Digitale Identitäten in Deutschland

Der Schaden, den das schlecht funktionierende eID-Ökosystem in Deutschland verursacht, ist schwer zu greifen, vor allem da der praktische Nutzen guter eID-Ökosysteme nicht einfach darstellbar ist. Die Aufdeckung von Schwachstellen bei Video-Ident-Verfahren und deren Auswirkungen auf die Verbreitung elektronischer Patientenakten ist ein anschauliches Beispiel für die realen Konsequenzen der Versäumnisse Deutschlands im Bereich elektronischer Identitäten. Um dies besser verstehen zu können, bietet sich ein Blick in Länder an, in denen mithilfe des Staates florierende eID-Ökosysteme etabliert werden konnten.

Wir möchten in diesem Dokument einige Lehren aus führenden Nationen im Bereich elektronischer Identitäten sowie deren Implikationen für Deutschland aufzeigen. Anlass hierfür sind eine kurze Diskussion, die zum Thema Elektronische Identitäten mit einigen Mitgliedern des Digitalausschusses des Bundestages im Juni 2022 in Estland geführt werden konnte, sowie eine Anhörung des Ausschusses zu diesem Thema im Juli 2022 und die aktuellen Entwicklungen rund um die Sicherheitslücken bei Video-Ident-Verfahren.

Die aus unserer Sicht wichtigsten Handlungsempfehlungen aus diesem Dokument sind nachfolgend aufgeführt:

1. Online-Banking als Anwendungsfall für staatliche eID-Lösungen etablieren

Kein kurz- oder mittelfristig realisierbarer³ Anwendungsfall hat ein ähnlich hohes Potenzial an Reichweite und Nutzungsfrequenz für eID. Aus unserer Sicht ist die Zusammenarbeit mit der Finanzwirtschaft ein unerlässlicher Erfolgsfaktor zur Schaffung einer kritischen Nutzendenmasse für staatliche eIDLösungen. Der Bund sollte in Betracht ziehen, die Betreibergesellschaft seiner eID-Lösungen für eine Public Private Partnership mit der deutschen Finanzwirtschaft und vor allem den kundenstärksten deutschen Banken zu öffnen, um einen starken Anreiz zu setzen, gemeinsame eID-Lösungen zum Erfolg zu führen.

2. Software-basierte mobile eID-Lösung als Brückentechnologie auf höchstem Vertrauensniveau zulassen

Deutschland setzt als einziges Land in Europa bei der Einführung seiner nationalen, mobilen eID-Lösung auf eine neue, nicht verbreitete Technologie. Es riskiert damit erneut, dass der Privatsektor bei der zweiten deutschen, staatlichen eID-Lösung nicht mitzieht und Smart-eID aus Nutzendensicht keine Relevanz erlangen kann. Stattdessen sollte der Bund zumindest übergangsweise eine sichere, Software-basierte mobile eID-Lösung in enger Zusammenarbeit mit der Privatwirtschaft entwickeln, die auf allen gängigen Smartphones und für nahezu alle Anwendungsfälle nutzbar ist.

3. Verbreitung staatlicher eID-Insellösungen beenden

Der Staat sollte sich auf die Entwicklung von wenigen eID-Lösungen beschränken. Dazu gehören unweigerlich der elektronische Personalausweis (ePA) als Herzstück staatlicher Identität und des deutschen eID-Ökosystems sowie eine zusätzliche mobile eID-Lösung. Die Nutzung bzw. Entwicklung unterschiedlicher eID-Lösungen in der öffentlichen Verwaltung sowie im staatlich regulierten Gesundheitswesen ist nicht sinnvoll und sollte beendet werden. Die Entwicklung zahlreicher eID-Lösungen ist aus Nutzenden- und Anbietersicht nicht hilfreich und führt zudem dazu, dass verschiedene staatliche Lösungen gegeneinander im Wettbewerb um Anwendende und Nutzung stehen.

4. Verbreitung elektronischer Signaturen staatlich fördern

Die weitläufige Verbreitung und Nutzung von E-Signaturen liegt im gesellschaftlichen Interesse, da sie mehr Effizienz in Wirtschaft und Gesellschaft erlaubt und durch eine Verringerung des Papierverbrauchs und Postverkehrs zudem positive Umwelteffekte zeigt. E-Signaturen konnten sich in Deutschland in den letzten zwei Jahrzehnten am freien Markt nicht durchsetzen. Der Bund sollte tätig werden und die Verbreitung sowie Nutzung von E-Signaturen in Deutschland staatlich fördern. Am ehesten bietet es sich an, das Signieren einer monatlich begrenzten Anzahl von Dokumenten über die AusweisApp2 und ggf. einen weiteren Online-Dienst staatlich zu fördern.

5. Priorisierung von Registermodernisierung gegenüber ID-Wallets

Identity Wallets und Registermodernisierung sind zwei unterschiedliche Ansätze, um das gleiche Problem zu lösen. Im Gegensatz zu Identity Wallets ist die zeitnahe, erfolgreiche Umsetzung der Registermodernisierung jedoch eine entscheidende Voraussetzung für die erfolgreiche Digitalisierung der deutschen Verwaltung, die bestehende sowie zukünftige Aufgaben effizient und nutzungsfreundlich erfüllt und trotz Fachkräftemangel handlungsfähig bleibt. Es besteht das Risiko, dass die Verwaltung bereits jetzt nicht mehr über ausreichend Ressourcen verfügt, um beide Ansätze parallel umzusetzen. Die Bundesregierung sollte daher im Zweifelsfall stets Vorhaben im Zusammenhang mit der Registermodernisierung priorisieren.

