Der im November 2010 im Rahmen der eGovernment-Bemühungen und aufkommenden Digitalisierung eingeführte Neue Personalausweis (nPA) brachte nicht nur das benutzerfreundliche Scheckkartenformat oder bessere Sicherheitsmerkmale mit, sondern auch Smart-Card-Funktionen, welche grundsätzlich in der Lage sind, den nPA als anerkanntes Identifizierungs- und Authentifizierungsmittel in elektronischen Medien breiten Nutzer- und Anbieterschichten und bei der Digitalisierung zugänglich zu machen. Es wäre damit möglich, alle heutigen Behelfskonstruktionen bei den Identifizierung und Authentisierung/Authentifizierung wie Web-Ident, Video-Identifizierung, PIN-TAN-Strukturen, 1-Cent-Überweisungs-Lösungen usw. elegant zu ersetzen. Jeder Bundesbürger und Aufenthaltsberechtigte (mit dem in diesen Funktionen gleichwertigen elektronischen Aufenthaltstitel) könnte diese Infrastruktur nutzen und Anbieter könnten einmal geschaffene Infrastrukturen kostengünstig auslasten und eCommerce zweifelsfrei authentifizieren.

Leider ist die Realität des nPA, 6 Jahre nach seiner Einführung und mit 45 Millionen ausgegebenen Exemplaren bzw. etwa der Hälfte der Internet-Benutzer, heute weit entfernt von diesen Verheißungen. Nur 28 % der Ausweis-Inhaber haben die eID-Funktion aktivieren lassen und nur 4 % das nötige Kartenlesegerät. Die Nutzung und die Anbieter, welche den nPA unterstützen, bewegen sich in homöopathischen Dosen. Dieser Beitrag will die die aktuellen Schwierigkeiten des nPA benennen und Vorschläge zur Verbesserung der Infrastruktur, Usability und Akzeptanz aufzeigen.

Schwierigkeiten des neuen Personalausweises

• Der nPA wird zunächst mit eingeschalteter eID-Funktion (Online-Ausweisfunktion) ausgeliefert, wenn der Inhaber zum Zeitpunkt der Antragstellung 16 Jahre oder älter ist. Der Inhaber kann sich aber entscheiden, ob er diese nutzen will und wenn nicht sie ausschalten zu lassen. Viele Inhaber hegen Skepsis gegen die eID-Funktion, da sie einerseits wenig Anwendungsmöglichkeiten für sie derzeit finden und weiterhin über den Funk eine unkontrollierte Weitergabe befürchten. Wesentlich dafür sind Kommunikationsprobleme und mangelnde Transparenz bei der Einführung des nPA. Mit dieser Praxis wird also eine Zweiklassengesellschaft geschaffen: nPA-Besitzer mit und ohne eID-Funktion; mit dem äußerlich gleichen Dokument.
• Weil der nPA sich gegen die zentrale Infrastruktur legitimieren muss und diese sich gegenüber ihm, um einen hohen Sicherheitsstandard zu ermöglichen, haben die Väter ihm die Ausweis-App (es gibt noch ein weiteres, auf JAVA basierendes Programm mit allerdings geringer Bedeutung) mitgegeben. Diese krankte zumindest in ihrer ersten Version hat engen Einsatzgrenzen, verwirrenden Updates und Inkompatibilitäten. Die zweite Version machte vieles besser, aber so kennt auch immer noch kein Linux als Client-Betriebssystem. Unverständlich und die Penetration bei den Verwendern sehr abträglich ist der Umstand, dass es bis heute noch keine mobile App gibt. Der dafür laufende Feldtest hat noch keine produktionsreife App hervorgebracht und die Projektteilnehmer werden häufig allein gelassen.
• Die Unterstützung durch Smartphones und mobilen Endgeräten liegt somit seit Jahren brach.
• Ein weiteres digitales Feature, die qualifizierte elektronische Signatur (QES), startete ebenfalls mit optimistischen Ankündigungen. Faktisch ist dieses Feature tot und keine ernsthafte, breitere Anwendung bekannt. Der Markt entwickelt sich zwischenzeitlich fort.
• Geradezu symptomatisch für die fehlende Akzeptanz und Penetration des nPA ist die zunehmende Anzahl von Videochat-Identifizierungsdiensten im Web. Bei diesen wird i.d.R. eine Videokonferenzverbindung (z.B. mit Skype) zwischen Kunden und Dienstleister aufgebaut, bei der dann der Kunde seinen Personalausweis vor die Kamera hält und damit einen Abgleich des Lichtbildes mit seiner Person ermöglicht. Die Freigabe an den eigentlichen eCommerce-Auftraggeber erfolgt dann per API oder sonstiger Kommunikation.
• Wie schwach das Bekenntnis der Online-Branche ist, zeigt auch die instabile und fehlerhafte Einbindung des nPA in das elektronische Dienstangebot PostID, mit dem die Post versucht gegen die aufkommenden Identifizierungsdienstleister Position zu beziehen.

