Digitale Identitäten einfach erklärt
Veröffentlicht am 29.02.2024
Immer mehr Dienstleistungen finden mittlerweile online statt. Damit zwischen Nutzenden und Anbietenden dieser Dienstleistungen Vertrauen entsteht, braucht es digitale Identitäten. Doch wie funktionieren diese genau? Welche Typen sind besonders sicher? Und was hat es mit der europäischen digitalen Identität auf sich? Das Konzept der digitalen Identität einfach erklärt.
Was ist eine digitale Identität?
Was genau die Identität eines Menschen ausmacht, ist abhängig vom Kontext und deshalb immer Interpretationssache. Auf eine Gewissheit können sich soziologisch-philosophische Debatten jedoch wahrscheinlich einigen: Die Identität eines Menschen ist einzigartig. Und um einen Menschen unverwechselbar zu machen, genügen bereits wenige physische Attribute – Körpergröße, Gesichtsbild und Fingerabdrücke –, aber auch persönliche Daten wie Name, Geburtstag sowie die Meldeadresse. Anhand dieser Merkmale und Daten sind wir klar identifizierbar.
„Einmal den Ausweis, bitte“, heißt es, wenn wir ein Fahrzeug anmelden, im Bürgeramt einen Antrag einreichen oder ein Bankkonto eröffnen. Doch das alles und noch viel mehr ist längst auch online möglich. Und dort, wo niemand unser Gesicht sieht oder unsere Fingerabdrücke nehmen kann, braucht es digitale Identitäten.
Die Definition von digitalen Identitäten
Die digitale Identität bringt Vertrauen in den virtuellen Raum. Sie ermöglicht einer natürlichen oder juristischen Person, bestimmte Online-Angebote zu nutzen. Dafür verknüpft die digitale Identität verschiedene elektronische Merkmale, die diese Person im Netz einzigartig machen: zum Beispiel Name, Vorname, Anschrift und Geburtsdatum. Anhand dieser Attribute kann die Person sich auf einer Plattform authentisieren und ihre Identität belegen. Damit sind sichere digitale Identitäten das Fundament einer funktionierenden Digitalwirtschaft.
Tatsächlich müssen wir unsere Identität online sogar öfter preisgeben als in der „echten Welt“. Während wir beim Kauf der neuen Jeans im Geschäft dank Bargeld anonym bleiben können, ist das im Webshop, vor allem bei der Option „auf Rechnung“, schwer möglich. Weil wir allerdings auch online in weit mehr als einem Shop einkaufen, verwundert es kaum, dass ein Europäer bzw. eine Europäerin im Jahr 2020 durchschnittlich mehr als 90 digitale Identitäten besaß. Die gelebte Praxis sah bislang so aus: Für jede Online-Plattform, deren Services sie in Anspruch nimmt, erstellt eine Person ein neues Nutzerkonto. Neue Identitätsattribute werden hinterlegt und verknüpft – eine weitere digitale Identität entsteht.
Technische Grundlagen der digitalen Identität
Mittlerweile mehren sich die Indizien, die auf ein Ende der Identitätsinflation hindeuten. Die Evolution der digitalen Identität jedenfalls ist längst im Gange. Oder anders ausgedrückt: Es gibt bequeme Lösungen, mit denen sich Datensilos durchbrechen lassen. Auch wenn nicht alle von ihnen primär das Nutzerwohl im Sinn haben.
Die klassische Silo-Identität
Um die Evolution nachzuvollziehen, lohnt zunächst der Blick auf die noch immer vorherrschende isolierte digitale Identität, auch „Silo-Identität“ genannt. Deren Anzahl pro Kopf stieg lange Zeit mit den Dienstleistungen, die man online buchen kann. Das Konzept: Für die Dienste erfolgt eine Registrierung, indem der User oder die Userin persönliche Daten wie Name, Geburtsdatum und Adresse mit einem Nutzernamen sowie dem dazugehörigen Passwort verknüpft: erst beim Online-Versandhandel, später beim heimischen ÖPNV, bei diversen Streamingdiensten und danach bei Bike- oder Carsharing-Anbietern. Das Ergebnis: Dutzende Identitäten, die nicht miteinander kompatibel sind. Sie zwingen den Inhaber oder die Inhaberin dazu, Dutzende Nutzername-Passwort-Kombinationen zu organisieren, um sich auf den gewünschten Websites authentisieren zu können.
Hoheitliche digitale Identitäten – der Staat als ID-Provider
Ohne jedes kommerzielle Interesse als Anbieter digitaler Identitäten agiert der Staat. Mit der sogenannten BundID hat das Onlinezugangsgesetz ein Nutzerkonto geschaffen, über das natürliche und juristische Personen Verwaltungsleistungen online beantragen und elektronische Dokumente von Behörden erhalten können.