Das Scheitern des deutschen ePA ist aus unserer Sicht im internationalen Vergleich noch deutlich dramatischer als in der Anhörung des Digitalausschusses Anfang Juli dargestellt. Prof. Parychek erwähnte, dass die Verbreitung des ePA in der Bevölkerung bei etwa 9 % liegt und von Januar bis Mai 2022 1,8 Millionen Transaktionen durchgeführt wurden (dies entspricht pro Jahr etwa 4,3 Millionen Transaktionen und ca. 7,5 Millionen Nutzenden).

Zum Vergleich: die in Schweden weitläufig als elektronisches Identifizierungsmittel genutzte BankID verzeichnete im Jahr 2021 6 Milliarden Transaktionen. Vergleicht man dabei die Transaktionen pro Nutzenden, weist die schwedische Lösung ein mehr als 1.300-mal höheres Transaktionsvolumen als der ePA auf. Geht man noch einen Schritt weiter und vergleicht die Transaktionen per Capita, sind es aufgrund der geringen Verbreitung des deutschen ePA sogar mehr als 11.200-mal mehr Transaktionen. Ähnliches gilt für das Vorreiterland Estland, wo drei verschiedene elektronische Identifizierungsmittel auf höchstem Vertrauensniveau weitläufig genutzt werden. Im Jahr 2019 erreichte dort das Transaktionsvolumen trotz einer Bevölkerungszahl von ca. 1,3 Millionen rund 565 Millionen eID-Transaktionen.⁴

Ein genauerer Blick darauf, wo der Großteil der eID-Transaktionen in diesen und anderen erfolgreichen Ländern entsteht, hilft zu verstehen, woran es beim ePA in Deutschland mangelt. Ein Großteil der eID-Transaktionen in Estland und Schweden werden von Anwendungsfällen in der Privatwirtschaft generiert.

Obwohl in Estland nahezu alle Verwaltungsleistungen online abgewickelt werden können und ein Großteil der Bevölkerung diese Möglichkeit auch nutzt, kommt der öffentlichen Verwaltung nur ein Anteil von etwa 5 % an allen eID-Transaktionen im Land zu. Etwa 8 % entfallen auf den Bereich eHealth und 1 % auf den Bildungsbereich – der Rest von etwa 86 % verteilt sich auf die Privatwirtschaft. Eine dominierende Stellung nimmt dabei die Finanzwirtschaft ein, die 75 % aller eID-Transaktionen in dem Land unter sich aufteilt. Ein ähnliches Bild zeichnet sich in Schweden ab, wo etwa 8 % der eID-Transaktionen auf die öffentliche Verwaltung entfallen und sogar 77 % der Transaktionen in der Finanzwirtschaft entstehen. Aus diesen Zahlen lassen sich unserer Ansicht nach zwei wesentliche Erkenntnisse ableiten:

1. Der Staat allein verfügt nicht über ausreichend Kundenkontakte, um eine kritische Masse für eine nationale eID-Lösung zu erreichen, selbst wenn er umfangreiche eGovernment-Dienste anbietet.
2. Die Finanzwirtschaft bietet die aktuell mit Abstand relevantesten Anwendungsfälle für sichere Authentifizierung und ist ausschlaggebend für den Erfolg einer nationalen eID-Lösung.

Nach unserer Auffassung ist die Gewinnung der kundenstärksten Banken eines Landes als Anwendungsfall zwar nicht der alleinige Erfolgsfaktor für die Etablierung einer nationalen eID-Lösung, sie ist aber mit großer Wahrscheinlichkeit der wichtigste. Viel diskutierte Faktoren wie die Anwendungsfreundlichkeit der Lösung oder der Integrationsaufwand einer Lösung in einen Online-Dienst sind gleichsam relevant. Doch ohne viel genutzte Anwendungsfälle ist auch eine besonders anwendungsfreundliche eID-Lösung schlicht nicht relevant.

Ein weiterer wichtiger Aspekt, um Schwachstellen im deutschen eID-Ökosystem zu erkennen, ist ein abstrahierter und vereinfachter Blick aus der Nutzendenperspektive auf die Landschaft elektronischer Identifizierungsmittel im internationalen Vergleich. Unserer Auffassung nach es ist für Anwendende einfacher, mit wenigen, einfach einzusetzenden und sicheren elektronischen Identifizierungsmitteln eine Vielzahl von Diensten nutzen zu können. Die anwendungsfreundlichste Variante ist hingegen ein System, in dem viele verschiedene eID-Lösungen existieren, die jeweils nur für einen OnlineDienst oder eine kleine Anzahl genutzt werden können.

Leider müssen wir feststellen, dass sich ein solches System der eID-Insellösungen in Deutschland bereits etabliert hat. Symbolisch dafür sehen wir die Entwicklung eigener eID-Lösungen im staatlich regulierten Gesundheitswesen, was vornehmlich durch die Selbstregulierung im Gesundheitswesen begründet wird. Aus Sicht der Nutzenden und Steuer- bzw. Beitragszahlenden ist das nicht sinnvoll. Auch die deutschen Banken haben sich bislang nicht auf einheitliche eID-Lösungen einigen können, die für verschiedene Banken genutzt werden, wie es u. a. in Schweden, Dänemark und Estland bereits in den 2000er-Jahren geschehen ist. Stattdessen müssen teilweise sogar mehrere unterschiedliche eID-Lösungen für die Authentifizierung und Bestätigung von Überweisungen bei einzelnen Banken eingesetzt werden.

