Wohin mit der Signatur: Smarte Bürger haben Zeit

Die qualifizierte digitale Signatur (QES), die Bürger nach der Vorstellung der Bundesregierung etwa für den elektronischen Einkommensnachweis benötigen, kann auf dem kontaktlosen elektronischen Personalausweis wie auf der kontaktbehafteten elektronischen Gesundheitskarte gespeichert werden. In der Debatte über die Zweckmäßigkeit der dualen Technologie haben sich weitere Stimmen zu Wort gemeldet.

Für Ministerialrat Andreas Reisen, der beim Bundesinnenministerium im Referat IT4 für die Einführung des elektronischen Personalausweises zuständig ist, gibt es keine duale Technologie im strengen Sinne, sondern eine einheitliche Strategie. Gegenüber heise online betont Reisen in seiner Stellungnahme: "Bürgerinnen und Bürger sollen künftig nach freier Wahl entweder mit dem elektronischen Personalausweis, der elektronischen Gesundheitskarte oder auch weiterhin mit einer Signaturkarte mit einem QES-Zertifikat qualifiziert elektronisch signieren können. Allen drei Kartenarten liegt die eCard-Strategie der Bundesregierung zugrunde und eine einheitliche Softwarespezifikation, die sogenannte eCard-API, eine Middleware, die auf den User-Clients und den Servern zum Einsatz kommen soll und die Interoperabilität, also Austauschbarkeit der Kartentypen, herstellen soll. Die eCard-API ist eine Entwicklung des Bundesamtes für Sicherheit in der Informationstechnik in Zusammenarbeit mit wichtigen Unternehmen der deutschen IT- und IT-Sicherheitsbranche auf Grundlage international anerkannter Standards."

Ähnlich wie Bernhard Beus, der IT-Beauftragte der Bundesregierung, geht Reisen davon aus, dass die nötige Hardware am Markt verfügbar sein wird: " Lesegeräte- und Automatenhersteller werden auf den kontaktlosen Chip jedoch gut vorbereitet sein. Mit der Einführung des elektronischen Personalausweises ab 1. November 2010 wird eine erhebliche Nachfrage nach Lesegeräten entstehen, die auch kontaktlose Chips lesen können. Die Bundesregierung wird in diesen Markt nicht eingreifen, jedoch rechtzeitig die erforderlichen Spezifikationen bereitstellen, um allen Wirtschaftspartnern hier gleiche Chancen einzuräumen. BMI und BSI sind dazu in Gesprächen mit den Herstellern, damit die Kartenleser, die auch kontaktlose Chips lesen können, zeitgerecht am Markt verfügbar sind oder in die dann verfügbaren Geräte, z. B. Notebooks oder Handys und PDA integriert werden können."

Auch bei der Kostenfrage für die qualifizierte elektronische Signatur, die zusätzlich zum Preis für den elektronischen Personalausweise bezahlt werden muss, gibt sich Ministerialrat Reisen optimistisch: "Der Marktpreis für die in der Regel drei Jahre gültigen QES-Zertifikate soll sich nach Einschätzung von Vertretern aus der T7-Gruppe künftig zwischen 10 und 20 Euro bewegen. Wer heute bereits eine QES benötigt, muss diese für einen deutlich höheren Preis von (zum Teil ca. 80 Euro) bei einem Zertifizierungsdiensteanbieter erwerben." In seiner Stellungnahme betont Reisen außerdem, dass die Bürger bis 2010 ausreichend Zeit haben, sich für eine der angebotenen Technologien zu entscheiden, die ihren bis dahin eingeübten Verwendungsgewohnheiten entspricht.

