Mit dem Personalausweis zum Onlineshopping: Wie selbstbestimmt sind “selbstbestimmte Identitäten”?
Momentan gibt es sowohl in Deutschland als auch auf europäischer Ebene eine Debatte um sogenannte “selbstbestimmte digitale Identitäten”. Eine Technologie, um sich mithilfe des Smartphones im Internet auszuweisen. Die letzte Bundesregierung hat Unternehmen und Projekte in diesem Bereich mit insgesamt über 100 Millionen Euro gefördert. Und die EU hat beschlossen, dass es Wallet-Apps mit digitalen Ausweisdokumenten in allen Mitgliedsstaaten geben soll. Vordergründig mit der Begründung, Monopolisten wie Facebook oder Google davon abzuhalten, noch mehr Daten über uns zu sammeln. Doch zu welchem Preis?
“Selbstbestimmte Identitäten” oder auf Englisch “Self Sovereign Identity” (SSI). Ein Verfahren, seine personenbezogenen Daten wie z.B. Name, Wohnort, Ausweisnummer oder Dokumente (z.B. Schulzeugnisse) einfach und digital mit anderen zu teilen. Und zwar so zu teilen, dass der Empfänger sicher überprüfen kann, dass die Informationen garantiert richtig sind.
Dazu erhalten Bürger*innen in der Regel von einer ausstellenden Institution (z.B. Schule oder Einwohnermeldeamt) eine kleine Datei, die sie dann auf ihrem Smartphone in einer speziellen App — einer Wallet — abspeichern. Mithilfe dieser App können sie dann Informationen aus den digitalen Nachweisen an andere weitergeben.
Es geht also darum, alle wichtigen Dokumente in einer per Kryptographie verifizierbar echten Form auf dem Smartphone zu haben. Also Personalausweis, Schulzeugnisse, den eigenen Schufa-Score, Führerschein oder ein Arztrezept. Alles in einer App.
Das klingt für viele Menschen auf den ersten Blick nach einem sehr tollen Konzept, das endlich die digitale Verwaltung ermöglicht und das zeigen des Personalausweises im Internet so einfach wie das Scannen eines QR-Codes macht. Doch darin lauern eine Menge Gefahren.
Wie funktionieren “Selbstbestimmte Identitäten”?
Technisch funktionieren “Selbstbestimmte Identität” in der Regel so: Der Staat oder andere Institutionen stellen Bürger*innen digitale Ausweise, Führerscheine oder Zeugnisse aus. Diese digitalen Nachweise können dann in eine sogenannte “Wallet-App” auf Smartphones — also eine digitale Brieftasche — übertragen und dort verwaltet werden.
Wenn nun eine Webseite oder App ein offizielles Dokument von einer Bürger*in benötigt, dann kann diese das Dokument über ihre digitale Brieftasche freigeben. So kann z.B. der Online-Shop nach einem Ausweis fragen, der Autovermieter nach einem Führerschein oder die Universität nach einem Abiturzeugnis. Für die Bürger*in bedeutet das, nur kurz einen QR-Code scannen und schon sind die Daten freigegeben.
Was wird da eigentlich übertragen?
Wenn die Bürger*in ein Dokument auf einer Webseite freigibt, erhält der Onlinedienst etwas, was in der offline Welt einer notariell beglaubigte Kopie eines echten Dokumentes gleichkommt. Eine notariell beglaubigte Kopie, bei der man jederzeit noch mal beim Notar nachfragen kann und der sich dann ganz ganz sicher ist, dass das Dokument wirklich echt ist.
Diese beglaubigte Kopie hat nach der Freigabe also nicht nur die Bürger*in, sondern auch der, an den man sie gesendet hat. Der kann diese Kopie dann abspeichern und weitergeben. Er kann zwar jederzeit beweisen, dass die Kopie echt ist, kann sich allerdings selbst nicht mit der Kopie des Dokuments ausweisen — ist ja nicht sein Eigenes.
Bei jeder Freigabe der Daten aus der digitalen Brieftasche verteilt die Bürger*in also notariell beglaubigte Kopien von Dokumenten. Wenn nun ein Onlineshop in Zukunft einen Ausweis verlangt, dann zeigt man also nicht, wie man das vielleicht in einem Laden machen würde, seinen Ausweis vor, sondern händigt den Ausweis dem Onlineshop aus und der macht eine Kopie davon, von der er beweisen kann, dass sie echt ist.