Potenziale nPA

• Der nPA würde bei einer durchgängigen Verwendung in der Bevölkerung ein wesentliches Problem des heutige eCommerce elegant lösen. Für viele elektronischen Geschäfte ist ein hohes Maß an Verlässlichkeit und Sicherheit bei den erstmaligen Identifizierung von Personen erforderlich und bei einigen auch eine Authentifizierung jeder einzelnen Transaktion (z.B. Bank-, Finanzgeschäfte, Glücksspiele). Diese Geschäfte werden heute zumeist über Drittlösungen mit teils unsicherer Infrastruktur oder anfälligen oder ineffizienten Prozessen abgebildet. Die Identifikation über PostIdent mit persönlichem Erscheinen ist dafür ein typisches Beispiel. Der nPA könnte als ein Henne-Ei-Problem lösen und eine einheitliche Infrastuktur für Identifizierung, Authentisierung und Authentifizierung bereitstellen. Auf diese können dann die Dienstanbieter und Händler aufsetzen und somit Drittinfrastrukturen und Dienste wie bspw. Auskunfteien größtenteils ersetzen und Kosten sparen.
• Dabei kommt den nPA noch weiterhin zugute, dass sein Einsatz gesetzlich geregelt und legitimiert ist. Er braucht keine Gutheißung und Freigabe durch Aufsichtsbehörden wie Bafin, Medienanstalten oder KJM. Auch hat ihn jeder Bundesbürger fast immer dabei.
• Er setzt durch die aufwändige und durch das BSI zertifizierte technische Infrastruktur auch heute Standards bei der Sicherheit im Internet und bringt das Sicherheitsfeature der Zwei-Faktor-Authorisierung (Zugang durch Kombination von Wissen und Besitz) mit. Altersverfikationsprozesse werden damit elegant und einfach möglich.
• Das Potenzial des bislang kaum genutzte Feature der qualifizierten elektronischen Signatur ist vielfältig. Sie könnte die urschriftliche Unterschrift gem. § 126a BGB ersetzen. Emails oder Dateien können mit der elektronischen Signatur versehen werden und damit die Identität des Signierenden festgestellt werden. Auch ist es möglich, über das in einer elektronischen Signatur enthaltene Zertifikat, elektronische Dokumente (E-Mails, deren Anlagen, und andere Datenübertragungen etc.) für einen Empfänger stark zu verschlüsseln.

Vorschläge zur Verbesserung der Infrastruktur

Die Bemühungen das „Produkt“ nPA zu verbessern sind bei dessen Initiatoren, der Bund und seine Behörde BSI, sowie bei der begleitenden Firma Governikus eindeutig erkennbar und die Ausweis App in der Version 2.0 ist tatsächlich eine deutlicher Qualitätssprung im Vergleich zur Startversion, aber es drängt sich der Eindruck auf, dass diese Parteien sehr alleine sind. Die große Zahl der in Deutschland tätigen Firmen, für die Identifikationsdienstleistungen grundsätzlich interessant sind, hält sich nach wie sehr bedeckt. Es gibt einige wenige Beispiele aus dem privaten Bereich wie die CosmosDirekt oder die Allianz, aber auch dort spielt der nPA nur eine Nischenrolle. Staatsnahe Institutionen wie das AKDB  und deren Kunden, die Gebietskörperschaften (Gemeinden etc.), und die Deutsche Rentenversicherung, die Arbeitsagentur haben einen Anschluss an die nPA-Infrastruktur, aber auch sie verstecken das Thema mehr als das sie offensiv damit werben.