Das System der Insellösungen ist vor allem problematisch, da es die Nutzung und Verbreitung neuer OnlineDienste erschwert, indem das Thema Authentifizierung immer wieder neu gelöst werden muss, anstatt auf eine bestehende Lösung mit einer großen Anzahl an Anwendenden zurückgreifen zu können. Das sehen wir gleichsam als Innovations- und Wachstumshemmnis für Deutschland.

Ein genauerer Blick darauf, wo der Großteil der eID-Transaktionen in diesen und anderen erfolgreichen Ländern entsteht, hilft zu verstehen, woran es beim ePA in Deutschland mangelt. Ein Großteil der eID-Transaktionen in Estland und Schweden werden von Anwendungsfällen in der Privatwirtschaft generiert.

Diese schemenhafte Darstellung des Flickenteppichs elektronischer Identifizierungsmittel in Deutschland lässt zwei Richtungen erkennen, in welche diese Landschaft in Deutschland weiterentwickelt werden könnte:

1. Broker zur Zusammenführung bestehender elektronischer Identifizierungsmittel mit einer Vielzahl an Anwendungsfällen

In Finnland wurde der ePA bereits 1999 als eines der ersten Länder überhaupt eingeführt. Ähnlich wie in Deutschland konnte sich der ePA jedoch nicht in der Bevölkerung durchsetzen. Stattdessen blieben die eID-Lösungen der Banken am relevantesten. Daher wurde mit Suomi.fi‘s E-Identifizierungsdienst eine Lösung geschaffen, in der sich Nutzende mit verschiedensten elektronischen Identifizierungsmitteln anmelden können, um Dienste der Verwaltung und des Gesundheitssektors zu nutzen. Dazu zählen u. a. der ePA und die verschiedenen elektronischen Identifizierungsmittel der Banken. Auch im Privatsektor wurden ähnliche Broker-Lösungen etabliert, die für verschiedene Anwendungsfälle nutzbar sind.

Die Etablierung eines ähnlichen Dienstes könnte ein gangbarer Weg für die deutsche Verwaltung und das Gesundheitswesen sein. Dafür müssten jedoch vor allem die elektronischen Identifizierungsmittel der Banken von Verwaltung und Gesundheitssektor anerkannt werden, was ohne eine pragmatischere Sichtweise auf Sicherheitsvorgaben nicht für alle Leistungen möglich ist. Aufgrund der bisher strikten Auslegung der EU-Verordnung eIDAS und anderer Vorgaben erscheint uns dieser Weg auch in Zukunft als eher unwahrscheinlich.

2. Durchsetzung einer oder mehrerer eID-Lösungen am Markt für eine Vielzahl von Anwendungsfällen

Ein weiterer Ausweg aus der Landschaft der eID-Insellösungen könnte die Etablierung eines neuen, erfolgreichen elektronischen Identifizierungsmittels bzw. eine signifikante Ausweitung von Anwendungsfällen bei einem bestehenden Identifizierungsmittel sein. Mit der zunehmenden Verbreitung von Smartphones und der steigenden mobilen Nutzung des Internets verbreiten sich auch mehr und mehr mobile eID-Lösungen. Die Bundesregierung hat diesen Trend erkannt und arbeitet im Rahmen der Smart-eID mit an der Entwicklung einer mobilen eID-Lösung auf höchstem Vertrauensniveau. Leider setzt sie dabei mit Secure Elements erneut auf eine kaum am Markt verbreitete Technologie und senkt so ihre Chancen, die Privatwirtschaft von der Nutzung dieser mobilen eID-Lösung überzeugen zu können, da es in absehbarer Zeit keine signifikante Nutzendenbasis geben wird. Dass die Regierung auch Jahre nach der Einführung von Smart-eID noch eine zweite Chance von der Privatwirtschaft erhalten wird, ist aufgrund der Erfahrungen mit dem ePA nicht zu erwarten. Mit der Ablehnung einer Software-basierten mobilen eID-Lösung steht Deutschland in Europa zudem allein auf weiter Flur: Andere europäische Länder haben bestehende Regularien pragmatischer ausgelegt und erkennen faktisch Softwarebasierte mobile eID-Lösungen national als elektronische Identifizierungsmittel auf höchstem Vertrauensniveau an. In Deutschland wird dies mit Verweisen auf eIDAS seit Jahren abgelehnt, obwohl eine Software-basierte mobile eID-Lösung wohl deutlich größere Chancen hätte, sich durchzusetzen.

Auch sind keine größeren Fortschritte bei der Ausweitung der Anwendungsfälle des ePA erkennbar, der als einziges elektronisches Identifizierungsmittel auf höchstem Vertrauensniveau weiterhin die zentrale eID-Lösung in Deutschland ist. Unabhängig davon, auf welche eID-Lösung(en) die Bundesregierung zukünftig setzen wird, sollte sie unter keinen Umständen selbst zur Ausweitung der Landschaft von Insellösungen beitragen, sondern sich vielmehr auf die sektorübergreifende Nutzbarkeit einiger weniger Lösungen konzentrieren. Aktuell ist beispielsweise unklar, wie die geplante Bund-ID und Smart-eID zusammenpassen. Es sei zudem erneut darauf hingewiesen, dass die Gewinnung relevanter Anwendungsfälle, insbesondere aus der Finanzwirtschaft (Online-Banking), erfolgsentscheidend sein wird.