Eng mit der BundID verbunden – weil hochrelevant bei der Registrierung – ist der sogenannte Online-Ausweis. Im Jahr 2010 führte Deutschland den Personalausweis mit eID-Funktion ein. Auf dem Chip der Smartcard sind alle persönlichen Daten sowie die biometrischen Merkmale gespeichert, die auch die „analoge“ Identität eines Bürgers bzw. einer Bürgerin definieren. Dadurch macht der Chip den „Perso“ zum Online-Ausweis, mit dem Bürger und Bürgerinnen ihre Identität elektronisch gegenüber öffentlichen und privatwirtschaftlichen Stellen nachweisen können. Die Rechtsgrundlage dafür schafft § 18 Personalausweisgesetz (PAuswG).
Statt ihre digitale Identität in die Hände von Plattformbetreibern und Co. zu legen, können die Deutschen die eID verwenden – und am besten immer in ihrer Brieftasche mit sich tragen. Ergänzend sind auch die Unionsbürgerkarte sowie der elektronische Aufenthaltstitel als eID, also als elektronische Identität, nutzbar.
Der Prozess verkürzt dargestellt: Eine Person registriert sich beim Serviceanbieter, indem sie sich mit ihrem Online-Ausweis identifiziert. Dafür hält sie ihren Personalausweis an ein NFC-fähiges Smartphone oder ein Karten-Lesegerät. Sie gibt dann ihre persönliche PIN ein und alle notwendigen Daten landen automatisch beim Serviceanbieter. Will die Person sich später wieder authentisieren, läuft der Prozess so einfach wie bei der Registrierung.
Eine Hand hält einen Personalausweis gegen ein NFC-fähiges Smartphone.
Die Nutzung von Silo-Identitäten und Single Sign-Ons hat im Vergleich zum Online-Ausweis noch einen Vorsprung. Immer mehr Menschen nutzen aber inzwischen die Online-Ausweisfunktion für die sichere digitale Identifizierung. Zu den Pionieren gehören derzeit neben einer Reihe von Banken beispielsweise die Bundesagentur für Arbeit die Deutsche Rentenversicherung und die Bundesregierung. Für deren KulturPass müssen sich die sich diejenigen, die im laufenden Jahr 18 Jahre alt werden, mit ihrem Online-Ausweis identifizieren und damit ihr Geburtsjahr verifizieren.
Die Smart-eID: Online-Ausweis auf dem Smartphone
Mit der Smart-eID soll der Online-Ausweis direkt aufs Smartphone kommen. Wann genau, steht aktuell noch nicht fest, das Smart-eID-Gesetz ist bereits seit September 2021 in Kraft. Das Auslesen der Karte wäre mit dem „mobilen Perso“ nicht mehr zwingend erforderlich, um die Online-Ausweisfunktion zu nutzen.
Zusammenfassung: Wer hat mit digitalen Identitäten zu tun?
Die oberflächlichen Erklärungen von Silo-Identitäten, SSO und Online-Ausweis sagen bereits viel über die Beteiligten aus, die bei digitalen Identitäten relevant sind. Ein kurzer Überblick.
Sicherheit, Datenschutz und Regulierung bei digitalen Identitäten
Identitäten selbstbestimmt verwalten – das klingt gut. Aber wie sicher sind die Nachweise auf dem Smartphone? Weitaus sicherer als Nutzerdaten bei Serviceanbietern und großen Plattformbetreibern. Denn hier spielen Datenschutz und Datensouveränität eine allenfalls untergeordnete Rolle.
Isolierte digitale Identitäten: Jedes Passwort ist knackbar
Dass 90 verschiedene digitale Identitäten zu 90 unterschiedlichen Passwörtern führen, wäre eigentlich eine gute Nachricht. Dann hätten Hacker mehr Arbeit und vielleicht weniger „Lust“ auf einen Datenklau. Jedoch kommt oft beim Online-Banking dasselbe Passwort zum Einsatz wie beim Streaming und beim Versandhandel. Ob dieses Passwort durch Sonderzeichen und Co. dann zumindest ein starkes ist, steht auf einem anderen Blatt. Passwortmanager können denen, die es sich gern leicht machen, helfen. Knacken Hacker diese Tools – so geschehen Ende 2022 beim Anbieter LastPass –, dann haben sie allerdings Zugang zu sämtlichen Accounts. Ein weiteres Problem: Die meisten Passwörter lassen sich ohne viel Aufwand zurücksetzen. Daher ist jedes von ihnen gerade mal so sicher wie das Passwort des eigenen E-Mail-Accounts, wie der Digitalverband Bitkom in seinem Paper „Vertrauen stärken “ anmerkt.
