Bank-Verlag im Interview: eID wird zukünftig eine größere Rolle spielen

Der Bank-Verlag (100% Tochter des BdB) ist das Service-Unternehmen der privaten Banken. Neu hinzugekommen sind nun Dienstleistungen aus dem Bereich der digitalen Identität. Rudolf Linsenbarth hat Hans-Peter Kraus (Bereichsleiter PM Security & Trusted Service) und Alexander Esser (Abteilungsleiter Produktmanagement Vertrauensdienste im Bereich Security & Trusted Services) nach Plänen, Services und Zukunftsaussichten befragt.

Herr Kraus, können Sie einmal die Aktivitäten des Bank-Verlags im Bereich Identifizierung, Authentifizierung und Vertrauensdienste umreißen?

Der Bank-Verlag bietet bereits seit Jahren technische Unterstützung bei der Digitalisierung von Geschäftsprozessen rund um die Authentifizierung, Signierung und Autorisierung. Neu hinzugekommen sind vor allem Lösungen basierend auf der eIDAS-Verordnung. Aktuell sind dies konkret qualifizierte elektronische Signaturen, qualifizierte elektronische Siegel, PSD2-Zertifikate und eID-Services (eID steht für die elektronische Identifikation und beschreibt eine digitale Passlösung zum Nachweis der Identität eines Bürgers oder einer Organisation). Diese Komponenten können flexibel und hochskalierbar über APIs europaweit eingebunden werden.

Darüber hinaus betreibt der Bank-Verlag ebenfalls schon seit vielen Jahren eine Authentifizierungsplattform, die sämtliche gängigen Verfahren – von der einfachen PIN-Prüfung bis zu modernsten, App-basierten 2-Faktor-Authentifikation – bereitstellt und über eine API nutzbar macht. Mit der neu hinzugekommenen Lösung zur Identifizierung mit dem elektronischen Personalausweis und der Zulassung des Bank-Verlags als Vertrauensdiensteanbieter für qualifizierte elektronische Signaturen, qualifizierte elektronische Siegel und Website-Zertifikate wird daraus ein kompletter Baukasten zur vollständigen Digitalisierung von Geschäftsprozessen bis zum rechtsverbindlichen Abschluss. All diese Anwendungsfälle sind nicht nur massentauglich, sondern entsprechen zudem auch den hohen Compliance-Anforderungen des Bankgewerbes, auch im Betrieb. Der Bank-Verlag unterstützt damit auch die Verwirklichung des digitalen Binnenmarkts und stärkt so das Vertrauen in sichere digitale Infrastrukturen.

Welche Strategie verfolgt der Bank-Verlag damit?

Aufgrund der Eigentümerschaft des Bank-Verlags besteht eine besondere Vertrauensbeziehung zur Bankenbranche – auch wenn man Leistungen für andere Industrien erbringt. Der Bank-Verlag bietet hier technische Lösungen für regulatorischen Zwänge oder neue Marktherausforderungen.

Bei unseren neuen Lösungen geht es insbesondere darum, das Datengeschäft in einer Open Data / Banking Economy zu sichern und die direkte Kundenschnittstelle den Banken zu erhalten.”

Für Ihr Identifizierungsprodukt BVident setzen Sie auf den eID-Server von Governikus aus Bremen. Bei welchen Anwendungsfällen kommt der zum Einsatz?

Aus Sicht des Vertrauensdiensteanbieters ist natürlich die Online-Identifizierung mit der eID für die Ausstellung von qualifizierten elektronischen Signaturen ein wesentlicher Anwendungsbereich, da das Verfahren aufgrund seiner Skalierbarkeit erhebliche – vor allem kaufmännische – Vorteile gegenüber dem derzeit weit verbreiteten VideoIdent-Verfahren bietet.

Aber auch die Vor-Ort-Identifizierung mit der eID ist ein Anwendungsfall, hier liegen die Vorteile im Wesentlichen in der Effizienz und der Fehlerreduktion. Weitere Anwendungsfälle sind z.B. die Re-Identifizierung oder auch die Wiederherstellung von Zugangsdaten für sensible Anwendungen (wie z.B. für das Online-Banking).

Herr Esser, für die Identifizierung, egal ob im Bereich KYC/GwG oder auch eIDAS Vertrauensdienste, ist in Deutschland immer noch VideoIdent das meist verwendete Verfahren, da viele Bürger ihre Ausweis-PIN nicht kennen. Wie decken Sie diesen Bereich ab?

