Digitale Identität: “‘Mobile’ stand sicher nicht im Zentrum der nPA-Strategie” – Martin Schallbruch
Martin Schallbruch
Unter der Federführung von Martin Schallbruch wurden von 2002 bis 2016 neben der „Digitalen Agenda“ auch die IT- und die CyberSicherheitspolitik der Bundesregierung entwickelt. Ihm unterstanden das Bundesamt für Sicherheit in der Informationstechnik in Bonn und die Bundesstelle für Informationstechnik in Köln. Daneben oblag ihm die Fachaufsicht über die Informationstechnik von Behörden wie dem Bundeskriminalamt oder der Bundespolizei. Schallbruch war auch Mitglied des Nationalen Krisenstabes und regelmäßig mit europäischen Gesetzesvorhaben und Projekten im Bereich der Informationstechnik befasst. Sein Buch „Schwacher Staat im Netz“ ist eine lesenswerte systematische Aufarbeitung der Probleme des Staates im Umgang mit dem Internet. Martin Schallbruch stellte sich unseren Fragen zur digitalen Identität und dem elektronischen Personalausweis (nPA).
von Rudolf Linsenbarth
Herr Schallbruch, Sie haben die Entwicklung und Markteinführung des neuen Personalausweises (nPA) über viele Jahre begleitet. Was denken Sie, wenn heute das Haupteinsatzfeld für die Fernidentifikation, eine Sichtprüfung per Video Ident ist?
Einerseits ärgert mich das, weil das Video-Ident-Verfahren nicht ansatzweise so sicher ist wie der elektronische Identitätsnachweis des Personalausweises.
Andererseits zeigt der Erfolg einer solchen unsicheren Fernidentifizierung, dass wir bei digitalen Identitäten nicht nur hohe Sicherheit, sondern auch leichte Benutzbarkeit beachten müssen.”
Was hätte man beim neuen Personalausweis anders machen müssen, damit wir beim nPA von einer Erfolgsgeschichte sprechen würden?
Der Personalausweis hätte wie jedes komplizierte neue Produkt eine aufwändige Einführungskampagne benötigt und gleichzeitig Anreize zur Nutzung, zum Beispiel finanzielle Erleichterungen.
Daneben hätten wir ein weniger aufwändiges Sicherheitskonzept und mehr Usability durchsetzen müssen.”
Beispielsweise dauert die Durchführung der Sicherheitsmechanismen bei der Nutzung einfach zu lange für viele Anwendungsszenarien.
Martin Schallbruch studierte Informatik sowie Rechtswissenschaft und Soziologie an der TU Berlin. Von 1998 bis 2016 arbeitete er im Bundesinnenministerium zuletzt als Abteilungsleiter für Informationstechnik, Digitale Gesellschaft und Cyber-Sicherheit. 2016 wechselte Martin Schallbruch an die European School for Management and Technology (ESMT) in Berlin – als Senior Researcher für Cyber Innovation and Cyber Regulation sowie Deputy Director of the Digital Society Institute (DSI).Wurden im Vorfeld eigentlich die Konzepte anderer Länder betrachtet? Da gibt es einige, die sehr viel früher gestartet sind und eine wesentlich größerer Durchdringung in der Nutzung haben.
Natürlich wurde das genau betrachtet. Das Grobkonzept des nPA setzt sich mit den Erfahrungen anderer Länder detailliert auseinander. Gleichwohl war politisch in Deutschland eine Lösung gewünscht, die höhere Sicherheit – und damit höhere Komplexität – aufweist, als alle damals existierenden Lösungen – zu Lasten einer höheren Marktdurchdringung.
Der Funktionsumfang des nPA im Auslieferungszustand ist extrem übersichtlich. Während man mit der österreichischen Bürgerkarte auch Ver-und Entschlüsseln, Verifizieren und Signieren kann, gibt es beim nPA nur die Signaturmöglichkeit, und dass auch nur nach Kauf eines zusätzlichen Zertifikates. Ist das ein Zugeständnis an die Industrie, hier nicht in deren Geschäftsfelder einzubrechen?
Ja, der Staat wollte sich auf den (kleinen) hoheitlichen Kern der Identifizierung beschränken und den Anbietern von Vertrauensdiensten keine Konkurrenz machen.”
Der nPA ist insgesamt ja nicht gerade ein Senkrechtstarter, aber die Nutzung der qualifizierten elektronischen Signatur qeS ist desaströs! Geben Sie dem Produkt noch eine Chance, oder wird es durch die gerade aufkommende Fernsignatur ersetzt werden?
Ich persönlich sehe den nPA heute und zukünftig nicht als den geborenen Träger der qeS, schon auch wegen der Europäisierung des Marktes. Die Identitätsfunktion des nPA, derzeit immerhin das einzige europäisch notifizierte Identifizierungssystem für höchste Anforderungen, halte ich hingegen weiterhin für zukunftsfähig.
Die BELPIC (Belgian Personal Identity Card) arbeitet mit Zertifikaten nach dem weit verbreiteten Industriestandard X.509. Damit gibt es für Belgien eine Lösung, die Verimi & Co. gerade mühsam aufbauen wollen. Warum brauchte es beim nPA einen deutschen Sonderweg und wenn ja, wurde der nicht auf seine Anwendbarkeit untersucht?
