IT-Sicherheit Der elektronische Ausweis wird mobil

Redakteur: Manfred Klein

Ab Herbst nächsten Jahres sollen deutsche Bürgerinnen und Bürger über den elektronischen Personalausweis verfügen. Um das neue Dokument auch für eGovernment- oder eCommerce-Anwendungen nutzbar zu machen, müssen die benötigten Daten von Lesegeräten verarbeitet werden können. Mit ihrem Beitritt zum international besetzten NFC-Forum will die Bundesdruckerei ihre Idee, künftig auch Mobiltelefone als komfortable Leseeinheiten zu nutzen, weiter vorantreiben.

Anbieter zum Thema

Wenn ab November 2010 der elektronische Personalausweis in Umlauf gebracht wird, müssen Bürger einiges entscheiden: Will man sich mit dem neuen Dokument auch elektronisch ausweisen? Möchte man zusätzlich die Möglichkeiten einer qualifizierten Signatur nutzen? Wie sinnvoll ist die optional angebotene Speicherung der eigenen Fingerabdrücke? Und welches Gerät soll schließlich zum Auslesen der für die private Online-Authentifizierung benötigten Daten genutzt werden?

Gut eineinhalb Jahre vor Einführung der neuen deutschen ID-Karte sind nicht alle Fragen zur Umsetzung dieses national bedeutsamen Umstellungsprozesses geklärt. Sicher ist jedoch, dass alle biografischen Informationen sowie das Lichtbild des Dokumenteninhabers, die schon heute auf der Vorder- und Rückseite des Personalausweises abzulesen sind, künftig auch in einem zusätzlich integrierten Sicherheits-Chip gespeichert werden. Damit wird nach dem deutschen ePass auch der gute alte „Perso“ zu einem modernen eDokument, das eine solide Brücke zwischen der Off- und Online-Identität seiner Nutzer schlagen soll.

Obgleich die hierfür genutzten Komponenten und Verfahren im Wesentlichen den bereits für den elektronischen Reisepass entwickelten Ansätzen entsprechen, wird das neue Dokument einen gravierenden technologischen Umbruch einleiten. Denn um sich mit dem handlichen Ausweisdokument im ID-1-Scheckkartenformat auch online authentifizieren zu können – zum Beispiel gegenüber Behörden beim eGovernment oder gegenüber privatwirtschaftlichen Dienstleistern beim Online-Shopping oder -Banking – müssen bestehende Infrastrukturen angepasst und komplett neue Schnittstellen zur Datenübertragung aufgebaut werden. Einen wesentlichen Baustein bilden hier moderne Lesegeräte, die auch das kontaktlose Auslesen ISO/IEC 14443-standardisierter ID-Dokumente beherrschen.

Nächste Seite: Das Datenschutzkonzept dahinter

Der private Datentransfer in der Zukunft

Bis dato war es allein hoheitlich autorisierten Kontrollinstanzen vorbehalten, auf gespeicherte Identitätsdaten eines Dokumenteninhabers zuzugreifen. Das soll sich mit dem neuen eDokument ändern. Mit speziellen Zertifikaten, die zum Auslesen vorab definierter Personalausweisdaten berechtigen und nur von einer eigens eingerichteten Bundesbehörde ausgestellt werden, sollen in Zukunft auch Firmen und Institutionen auf persönliche Informationen wie Name, Adresse oder Geburtsdatum ihrer Kunden zugreifen können. Allerdings nur, wenn diese es ausdrücklich wünschen und gestatten.

Voraussetzung für diese neue Form komfortabler Datentransfers ist es, dass mit der Beantragung des neuen Personalausweises auch die vorbereiteten eIdentity-Features (elektronischer Identitätsnachweis und Qualifizierte Elektronische Signatur) aktiviert werden und jeder Nutzer über geeignete Schnittstellen verfügt, um die gewünschten Applikationen und Daten freizuschalten. Staatlich akkreditierte Trustcenter, die fest in die ID-Sicherheitskette integriert werden sollen, könnten dann das Management der benötigten Daten und alle notwendigen Authentifizierungsdienste übernehmen.

Damit würde erstmalig ein gegenseitiger Authentifizierungsvorgang in Gang gesetzt und statt der bisher üblichen Single-Sign-On-Systeme könnten alle Prozessbeteiligten auf die Dienste vertrauenswürdiger eID-Services zurückgreifen und von deren Verifikations- und Administrations-Funktionen profitieren.