1. Schneller Aufbau Grosser Nutzendengruppen

eID-Lösungen sind nur attraktiv für Endnutzende, wenn sie auch für eine Vielzahl relevanter Online-Dienste eingesetzt werden können. Ebenso ist die Attraktivität von eIDLösungen für Anbieter vor allem davon abhängig, ob sie eine relevante Nutzendenbasis haben. Beim ePA hat der Staat den Vorteil, dass er die Endnutzenden gesetzlich dazu verpflichtet, einen Personalausweis zu besitzen. Des Weiteren wurden über die Jahre auch Nachbesserungen beim Opt-in-/Opt-out-Verfahren sowie bei der Aktivierung der Online-Funktion vorgenommen, die einen Anstieg der Endanwendendenzahl erleichtert. Die Gewinnung von Endnutzenden für eine optionale eID-Lösung wie die SmarteID dürfte nochmals schwieriger werden.

Die Erfahrungen mit dem ePA zeigen, dass die größere Herausforderung für den Staat in der Gewinnung von Diensteanbietern besteht. Der Staat muss hierbei zukünftig eine deutlich aktivere Rolle einnehmen und sollte verstärkt über finanzielle Anreize und ggf. auch über regulatorische Zwänge zur Einbindung staatlicher eID-Lösungen in besonders sensible Online-Dienste nachdenken. Weiterhin ist es für Anbieter entscheidend, dass eID-Lösungen mit wenig Aufwand in ihre Online-Dienste eingebunden werden können.

2. Eigenständigen Wert bieten

Insbesondere in der Aufbauphase einer Plattform ist es hilfreich, wenn diese ihren Anwendenden Mehrwerte bieten können, die unabhängig von dem Vorhandensein der jeweils anderen Nutzendengruppe auf der Plattform existieren. Übertragen auf eID-Lösungen heißt das vor allem, dass Endanwendende einen Anreiz haben sollten, die Lösung zu nutzen, auch wenn es noch nicht viele Online-Dienste gibt, für die die Lösung eingesetzt werden kann.

Hierfür bieten sich bei staatlichen eID-Lösungen aus unserer Sicht insbesondere elektronische Signaturen (E-Signaturen) an. In Estland ist seit Einführung des ePA im Jahr 2002 eine kostenfreie Funktion zur Erstellung qualifizierter elektronischer Signaturen (QES) in der zugehörigen Ausweisfunktion enthalten. Damit können jegliche Dokumente rechtsverbindlich unterschrieben werden. Dies bietet einen Anwendungsfall, der zudem unmittelbar zwischen Bürger*innen genutzt werden kann, z. B. für Mietoder Kaufverträge.

Des Weiteren wurde für den estnischen Personalausweis ein Anwendungsfall etabliert, der unabhängig von der elektronischen Ausweisfunktion Mehrwerte für Endanwendende und Wirtschaft bietet. Durch das Vorhandensein der estnischen Personenkennziffer als physisches Merkmal in Form eines Barcodes auf dem Personalausweis und die Erlaubnis einer Nutzung der Kennziffer durch die Privatwirtschaft wird der Personalausweis zudem weitläufig als Kundenkarte eingesetzt.

3. Rekrutierung von prominenten Anwendenden

Ein wichtiger Erfolgsfaktor für Plattformen ist die Rekrutierung von prominenten Anwendenden mit ausreichender Strahlkraft, um zahlreiche weitere Nutzende aus verschiedenen Gruppen auf die Plattform zu ziehen. Übertragen auf eID-Lösungen ist dies weitestgehend nur für die Seite der Diensteanbieter relevant. Hier ist erfolgsentscheidend, Anwendungsfälle mit hoher Reichweite und Nutzungsfrequenz für die Lösung zugänglich zu machen. Auf Basis der vorgestellten internationalen Zahlen zu Anwendungsfeldern von eID ist die Finanzwirtschaft und insbesondere das OnlineBanking als der vielversprechendste Anwendungsfall hervorzuheben. Die Gewinnung der kundenstärksten Banken für staatliche eID-Lösungen könnte der Schlüssel sein, um endlich eine kritische Masse an Anwendenden und die regelmäßige Nutzung für solche Lösungen zu etablieren. Wir glauben, dass das Online-Banking in Deutschland ein Potenzial von mindestens 3,5 Mrd. eID-Transaktionen pro Jahr bietet ⁶. Für den Erfolg seiner eIDLösungen muss der Staat hier einen Weg finden, mit den Banken zu kooperieren.

4. Reduktion von Nutzungsrisiken

In der Aufbauphase von Plattformen ist deren Anwendung für alle Nutzungsgruppen mit einem gewissen Risiko verbunden, da es noch ungewiss ist, ob sich die Plattform durchsetzen wird oder nicht. Somit sind zeitliche und finanzielle Investitionen in dieser Phase für alle Nutzenden besonders riskant. Privatwirtschaftliche Plattformen setzen hier beispielsweise auf finanzielle Anreize für „Early Adopters“, um das Risiko der Anwendung der Plattform zu minimieren.