In Deutschland wurde die Einführung des nPA sehr stark unter Sicherheitsgesichtspunkten diskutiert. Die vorhandenen internationalen Lösungen wurden zum Zeitpunkt der nPA-Einführung gründlich untersucht, wiesen in Sicherheits- und Datenschutzfragen aber allesamt deutliche Nachteile auf – auch die belgische Lösung. Das wäre in Deutschland nicht durchsetzbar gewesen.
Rudolf Linsenbarth beschäftigt sich mit Mobile Payment, NFC, Kundenbindung und digitaler Identität. Er ist seit über 15 Jahren in den Bereichen Banken, Consulting, IT und Handel tätig. Linsenbarth ist profilierter Blogger der Finanzszene und kommentiert bei Twitter unter @holimuk die aktuellen Entwicklungen. Alle Beiträge schreibt Rudolf Linsenbarth im eigenen Namen.Sehen Sie für den nPA noch eine Chance in der digitalen Wirtschaft oder bleibt es ein Produkt für hoheitliche Aufgaben des digitalen Staates?
Ich sehe für einen weiterentwickelten nPA Chancen in beiden Bereichen, jedoch wie gesagt mehr im Bereich der Identifizierung als der Signatur.
Wir brauchen eine verlässliche Identifizierung im Alltag – wie sie beispielsweise Verimi unternehmensübergreifend anbietet.”
Wir brauchen aber auch eine verlässliche Identifizierung für besondere Fälle, von der Kontoeröffnung bis zu bestimmten Verwaltungsleistungen. Hierfür müssen alle Anbieter, auch Plattformen wie Verimi oder die Servicekonten der öffentlichen Verwaltung, auf ein besonderes vertrauenswürdiges digitales Identifizierungsmittel zurückgreifen können. Das wird der Personalausweis sein.
Obwohl der nPA von Haus aus die NFC Schnittstelle unterstützt, hat es sieben Jahre gedauert, bis man die Probleme mit extended Length APDU in den Griff bekommen hat. Am iPhone funktioniert der nPA immer noch nicht! Gab es im Vorfeld keine Gespräche mit den Geräteherstellern im Allgemeinen und Apple im Besonderen, oder hat man die Bedeutung von Mobile schlicht unterschätzt?
‘Mobile’ stand sicher nicht im Zentrum der nPA-Strategie.”
Das Gesetz zur Einführung wurde 2007/2008 entwickelt, da war das iPhone gerade erst auf dem Markt! Apple war zudem immer noch (und ist es bis heute) sehr zugeknöpft im Hinblick auf seine Plattform.
In ihrem Buch „Schwacher Start im Netz“ bedauern Sie, dass der nPA kein eindeutiges Personenmerkmal enthält. Das führt dazu, dass eine Person, die z.B. auf Grund einer Heirat den Namen wechselt oder ihren Wohnort ändert und gleichzeitig einen neuen nPA erhält, auch ihre digitale Identität verliert. Wie schätzen Sie die Chancen ein, dass hier noch einmal nachgearbeitet wird?
Ich bin zuversichtlich, dass wir hier zu einer Weiterentwicklung kommen, weil die Bürgerinnen und Bürger zunehmend behördenübergreifende Verwaltungsangebote erwarten, etwa die gleichzeitige Beantragung von Kinder- und Elterngeld nach einer Geburt. Das geht nur mit übergreifenden Identitätsmerkmalen. Auch die EU fordert von den Mitgliedsstaaten das Prinzip „Once Only“, also die nur einmalige Erfassung von Daten und anschließende Weitergabe innerhalb der Behördenwelt ohne Neuerhebung bei den Betroffenen. Der Normenkontrollrat hat in einem Gutachten gezeigt, dass ein solches übergreifendes Identitätsmerkmal datenschutzkonform machbar ist. Insofern ist die Debatte hier in Bewegung.
In anderen Ländern akzeptiert der Start nicht nur die von ihm herausgegebenen Dokumente für die Authentifizierung und Identifizierung. Bei der österreichischen Bürgerkarte reicht das von der elektronischen Gesundheitskarte bis zum Smartphone. In Schweden ist die BankID sogar per eIDAS Notifizierung das offizielle Internet Ausweis-Dokument. Wäre so etwas auch ein Modell für Deutschland?
Ja, natürlich. Angesichts der vielen Identifizierungsvorgänge, die wir alle tagtäglich am Smartphone gegenüber privaten Anbietern durchführen und deren Integration durch ID-Anbieter, wäre es ein Fehler, wenn der Staat hier eigene Sondersysteme unterhält, die niemals die Marktdurchdringung erreichen wie die privaten Systeme.
Bei nur ganz wenigen Verwaltungsvorgängen pro Jahr ist eine eigenständige „Behördenidentifizierung“ zum Scheitern verurteilt. Die Behörden sollten lieber mit ihren Leistungen vertrauenswürdige private Lösungen wie Verimi unterstützen, bevor sich die Facebook-ID als Standard durchsetzt.”
Denken Sie, dass die Blockchain einen Beitrag zur digitalen Identität liefern kann?
Einen Beitrag wird die Technologie der Distributed Ledger liefern können, sie löst aber das Problem einer sicheren und einfach nutzbaren Identifizierung im Kern nicht. Zudem sind die gebräuchlichen Implementierungen der Blockchain mit eigenen Problemen behaftet, etwa der Skalierbarkeit, der Governance oder vor allem auch des Datenschutzes.
Herr Schallbruch, vielen herzlichen Dank für das gute Gespräch!Rudolf Linsenbarth
Sie finden diesen Artikel im Internet auf der Website:
https://itfm.link/72166
Schreiben Sie einen Kommentar