Für die konkrete Umsetzung bedeutet das: Online-Nutzer werden künftig statt zahlloser Passwörter und Transaktions-Codes nur noch ihren gültigen elektronischen Personalausweis und eine PIN benötigen, um private eIdentity-Funktionen zu starten. Gleichzeitig können sie sich mithilfe der staatlichen Berechtigungszertifikate jederzeit über die Vertrauenswürdigkeit ihrer ausgewählten Dienstanbieter informieren. In der Tat würde dieses elektronische Äquivalent des klassischen Identitätsnachweises für alle Parteien einen erheblichen Zugewinn an Sicherheit, Eindeutigkeit und Effizienz bedeuten.

Was geschieht, wenn das Web den Ausweis verlangt?

Auch wenn zum jetzigen Zeitpunkt noch nicht alle technischen Spezifikationen des geplanten eID-Managements definiert sind, scheinen die potenziellen Anwendungen privat genutzter elektronischer Identitäten ebenso vielfältig, wie der zunehmend und rasch wachsende Online-Markt.

Denn nicht nur im klassischen Warenverkehr, auch bei der Abfrage von Leistungen, die rechtsverbindliche Verträge voraussetzen, liegen die Vorteile für Anbieter und Kunden auf der Hand. Wo immer eindeutige Identitätsnachweise benötigt werden – bei der Eröffnung von Konten (Online-Banking) und Accounts (Social Web), beim Datenaustausch mit Behörden (eGovernment) oder bei der Adress- und Altersverifikationen im Bereich des eCommerce – werden Kommunikationsprozesse deutlich besser vor Internetkriminalität und Identitätsdiebstahl geschützt und erheblich effizienter gestaltet werden können als bisher.

Eine Schlüsselrolle in diesem Prozess werden die privat genutzten Lesegeräte spielen. Noch wird dabei vor allem an stationäre Komponenten gedacht, die direkt an den heimischen Computer angeschlossen werden müssten. Eine Alternative könnten NFC-fähige Mobiltelefone bieten.

Nächste Seite: Die Verknüpfung von Mobiltelefon und Ausweis

Jederzeit und überall

Mit dieser Grundidee und dem Ziel, den für hoheitliche Identitätsdokumente international vereinbarten ISO/IEC-Standard 14443 mit dem Near Field Communication (NFC) Standard zu harmonisieren, engagiert sich die Berliner Bundesdruckerei seit geraumer Zeit in den zuständigen europäischen Normungs-Komitees und seit Beginn dieses Jahres auch im international agierenden NFC-Forum.

Technologisch scheint die neue Anwendung unproblematisch. Basierend auf kontaktlos arbeitenden Smart-Card-Infrastrukturen (ISO/IEC 14443) funktioniert die NFC-Technologie, ebenso wie der Datentransfer zwischen modernen eDokumenten und herkömmlichen Dokumenten-Lesegeräten, im Frequenzbereich von 13,56 MHz und bietet bei einer Reichweite von nur zehn Zentimetern eine Datenübertragungsrate von maximal 847 kBit pro Sekunde.

Gerade die geringe Reichweite, die von vielen Mobilfunkbetreibern bis dato eher als Handicap begriffen wurde, könnte jedoch für Anwendungen im Hochsicherheitsbereich von enormem Vorteil sein. Denn nur, wenn der elektronische Identitätsausweis als Sender direkt mit einem entsprechenden Datenempfänger, in diesem Fall mit einem ISO/IEC 14443-kompatiblen Mobiltelefon, zusammengebracht wird, und der gewünschte Auslesevorgang zudem über die Eingabe einer PIN aktiviert wird, sollen nachfolgende Verarbeitungsprozesse gestartet werden können.

„Wir glauben, dass die Nutzung eines NFC-fähigen Mobiltelefons als mobiles Lesegerät für elektronisch gespeicherte Daten, eine neue Brücke schlagen könnte zwischen eDokumenten und sicheren Internet-Transaktionen“ erläutert Ulrich Hamann, Vorsitzender der Geschäftsführung der Bundesdruckerei, das Vorhaben.