Wielange es braucht, bis sich Gewohnheiten entwickeln, kann vielleicht ein Blick auf die Fin e-ID (Fineid) geben, die qualifizierte elektronische Signatur, die in Finnland angeboten wird, wobei die Zertifikate und privaten Schlüssel auf verschiedenen Karten gespeichert werden können. Das Angebot startete nach einer längeren, 1999 beendeten Pilotphase im Jahre 2006. Aktuell (Stand 1. 7. 2008) haben sich gerade einmal 198.000 von 5,3 Millionen Einwohnern für diese Signatur entschieden. 64.700 nutzen die elektronische ID-Karte auch als Speichermedium für ihre "Gesundheitsdaten", was als Option angeboten wird. Damit geht die Fineid den umgekehrten Weg des deutschen Gesundheitssystems: Hierzulande kommt die elektronische Gesundheitskarte für gesetzlich und privat Versicherte mit der Option, die qualifizierte digitale Signatur auf ihr zu speichern. Die Frage nach der dualen Technologie stand dabei für Sven Marx, Datenschützer bei der Projektgesellschaft Gematik, nicht im Raum: "Im Gesundheitswesen sprechen wir von einer Pflichtanwendung (eVerordnung bzw. elektronisches Rezept), die von allen Versicherten genutzt werden muss. Wir haben uns deshalb bewusst für eine Kontakt-Karte entschieden. Bei einer freiwilligen Anwendung wie einer QES mit dem ePA kann jeder Nutzer selbst entscheiden, ob das Sicherheitsniveau in seinen Augen ausreichend ist oder nicht." Als Karte, die wichtige Sozialdaten trägt, sieht Marx den Einsatz der eGK für Zwecke außerhalb des Gesundheitswesens als eine heikle Sache an.

Ganz anders geht Felix von Leitner vom Chaos Computer Club an die Fragestellung. Für ihn ist weder der elektronische Personalausweis noch die Gesundheitskarte ein geeignetes Medium, ganz gleich wie kontaktbehaftet oder kontaktlos die Karten funktionieren. "Wenn ich mal eine digitale Signaturkarte brauche, werde ich mir dafür eine dritte Scmartcard zulegen. Denn den Personalausweis und die Gesundheitskarte gibt man aus der Hand. Ich gebe die Gesundheitskarte dem Arzt, den Ausweis dem Grenzschutz oder der Polizei. Wenn da tatsächlich mein privater Schlüssel für die digitale Signatur drauf ist, kann ich mir nicht sicher sein, dass die den nicht irgendwie ausgelesen kriegen. Das mag technisch unwahrscheinlich sein, aber die Beweislast liegt ja dann bei mir, genau wie bei der ach so sicheren ec-Karte, wo ja auch immer erst mal angenommen wird, der Kunde müsse die PIN selbst weiter egeben haben. Theoretisch kann jemand mit meinem privaten Schlüssel in meinem Namen Rechtsgeschäfte durchführen oder 'meine' Anwesenheit an einem bestimmten Ort beweisen. Um diesen Missbrauch vorzubeugen, will ich keine zweckentfremdbaren Schlüssel auf einer Karte, sondern lieber den PIN-Brief ungeöffnet im Tresor liegen haben, damit ich im Zweifelsfall nachweisen kann, dass ich es nicht gewesen sein kann."

Das Nachweisrisiko, das der Signierer trägt, weil die Signatur mit der Schriftform (herkömmliche Unterschrift) gleichgesetzt ist, möchte von Leitner nicht tragen. Wer sich in der digitalen Welt bewegt, muss Risikoabwägungen dieser Art in Zukunft häufiger durchführen und durchdenken. Die Debatte um die digitale Signatur im Personalausweis oder auf der Gesundheitskarte beschäftigt Blogger und Behörden gleichermaßen. Sie mag manchem Leser als verfrüht vorkommen. Doch sie steht erst am Anfang.

Siehe dazu auch den ersten Teil des Überblicks zum Umgang mit der digitalen Signatur auf Gesundheitskarte und Personalausweis:

• Wohin mit der Signatur: Smarte Bürger am Scheideweg

Zum elektronischen Personalausweis siehe auch:

• Datenschützer warnen vor neuem elektronischen Personalausweis
• Bundeskabinett verabschiedet Gesetz zum biometrischen Personalausweis
• Schäuble wirbt für neuen elektronischen Personalausweis
• Grüne gegen Online-Banking per Personalausweis

• Elektronischer Personalausweis aus europäischer Perspektive
• Grobkonzept des elektronischen Personalausweises steht
• Keine Pflicht zur Abgabe von Fingerabdrücken für den E-Personalausweis
• EU startet Pilotprojekt für grenzüberschreitende elektronische Ausweise
• Zypries bezweifelt Notwendigkeit eines biometrischen Personalausweises

• Elektronischer Personalausweis: Wenn das Web den Ausweis sehen will
• Bundestag streitet über biometrischen Personalausweis
• E-Personalausweis soll Pseudonym-Funktion erhalten
• E-Personalausweis soll informationelle Selbstbestimmung wahren
• eID-Projekte auf der Zielgeraden

Zur elektronischen Gesundheitskarte siehe:

• Die Auseinandersetzung um die Digitalisierung des Gesundheitswesens

(Detlef Borchers) / (jk)