Übertragen auf den ePA war beispielsweise die kostenlose Ausgabe von Kartenlesegeräten an einige Endnutzende in der Anfangsphase eine solche Maßnahme. Zudem hat die Nutzbarkeit von Smartphones als Kartenlesegerät das Risiko für den ePA weiter reduziert. Smartphonebasierte eID-Lösungen sind vorteilhaft, weil sie so gut wie kein finanzielles Risiko für Endanwendende mehr bedeuten, sofern die Lösungen auf allen handelsüblichen Smartphones eingesetzt werden können.

Daher dürften auch bei dieser Problematik die Diensteanbieter die relevantere Anwendungsgruppe sein. Der Bund sollte über finanzielle Anreize nachdenken, um das finanzielle Risiko der Einbindung von staatlichen eIDLösungen in Online-Dienste vor allem in der Anfangsphase zu senken. Insbesondere mit Blick auf die Banken könnte es deutlich wirkungsvoller sein, die kundenstärksten Banken Deutschlands direkt an der Entwicklung und am finanziellen Erfolg der Lösung zu beteiligen. Sowohl in Dänemark, Schweden als auch in Estland sind Banken Gesellschafter der Unternehmen, die die nationalen eID-Lösungen entwickeln und betreiben. Somit verstärkt sich bei den Banken auch der Anreiz, diese Lösungen in ihre eigenen Online-Dienste einzubinden und vertriebliche Aktivitäten zu unterstützen, um weitere Anbieter von Online-Diensten von ihrer Lösung zu überzeugen.

5. Gewährleistung der kompatibilität mit altsystemen

Plattform-Geschäftsmodelle sind selten komplett neu und haben daher häufig Abhängigkeiten zu bestehenden Technologien. Für die erfolgskritische schnelle Gewinnung von Nutzenden ist es daher hilfreich, wenn neue Plattform-Geschäftsmodelle kompatibel mit bestehenden Technologien sind. Beispielsweise wurde die Einführung von Blu-ray-Playern dadurch gefördert, dass diese auch DVDs abspielen konnten.

Staatliche eID-Lösungen haben ebenfalls Abhängigkeiten zu bestehenden Technologien. Die Entscheidung für den Einsatz von Kontaktchips als Speichermedium für eID-Zertifikate beim estnischen ePA hatte den Vorteil, dass sie mit günstigen Kartenlesegeräten kompatibel sind. Zudem waren Kontaktchips schon in den frühen 00er-Jahren für den Anwendungsfall des ePA als Kundenkarte kompatibel mit den EC-Kartenlesegeräten im Einzelhandel. Die Entscheidung beim deutschen ePA zur Nutzung von NFC-Chips war in der kritischen Anfangsphase nicht hilfreich, da Kartenlesegeräte für NFC teurer und weniger verbreitet waren. In Estland wurde die NFC-Technologie bei einer Überarbeitung des ePA in den späten 2010er-Jahren nachgerüstet.

Eine ähnliche Schwäche bei der Kompatibilität mit bestehenden Technologien ist bei der Smart-eID zu befürchten. Aktuell sind die Secure Elements auf denen die Lösung basiert nicht weitläufig genug in gebräuchlichen Smartphones verbreitet, um zeitnah eine große Anwendenendenbasis für die Lösung schaffen zu können. Auch aus dieser Sicht wäre die Entwicklung einer Software-basierten mobilen eID-Lösung zu präferieren. Diese könnte im Falle einer erfolgreichen Verbreitung von Secure Elements auf diese Technologie nachgerüstet werden.

Da das Thema E-Authentifizierung im vorigen Abschnitt ausführlich behandelt wurde, konzentrieren wir uns hier ausschließlich auf Identifikatoren und E-Signaturen.

Die Verbreitung, Komplexität und Nutzbarkeit des Systems von Identifikatoren in einem eID-Ökosystem hat maßgeblichen Einfluss darauf, wie einfach sich eine digitale Gesellschaft entwickeln kann. Beispielsweise verhindert die fehlende Möglichkeit der Nutzung der Bürger-ID durch die Privatwirtschaft und des elektronischen Datenaustausches mit der öffentlichen Verwaltung als Teil der Registermodernisierung, dass privatwirtschaftliche Prozesse, die staatliche Daten über Anwendende erfordern, durchgängig digitalisiert und automatisiert werden können. In der Folge müssen stattdessen aufwendige alternative Möglichkeiten wie Identity Wallets geschaffen werden. Eine weitere Schwachstelle im deutschen System ist das Fehlen der Bürger-ID als physisches Merkmal auf dem Personalausweis. Dies erschwert den Abgleich physischer und elektronischer Identitäten unnötig und erhöht die Komplexität von Systemen, für die ein zweifelsfreier Abgleich erforderlich ist. Beispielsweise müsste bei einer digitalen Lösung des Organspendeausweises anhand des Personalausweises zweifelsfrei feststellbar sein, ob jemand sich im elektronischen Register als Organspender eingetragen hat oder nicht. Dies ist zwar auch ohne Bürger-ID lösbar, z. B. über die Dokumentennummer des Ausweises. Diese müsste dann allerdings bei jedem Dokumentenwechsel aktualisiert werden, was die Komplexität erhöht und die Anwendungsfreundlichkeit unnötig schwächt. Auch sind so Anwendungsfälle wie die Nutzung des Personalausweises als Kundenkarte schwerer umsetzbar. Bei diesem Sachverhalt ist ebenfalls festzustellen, dass Deutschland in Europa mit seinem Ansatz in der Minderheit ist, denn in 18 der 22 EU-Länder, die eine nationale Personenkennziffer einsetzen, ist diese als physisches Merkmal auf dem Ausweisdokument enthalten.