Beim Aufbau seiner Vertrauensdienste hat der Bank-Verlag insbesondere berücksichtigt, sowohl die technische Lösung als auch das Konzept der Zulassung so modular wie möglich zu gestalten. Im Ergebnis ist die Nutzung von Lösungen Dritter, wie z.B. von VideoIdent-Anbietern, relativ einfach in die bestehenden, zugelassenen Vertrauensdienste integrierbar.

Für Komponenten, die nicht Teil unseres eigenen Lösungsportfolios sind, arbeiten wir mit ausgesuchten Partnern zusammen – so auch hier. Falls ein Kunde bereits bestehende Lösungen in Betrieb hat, lassen sich diese natürlich ebenfalls verwenden.

Warum war es Ihnen so wichtig, das Thema Identifizierung durch den Aufbau eines eigenen eID-Servers abzubilden?

Wie bereits erwähnt, ist die eID die „offizielle“ digitale Identifizierungsmöglichkeit – in der analogen wie der digitalen Welt – mittlerweile auch notifiziert in Europa. Eine skalierbare, zeit- und ortsunabhängige Lösung, die uns neue und innovative Angebote ermöglicht.

Aktuell ist die eID das einzige Verfahren, das das Identifizierungsniveau „hoch“ erreicht und gleichzeitig gut skalierbar ist.”

Daher gehen wir davon aus, dass die eID zukünftig eine größere Rolle spielen wird. Dieses Verfahren im eigenen Haus aufzubauen, ermöglicht es dem Bank-Verlag, seinen Kunden noch einfacher den Zugang zu Vertrauensdiensten zu ermöglichen.

Dienste für Banken im Bereich der Starken Kundenauthentifizierung bietet Ihre Authentifizierungsplattform BV Secure. Gibt es dort auch eine Vernetzung in Richtung Identifikation und papierloses Onboarding bzw. ist so etwas geplant?

Unsere Produkte sind häufig wie in einem Baukastensystem kombinierbar, um gesamthafte Prozesse abzubilden. Dementsprechend haben wir z.B. genau eine solche Kombination angeboten. Derzeit kombinieren die Kunden jedoch regelmäßig (noch) unsere APIs mit ihren eigenen Systemen.

Der Bank-Verlag plant bei der Authentifizierung die Einbindung biometrischer Authentifizierungsverfahren wie Gesichtserkennung und Tippverhalten. Ist das auch ein Ansatz für passwortlose Authentifizierung?

Das ist die Zielrichtung. Bei der Weiterentwicklung unserer Services ist die Einbeziehung neuer Technologien und Verfahren ein wesentlicher Aspekt.

Die Bio­me­trie – und ins­be­son­de­re auch die Ver­hal­tens­bio­me­trie – bie­tet un­se­rer Mei­nung nach Chan­cen, die über die Ent­wick­lung von Au­then­ti­fi­zie­rungs­ver­fah­ren deut­lich hinausgehen.”

Nicht zuletzt bei Themen der Betrugserkennung im Zusammenhang mit Identitätsdiebstahl oder Transaktionsmanipulationen eröffnen solche Technologien perspektivisch neue Möglichkeiten – selbstverständlich immer unter Berücksichtigung der datenschutzrechtlichen Rahmenbedingungen.

Wie ist Ihre Einschätzung zu FIDO für die Authentifizierung im Banken-Umfeld?

Wir beobachten die Entwicklung mit Interesse, sehen ein großes Potenzial und beteiligen uns auch aktiv an Diskussionen zum Einsatz von FIDO im Banken-Umfeld.

Für BVsign, die qualifizierte elektronische Signatur, konnten Sie die Postbank und die genossenschaftliche Teambank gewinnen. Mit welchen Produkteigenschaften haben Sie hier besonders gepunktet?

Beide waren hierbei fantastische Partner in einem agilen Umsetzungsprozess. Wesentliche Produkteigenschaften für die ursprüngliche Entscheidung waren sicher die Möglichkeiten, unsere Lösung einfach und skalierbar zu integrieren, und dass wir die neuen Chancen durch die eIDAS-Verordnung voll ausnutzen – alles in und aus Deutschland.

Aus Endkundensicht wird der Prozess der Kreditvergabe in beiden Fällen deutlich vereinfacht und beschleunigt. Da kundenseitig weder eine zusätzliche Infrastruktur (wie z. B. Chipkarte, Kartenleser), noch eine aufwändige separate Identifizierung für die Signatur (wie z. B. über VideoIdent) erforderlich ist, genießt das Verfahren eine hohe Kundenakzeptanz.

