© Bundesministerium des Innern und für Heimat; Bundesdruckerei GmbH

Seit mehr als zehn Jahren trägt jeder von uns eine digitale Identität in der Brieftasche. Warum nutzen wir sie nicht?

Bei der Digitalisierung in Deutschland gibt es Erfolgsgeschichten. Prinzipiell besitzt jeder Bürger seine offizielle digitale Identität, ein digitales Ausweisdokument der Bundesrepublik Deutschland. Das gilt auch für aufenthaltsberechtigte Ausländer. Der Großteil nutzt es nur nicht, obwohl es schon lange eine App für PCs und Smartphones dazu gibt. Die ist seit diesem Jahr sogar als Open Source verfügbar, mit dem Code auf Github.

Ganz gegen den Trend erhält der neue Personalausweis (nPA [1]) viel Lob von Experten aus IT-Sicherheit und Verwaltung. Außerdem wirkt er erstaunlich zukunftsfähig: Schon seit dem 1. November 2010 enthalten alle neuen Personalausweise im handlichen ID-1-Scheckkartenformat einen 13,56-MHz-RFID-Chip (oben rechts eingebettet), auf dem die Personal- und die biometrischen Daten (Lichtbild sowie optional zwei Fingerabdrücke) liegen. Weil die Ausweise zehn Jahre lang gelten, hat spätestens seit 2020 jeder Bundesbürger einen.

Doch Achtung: Unglücklicherweise verwenden viele Quellen quasi umgangssprachlich das Kürzel ePA für den nPA. Hier besteht Verwechslungsgefahr mit der elektronischen Patientenakte ePA, quasi der digitalen Gesundheitsakte der Krankenversicherungen [2]. Und damit man sich nicht zu leicht tut, gibt es auch noch eine Smart-eID [3] als Konzept, die estnische Smart-ID [4] als Produkt und ein digitales Wallet der EU (EDIW [5]). Richtig kompliziert wird es aber, wenn ein nPA als Smart-eID im EU-Wallet landet. In der Theorie funktioniert das zwar, bringt aber ebenso Gefahren und Gelüste der Wirtschaft mit sich. Die Tabelle “Abkürzungen im Text” soll hier als Glossar dienen.

Digitale Identität

Eine elektronische Identität (eID [6]) weist die Identität eines Menschen, einer Organisation oder einer Firma nach oder aber nur einzelne Features, normalerweise mithilfe von Kryptografie. Das Konzept des nPA setzt dabei auf die Möglichkeit, dass zertifizierte Stellen einzelne Features abfragen können. Datensparsamkeit steht dabei an oberster Stelle. Dabei werden für gewöhnlich ausschließlich Fakten wie die Volljährigkeit und die Gültigkeit des Ausweises übertragen.

Im Idealfall sollen so beispielsweise Unternehmen staatliche Fördermittel und Hilfen beantragen oder Steuerangelegenheiten regeln können. Ganz generell soll die eID helfen, staatliche Dienste unkompliziert für Bürger und Unternehmen bereitzustellen. Das klappt idealerweise ohne Behördenbesuch rein via Internet und schließt auch die Authentifizierung für Bezahlvorgänge und mehr ein. Auf verschiedenen Sicherheitsniveaus (normal, substanziell, hoch; im einfachsten Fall mit Login und Passwort, besser mit starker Mulitifaktorauthentifizierung) lassen sich unterschiedlichste Dienste erledigen. Das digitale Signieren elektronischer Dokumente gehört zu den wünschenswerten Optionen.

eIDs lassen sich in RFID-Chips (Radio Frequency Identification) speichern und mit NFC-Technologie (Near Field Communication) übertragen. NFC beschränkt sich nicht auf Karten und Ausweisdokumente, sondern kann auch über Implantate (Abbildung 1) oder Schmuckstücke wie Ringe oder Armbänder erfolgen. Als Quasi-Nachfolger von RFID ist NFC heute omnipräsent, wobei Banken und Geldinstitute einen Vorsprung vorweisen können: Viele Menschen haben mehrere Kreditkarten im Geldbeutel.

