Zwischen Bürgerkarte und Identity Management

Auch 2010 wurde die ISSE wieder durch den IT-Sicherheitsverband TeleTrusT Deutschland e.V. gemeinsam mit der eema (Independent European e-Identity & Security Association) organisiert und durchgeführt, in diesem Jahr als kombinierte Veranstaltung mit der GI-"Sicherheit" 2010.

Dipl.-Ing. Herbert Leitold vom Grazer A-SIT (Zentrum für sichere Informationstechnologie) ist auch Leiter des E-Government Innovation Center (EGIZ) und besuchte die Konferenz zum wiederholten Male: "Hauptthema der heurigen Veranstaltung war die Einführung des neuen deutschen Personalausweises. Daneben war auch viel zu hören über die Sicherheit in sozialen Online-Netzwerken sowie über Möglichkeiten der mobilen Sicherheit auf Smartphones."

Modell Bürgerkarte

Der neue deutsche Personalausweis (nPA)

Bereits im Mai diesen Jahres wurde der nPA von der deutschen Analystengruppe Kuppinger Cole als bestes Projekt in der Kategorie E-Government/E-Health mit dem "European Identity Award" ausgezeichnet. Der seit November verfügbare nPA im Scheckkartenformat ergänzt nun auch in Deutschland die herkömmlichen Anwendungen des Ausweises um elektronische Funktionen. Der kontaktlose Chip im Karteninneren gibt den Nutzern die Möglichkeit, sich auch online sowohl gegenüber Behörden im E-Government als auch gegenüber privatwirtschaftlichen Dienstleistungsanbietern, beispielsweise beim Online-Shopping, Online-Banking oder beim Online-Kauf von Tickets, auszuweisen.

Nur mit einem staatlich ausgestellten Berechtigungszertifikat ist es für Dienstleister im Internet technisch möglich, auf Ausweisdaten zuzugreifen. Im Berechtigungszertifikat ist zusätzlich hinterlegt, welche Datenkategorien abgefragt werden können. Das Nutzen der Online-Ausweisfunktion am PC ist nur möglich, wenn man im Besitz des Ausweises ist und die geheime PIN kennt. Außerdem benötigt man ein Lesegerät.

Anders als in Österreich (hierzulande ist die Signatur fixer Bestandteil jeder Bürgerkarte) können die Ausweisinhaber optional ein Zertifikat für die qualifizierte elektronische Signatur auf ihren Personalausweis laden. Damit können auch Dienste, die eine eigenhändige Unterschrift erfordern, medienbruchfrei auf elektronischem Wege in Anspruch genommen werden.

Nur für Kontrollen an Grenzen und im Inland ist die Biometriefunktion zur Identitätsfeststellung vorgesehen: Das digitale Foto ist verpflichtend am bzw. im Ausweis, zwei Fingerabdrücke können auf freiwilliger Basis ebenfalls im Chip gespeichert werden. Damit wird der elektronische Personalausweis ähnlich wie der elektronische Reisepass zum Reisedokument

Handy-Signatur könnte stärkere Nutzung bringen

Bei den Vorträgen auf der ISSE 2010 und in persönlichen Gesprächen wurde immer wieder betont, dass die Akzeptanz der elektronischen Identität in Europa recht unterschiedlich ist. "Die Nutzung der österreichischen Bürgerkarte ist im beruflichen Alltag insbesondere bei Berufsgruppen mit häufigem Verwaltungskontakt wie Anwälten, Notaren oder Apothekern sehr gut. Da der Durchschnittsbürger allerdings nur etwa zweimal jährlich qualifizierten Kontakt mit Behörden hat, ist hier die Nutzung naturgemäß weniger gegeben", erläutert Leitold.

Die Einführung der Handy-Signatur (die Bürgerkartenfunktion am Mobiltelefon ist seit Ende 2009 verfügbar) könnte aber einen Akzeptanzschub auslösen: "Die Handy Signatur wurde hierzulande im Rahmen des EU-Großpilotprojekts zur Interoperabilität elektronischer Identitäten ‚STORK' mit Unterstützung durch die EU-Kommission entwickelt und im vierten Quartal 2009 in Betrieb genommen."

Softwareinstallationen und zusätzliche Hardware (Kartenleser) sind im Gegensatz zur kartenbasierten Bürgerkarte (z.B. auf der freigeschalteten e-card) nicht mehr nötig. Bei Verwendung wird - ähnlich den von Banken für das E-Banking verwendeten Lösungen - nach erfolgter Anmeldung mittels Zugangskennung (Handynummer) und Passwort ein TAN-Code mittels SMS an das Handy übermittelt. Die Eingabe dieses TAN-Codes in der jeweiligen Anwendung löst die qualifizierte elektronische Signatur aus.