Silo-Identitäten: Souverän geht anders
Unabhängig davon, ob 2FA oder nicht: An Silo-Identitäten haftet noch ein anderes Problem: Die im Account hinterlegten Identitätsattribute sind in vielen Fällen nicht die einzigen Daten, die die Identität eines Nutzers oder einer Nutzerin ausmachen. So begreifen viele Definitionen auch Verhaltensdaten, die der jeweilige Serviceanbieter automatisch generiert, als Teil einer digitalen Identität – Suchverläufe, Käufe, Standorte oder Zugriffszeiten etwa. „Mit diesen digitalen Identitäten machen die IT-Dienste Werbung und/oder verkaufen diese an andere Firmen“, schreibt Prof. Dr. Norbert Pohlmann, der unter anderem dem Bundesverband IT-Sicherheit vorsitzt, auf seiner Website. „Das tun sie insbesondere, wenn das Geschäftsmodell ‚Bezahlen mit persönlichen Daten‘ zur Anwendungen kommt.“
Single Sign-Ons: Abhängigkeit statt Selbstbestimmung
Dieses Geschäftsmodell ist untrennbar mit globalen Tech-Riesen verbunden. Und deren Single Sign-Ons zwingen die User und Userinnen zusätzlich in ein starkes Abhängigkeitsverhältnis. „Wenn sich der Anbieter aus irgendeinem Grund entscheidet, meinen Account zu löschen, dann sind alle Dienste weg, für die ich den Single-Single-On nutze“, erklärt zum Beispiel Helge Michael, Leiter des Projekts IDunion bei neosfer, im Interview mit der Bundesdruckerei-Gruppe.
Die Daten pro forma auf einen anderen Account zu übertragen, ist aber ebenso wenig möglich. Als weitere Nachteile nennt Michael die Anfälligkeit zentraler Konzernserver für Hacker und Hackerinnen sowie die Datenkorrelation, die dem SSO-Anbieter Einblick gibt, was Nutzende unter ihren digitalen Identitäten auf anderen Plattformen tun. „Loggt sich ein User während der Arbeitszeit bei einer Singlebörse ein, weiß der Anbieter der Identität darüber Bescheid“, so Michael. Im SSO-Modell geben die Nutzenden die Kontrolle über ihre Daten ab, wissen nicht, was damit passiert. Sicher ist nur: Die Tech-Riesen werden sie kommerziell verwerten.
Damit sind Single Sign-Ons nach Ansicht einiger Rechtsexperten und -expertinnen auch datenschutzrechtlich problematisch. Eine explizite Einwilligung, dass Plattformbetreiber und Serviceanbieter beim SSO Daten, beispielsweise zum Nutzerverhalten, austauschen, holen die jeweiligen Websites bislang nicht immer ein.
Höchste Sicherheit durch die (Smart-)eID
Wer hoheitliche digitale Identitäten nutzt, muss sich keine Sorgen über Datensicherheit und -kontrolle machen. Bei der BundID beispielsweise werden alle Daten DSGVO-konform verwaltet. Und es steht den Nutzenden frei, sich statt mit einem Passwort mit dem Online-Ausweis einzuloggen, den sie in ihrem Portemonnaie bzw. auf ihrem Smartphone haben. Damit wären sie vollends sicher unterwegs. Der deutsche Personalausweis gilt als eines der fälschungssichersten Identitätsdokumente der Welt. Und diese Auszeichnung kann er auch im virtuellen Raum für sich reklamieren. Das Bundesministerium des Innern und für Heimat fasst auf seinem Personalausweisportal die zentralen Sicherheitsmechanismen des Online-Ausweises zusammen:
Eine besondere Form der Zwei-Faktor-Authentisierung: Um die hoheitliche digitale Identität einzusetzen, muss eine Person einerseits im Besitz des Personalausweises sein und andererseits ihre persönliche, selbst gewählte PIN kennen. Und während beim Zurücksetzen eines Passworts per E-Mail Cyberkriminelle im Zweifel auf das Postfach zugreifen, erfordert die Rücksetzung der persönlichen PIN – zugegeben recht traditionell – den Weg übers Bürgeramt.
Volle Kontrolle bei der Datenübertragung: Nutzende können ihre Daten nur an einen Diensteanbieter übermitteln, nachdem sie ihren Perso an ein Smartphone oder einen Kartenleser gehalten und die PIN eingegeben haben. Die Kontrolle beim Auslesen verbleibt beim Inhaber oder bei der Inhaberin – selbst im Falle eines Verlusts des physischen Dokuments.