Abbildung 1: Diverse Mikrochips als Implantate in einer Hand – schon heute kann man auf diesem Weg einigermaßen sicher bezahlen, sind sich Fans der Technologie einig. Quelle: LordSethos, CC BY-SA 4.0, Wikipedia.org

Das kontaktlose Bezahlen mit dem Smartphone und NFC im Supermarkt folgt ebenso diesem Modell (nicht zu verwechseln mit dem Einstecken oder Durchziehen, bei dem der Kartenleser den sichtbaren Chip oder den Magnetstreifen liest). Im europäischen Ausland sind die Kreditinstitute da stark eingebunden: In Skandinavien können Bürger eine eID sogar bei der Bank beantragen. Obwohl die Bankkarten zum Beispiel am Zigarettenautomat oder auf der Porno-Webseite ebenfalls der Authentifizierung dienen können, gelten sie ohne staatliche Zertifizierung der Ausgabestelle prinzipiell nicht als elektronische Ausweise (EIC, Electronic Identification Card).

Eine EIC dient zum Speichern einer eID. Von einem digitalen Ausweisdokument spricht man aber nur, wenn der Staat sie ausgegeben hat. Innerhalb eines Pilotprojekts erprobt der Bund momentan schon das Speichern der Smart-eID auf der Telefon-SIM.

Paypal mit dem Ausweis

Aufgrund der kryptografischen Natur der eID lassen sich Ableitungen der eID als Smart-eIDs in Smartphones, Apps oder digitalen Wallets speichern. Das öffnet allerdings bei falschem Einsatz dem Missbrauch und der Profilbildung Tür und Tor. In Wallets (Brieftaschen) lassen sich künftig mehrere Ausweisdokumente parallel ablegen, neben dem e-Perso beispielsweise e-Führerschein, e-Impfpass, e-Schülerausweis oder der e-Fischereischein.

Manche Politiker und Lobbyisten möchten obendrein die Wirtschaft einbinden und Bonusprogramme wie Payback abrufbar machen, wie in Estland bereits heute. Sicherheitsexperten hingegen mahnen, der Zugriff müsse streng reguliert bleiben, sonst blieben Datenschutz und Sicherheit auf der Strecke. Katastrophale überhastete Veröffentlichungen wie die ID-Wallet von 2021 [7] leisten zusätzlich ihren Beitrag, das besonders in Deutschland heikle Thema in der Öffentlichkeit zu verbrennen.

Der größte Kritikpunkt an den Plänen zur elektronischen Brieftasche lautet dabei, dass sich bei der Identifizierung mit Wallet weit mehr Daten erfassen lassen, als notwendig wären, was eine Profilbildung ermöglicht. Im Gegensatz dazu wird beim neuen Personalausweis (auch als reine e-ID) lediglich eine Identität oder eine Einzelinfo zur Person bestätigt. Das passt konzeptionell ohnehin besser in moderne Zero-Trust-Modelle (siehe Artikel zum Thema in diesem Schwerpunkt).

Profilbildung

Anders sieht es bei der Smart-eID aus. Anke Domscheit-Berg (Die Linke), Obfrau der Linksfraktion im Digitalausschuss des Bundestags, erklärt: “Wenn eine Smart-eID eine verifizierbare ID an Dritte gibt oder die Profilbildung ermöglichen sollte, ist das nicht akzeptabel. Das lädt ja gerade zur Profilbildung ein! Und was, wenn die Smart-ID einmal kompromittiert ist? Dann ist die ID weg, und zwar für immer.” Domscheit-Berg führt weiter aus: “Bei der ID-Wallet hingegen muss das nicht grundsätzlich so sein. Rein theoretisch könnte dort auch der nPA hinterlegt sein, der bei Benutzung ja gerade nicht die ID-Daten überträgt, sondern nur Identitäten oder einzelne Fakten bestätigt.”

Die Innovationskraft der Werbewirtschaft ist legendär. Niemand wundert sich mehr, wenn man nach dem Kauf von Schlafzimmermöbeln (mit Karte bezahlt, bei der Unterschrift der Datenverwendung zugestimmt) nur wenig später von Amazon passende Bettwäsche angeboten bekommt. Im Browser kennen Experten die Profilbildung unter Begriffen wie Canvas Tracking, Cross Device Marketing und mehr.

Gerangel um den nPA

Wenn der nPA – auch als Smart-eID – so gut ist, warum nutzt ihn denn kaum jemand? Das, behaupten Experten aus Politik und Verwaltung unisono, liege hauptsächlich an zwei Gründen: Es fehle an der Akzeptanz und am Marketing – ein Teufelskreis.

