kartenlesers befindet, könnte die eID-Funktion von einer Schadsoftware aktiviert werden, die vorher die sechsstellige PIN aufgezeichnet hat.“

So sind unter Kriminellen beispielsweise Trojaner beliebt, um ihre Opfer auszuspionieren und dabei geheime Dokumente zu ergattern, Tastaturanschläge zu protokollieren oder das Mikrofon und die Internetkamera fernzusteuern. In einem Fachforum erläutert ein Leser, wie vorteilhaft es für einen Ermittler wäre, den Bundestrojaner gleich zusammen mit der AusweisApp des Personalausweises auf dem Computer des Verdächtigen unterzubringen.

Der Ermittler wüsste beispielsweise, welche Person die AusweisApp mit Administratorrechten auf dem PC installiert. Und der Bundestrojaner würde sogar dann noch Daten liefern, wenn der Ausweis keinen Kontakt mehr zum Kartenleser hat. Unklar ist, in welchem Zustand der Rechner des Verdächtigen nach Abschluß der Ermittlungen hinterlassen würde.

Die Konsequenz: Jeder Besuch bei jedem Amt, jede Bestellung, jede Mail und jeden Versicherungsantrag eines jeden Personalausweis-Nutzers ließe sich elektronisch verfolgen und Jahrzehnte aufbewahren und mit beliebig vielen anderen Informationen der Zielperson zu einem Lebensprofil verknüpfen. Das ließe sich beheben: Der Staat könnte garantieren, weder selbst zu spitzeln und zusätzlich Ende-zu-Ende per De-Mail zu verschlüsseln. Dann allerdings gäbe es auch für die eigenen Strafverfolger nichts mehr zu ermitteln.

Die Grenzen des Erlaubten

Unter dem früheren Innenminister Wolfgang Schäuble plante die Bundesregierung 2007, ein sogenanntes „Trojanisches Pferd“ mit einer gefälschten Behörden-Mail auf dem Rechner des Verdächtigen unterzubringen. Alle Überlegungen in dieser Richtung waren ein Jahr später schon wieder Makulatur: 2008 erklärte das Bundesverfassungsgericht die Online-Durchsuchung in Nordrhein-Westfalen für verfassungswidrig und nichtig.

Im 1. „Leitsatz“ seines Urteils hat das höchste deutsche Gericht formuliert: „Das allgemeine Persönlichkeitsrecht (Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 GG) umfasst das Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme.“ Man spricht auch vom Computergrundrecht.

Weiter heißt es: „Die heimliche Infiltration eines informationstechnischen Systems, mittels derer die Nutzung des Systems überwacht und seine Speichermedien ausgelesen werden können, ist verfassungsrechtlich nur zulässig, wenn tatsächliche Anhaltspunkte einer konkreten Gefahr für ein überragend wichtiges Rechtsgut bestehen.“

Überragend wichtig seien demnach Leib, Leben und Freiheit der Person oder solche Güter der Allgemeinheit, deren Bedrohung die Grundlagen oder den Bestand des Staates oder die Grundlagen der Existenz der Menschen berührt. In seiner weiteren Urteilsbegründung heben die Karlsruher Richter die Bedeutung der Menschenwürde hervor.

Auch wenn die Online-Durchsuchung auf absehbare Zeit nicht zur Strafermittlung genutzt werden kann: De-Mail und der neue Personalausweis stellen für die Bundesregierung die Voraussetzung für die Informationsgesellschaft der Zukunft dar. Mit ihrem diesbezüglichen Zeitplan ist Berlin jedoch bereits gründlich in Verzug geraten.

E-Government als Treiber

Im März 2009 verfasste Martin Schallbruch, bereits damals ‚Chief Information Officer’ (CIO) der Bundesregierung, das Ziel in einem Aufsatz: „Das Vorhaben steht auf der Prioritätenliste der Bundesregierung weit oben und ist Kern der E-Identity-Strategie die mit dem Regierungsprogramm E-Government 2.0 im Jahr 2006 definiert wurde. Der neue Ausweis wird zum Katalysator für E-Government, geht jedoch in seiner Wirkung weit darüber hinaus. Er birgt erheblichen praktischen Nutzen für E-Business und E-Commerce und kann nur durch enge Zusammenarbeit von Verwaltung und Wirtschaft zum Erfolg geführt werden.“

Die Deutsche Universität für Verwaltungswissenschaften Speyer (DHV) erklärt die blumigen Anglizismen so: „Unter Electronic Government verstehen wir die Abwicklung geschäftlicher Prozesse im Zusammenhang mit Regieren und Verwalten (Government) mit Hilfe von Informations- und Kommunikationstechniken über elektronische Medien.“

Aufgrund der technischen Entwicklung schätzt die DHV, „dass diese Prozesse künftig sogar vollständig elektronisch durchgeführt werden können. Diese Definition umfasst sowohl die lokale oder kommunale Ebene, die regionale oder Landesebene, die nationale oder Bundesebene sowie die supranationale und globale Ebene. Eingeschlossen ist somit der gesamte öffentliche Sektor, bestehend aus Legislative, Exekutive und Jurisdiktion sowie öffentlichen Unternehmen.“

Zur Erklärung schreiben die Speyerer: „Electronic Government umschließt somit sieben der sechzehn möglichen Matrixfelder in einem X2Y-Beziehungsgeflecht, deren wichtigsten Vertreter für Investitionstätigkeiten gegenwärtig die Felder B2B (Business-to-Business) und B2C (Business-to-Consumer) sind.“

Insbesondere mit Blick auf die Entwicklungsmöglichkeiten des Electronic Government würden die Felder

• G2G (Government-to-Government),

• C2G (Citizen/Community/Consumer-to-Government),

• G2C (Government-to-Citizen/Community/Consumer),

• B2G (Business-to-Government),

• G2B (Government-to-Business),

• N2G (NPO/NGO-to-Government) und

• G2N (Government-to-NPO/NGO)

künftig eine viel größere Attraktivität für Investoren aus Wirtschaft, Verwaltung und Drittem Sektor gewinnen. Die De-Mail wird also nicht nur für die privaten Nutzer, sondern vor allem auch für die Kommunikation zwischen Unternehmen und öffentlicher Verwaltung bedeutsam werden.

Im zweiten Teil dieses Beitrags gehen wir der Frage nach, ob die e-Identity-Strategie der Bundesregierung eine Alternative zur Online-Durchsuchung darstellen könnte. Die Überlegung dabei könnte lauten: „Wenn wir nicht ‚in’ die Computer der Verdächtigen schauen dürfen, müssen wir eben alle Bürger dazu bringen, ihre Daten freiwillig (!) ‚aus’ dem Computer ins Internet zu verlagern.“

Die Argumentationshilfe dazu soll der Vizepräsident des Bundeskriminalamts (BKA), Jürgen Maurer, beim Europäischen Polizeikongress im Frühjahr 2013 gegeben haben: "Wer im Internet ist, hat die Privatheit verlassen."

(ID:43080803)