Über die Problematik der mangelnden Verbreitung von E-Signaturen findet in Deutschland praktisch keine Debatte statt. Auch in der Anhörung des Ausschusses zu digitalen Identitäten wurden E-Signaturen nicht thematisiert. Das ist bedauerlich, weil E-Signaturen ein elementarer Grundbaustein von eID-Ökosystemen sowie digitalen Gesellschaften als Ganzes sind. Ohne eine einfache wie sichere digitale Möglichkeit zur Abgabe rechtsverbindlicher Willenserklärungen ist die Etablierung digitaler Rechtsgeschäfte stark eingeschränkt. Dies ist bedauerlich, weil vor allem der Bund Möglichkeiten – und aus unserer Sicht auch die Verantwortung – hat, die Verbreitung von E-Signaturen in Deutschland zu fördern. Des Weiteren bieten E-Signaturen eine Chance, die Nutzung und Verbreitung der eID-Lösung(en) des Bundes zu stärken, da sie einen zusätzlichen teils anbieterunabhängigen Anwendungsfall bieten (siehe oben).

1. Staatliche Förderung von e-Signaturen als Teil nationaler eID-Lösung(en)

In einigen europäischen Ländern werden E-Signaturen als Funktion staatlicher eID-Lösungen kostenfrei zur Verfügung gestellt. Estland und Österreich sind Beispiele hierfür. In Estland wurde mit Auslieferung der ersten ePAe 2002 bereits eine Funktion für elektronische Unterschriften digitaler Dokumente als Teil der Ausweis-Software mitgeliefert. Aufgrund der fünfjährigen Gültigkeit estnischer Personalausweise und der verpflichtenden Einschaltung der elektronischen Ausweisfunktion waren so schon Ende der 2000er Jahre alle Est*innen zumindest theoretisch in der Lage, E-Signaturen zu leisten. Dies führte in der Praxis zu einer weitläufigen Nutzung von E-Signaturen. Bis zum Jahr 2021 wurden bereits 1,4 Mrd. E-Signaturen in Estland geleistet. ⁷

In Österreich können Bürger*innen mit Bürger*innenkarte und Handy-Signatur kostenfrei rechtsverbindliche, elektronische Signaturen für private Zwecke leisten. Auch steigt die Nutzung konstant an; mittlerweile werden mit der Handy-Signatur mehr als 100.000 Signaturen pro Tag getätigt. ⁸

Da der freie Markt in den letzten zwei Jahrzehnten hier zum Schaden der Gesellschaft keine Lösung zur weitläufigen Verbreitung von E-Signaturen etablieren konnte, ist ein staatliches Eingreifen nach unserem Ermessen gerechtfertigt. Eine staatlich finanzierte Bereitstellung von E-Signaturen ließe sich auch mit dem Ansatz der digitalen Grundversorgung begründen. Die Tiefe eines staatlichen Eingriffs könnte durch eine Begrenzung der Anzahl der kostenfreien E-Signaturen oder eine zeitliche Begrenzung der Förderung reduziert werden, um den Eingriff in den freien Markt einzudämmen.

2. Verbreitung als funktion erfolgreicher privatwirtschaftlicher eID-lösungen

Dass sich E-Signaturen auch ohne direkte staatliche Förderung erfolgreich verbreiten können, zeigen die Beispiele Dänemark und Schweden. Dort können die gebräuchlichen Lösungen NemID und BankID auch zur Generierung von E-Signaturen genutzt werden. E-Signaturen werden direkt in Online-Diensten geleistet und von den Diensteanbietern bezahlt. Aufgrund des hohen Nutzungsgrades dieser Lösungen in der Bevölkerung ist die Einbindung für die Privatwirtschaft lohnend.

Nach unserem Dafürhalten ist eine zeitnahe Stärkung der Verbreitung von E-Signaturen aktuell nur durch eine staatliche Förderung zu erreichen. Dies könnte beispielsweise durch eine Einbindung einer kostenfreien Signaturfunktion in die AusweisApp2 erfolgen. Da nicht absehbar ist, dass sich in Deutschland eine privatwirtschaftliche eID-Lösung in näherer Zukunft durchsetzen wird, sollte nicht weiter auf eine Lösung durch den freien Markt gewartet werden.

Interoperabilität ist ein eng an das eID-Ökosystem angrenzender Bereich. In diesem Bereich der digitalen Gesellschaft geht es darum, wie bestimmte personen- oder objektbezogene Daten, die meist für die durchgehende Digitalisierung und Automatisierung von Online-Diensten benötigt werden, sicher und rechtskonform ausgetauscht werden können. Diese Daten liegen idealerweise in staatlichen Registern oder in Fachanwendungen. Beispielhaft können hier personenbezogene Daten wie Fahrerlaubnis, Schulabschlüsse oder Geburtsurkunden genannt werden. Im Zentrum der Interoperabilität liegt ein Interoperabilitätssystem⁹, das sowohl technische, rechtliche, prozessuale als auch organisatorische Aspekte des registerübergreifenden Datenaustauschs regelt. Die Herstellung von Interoperabilität zwischen staatlichen Registern ist nach unserer Auffassung Hauptzweck der Registermodernisierung.