Herr Kraus, als in Deutschland akkreditierter Vertrauensdienst für eine QES (Qualifizierte Elektronische Signatur) haben Sie einen strukturellen „Standortnachteil“, denn Sie dürfen die Bankidentifikation nicht als Grundlage für eine QES verwenden. Für einen Dienstleister mit einem klaren Bankenfokus besonders schmerzhaft. Wie gehen Sie damit um?

Unser Vertrauensdienst für qualifizierte elektronische Fernsignaturen (BVsign) ist der erste in Deutschland zugelassene Vertrauensdienst, der eine Identifikation auf Basis der bei der Bank vorhandenen Kontoeröffnungsdaten (Bankidentität) verwendet. Damit kann z. B. ein volldigitaler Abschluss eines Kreditvertrags ohne Medienbruch durchgeführt werden.

Der von Ihnen an­ge­spro­che­ne „Wett­be­werbs­nach­teil“ be­steht bei der dau­er­haf­ten Wie­der­ver­wen­dung ei­ner durch Vi­deo­Ident er­zeug­ten „Bank­iden­ti­tät“. Dies ist be­dau­erns­wert und wird hof­fent­lich in na­her Zu­kunft durch ein wirk­li­ches eu­ro­päi­sches Le­vel Play­ing Field ersetzt.”

Damit kann man als Bank und als Vertrauensdiensteleister aber umgehen, da es nur einen Bruchteil der Kunden betrifft, die man dann mit (notfalls revolvierenden) Einmalzertifikaten versorgen muss. Grundsätzlich würden wir uns in der Tat eine europaweit möglichst einheitliche Auslegung der aus der eIDAS-Verordnung resultierenden Anforderungen wünschen.

Neben BVident und BVsign haben Sie noch BVseal, das elektronische Fernsiegel, im Angebot. Wofür braucht eine Bank so etwas?

Das elektronische Siegel erlaubt es Unternehmen, digitale Dokumente (z. B. pdf) mit einem qualifizierten Herkunftsnachweis zu versehen. Ein naheliegender Anwendungsfall bei Banken sind Dokumente in elektronischen Mailboxen wie z. B. Kontoauszüge. Zum einen wird damit die Unveränderlichkeit dieser Dokumente sichergestellt, die das EuGH Urteil vom 25. Januar 2017 fordert, und zum anderen können die Dokumente durch die Kunden für digitale Prozesse genutzt werden. Aber es gibt noch viele andere Anwendungsfälle, die alle Branchen betreffen.

Wie sehen Sie die weitere Entwicklung der digitalen Identität? Wird der Bank-Verlag ähnlich wie auch YES in Zukunft „Bankidentitäten“ mittels Online-Zugang und elektronischer Signatur anbieten?

Sichere digitale Identitäten bilden den Ausgangspunkt für vollständig digitalisierte Geschäftsprozesse.”

Nicht zuletzt deshalb stellt die eIDAS-Verordnung hohe Anforderungen an die Identifizierung, sofern diese zur Ausstellung qualifizierter elektronischer Zertifikate verwendet werden soll.

Gleiches gilt für den Fall der Wiederverwendung vorhandener digitaler Identitäten, wie sie das Vertrauensdienstegesetz erlaubt.”

Da in der Praxis solche Identitäten an einer Vielzahl von Stellen (bei Banken, aber nicht nur dort) und auf unterschiedlichen Vertrauensniveaus vorliegen, benötigt man für die übergreifende Verwendung dieser Identitäten einen Rahmen, der die Anforderungen an die Prozesse einheitlich definiert. Initiativen wie NetID oder Lissi („Let’s initiate self-sovereign identity”) bieten die Möglichkeit, solche „Schemes“ für die Wiederverwendung von Identitäten zu schaffen. Wir arbeiten bei diesen beiden Initiativen aktiv mit und stehen für einen offenen Plattformansatz.

Welche weiteren Produkte aus dem Umfeld der digitalen Identität hat der Bank-Verlag für die Zukunft in der Pipeline?

Wir stehen für das API-Banking und sind insbesondere an einer weiteren Kombinatorik unserer Produkte untereinander oder mit Partnern interessiert, um im Bereich des Datengeschäftes den Banken und Unternehmen technisch neue Ertragsquellen zu ermöglichen.Rudolf Linsenbarth