Der Grund ist schlicht die fehlende Verbreitung/Akzeptanz bei den Nutzern und Vorbehalte bei der Verwendung. Nun kann man warten, bis sich dies vielleicht irgendwann verbessert, aber das wird nicht passieren.

Zu Verbesserung der Akzeptanz dieser insgesamt begrüßenswerten sicheren Identifikationsinfrastruktur sind gezielte Maßnahmen erforderlich, welche noch nicht einmal viel Aufwand oder eine große Marketing-Kampagne erfordern, sondern pragmatisch Verbesserungspotenziale nutzen und die User Experience mit dem nPA deutlich verbessern helfen.

Quick Wins

• Es mag sicher ordnungsrechtliche Gründe dafür geben, dass Inhaber des nPA unter 16 Jahren die eID nicht aktivieren dürfen. Vor dem Hintergrund der digitalen Bildung und Verwendung erscheint aber dies widersinnig und übertrieben. Da das Geburtsdatum abgefragt werden kann, kann auch eine etwaige Volljährigkeitsprüfung bei dieser Bevölkerungsgruppe durchgeführt werden. Deshalb wäre eine erste, schnelle Verbesserung die eID standardmäßig für unter 18-jährige nPA-Inhalber zu aktivieren.
• Vor dem selben Hintergrund sollten auch denkbare ordnungsrechtliche Hindernisse zur Deaktivierung der eID-Funktion über Bord geworfen werden. Diese sollte standardmäßig und verpflichtend für jeden Inhaber aktiviert sein. Ein Missbrauch, so zeigen alle bisherigen Erfahrungen, ist nicht zu befürchten. Die 6 Euro Aktivierungsgebühr für die nachträgliche Reaktivierung sollte sich die Verwaltung dann auch verkneifen.

Wallet-Interpreter

• Eine besondere Tragik des nPA ist seine faktische Absenz von der mobilen Welt. Trotz Scheckkartengröße und Mitführungspflicht hat er es bis heute nicht auf das Smartphone geschafft! Das Drama wird noch größer, wenn man sich vor Augen hält, dass der nPA grundsätzlich NFC versteht, was aktuelle Smartphones ebenso für den Datenaustausch z.B. für mobile Payment, nutzen. Dass sich nPA und Smartphones nicht verstehen, liegt an den sehr ähnlichen, aber doch unterschiedlichen Normen ISO/IEC 14443 beim nPA und NFCIP-1 bzw. ISO/IEC 18092 bei NFS-Handys. Manchmal klappt der Verbindungsaufbau, meist jedoch nicht, weil viele Smartphones die ältere ISO/IEC 14443 nicht unterstützen. Nur Smartphones mit dem Standard ISO/IEC 21481 sind vollumfänglich zum nPA kompatibel; auch „Extended Length“ genannt.
• Da es wenig wahrscheinlich ist, dass sich global operierte Smartphone-Hersteller zur Standardänderung bewegen lassen und die eine Optimierung des nPA Richtung Unterstützung des „Command Chaining“ nach ISO/IEC 7816 zwei unterschiedliche Generationen hervorbrächte, welche die bisherige fragile Situation weiter destabilisieren würde, liegt es nahe, einen Übersetzer für diese Funktion zu suchen.
• Ein Wallet Interpreter (evtl. mit Zusatzfunktion wie One-Time-Passwort-Generator, Taschenrechner, Taschenlampe usw.) welcher die Signale des nPA aufnimmt und umsetzt, könnte zwischen den Standards vermitteln und zusätzlich als Schutzhülle für den nPA dienen.
• Sponsoren, Behörden etc. können die Ausgabe bezuschussen und ihr Branding darauf hinterlassen. Eine Vermarktung über die Give-Away-Ketten wäre somit möglich.