Vor dem Hintergrund des rapide zunehmenden Fachkräftemangels in der öffentlichen Verwaltung bei gleichzeitiger Erhöhung der Aufgabenlast glauben wir, dass das Thema Interoperabilität aufgrund des damit verbundenen Automatisierungs- bzw. Effizienzpotentials von höchster Bedeutung ist und dass es dabei um nicht weniger als die Erhaltung der effektiven Handlungsfähigkeit des Staates geht.

Self-Sovereign Identity (selbstbestimmte Identitäten) ist ein Konzept, das seit einigen Jahren sowohl auf europäischer Ebene als auch in Deutschland stärker in den Fokus von Politik und Verwaltung gerückt ist. Dabei geht es insbesondere um die Stärkung der Kontrolle von Bürger*innen über ihre Daten. Die Debatte um SSI ist in Europa stark von der zunehmenden Präsenz amerikanischer IT-Konzerne wie Google und Facebook geprägt, die u. a. durch Single Sign-On-Lösungen (SSO) immer weitläufiger in die Nutzung von Internetdiensten involviert sind und so immer mehr Daten über große Teile der Bevölkerung sammeln können. Zukünftig sollen vor allem ID-Wallets entwickelt werden, in die sowohl der Personalausweis als auch Führerscheine und verschiedenste weitere verifizierte Nachweise wie Schulzeugnisse, Meldebescheinigungen, etc. eingefügt und weitergegeben werden können. Die Bundesregierung hat in den vergangenen Jahren verschiedene Forschungsprojekte zu diesem Thema intensiv gefördert und mit der ID-Wallet des Verkehrsministeriums im Jahr 2021 eine erste solche App mit reichlich Startschwierigkeiten veröffentlicht. Im Prinzip werden durch den ID-Wallet-Ansatz die oben dargestellten Bereiche eID-Ökosystem und Interoperabilität miteinander verschmolzen.

Der Bund verfolgt mit Identity Wallets und der Registermodernisierung parallel zwei grundverschiedene Ansätze zur Lösung des gleichen Problems. Denn bei beiden Ansätzen geht es hauptsächlich darum, verifizierte personenbezogene Daten an Dritte zu übermitteln. Sofern ID-Wallets auch den Personalausweis enthalten und zur Authentifizierung von Personen genutzt werden, tragen sie zudem zur weiteren Zerklüftung der Landschaft elektronischer Identifizierungsmittel in Deutschland bei.

Viele mit SSI verknüpfte Ziele könnten unserer Ansicht nach besser durch gut aufgebaute eID-Ökosysteme und Interoperabilitätssysteme erreicht werden. Der ePA bietet von Beginn an die Möglichkeit, zu kontrollieren, welche Daten an einen Diensteanbieter weitergegeben werden. Auch die für das deutsche Interoperabilitätssystem vorgesehenen Komponenten Datenschutzcockpit und Konsentmodul verankern SSI-Prinzipien in diesem System. Mit dem Konsentmodul sollen Bürger*innen die Möglichkeit erhalten, Datenzugriffe ex ante zu kontrollieren. Mit dem Datenschutzcockpit soll es ex post möglich sein, alle Zugriffe auf Daten nachzuvollziehen und ggf. zu hinterfragen. Das Interoperabilitätssystem hat gegenüber dem ID-Wallet-Ansatz den Vorteil, dass es sich um ein stärker reglementiertes und überwachtes System handelt. Auch wenn das zukünftige Governance-System unseres Wissens nach noch nicht vollständig entwickelt ist, ist davon auszugehen, dass Anbieter von Datendiensten und deren Datenkonsumenten zunächst durch eine zentrale Stelle kontrolliert und zugelassen werden müssen, um dem System beizutreten.

Die Verwaltung hat vermutlich nicht ausreichend Ressourcen, um Registermodernisierung und ID Wallets parallel zeitnah umzusetzen. Schon jetzt – im ersten Jahr nach Verabschiedung des RegMoG – verzögert sich die Umsetzung der Registermodernisierung gemäß Pressemeldungen u. a. aufgrund mangelnder personeller Kapazitäten. Es ist fragwürdig, wie unter diesen Umständen zeitgleich zusätzlich verschiedenste digitale Nachweise für Identity Wallets von einer Vielzahl an Behörden entwickelt werden sollen.

Im Prinzip elektrifizieren ID-Wallets bekannte analoge Prozesse zur Erbringung von Nachweisen gegenüber Dritten. Bürger*innen besorgen sich die Nachweise von den Dateneignern, speichern diese bei sich ab und geben die Nachweise in elektronischer Form an Dritte weiter, bei denen sie verifizierte Nachweise als Teil eines Antragsprozesses übermitteln müssen. Diesem Prinzip folgend müssen Bürger*innen die gleichen Informationen bei jedem Antrag immer wieder übermitteln, was inhärent dem Once-Only-Prinzip widerspricht.

Das SSI-Prinzip in Form von ID-Wallets strebt nach einer technischen Verankerung des Rechts auf informationelle Selbstbestimmung. Das ist im Grunde zwar ein erstrebenswertes Ziel, doch das Mittel ID-Wallet hat den Nachteil, dass es gleichzeitig der Umsetzung moderner und einfacher Verwaltungsverfahren im Wege steht. Insbesondere die Umsetzung proaktiver Verwaltungsleistungen ist nicht möglich, wenn der Staat gewisse personenbezogene Daten, wie die Geburt eines Kindes, nicht automatisch behördenübergreifend weitergeben darf, um proaktive Prozesse auszulösen. Dem ID-Wallet-Ansatz folgend, müsste zunächst eine Geburtsurkunde in die Wallet der Eltern geladen werden und dann an die zuständige(n) Behörde(n) weitergegeben werden. Aktuell sind nur reaktive Verwaltungsverfahren möglich.

