Nach dem Führerscheindebakel Wie geht es mit dem ID-Wallet weiter?

Anbieter zum Thema

Swisscom AG

Hotwire Public Relations Germany GmbH

sysob IT-Distribution GmbH & Co. KG

Fujitsu Technology Solutions GmbH

Das große Echo um den Fehlschlag des digitalen Führerscheins ist mittlerweile verhallt. Ist es damit auch an der Zeit, das Konzept ID-Wallet an sich zu begraben? Keineswegs, es kommt allerdings darauf an, ein tragfähiges Konzept zu entwickeln, das umfassend reguliert und erprobt wird – dies wird seine Zeit brauchen.

Vor einiger Zeit sorgte die missglückte Einführung des elektronischen Führerscheins in Deutschland für Schlagzeilen. Viel war dabei von Überlastung und von Sicherheitslücken die Rede. Weniger beachtet wurde dagegen ein Umstand, dass einerseits sowohl die gesetzliche Grundlage fehlt und andererseits es eigentlich ein BMWi Fördervorhaben „Schaufenster Sichere Digitale Identitäten“ gibt, in welchem seit April 2021 eine dreijährige Umsetzungsphase geplant ist. Ein Schnellschuss knapp vor der Wahl war für das Thema eWallet nicht hilfreich.

Die fehlende gesetzliche Grundlage wird derzeit im Rahmen der Revision der eIDAS-Verordnung in Brüssel erarbeitet. Auf sichere rechtliche Beine gestellt, mit genügend Zeit für die Entwicklung und einem freien Wettbewerb, in dem sich das beste Konzept bewähren kann, ist die Wallet-ID eine Idee mit großer Perspektive.

Was steckt hinter eIDAS?

Die Abkürzung steht für electronic IDentification, Authentication and trust Services und geht bereits auf das Jahr 2014 zurück. Damals standen besonders vier Anwendungsfälle im Mittelpunkt: E-ID (wie beim deutschen elektronischen Personalausweis), sichere digitale Zustelldienste, elektronische Signaturen und Web-Zertifikate. Das Internet und diverse Online-Angebote entwickeln sich nun aber in rasantem Tempo weiter. Bereits in der ursprünglichen Fassung der Verordnung war daher bereits eine Revision vorgesehen.

Einen Vorschlag dafür legte die EU-Kommission im Sommer letzten Jahres vor. Dieser wird nun zunächst von den Mitgliedstaaten geprüft. Somit lassen sich zum aktuellen Zeitpunkt noch keine konkreten Aussagen treffen, wie die Regularien zukünftig im Detail aussehen werden. Einige Prinzipien lassen sich aber bereits jetzt erkennen.

Was soll sich durch eIDAS 2.0 ändern?

Digitale Identitäten stellen auf jeden Fall einen zentralen Aspekt des neuen Entwurfs dar. Gibt es diese nicht schon mit der e-ID des elektronischen Personalausweises? – könnte man einwenden. Prinzipiell schon, doch mit dem E-Perso wurde lediglich ein einzelnes Dokument digitalisiert. Die Identität eines Menschen ist jedoch wesentlich vielfältiger als die Daten auf dem Ausweis. Im Laufe des Lebens erwirbt man bisher eine ganze Reihe von Dokumenten, Nachweisen, Zeugnissen und ähnlichem. Abschlüsse, Befähigungen, Approbationen, akademische Titel oder ähnliches gehören dann ebenfalls zur Identität einer Person. Darüber hinaus hat die Interoperabilität der verschiedenen eIDs nur unzureichend über die Ländergrenzen der EU-Länder funktioniert. Einige Staaten stehen deshalb noch immer mit leeren Händen da.

Will man hier digitalisieren, stellt sich eine ganz grundsätzliche Frage: Föderierte, zentralisierte Identitäten, wie es sie z.B. mit dem „Facebook Login“ gibt oder selbstsouveräne digitale Identitäten (SSI), die den Nutzern die Gelegenheit geben soll, ihre digitalen Identitäten selbstständig zu verwalten und damit ein hohes Maß an Sicherheit und Privatspähre sicherzustellen? Ganz ähnlich wie in der echten Brieftasche sollen auch beim eWallet verschiedene Dokumente an einem Ort gesammelt werden. Von der Geburtsurkunde bis zum Meisterbrief oder Doktortitel – in einem ID-Wallet soll all dies in digitaler Form abgelegt werden können. Das zeigt natürlich, dass es sich um ein ambitioniertes Unterfangen handelt.

Dieser weitgefasste Ansatz bedeutet auch, dass ein geschlossenes, nur auf Behörden als Aussteller fokussiertes System, kaum in Frage kommt. Wahrscheinlicher ist es, dass auch Institutionen wie Universitäten oder auch private Bildungsträger Nachweise ausstellen können, bis hin zum Segelschein einer Segelschule. Hier kommt dann ein auditierter Trust Service als Dienstleister ins Spiel. Und das nicht nur beim Bereitstellen, sondern auch beim Auslesen und Nachweisen einer Identitätseigenschaft.