Gegenseitige Authentisierung: Bei der Nutzung der eID authentisiert sich eine Person gegenüber einer Website. Deren Betreiber authentifiziert die Person dann, stellt also anhand des Online-Ausweises ihre Echtheit fest. Doch auch der Diensteanbieter selbst weist sich gegenüber der eID aus. Erst, wenn seine Authentizität belegt ist, kann die Datenübertragung stattfinden – und zwar Ende-zu-Ende-verschlüsselt.
Die eIDAS-Verordnung und ihre Anforderungen an digitale Identitäten
Wie sicher der Online-Ausweis ist, wird auch mit Blick auf die eIDAS-Verordnung der Europäischen Union deutlich. Dieses Regelwerk für „Electronic Identification, Authentication and Trust Services“ schuf 2014 die Rahmenbedingungen für die grenzüberschreitende elektronische Identifizierung in Europa. Im Sinne des digitalen Binnenmarkts sollte es etwa der Bevölkerung in jedem Mitgliedsstaat möglich sein, für Verwaltungsprozesse oder die Eröffnung eines Bankkontos die eigene Identität komplett digital nachzuweisen.
Eine Frau hält ein Tablet und sitzt am Tisch.
Seit 2018 können die Mitgliedsstaaten die eID-Systeme der anderen EU-Länder auf freiwilliger Basis bei der Europäischen Kommission notifizieren. Das niedrigste Vertrauensniveau gemäß eIDAS heißt „niedrig“, das mittlere „substanziell“ und das höchste „hoch“. Der Notifizierung folgt eine verpflichtende Anerkennung der eID. Deutschlands Online-Ausweisfunktion erfüllt das Vertrauensniveau „hoch“. Das bedeutet: In jedem Bereich, in dem ein Mitgliedsstaat eine elektronische Identifizierung auf dem Niveau „hoch“ oder darunter vorsieht, kann der Online-Ausweis, der elektronische Aufenthaltstitel (eAT) oder die Unionsbürgerkarte zum Einsatz kommen.
Das freiwillige Notifizierungssystem sowie der Umstand, dass viele EU-Staaten nach wie vor keine eigene eID eingeführt haben, waren indes entscheidend für eine Überarbeitung der eIDAS-Verordnung. eIDAS 2.0 verpflichtet die Mitgliedsstaaten jetzt dazu, ihren Einwohnern und Einwohnerinnen eine digitale Identität zur Verfügung zu stellen, die sich aufgrund harmonisierter Standards automatisch grenzüberschreitend nutzen lässt. Auch dazu später mehr.
Sicherheit plus: Identifizierung mit digitalen Identitäten
Die Identifizierungsregelungen der eIDAS-Verordnung fördern einen weiteren Vorteil des Online-Ausweises zutage. Denn im Gegensatz zu isolierten Identitäten und Single Sign-Ons kann man sich mit der hoheitlichen digitalen Identität nicht nur authentisieren, sondern eben auch identifizieren. In diesem Prozess muss eine Person sich eindeutig zu erkennen geben. In der „echten“ Welt muss sie dafür ein gültiges Identitätsdokument vorlegen. Anhand des Passbilds sowie der biometrischen Daten überprüft der Anbieter einer Dienstleistung, ob die Person wirklich diejenige ist, für die sie sich ausgibt. Online ließe sich die Identifizierung wie eine Art „Registrierung plus“ beschreiben. Bei der normalen Registrierung gibt eine Person nur an, wer sie ist. Bei der Identifizierung liefert sie direkt noch den Beweis für ihre Angabe. Und wie Sichtausweise (beispielsweise Personalausweis und Reisepass) in der analogen Welt ist der Online-Ausweis im virtuellen Raum das einzige „rechtlich wasserdichte“ Identifizierungsmittel.
Der Hintergrund der elektronischen Identifizierung in Deutschland
Eine elektronische Identifizierung ist dann zwingend nötig, wenn Nutzende eine besonders sensible Dienstleistung in Anspruch nehmen wollen. Eine Dienstleistung, für die eine einwandfreie Identitätsfeststellung – auch im analogen Raum – unabdingbar ist. Die Beantragung von digitalen Verwaltungsleistungen gehört dazu, genauso wie die Eröffnung eines Bankkontos, für die das Geldwäschegesetz (GwG) eine eingehende Identitätsprüfung verlangt. Wer einen neuen Mobilfunkvertrag abschließen möchte, muss sich gemäß dem Telekommunikationsgesetz (TKG) ebenfalls eindeutig identifizieren, mithilfe eines gültigen hoheitlichen (Identitäts-)Dokuments.