An dieser Stelle sei auch darauf hingewiesen, dass über das estnische Interoperabilitätssystem X-Road im vergangenen Jahr knapp 2,9 Mrd. Transaktionen durchgeführt wurden, was in etwa 2.100 Transaktionen pro Bürger*innen im Jahr entspricht. Bürger*innen wären schlichtweg damit überfordert, wenn sie jede Anfrage kontrollieren müssten, und automatisierte Prozesse würden behindert, wenn sie stets auf die Zustimmung der Bürger*in warten müssten. Stattdessen sollte der behördenübergreifende Austausch von Daten reglementiert und überwacht werden.

Eines der Hauptargumente für die Entwicklung von Identity Wallets ist der vermeintlich höhere Datenschutz im Vergleich zum (angeblich) direkten Datenaustausch zwischen Behörden über ein Interoperabilitätssystem. Mit Identity Wallets sollen die Endanwendenden die alleinige Kontrolle darüber haben, wem sie wann ihre Daten zur Verfügung stellen. Der vermeintliche Nachteil von Interoperabilitätssystemen ist, dass die Dateneigner nachvollziehen können, welche Behörde, zu welchem Zeitpunkt, welche Daten zu welcher Person angefragt hat. Daran können diese Informationen zur aktuellen Situation dieser Person ableiten. Dies trifft auf das vorgesehene Interoperabilitätssystem in Deutschland aber nicht zu, denn durch den Einsatz von Intermediären haben die Dateneigner keine Transparenz darüber, wem die Daten zur Verfügung gestellt werden. Gleichzeitig müsste in einem funktionierenden System von ID-Wallets die Validität der Information vor jeder Nutzung überprüft werden, um beispielsweise sicherzustellen, dass ein Doktortitel weiterhin Gültigkeit hat. Somit hätten die Dateneigner beim Einsatz von Identity Wallets genau den gleichen Informationsstand zu ihren Nutzenden wie in einem Interoperabilitätssystem, nämlich den Zeitpunkt, wann diese ihre Informationen für ein anderes Verfahren einsetzen wollen.

Interoperabilität adressiert aus Nutzendensicht die schon von Gerhard Schröder vor vielen Jahren ausgegebene Maxime „die Daten sollen laufen, nicht die Bürger“. Je nach Ausgestaltung können Identity Wallets den Nachteil haben, dass Bürger*innen diese Daten stets selbst in ihre Wallets laden und dann weitergeben müssen. Das kann dazu führen, dass die Bürger*innen zwar nicht mehr physisch zu Ämtern laufen müssen, sich aber stets selbst darum kümmern müssen, die passenden Nachweise für ihre Anliegen in ihre Identity Wallets zu laden. Der Ansatz der Registermodernisierung, in dem diese Nachweise mit Zustimmung der Bürger*innen von den Behörden selbst ausgetauscht werden, dürfte deutlich anwendungsfreundlicher und zeitsparender sein.

1. Nach unserem Verständnis betrifft die Gesetzgebungskompetenz der Europäischen Union in diesem Bereich lediglich die Regulierung der grenzüberschreitenden Nutzung elektronischer Identitäten im Binnenmarkt. Somit haben Mitgliedstaaten weiterhin große Spielräume in Bezug auf den Einsatz staatlicher eID-Lösungen im Inland.
2. Diese erstreckt sich selbstverständlich auch auf weitere Grundbausteine der digitalen Gesellschaft wie z. B. die Internetinfrastruktur oder auch rechtsverbindliche elektronische Kommunikation (z. B. De-Mail).
3. Wir vermuten, dass lediglich die erfolgreiche Verbreitung einer Lösung zu rechtsverbindlicher, elektronischer Kommunikation (wie De-Mail), für die eine eID-Lösung zur regelmäßigen Authentifizierung genutzt wird, ein ähnliches Potenzial an Reichweite und Frequenz hat. Eine solche Lösung, die nach unserem Dafürhalten sektorübergreifend nutzbar sein müsste, ist aktuell in Deutschland aber nicht in Sicht, obwohl sie z. B. für die erfolgreiche Etablierung proaktiver Dienste erforderlich wäre.
4. Anzahl aktiver eID-Karten, beinhaltet Zweitkarten und eResidency-Karten.
5. Edelman, B. (2015). How to launch your digital platform. Harvard business review, 93(4), 21.
6. Vgl. Nortal, BCG (2020). Zehn Jahre elektronischer Personalausweis: Wie Deutschland ein erfolgreiches eID-Ökosystem aufbauen kann. Siehe: https://nortal.com/de/blog/ten-years-electronic-identity-how-germany-can-establish-a-successful-eid-ecosystem/
7. E-Estonia.com (2022). Factsheet: e-identity. Siehe: https://e-estonia.com/wp-content/uploads/e-identity-factsheet-aug2022.pdf.
8. Nach unserem Verständnis handelt es sich bei dieser Zahl sowohl um Authentifizierungen als auch um E-Signaturen.
9. Der Begriff Interoperabilitätssystem beschreibt hier das technische System, das zum registerübergreifenden Austausch von Daten genutzt wird. In letzter Zeit wird hierfür auf Bundes- und EU-Ebene zunehmend der Begriff Once-Only Technical System (OOTC) benutzt.