Dem aktuellen E-Government-Monitor 2023 der Initiative D21 zufolge nutzen nur 14 Prozent den nPA. Eine PwC-Studie im Auftrag des Innenministeriums zeichnet noch ein schlechteres Bild: Obwohl über 70 Prozent der Bundesbürger die Online-Ausweisfunktion kennen, machen nur 7 Prozent Gebrauch davon. Es mangelt vor allem an der Information: Ebenfalls nur 7 Prozent der Befragten entscheiden sich aktiv gegen die Nutzung.

Rund um die digitale Identität bundesdeutscher und europäischer Bürger gibt es seit Längerem einen massiven Streit zwischen vier Ministerien aus drei Parteien. Der treibt teils amüsante Blüten, wie sich in Domscheit-Bergs Video-Podcast und in vielen Folgen des E-Government-Podcasts von Torsten Frenzel nachvollziehen lässt.

Kurz zusammengefasst: Die FDP (Digitalministerium) will die Smart-eID nach estländischem Vorbild, die SPD (Innenministerium) den nPA, und die Grünen (Wirtschaftsministerium) kämpfen mit dem Erbe der Vorgängerregierung, dem “Schaufenster Digitale Identitäten” [7]. Das Kanzleramt hat wieder eigene Vorstellungen, lässt laut Insidern aber jegliche Führungsqualität vermissen. Von der EU kommen die eIDAS-Verordnung [8] (bald in Version 2) und die European Digital Identity Wallet (EDIW [5]).

eIDAS2 ist das aktuelle Schlachtfeld für Lobbyisten. Zwar wurde nie eine erste Version verabschiedet, aber die zweite ist schon massiv umkämpft. Kurz vor Redaktionsschluss dieser Ausgabe im Spätherbst 2023 kam es erst zu merkwürdigen Ankündigungen und in der Folge zu einer warnenden Unterschriftenaktion Hunderter Sicherheitsexperten und Datenschützer aus ganz Europa [9]. Die wollen beispielsweise erhebliche Einschränkungen und Vorschriften für Webbrowser durchsetzen (Abbildung 2).

Abbildung 2: Der aktuelle Entwurf des Artikel 45, Absatz 2 der eIDAS-Verordnung sieht gravierende Eingriffe im Webbrowser vor.

Europaparlamentarier und Datenschutzexperte Patrick Breyer (Piraten) wundert sich: “Schon dass die aktuelle [zweite] Überarbeitung der eIDAS-Verordnung vorgestellt wurde, noch bevor die erste Fassung überhaupt evaluiert worden war, ist auffällig. Und die EDIW, die verpflichtende Anerkennung von Webseiten-Zertifikaten (QWACS [10]) durch Internet-Browser und die Einbeziehung von Electronic Ledgers sowie Electronic Archiving Services in eIDAS wirken eher wie Produkte, für die ein Markt aufgebaut werden soll. Für die EDIW ist immerhin gesetzlich festgelegt, dass die Nutzung der elektronischen Signatur für die private Anwendung kostenlos bleiben muss.” Den aktuellen Diskussionsstatus im BMI (“Konsultationsprozess”) können Interessierte quasi live mitverfolgen [11].

Was für den Erfolg fehlt

Zwar lassen sich alle Lösungen mit den Vorgaben der EU integrieren, doch scheiden sich die Geister besonders bei der Sicherheit und der Möglichkeit für die Privatwirtschaft, die Daten in Geschäftsmodelle einzubinden. Ergänzend lassen sich eine gehörige Portion “not invented here” und Machtgerangel ausmachen. Die FDP möchte digitale Identitäten auch für den Markt öffnen, die SPD beharrt auf dem nPA.

Für die dringend notwendige Aufklärung der Bürger über Technologie, Sicherheit, Funktionsumfang und Konzepte fehlen offensichtlich Geld und politischer Wille. Dazu kommen Probleme wie die Diskussion um Haushalte, die nicht dem Koalitionsvertrag entsprechen, und eine eigentlich ausgereift Smart-eID, die bloß auf ihre Umsetzung wartet. Wirklich ungünstig, dass das mit 40 Millionen Euro allein ebenso viel kostet, wie der Haushalt 2024 für das ganze Thema e-ID vorsieht – von nPA bis zu ID-Wallets.

Zirkelschluss

Beim nPA – seit 13 Jahren fertig, in jeder deutschen Brieftasche vorhanden – fehlt es dagegen vor allem am besagten Marketing. In einem langen Artikel des Digitalservice [12] erklären die Autorinnen detailliert, woran es hapert: “Eines der fälschungssichersten Ausweisdokumente mit Online-Ausweisfunktion (…), war [der nPA] seinerzeit wegweisend und ermöglicht die elektronische Identifizierung und Authentisierung. Dennoch nutzen die Menschen in Deutschland ihre staatliche digitale Identität noch immer weniger als in anderen Ländern.”