Der Einbezug der Privatwirtschaft ist von der EU durchaus auch gewollt. Dennoch kann man davon ausgehen, dass ganz zentrale Elemente der Identität, allen voraus die Ausweisdaten, weiterhin von staatlichen Stellen garantiert werden.

Ein weiterer Aspekt, der mit der eIDAS-Revision in den Fokus rückt, ist das Prinzip der Datensparsamkeit. Das soll heißen, dass beim Auslesen eines eWallet nur die Daten herausgegeben werden, die für den konkreten Anwendungsfall wichtig sind. So soll beispielsweise bei einem Altersnachweis auch wirklich nur das Alter abgefragt werden. Aktuell sieht das noch anders aus, beispielsweise wird bei der Altersprüfung an Zigarettenautomaten bei einigen eID Systemen noch immer der komplette gespeicherte Datensatz erfasst.

EU-weite Vereinheitlichung tut Not

Neben dem Ausbau der elektronischen Identität soll die revidierte eIDAS-Verordnung Probleme der bisherigen beseitigen, wie die EU-weit uneinheitliche Identifikation für die elektronische Signatur. In der Praxis kommt es hier bisweilen noch zu absurden Situationen. Möchte ein spanisches Unternehmen seine Neukunden per Video-Identifikation onboarden, so muss es dafür auf einen Trust Service Provider aus dem EU-Ausland zurückgreifen. Woran liegt das? Unter EU-Recht ist nur geregelt, dass ordentlich zertifizierte Vertrauensdienste gegenseitig anerkannt werden müssen. Die Entscheidung, welche Mittel zur initialen Verifizierung der Identität zulässig sind, fällt hingegen wieder in die Jurisdiktion der Mitgliedsstaaten. Da hier einige strenger, andere liberaler entschieden haben, ergibt sich diese wirre Lage.

Für die Zukunft wäre es wünschenswert, wenn in allen EU-Ländern die gleichen Standards ´verbindlich umgesetzt werden. Ohne diesen Schritt entsteht für Trust Service Provider der Anreiz, sich in dem EU-Land mit den niedrigsten Standards zertifizieren zu lassen, anerkannt werden sie schließlich nach der bisherigen Regelung dennoch in der gesamten Union.

Aus dem Verordnungsentwurf ist bereits ersichtlich, in welche Richtung sich die Vereinheitlichung der Identifikation entwickeln könnte. Bisher galt Face-to-Face-Identifikation als präferiertes Verfahren. Im neuen Entwurf steht nun ein „Elektronisches Identifizierungsmittel“ an erster Stelle. Persönliche Identifizierung soll nur noch den Ausnahmefall darstellen. Ein passender Standard, der ETSI (EN 119 461), liegt für die Normierung bereits vor, er müsste nur EU-weit adaptiert werden.

Neue Use Cases

Durch das umfassende Wallet-Konzept ergibt sich eine Reihe neuer, spannender Anwendungsfälle für elektronische Identitäten. Die Deutsche Post will damit beispielsweise den Zugang zu Packstationen vereinfachen, was heute noch einen Barcode und die manuelle Eingabe des Namens erfordert. Mit einer elektronischen Identität könnte das System ähnlich nahtlos funktionieren wie Mobile Payment.

Auf eine ähnliche Weise könnten Unternehmen auch die „Stechuhr“, beziehungsweise die moderneren Varianten davon, ersetzen. In großen Betrieben könnte so das Zugangsmanagement und die Zeiterfassung für interne und externe Mitarbeiter optimiert werden.

Der Hotelcheck-in bietet ebenfalls ein spannendes Feld für die digitale Identität. Hier laufen nämlich gleich mehrere Prozesse ab. Die niedrigschwelligste Überprüfung ist die der Buchung seitens des Hotels selbst. Damit ist es aber nicht getan, der Beherbergungsbetrieb muss seine Gäste auch bei der örtlichen Polizeidienststelle anmelden. Zuletzt bleibt noch die Bezahlung. Mit der digitalen Identität könnten alle drei Schritte quasi im Vorbeigehen erledigt werden. Das könnte man noch weitertreiben: In einem vernetzten Hotel der Zukunft könnten Gäste beispielsweise individuelle Temperaturpräferenzen in der ID hinterlegen, die dann automatisch an die smarte Klimaanlage übermittelt werden.

Der weitere Fahrplan

Auch wenn sie große Möglichkeiten verspricht, befindet sich die Revision der eIDAS-Verordnung noch in einem sehr frühen Stadium. Laut der offiziellen Planung sollen die Wallets frühestens Ende 2023 für Nutzer verfügbar sein. Bis dahin ist noch einiges zu tun. Der Entwicklungsprozess bietet aber auch die Chance für verschiedene Stakeholder sich einzubringen und Unternehmen haben Zeit, ausgefeilte Geschäftsmodelle zu entwickeln, die sicher, DSGVO-konform und genau auf das neue Konzept abgestimmt sind.

Über den Autor: Ingolf Rauh ist Product Manager bei Swisscom Trust Services.

(ID:48199303)