Derzeit existieren eine Handvoll Ident-Verfahren, die Diensteanbieter einbinden können, um Nutzende online zu identifizieren. Die beiden Verfahren, die auf dem Online-Ausweis basieren, sind nicht nur die bequemsten aus Nutzer- und Diensteanbietersicht, sondern auch die sichersten. Sie sind die einzigen Ident-Verfahren, die vollständig die Vorgaben des GwG, des TKG sowie der eIDAS-Verordnung erfüllen. Das in Deutschland allmählich Fahrt aufnehmende E-Government wird ebenfalls vom Online-Ausweis profitieren – ganz gleich, ob dieser auf dem Chip des Personalausweises oder direkt auf dem Smartphone gespeichert ist.
Das Onlinezugangsgesetz (OZG) sieht den Einsatz der eID explizit vor. Mit ihr kann sich eine Person demnach auch für die BundID, das Nutzerkonto für öffentliche Verwaltungsleistungen, registrieren und später auf Wunsch authentisieren. Und zwar auf höchstem Vertrauensniveau. Die andere Variante, eine Identifizierung mit dem ELSTER-Zertifikat, erfüllt dagegen „lediglich“ die Vorgaben des Vertrauensniveaus „substanziell“.
Mit dem Online-Ausweis für andere Identitätsnachweise identifizieren
Als notifiziertes Identifizierungsmittel nach eIDAS dient der Online-Ausweis ebenso der Beantragung von Vertrauensdiensten, die in der Verordnung definiert sind – und die ihrerseits als digitaler Identitätsnachweis auf Dokumenten dienen. Mit qualifizierten elektronischen Signaturen etwa belegen natürliche Personen ihre Identität, qualifizierte elektronische Siegel sind an juristische Personen gebunden. Angehörige des Gesundheitssektors wiederum können die eID nutzen, um sich für elektronische Heilberufsausweise (eHBA) und Praxisausweise (SMC-B) zu identifizieren.
Aktueller Kontext bei digitalen Identitäten
Akzeptanz digitaler Identitäten
Der Online-Ausweis hat zweifellos Potenzial mit Blick auf die elektronische Identifizierung und Authentisierung. Eine Umfrage der Bundesdruckerei GmbH von 2020 legt zudem nahe, dass sich die Menschen in Deutschland durchaus mit einer hoheitlichen Identitätslösung anfreunden könnten. Auf die Frage, wer digitale Identitäten ausstellen sollte, nannten 49 Prozent den Staat. 8 Prozent würden ihre digitale Identität am liebsten direkt von der Europäischen Union erhalten. Auf private Anbieter aus Europa entfiel gerade einmal 1 Prozent der Stimmen. US-Unternehmen rangierten im Promillebereich.
Die Infografik illustriert Daten aus dem eGovernment MONITOR 2023.
Zugegeben: Fast ein Drittel der Befragten (29 Prozent) gab an, von keinem der genannten Anbieter eine digitale Identität beziehen zu wollen. Dennoch scheint die staatliche ID eine gewisse Akzeptanz zu genießen. Der eGovernment MONITOR 2023 bestätigt das. Hier unterstützen 53 Prozent den Gedanken einer einheitlichen Identifikationsmöglichkeit. Jede zweite Person wünscht sich dafür den Online-Ausweis. Dessen Nutzende sprechen sich sogar zu 85 Prozent für ihn aus.
Die Nutzung des Online-Ausweises
Das große Problem: Die Nutzung des Online-Ausweises hinkt seiner Akzeptanz sowie seiner Bekanntheit massiv hinterher. Im eGovernment MONITOR 2023 erklären immerhin 62 Prozent der Befragten, mit dem Begriff – mehr oder weniger – vertraut zu sein. Doch nur 14 Prozent haben die Online-Ausweisfunktion nach eigener Aussage bereits mindestens einmal genutzt. Zumindest ein Anstieg um 4 Prozent gegenüber dem Vorjahr, aber noch immer zu wenig. Nur 30 Prozent haben ihre persönliche PIN aktiviert, wodurch die digitale Identität überhaupt erst nutzbar wird. Unter den Nutzenden sticht die Generation Z mit 28 Prozent hervor, die Boomer-Jahrgänge rangieren bei nur 10 Prozent, während die Nutzerzahl in der Generation X um immerhin 6 Prozentpunkte auf 14 Prozent gewachsen ist.
Was aber hemmt die Menschen, den Online-Ausweis zu nutzen? An zu großer Komplexität scheint es jedenfalls nicht zu liegen. Nur 17 Prozent der eGovernment-MONITOR-Befragten halten das Konzept für „zu kompliziert“. Mit „sehe für mich keinen Nutzen/Vorteil darin“ antworteten ebenfalls nur 21 Prozent. Derweil machten jedoch 38 Prozent der Teilnehmenden mangelndes Wissen über die Anwendungsmöglichkeiten als Hemmnis aus. Diese Antwortmöglichkeit ist damit die Spitzenreiterin der Umfrage. Von der mangelnden Bekanntheit abgesehen, dürfte die Nutzung des Online-Ausweises auch darunter leiden, dass zurzeit noch konkrete Anwendungsfälle in der Privatwirtschaft fehlen.