Als zentrales Problem identifizieren die Autorinnen die fehlende Bekanntheit. Anbieter sehen von eID-Funktionen ab, weil niemand sie einsetzt. Das ließe sich durchaus ändern, wie ein Blick über den Tellerrand zeigt. Wer etwa aus Deutschland nach Norwegen auswandert, nimmt meist ausschließlich am Anfang direkten Kontakt zu Behörden auf, der Rest läuft digital. Im föderal aufgebauten Dänemark gibt es eine Digitalagentur, die Experten als Vorbild bezeichnen. 350 Mitarbeiter zählt die Agentur, es gibt eine App und eine e-ID. Kooperationen mit Banken halfen, die kritische Masse für die Akzeptanz zu erreichen. Es fällt schwer zu glauben, dass die mangelnde Akzeptanz in Deutschland nur an der ausgeprägten Sensibilität der Bevölkerung liegt.

Mit dem Online-Zugangsgesetz (OZG) möchte der deutsche Staat in die richtige Richtung gehen. Fortschritte muss man jedoch mit der Lupe suchen, auch in der revidierten zweiten Fassung des Gesetzes. Bei Projekten wie der Bund-ID [13] oder dem Registermodernisierungsgesetz [14] stehen Datenschützern ob der weitgehend unkontrollierten Zugriffen durch Behörden auf die zentral gespeicherten Daten die Haare zu Berge. “Meine Forderungen waren immer: Es darf keine eindeutige Personenkennziffer vergeben werden müssen. Bürgerdaten sollten dezentral im eigenen Gerät gespeichert werden, nicht in Staatsdatenbanken”, erklärt Patrick Breyer dazu.

Usability und Lobbykriege

Offensichtlich liegen alle Optionen und Fakten auf dem Tisch. Es bedürfte nur etwas Führung und einer Entscheidung, wie sich die Umsetzung im Detail gestalten soll. Der sichere nPA ist da, bewährt und lässt sich für vielerlei Dienste datenschutzkonform einsetzen. Weniger Sicherheit, dafür mehr Nutzerfreundlichkeit und vielleicht mehr Akzeptanz trotz weniger Datenschutz enthalten die Smart-eID-Konzepte. Hier streitet man sich über Details, beispielsweise wie häufig man den Personalausweis mit einer App synchronisieren müsste. Je öfter der Anwender sich so an seiner App mit dem nPA authentifiziert, desto sicherer; je seltener, desto komfortabler.

Das Ziel der Wallets besteht darin, so unkompliziert zu funktionieren wie das Bezahlen via RFC mit Handy oder Karte. Bei der Wirtschaft stehen derart “marktfreundliche” Lösungen ganz oben auf der Wunschliste. Bürgerrechts- und Open-Source-Lobbyisten monieren dagegen, dass Use-Case-offene Systeme ganz grundsätzlich unangebracht seien. Niemals dürften Unternehmen und schon gar nicht soziale Netzwerke ID-Wallets zwingend vorschreiben. Der Entscheidungsspielraum müsse rechtlich geregelt sein und dürfe nicht Unternehmen überlassen werden, erklärt die Plattform für Grundrechtspolitik Epicenter.works im Artikel “Orwells Wallet: Das elektronische Identifizierungssystem der EU führt uns direkt in den Überwachungskapitalismus” [15]. Die Bedenken, die Pläne könnten dem Datenabfluss an Unternehmen Tür und Tor öffnen, hörte der Autor bei der Recherche häufig.

Für den nPA hat der Bund eine Ausweis-App [16] veröffentlicht (Abbildung 3). Freie Software könnte jedoch ebenso von Smart-ID und EDIW profitieren. Die Smart-ID kommt seit Jahren in Estland zum Einsatz und funktioniert beispielsweise zudem in Telefonen ohne SIM-Karte. Geräte mit Smart-eID können qualifizierte elektronische Signaturen erstellen, nutzen PKI sowie Multifaktorauthentifizierung und unterstützen biometrische Funktionen. Sicherheitsexperten runzeln zwar die Stirn, wenn die “Multifaktor”-Authentifizierung auf ein und demselben Gerät stattfindet, doch die Anwender und Anwenderinnen erfreuen sich an der immanenten Usability. Die verspricht richtig angewandt immer noch mehr Sicherheit, als nur einen Faktor zu verwenden.