Boni für elektronische Ausweisfunktion

• Soweit man auf das Angebot der Deaktivierung der eID bei Ausgabe des nPA doch nicht verzichten will, wäre es behördenseits begrüßenswert, wenn eine Beibehaltung der Aktivierung mit einer Gebührenreduktion verbunden wäre.
• Die Firmen, welche heute schon eine Identifikation über nPA anbieten, sollten diese Möglichkeit durchaus aktiver kommunizieren. Die anfängliche Skepsis bei Einführung ist zwischenzeitlich verflogen und ist einer zunehmenden Besorgnis der Datenintegriertät im elektronischen Geschäftsverkehr gewichen. Mit dem positiven Pfund der Datensicherheit des nPA und insbesondere seiner Datensparsamkeit sollte deshalb gewuchert werden.
• Ehrlicherweise ist aber hier auch ein Punkt angesprochen, welcher einer Verbreitung bei der Privatwirtschaft bisher gegen die Einführung des nPA sprach. Das Schmiermittel des Datenflusses im eCommerce fließt nur sehr begrenzt und zweckgebunden beim nPA. Keine Situation, welche von den Firmen präferiert wird. Hier ist also Aufklärungsarbeit zu leisten und darauf hinzuweisen, dass bei erfolgreicher und sicherer Anmeldung die Daten gleichwohl in die Datenbank eingehen und danach genügend Kontaktpunkte zur Vervollständigung der Datenbasis verbleiben.

Federated Identity

• Ebenfalls an Daten sind bekanntlich die Firmen Facebook und Google interessiert. Ein Weg dazu ist das Angebot von Federated Identity-Lösungen, mit denen sich die Kunden dieser Firmen auf dritten Website identfizieren können, ohne dass sie dort ein eigenes Login hinterlassen.
• Der nPA sollte ebenfalls eine vergleichbare Dienste anbieten, um den Bundesbürgern eine verlässliche und datensparsame Alternative zu den oben genanten Angeboten zu bieten.
• Dabei sollte nicht der gleich hohe Identifizierungsmaßstab wie bei der üblichen Identifizierung/Authenfizierung per nPA angewendet werden. Vielmehr sollte das Konzept der Pseudonym-Funktion entsprechend ausgebaut werden.
• Es hätte die Vorteile, dass eine Zweifaktor-Authorisierung (Wissen & Besitz) schon mit integriert wäre und für den Anbieter eine dauerhafte Sperrfunktion möglich ist. Das Attribut „dienste- und kartenspezifisches Kennzeichen“ könnte dazu genutzt werden. Dabei werden keine personenbezogenen Daten des Ausweisinhabers ausgelesen. Ein Hash-Algorithmus sorgt für sichere Identifikation und Wiedererkennung.

Wenn man mit Nutzern und Firmen spricht, kommen sicher noch weitere Ansätze und Potenziale zum Vorschein. Methoden wie Design Thinking können rasch Aufschluss über Nachhaltigkeit und Sinnhaftigkeit geben.

Authentisieren von Zahlungen

Die Europäische Kommission hat in ihrer Zweiten Zahlungsdiensterichtlinie (Richtlinie (EU) 2015/2366) – PSD2 – den Mitgliedsländern aufgegeben, elektronische Zahlungen einerseits zu vereinfachen und sicherer zu machen. Neben der leichtern Involvieren von dritten Dienstleistern wie Sofortüberweisung.de steht dieVerbesserung der Sicherheit von Zahlungen  durch starke Kundenauthentifizierung im Fokus. Die Umsetzung der Richtlinie erfolgt in Deutschland durch die Zweite Zahlungsdiensterichtlinie.

Für die Anforderungen an die starke Kundenauthentifizierung (inkl. Ausnahmen) wird der technische Regulierungsstandard der Europäischen Bankenaufsicht (EBA) herangezogen. Kritiker bemängeln jedoch, dass diese unter den Vorgaben der PSD2 bleiben will und den Banken und Online-Händler weiter die Prüfung mit eigenen Maßnahmen (wie bisher) erlauben will.

Nach PSD2 der Einsatz von zwei von drei Merkmalen bei der Authentisierung von Zugängen und Zahlungen notwendig. Die Merkmale sind:

• Wissen
• Besitz
• Dauermerkmal (z.b. biometrische Merkmale wie Stimme oder Fingerabdruck)

Der Personalausweis vereint zumindest zwei dieser Merkmale standardmäßig und könnte die Finanzinstitute von der aufwändigen und technisch problematischen Pflege von eigenen Authentifizierungsinfrastrukturen entbinden.