Anwendungsfelder: Online-Ausweis, Smart-eID, eGK und eHBA
Wo die Online-Ausweisfunktion zur Anwendung kommt
Dabei sind die Anwendungsszenarien vielfältig. Grundsätzlich ist mit dem Online-Ausweis Folgendes möglich:
- Identifizierung für sensible Services, zum Beispiel im Finanzwesen
- Log-in bzw. Authentisierung, in Abgrenzung zur unsicheren Nutzername-Passwort-Kombination
- Pseudonymer oder anonymer Log-in – Nutzende melden sich bei Diensteanbietern wie beispielsweise einem Forenbetreiber an, geben ihm allerdings nicht ihre persönlichen Daten preis
- Altersverifikation, etwa bei bestimmten Online-Shops oder Mediatheken bzw. Streaminganbietern
- Formularfunktion zum Ausfüllen von Anträgen etc.
Schon heute kann man mit dem Online-Ausweis Elterngeld, BAföG oder auch Leistungen rund um die Kfz-Zulassung komplett digital beantragen. Und mindestens mittelbar verschafft er Bürgern und Bürgerinnen Zugang zu jeder weiteren Verwaltungsleistung, die gemäß OZG zu digitalisieren ist. Eben weil man sich mit der Online-Ausweisfunktion für die BundID auf höchstem Vertrauensniveau identifizieren und sie im Zusammenhang mit jenem Nutzerkonto zur Authentisierung nutzen kann. Der Registrierungsprozess beim KulturPass der Bundesregierung funktioniert nur mit der staatlichen eID.
Darüber hinaus können sich Deutsche mit ihrem Online-Ausweis für die digitale Rentenübersicht bei der Deutschen Rentenversicherung Bund identifizieren und authentisieren. Auch die Pronova BKK hat die digitale Identität eingebunden, damit sich Versicherte für den Webservice der Krankenkasse identifizieren können. Im Bereich der Privatwirtschaft bieten beispielsweise die ING und die comdirect Neukunden und Neukundinnen die Identifizierung mittels Online-Ausweis an, um Depots und Girokonten zu eröffnen.
Dass Serviceanbieter daran interessiert sind, die hoheitliche eID einzubinden, zeigt das Projekt AusweisIDent Easy von Governikus und D-Trust, dem Vertrauensdiensteanbieter der Bundesdruckerei-Gruppe. Die Partner boten Unternehmen, Behörden und Bildungseinrichtungen 100 Testpakete ihres Diensts AusweisIDent, die innerhalb von drei Monaten vergriffen waren. Möglicherweise werden also in der nächsten Umfrage weniger Menschen konkrete Use Cases für den Online-Ausweis vermissen. Insbesondere die handliche Smart-eID könnte zu einer Zunahme der Anwendungen führen und Usability-bedingte Nutzungshürden abbauen.
Digitale Identitäten fürs Gesundheitswesen
Schon jetzt können sich Menschen mittels Online-Ausweis für spezielle Webservices ihrer Krankenversicherung anmelden. Dank dem Digitale-Versorgung-und-Pflege-Modernisierungs-Gesetz (DVPMG) soll bald noch mehr möglich sein. Grund dafür ist die GesundheitsID, die ab 2024 alle Versicherten für sich erstellen können. Der sechsstellige Code wird der Anmeldung für verschiedene digitale Anwendungen dienen, darunter das Herzstück der Telematikinfrastruktur (TI), die elektronische Patientenakte (ePA), sowie das E-Rezept.
Die Identifizierung soll mittels elektronischer Gesundheitskarte – die in Kürze aufs Smartphone kommt – und der dazugehörenden PIN erfolgen. Die Techniker Krankenkasse setzt hingegen zusätzlich auf die Online-Ausweisfunktion. „Mit der Online-Ausweisfunktion des Personalausweises existiert in Deutschland bereits ein sicheres Verfahren, um sich digital zu identifizieren“, sagt der TK-Vorstandsvorsitzende Dr. Jens Baas. „Es ist unnötig kompliziert für Versicherte, wenn sie für Gesundheitsanwendungen den separaten Prozess mit Versichertenkarte und PIN verwenden sollen. Daher bieten wir auch die Anmeldung mit dem Personalausweis an.“
Wie sieht die Zukunft der digitalen Identitäten aus?