Abbildung 3: Seit vielen Jahren können Bürger die AusweisApp2 nutzen, um mit dem elektronischen Personalausweis nPA diverse (aber wenige) Dienste in Anspruch zu nehmen. Neuerdings klappt das per Open Source.

Auf zu Apple und Google

Obgleich die deutsche Smart-eID vollständig entwickelt ist, scheitert sie bislang. Eine Marktdurchdringung setzt darüber hinaus noch mehr Geräte voraus. Derzeit funktioniert die Smart-eID nur mit Hardware-Security-Modulen (HSM [17]), wie sie ausschließlich in den teuren Top-Modellen von Samsungs S-Serie (S20) verbaut sind – dann allerdings mit EAL6+-Zertifizierung.

Die Hoffnung, mit eIDAS2 und dem Druck des europäischen Markts Apple und Google zur Kooperation zu bewegen, so in deren sichere Enklaven zu gelangen und damit eine weitaus größere Anzahl von Smartphones zu unterstützen, geht mit großen Abstrichen hinsichtlich digitaler Souveränität einher. Bis dahin steht die Smart-eID nur Bürgern mit dicker Brieftasche auf mobilen Geräten zur Verfügung.

Beim Wallet gestaltet sich die Lage ein wenig besser. Dem pflichtet der Europaabgeordnete Patrick Breyer bei: “Deutschland war und ist mit dem nPA sicherlich wegweisend in Bezug auf Sicherheit, Datenschutz und auch die Open-Source-Lizenzierung. Bei der EDIW ist die Open-Source-Lizenzierung der Wallet-Versionen den Mitgliedsstaaten zwar empfohlen, aber letztlich freigestellt. Von Deutschland erwarten wir selbstverständlich, dass die nationale Umsetzung unter einer freien Lizenz stehen wird.”

Dennoch bleiben da viele Fragen offen. Die Security-Expertin Bianca Kastl möchte zum Beispiel wissen, wer die Wallets zur Verfügung stellen soll – die Bundesdruckerei habe sich da noch nicht positiv hervorgetan. Die Open-Source-Strategie, weg von proprietärer Hardware und Blockchain, sei richtig: So könnten gegebenenfalls mehrere Firmen anhand einer OSS-Referenzimplementierung konkurrierende Produkte bereitstellen. Auf diesem Weg klappe dann vielleicht sogar das sonst kostspielige Offline-Signieren.

Open Source: AusweisApp2

Die AusweisApp2 genießt heute schon Vorbildcharakter, trotz ihres Namens, ungeachtet ihres erklecklichen Alters und obwohl es noch immer nur eine überschaubare Anzahl von Anwendungen gibt. Im Test erscheint die Benutzerführung einfach und klar.

Inzwischen ist die App als Open Source unter der EUPL 1.2 herunterzuladen und funktioniert auf allen gängigen Smartphones. Ausgenommen sind unabhängige Geräte wie Fairphones oder solche mit Custom-ROMs, vermutlich bleibt bei gerooteten Geräten ebenfalls nur der Griff zum Kartenleser.

Der Hersteller Governikus stellt umfangreiche Entwickleroptionen (für Windows und Mac) sowie Dokumentation bereit, darunter ein PDF zur Integration der AusweisApp2 in Firmennetzwerke. Zahlreiche Videos demonstrieren, wie sich Anwender mit der App und dem nPA ausweisen können. Die Community-Editionen finden sich auf Github [18], inklusive Repositories für alle gängigen Betriebssysteme.

Damit das digitale Ausweisen klappt, müssen Anwender lediglich die entsprechende Funktion ihres nPA aktivieren, was mittlerweile von der App aus erfolgt. Videos auf der Webseite erklären, wie Bürger damit beispielsweise von zu Hause ein Führungszeugnis beantragen können.

Fazit

Deutschland hat mit dem nPA vorbildliche Grundlagenarbeit geleistet, es aber versäumt, mit Werbung und Aufklärung den Erfolg zu den Bürgern zu tragen. Als Ergebnis steht inzwischen eine Lobbyschlacht an, die Grundrechte gefährdet und nicht die optimalen Technologien in Smartphones bringt, schlimmstenfalls, weil sich einige Konzerne massive Gewinne davon versprechen. Die “Orwellsche Brieftasche”, die Epicenter.works schon 2022 befürchtete, könnte schneller Realität werden, als man denkt. (csi)