„Wenn es uns gelingt, Mobiltelefone, die jeder selbstverständlich nutzt, und den elektronischen Personalausweis, den jeder permanent bei sich tragen wird, sinnvoll miteinander zu verknüpfen, wird das Schlagwort eID-Management eine ganz neue Bedeutung erhalten. Schon bei der diesjährigen CeBIT haben wir gezeigt, dass die kluge Kombination bestehender Standards enorme Potenziale birgt. Unsere Idee, mobile eIdentity-Anwendungen zu ermöglichen, ist keine Zukunftsmusik. Für diesen Ansatz zu werben und die notwendigen Schritte voran zu treiben, ist uns im Sinne von mehr Sicherheit ein großes Anliegen.“

Nächste Seite: Noch fehlt die Massentauglichkeit

Zukunft wird heute gedacht

Dass die Bundesdruckerei schon jetzt, etliche Monate vor Einführung des elektronischen Personalausweises in Deutschland, mit einem Konzept zur mobilen Nutzung internationaler eDokumente an die Öffentlichkeit geht, beweist Mut.

Denn noch kann von einer Massentauglichkeit mobiler NFC-Services nicht die Rede sein. Obgleich zahlreiche Feldversuche in Europa und Asien gezeigt haben, dass die technischen Möglichkeiten auf große Kundenakzeptanz stoßen, gibt es derzeit nur wenige kommerziell erfolgreiche Anwendungen. Mit dem Vorschlag, NFC-fähige Mobiltelefone als autarke Lesegeräte für dokumentengespeicherte Identitätsdaten zu nutzen, könnte sich diese Situation schlagartig ändern.

Dabei ist die Befürchtung, stationäre Lesegeräte – wie sie im Falle des deutschen elektronischen Personalausweises gerade erst angedacht werden – könnten damit überflüssig werden, gänzlich unbegründet. Wie in vielen anderen Bereichen geht es auch bei der Einbindung der NFC-Technologie nicht um die Substitution vorhandener Verfahren, sondern um eine sinnvolle Erweiterung der Möglichkeiten.

Man darf gespannt sein, ob sich die Mühlen der europäischen Bürokratie bei diesem Ansatz ebenso dynamisch drehen wie die Innovatoren der internationalen Sicherheitsindustrie. Fest steht, dass die Bundesdruckerei eine aktive Rolle in diesem Prozess übernehmen will.

Als Mitglied der New Technology Working Group und der Technical Advisory Group innerhalb der internationalen zivilen Luftfahrtorganisation ICAO (International Civil Aviation Organization) ist sie bereits jetzt mit der Idee NFC-gestützter eIdentity-Anwendungen im Geschäft. Einen interessanten Aspekt, der derzeit auch im international besetzten NFC-Forum diskutiert wird, bieten zudem bidirektionale Roaming-Szenarien. Denn wenn es gelingt, NFC und ISO/IEC 14443 zu harmonisieren, wären der globalen elektronischen Authentifizierung kaum noch Grenzen gesetzt.

Mehr Sicherheit in globalen Transaktionsprozessen

Auch in dieser Hinsicht ist Ulrich Hamann von der Zukunftsfähigkeit seines Unternehmens überzeugt. „Wir betrachten es als eine unserer wesentlichen Aufgaben, mit neuen Technologien und Konzeptansätzen für eine kontinuierliche Verbesserung bestehender Sicherheitsstandards beizutragen. Die Nutzung elektronischer Identitäten wird zukünftig ein fester Bestandteil unserer Alltagsorganisation sein. Und zwar nicht nur am eigenen Computer und innerhalb nationaler Grenzen, sondern an allen Orten, an denen wir mit anderen Menschen kommunizieren und Geschäfte abwickeln. Um auch in diesen, von globalen Transaktionsprozessen geprägten Bereichen ein Höchstmaß an Identitätsschutz zu erreichen, müssen wir einfache, komfortable und vor allem sichere neue Wege eröffnen. Die NFC-Technologie könnte uns helfen, die enormen Sicherheitsvorteile hoheitlich geschützter und bestätigter elektronischer Identitäten noch umfassender zu nutzen. Deshalb sollten wir diesen Schritt, der aus technologischer Sicht bereits vollzogen ist, auch in den zuständigen Standardisierungsgremien vorantreiben. Die Impulse sind gegeben, jetzt geht es um die Abstimmung von Interessen und Details, und ich bin äußerst zuversichtlich, dass wir gemeinsam mit unseren Gesprächspartnern schnell auf die Zielgerade kommen.“ mk

Jetzt Newsletter abonnieren

Wöchentlich die wichtigsten Infos zur Digitalisierung der Verwaltung und Öffentlichen Sicherheit.

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung.

Aufklappen für Details zu Ihrer Einwilligung

(ID:2040431)