Egal ob als Karte oder Zertifikat: eHBA und Praxisausweis weiten die Perspektive auf das Thema digitale Identitäten. Jedenfalls definiert sich eine Person über mehr als ihren Namen, ihre Adresse oder ihre biometrischen Merkmale. Zur Identität gehören auch berufsbezogene Attribute wie Bildungsabschlüsse oder womit man sein Geld verdient. Mit ihrem eHBA und der SMC-B können Ärztinnen und Physiotherapeuten eine dieser Facetten sogar explizit in der TI belegen. Die Szenarien, in denen elektronische Nachweise Prozesse digitalisieren können, reichen indes weit über den Gesundheitssektor hinaus. Dessen war sich auch die Europäische Kommission bewusst, als sie 2021 einen Vorschlag für eine Reform der eIDAS-Verordnung erarbeitete.
Das Ökosystem rund um die europäische digitale Identität
Datenhoheit bleibt bei den Bürgern und Bürgerinnen
Die EUDI-Wallet macht den Austausch von Identitäts- und Attributsdaten aber bequemer und vertrauenswürdiger. Alle personenbezogenen Daten sind in einer geschützten Umgebung auf dem Smartphone oder Tablet gespeichert. Die Bürger und Bürgerinnen behalten die Kontrolle über ihre Daten und entscheiden selbst, welche Informationen sie mit wem teilen. Das Prinzip der Datenminimierung garantiert zudem, dass nur unbedingt notwendige Informationen geteilt werden. Darüber hinaus stellt die Zertifizierung nach eIDAS sicher, dass die EUDI-Wallet höchsten Sicherheitsansprüchen genügt. Um als Identifizierungsmittel in einem Mitgliedsstaat anerkannt zu werden, muss die EUDI-Wallet nach dem höchsten Vertrauensniveau gemäß eIDAS zertifiziert sein. Im Grunde lässt sie sich damit als selbstbestimmte digitale Identität bezeichnen. Ihr Ökosystem funktioniert grundsätzlich wie das einer Self-Sovereign Identity (SSI).
Im Sinne der Selbstbestimmung ist, dass die großen Digitalkonzerne, die der Digital Markets Act der EU als „Gatekeeper“ aufführt, die Wallet akzeptieren müssen. Und laut Patrick von Braunmühl, Leiter Public Affairs der Bundesdruckerei GmbH, muss die Wallet mit SSO konkurrieren können, um akzeptiert zu werden: „So unbeliebt Behördengänge auch sind – wirklich viele von ihnen müssen Bürger und Bürgerinnen pro Jahr nicht bewältigen.“ Ein reiner E-Government-Einsatz der EUDI sei da zu wenig. „Gelingt es jedoch, die ID-Wallet ähnlich nutzbar zu machen wie einen Single Sign-On, sieht die Sache anders aus“, so von Braunmühl. „Dann fällt das Argument der Datensouveränität wirklich ins Gewicht und die Menschen würden die staatlich autorisierte Lösung nutzen.“
Wallet-Prototyp im Test
Wie genau die EUDI aussehen könnte, ist derzeit noch in der Konzeption. Mit der European Blockchain Services Infrastructure (EBSI) existiert eine gemeinsam von den Mitgliedsstaaten betriebene Distributed-Ledger-Lösung. Allerdings veröffentlichte eine Expertengruppe der EU und der Mitgliedsstaaten unabhängig davon eine Toolbox für die technologische Infrastruktur, das Architecture and Reference Framework (ARF). Aus dieser Toolbox leiten sich die technischen Vorgaben ab, innerhalb derer die Wallets der Mitgliedsstaaten entstehen sollen. Sie gelten auch für einen Wallet-Prototyp, an dem derzeit im Auftrag der EU-Kommission gearbeitet wird.
Das Bundesministerium des Innern und für Heimat (BMI) hat auf Basis der Toolbox bereits einen Architektur- und Entwicklungsprozess für einen eigenen Prototyp der deutschen EUDI-Wallet gestartet. Den ersten Schritt machte man mit einem Konsultationsprozess, an dem sich Verbände, Unternehmen, Wissenschaft, die Verwaltung sowie zivilgesellschaftliche Organisationen beteiligten. Die komplette Entwicklung soll maximal transparent sein und ist über die Plattform Open CoDE jederzeit einsehbar.
Parallel laufen europaweit vier große Pilotprojekte, die sogenannten Large-Scale Pilots (LSPs), die unterschiedliche grenzüberschreitende Use Cases testen sollen. Mehr als 250 private Unternehmen und Behörden in 25 Mitgliedsstaaten sowie in Norwegen, Island und der Ukraine erproben die Wallet-Anwendung in den LSPs in grenzüberschreitenden Versuchen.
