Banken zögern noch beim neuen Personalausweis

Zum neuen Personalausweis (nPA) mit seiner Funktion der elektronischen Identifikation (eID) gehören Angebote, die eben diese Identfikationsdaten abfragen. Das dürfen nur die Firmen, die ein Berechtigungszertifikat erworben haben. Nun hat das zuständige Bundesverwaltungsamt die erste Liste aller Anbieter (PDF-Datei) veröffentlicht, die auf verschiedene Datenfelder des neuen Personalausweises zugreifen können.

Die Liste enthält wenig Aufregendes: Viele Versicherungen, darunter die Rentenversicherung, ein paar Behörden und Kommunen, Geldinstitute sowie die Gruppe der VZ-Netzwerke. Mit den Internet-Angeboten dieser Zertifikatsträger werden die ersten Inhaber des elektronischen Personalausweises ihre Erfahrungen mit dem laut Bundesinnenminister Thomas de Maizière (CDU) derzeit "modernsten Identifikationssystem der Welt" sammeln können. Die erste Liste bleibt allerdings auch den Nachweis schuldig, dass einige "Use Cases" dringend nachgefragt werden, wie vor dem Start des Systems behauptet wurde. Insbesondere sind keine Anbieter erkennbar, die altersbeschränkte Filmdownloads oder Erotikangebote betreiben.

Dagegen zeichnet sich ab, dass die elektronische Identifikation im Versicherungssektor nachhaltig gezündet hat. Der Fülle von Versicherungsangeboten stehen auffallend wenige Banken gegenüber. Dies deutet darauf hin, dass die Banken mit den von ihnen angebotenen verschiedenen TAN-Verfahren offenbar eine ausreichend sichere Verbindung zum Kunden haben und ihnen die gesicherte Identifikation eines Neukunden nicht attraktiv genug scheint.

Dies könne ein Signal sein, meinen Herbert Kubicek und Torsten Noack in ihrem Buch Mehr Sicherheit im Internet durch elektronischen Identitätsnachweis?. Die Wissenschaftler haben mit einem internationalen Team von Politologen und Informatikern untersucht, wie die elektronische Identifikation in anderen europäischen Ländern funktioniert und ob sie von den Bürgern akzeptiert wird. Sie kommen zu dem Schluss, dass die eID nur dort eine echte Verbreitung gefunden hat, wo Banken an der Entwicklung beteiligt waren und die eID beim Online-Banking eingesetzt werden kann.

Besonders aufschlussreich sind die Ergebnisse der Wissenschaftler aus Spanien und Belgien, die eID-Ausweise schon am längsten haben und gerade die zweite Generation der Ausweise ins Feld schicken – mit Ausnahme von Deutschland sind alle übrigen europäischen Ausweise nur fünf Jahre lang gültig. In Spanien hat man 256 Ausgabestellen auf Polizeistationen eingerichtet, wo die Ausweisproduktion inklusive Fingerabdrucke und Bildeinspeisung an einem Automaten abläuft, der in 15 Minuten einen Ausweis druckt. Die Ausweise werden hier nicht nur zur Authentifizierung gegenüber den Behörden eingesetzt: die eID erfreut sich bei Restaurantreservierungen größerer Beliebtheit.

Belgien ist erwähnenswert, weil mit der allgemeinen Nutzung der eID-Funktion erkannt wurde, dass Viele eine eID brauchen, die keinen Ausweis haben können: 2007 wurde deshalb eine Karte für Ausländer und EU-Bürger eingeführt, die in Belgien wohnen, 2009 kam eine nicht obligatorische Kinderkarte für Kinder zwischen 0 und 12 hinzu. Bei ihr ist die elektronische Authentifizierung freilich erst ab 6 Jahren aktiviert, da in diesem Alter die Internetnutzung beginnt.

Dem deutschen System stellen die Autoren übrigens keine guten Noten aus. Es ist im europäischen Vergleich zu kompliziert. Allgemein kritisieren sie jedoch alle europäischen eID-Ansätze wegen ihre Weltfremdheit: "Die IT-Sicherheitsexperten arbeiten jedoch mit der Fiktion eines Menschen, der alle Sicherheitsempfehlungen streng befolgt. Man könnte analog zum Homo Oeconomicus als Fiktion der Wirtschaftswissenschaft von der Annahme des Idealtypus eines Homo Securitis sprechen." Leider lebe dieser Menschentyp nur in Gedankenspielen, aber nicht auf der Erde. (vbr)