„Killer-Applikation“

Die Suche nach einer sehr attraktiven Software-Anwendung für Dienste und Geschäftsmodelle, Killer-Applikation, ist in der anwenderorientierten IT natürlich so etwas wie der heilige Gral, weil sie auf einen Schlag ein Angebot sehr populär machen kann. Eine Killer-Appliation für den nPA ist noch nicht bekannt und wird zumindest noch länger auf sich warten lassen. Ein Anwendungsfall, welcher allerdings in die Nähe dieses Anspruches käme, könnte die Statusabfrage über gespeicherte Daten bei Bundes- und Landesbehörden sein. Diese erheben derzeit faktisch intransparent und wenig auskunftsfreudig zahlreiche Daten, welche manchmal auch falsch gespeichert werden. Falsche Daten bei Polizei und Verfassungsschutz können erhebliche nachteilige Konsequenzen haben, bspw. wenn irrtümlicherweise eine Gewaltbereitschaft in diese eingetragen ist und diese bei der nächtlichen Polizeikontrolle deren Verlauf bestimmen.

Protagonisten aus der Bürgerrechts- und Datenschutzszene fordern seit langem, dass alle von staatlichen Stellen gespeicherten Daten dem jeweiligen Bürger unaufgefordert mitgeteilt werden. Die Erfüllung dieser Forderung könnte vermutlich für mehr Zutrauen in berechtigte Datenspeicherung und den Staat insgesamt fördern. Derzeit ist der Bürger auf schriftliche Abfrage bei den einzelnen Behörden angewiesen, welche diesen mit teilweise absurden Anforderungen wie beglaubigte Ausweiskopien, beglaubigte Unterschriften oder Einzelnachweis der Betroffenheit gängeln.

Eine zentrale Abfragemöglichkeit mit der sicheren Identifizierung und und Authentifizierung über den nPA könnte dem Bürger plakativ den Nutzen von diesem vor Augen führen und die Behörden von manueller Arbeit entlasten sowie deren Vertrauenskonto auffüllen.

Wer sich für das Auskunftsersuchen auf Basis des abgeleiteten Grundrechts der informationellen Selbsbestimmung interessiert, findet auf datenschmutz.de viele hilfreiche Hinweise und einen sehr nützlichen Formulargenerator.

Fazit

Abschließend ist noch einmal zu betonen, dass der nPA viel zu schade ist, um ihn in das große Regal der gescheiterten Regierung-IT-Projekte zu stellen und vielleicht dabei verschimmeln zu lassen. Verbreitung, Akzeptanz und Datensicherheit sprechen für ihn, gerade in einer Gesellschaft, welche zunehmend ein Gespür für echte Datensicherheit entwickelt.

Aktuelle Entwicklungen

Nachgelagert zu den obigen Überlegungen, hat auch die Bundesregierung die Notwendigkeit von Fördermaßnahmen für den nPA jüngst erkannt und entsprechendes Förderprogramm verabschiedet. So greift dieser erfreulicherweise bspw. die oben in den Quick Wins vorgeschlagene standardmäßige Aktivierung der Onlinefunktion (eID) auf.  Im Mai wurde dann dieser Vorschlag Gesetz. Leider wurde darin auch ein vereinfachter Zugang für Unternehmen und Behörden versteckt, welcher es auch ermöglicht, für einfache Strafdaten auf die Lichtbilder ohne großen Hürden zuzugreifen. Mit solchen unverständlichen Aktionen wird das zarte Pflänzchen des Vertrauens mutwillig niedergetreten. Man könnte hier den Eindruck gewinnen, dass Big-Brother-Methoden den Innenbehörden wichtiger sind als die Infrastrukturpotenziale des nPA.

Auch steht zwischenzeitlich die App für Android im Google Playstore bereit. Leider werden wegen der ungeschickten NFC-Standards (vgl. oben) nur eine Auswahl von Smartphones unterstützt.

Hürde Lesegerät bleibt

Die höchste Hürde, die Notwendigkeit für ein teures Lesegerät, wird damit aber nicht beseitigt. Hier könnte der oben dargestellte Ansatz Erleichterung bringen. Ob die Maßnahmen mehr Bürger motivieren, sich das nötige Lesegerät anzuschaffen, bleibt abzuwarten.

Links und weitere Quellen