Digitale Identitäten als Verbandsangelegenheit
Die European Digital Identity (EUDI) ist ein Meilenstein für die Zukunft digitaler Identitäten in Europa. Aber angesichts unterschiedlicher Technologien und einer Vielzahl von Interessengruppen lässt sich ein linearer Weg zu einem dominierenden Ökosystem derzeit nicht vorzeichnen. Absolute Gewissheit gibt es unter Experten und Expertinnen nur, was den Mehrwert digitaler Identitäten für den Binnenmarkt und das Vertrauen im digitalen Raum an sich angeht. Und gerade, weil dieser Mehrwert so immens ist, braucht es starke Initiativen, die das Thema vorantreiben. Mit seinem „Arbeitskreis Digitale Identitäten“ könnte der Branchenverband Bitkom eine wichtige Rolle spielen. Das Gremium, in dessen Vorstand die D-Trust GmbH vertreten ist, möchte nicht nur die Unternehmen und die Politik sensibilisieren. Es will ebenso eine Harmonisierung von Regularien fördern und die Debatte rund um digitale Identitäten technologieoffen halten.
Ein weiteres Gremium ist der Verband Sichere Digitale Identität (VSDI), der auch den legislativen Prozess rund um die europäische ID-Wallet eng begleitete. Wie der Bitkom-Arbeitskreis setzt sich der VSDI beim Thema digitale Identitäten für eine enge Zusammenarbeit zwischen Staat und Wirtschaft ein. Die erste von insgesamt fünf Kernbotschaften ist jedoch viel grundsätzlicherer Natur. So habe „jeder Mensch in unserer zunehmend digitalen Welt ein Recht auf sichere digitale Identitäten“. Dem ist nichts hinzuzufügen.
Häufig gestellte Fragen zur digitalen Identität
Ob Online-Banking, soziale Netzwerke oder digitale Behördengänge: Um online auf Services zugreifen zu können, müssen Personen auch in der digitalen Welt eindeutig ihre Identität belegen. Dazu benötigen sie eine digitale Identität. Sie entsteht, sobald sich ein Nutzer oder eine Nutzerin online für eine Anwendung registriert oder identifiziert, um sich später wieder einloggen zu können.
Eine digitale Identität kann persönliche Daten wie Benutzername und Meldeadresse oder biometrische Daten umfassen – je nach Angebot kommen verschiedene Verfahren zum Einsatz, mit denen eine Person ihre Identität nachweist. Eine physische Person hat in der virtuellen Welt somit meist mehrere digitale Identitäten, die unterschiedlichen Sicherheitsanforderungen entsprechen.
Die EUDI geht auf die Revision der eIDAS-Verordnung zurück. Diese verpflichtet die Mitgliedsstaaten, natürlichen und juristischen Personen eine ID-Wallet zur Verfügung zu stellen, mit der diese sich grenzüberschreitend für digitale Verwaltungsleistungen, aber auch Angebote der Privatwirtschaft online ausweisen können. Kern der Wallet sind die Personal ID Data (PID), eine Art Basisidentität, die in Deutschland wahrscheinlich über die Online-Ausweisfunktion erstellt wird. Neben den PID soll die elektronische Brieftasche jedoch weitere Nachweise enthalten, zum Beispiel den mobilen Führerschein oder verschiedene Zeugnisse.
Sobald die eIDAS-2.0-Verordnung in Kraft tritt, haben die Mitgliedsstaaten zweieinhalb Jahre Zeit, ihre EUDI-Wallets einzuführen. Aktuell ist von einer Verabschiedung im Frühjahr 2024 auszugehen.
In Deutschland gibt es mehrere Möglichkeiten, sich rein digital zu identifizieren. Die einzigen Verfahren, die alle Anforderungen der eIDAS-Verordnung an den sicheren elektronischen Identitätsnachweis erfüllen, basieren auf der Online-Ausweisfunktion bzw. eID-Funktion des Personalausweises, der Unionsbürgerkarte oder des elektronischen Aufenthaltstitels. Die konkreten Ident-Verfahren sind der eID-Service sowie AusweisIDent.
Allzu oft werden die drei Begriffe Identifizierung, Authentisierung und Authentifizierung mit Blick auf digitale Identitäten gleichgesetzt. Allerdings gibt es gewaltige Unterschiede. Die Identifizierung steht am Anfang einer digitalen Identität und dient deren Erstellung. Die Person zeigt dem Anbieter eines Diensts einwandfrei, wer sie ist, etwas indem sie ihm ihren Online-Ausweis präsentiert. Das Authentisieren entspricht dagegen dem klassischen Log-in, meint also den Prozess an sich. Die bereits identifizierte Person weist ihre Identität durch Wissen (zum Beispiel über ein Passwort), durch biometrische Merkmale (zum Beispiel über einen Fingerabdruck) oder durch den Besitz eines Online-Ausweises bzw. -Nachweises nach. Die Authentifizierung wiederum meint die technische Prüfung und findet beim Anbieter eines Diensts statt, der verifiziert, ob die Person wirklich echt ist.