Das bedeutet, dass wir als Bürger*innen technisch überhaupt nicht kontrollieren können, wo unsere Ausweisdaten in Zukunft alles gespeichert werden. Das ist insbesondere dann problematisch, wenn z.B. ein Onlineshop unsere Daten verliert. Weil dann hat der nicht nur irgendwelche Daten von uns verloren, die wir da vielleicht selbst eingegeben haben oder die der Onlineshop sich einfach selbst ausgedacht hat. Sondern Daten, die der Staat als garantiert richtig verifiziert hat. Und weil sie garantiert richtig sind, sind sie für Kriminelle natürlich besonders wertvoll.
Ausweis vorzeigen statt digital kopieren
Im Kontext von “Selbstbestimmte Identität” wird häufig auch von einem anderen Konzept gesprochen, sogenannten “Null-Wissen-Beweisen”. Diese “Null-Wissen-Beweise” oder auf Englisch “Zero-Knowledge-Proofs” (ZKPs) sind als Konzept zwar viel älter als “Selbstbestimmte Identität”, werden aber von Befürwortern des Konzeptes häufig als Teil davon bezeichnet.
Diese “Null-Wissen-Beweise” sind quasi eine Übertragung des Prinzips “Ausweis vorzeigen” in die digitale Welt. Dabei wird eine einzige Information aus einem Ausweisdokument entnommen, beglaubigt und an den Onlinedienst, der nach dieser Information gefragt hat, weitergeleitet.
Der Onlinedienst kann dabei ähnliche Attribute eines Dokuments überprüfen, die ein Türsteher am Eingang einer Diskothek vielleicht auch prüfen würde. Fragen wie “Ist die Person über 18 Jahre alt?” oder “Lebt die Person in München?”.
Der Onlinedienst bekommt als Antwort auf die Frage dann die Information “Ja es wurde jetzt gerade überprüft, da ist jemand über 18, der hier gerade die Wallet App benutzt”. Auch diese Information ist wieder garantiert echt und kann vom Onlinedienst abgespeichert werden. Diese Informationen sind für Kriminelle nicht besonders wertvoll, weil sie sich nicht auf eine einzige Person beziehen lassen.
“Null-Wissen-Beweise” funktionieren allerdings nur, solange der Onlinedienst nur ein einziges Attribut über eine Person abfragen kann. Also z.B. entweder “Ist die Person über 18” oder “Besitzt die Person einen Führerschein”. Denn ansonsten können durch die Kombination von Merkmalen relativ schnell wieder Profile entstehen, die sich nur einer einzigen Person zuordnen lassen.
Wer schon einmal das Spiel “Akinator” gespielt hat, kennt das: Oft reichen gerade mal 5 solcher Fragen aus, um eindeutig zu wissen, um welche Person es sich handelt. Und auch wenn eine solche Sammlung von Antworten noch nicht den Namen einer Person enthält, sind die Antworten auf jeden Fall sehr nützlich, um Menschen im Internet über mehrere Webseiten hinweg zu verfolgen.
Obwohl “Null-Wissen-Beweise” schon seit vielen Jahren z.B. mit dem elektronischen Personalausweis umsetzbar sind, haben sie bisher fast keine Verbreitung gefunden. Das liegt daran, dass es im digitalen Raum relativ wenige Anwendungsfälle gibt, wo ein einziges Attribut über eine Person benötigt wird. Es gibt nicht so viele Anwendungsfälle, bei denen sowohl die Webseiten-Betreiber*innen anonyme Informationen sammeln wollen, als auch Bürger*innen, die bereit sind, ihre Ausweisdaten zu teilen. So haben z.B. die meisten Bürger*innen bei der Nutzung von pornographischen Inhalten im Internet kein Interesse daran, sich erst mal auszuweisen.
Warum der Staat digitale Identitäten toll findet
Sowohl die Bundesregierung als auch das EU-Parlament finden “Selbstbestimmte Identitäten” eine sehr gute Sache. Das häufigste offizielle Argument dafür ist, dass sie in Zukunft die großen Amerikanischen Unternehmen und ihre Anmeldesysteme ersetzten könnten. Zukünftig soll im Internet also ein Login mit dem Ausweis anstatt mit Facebook erfolgen und somit theoretisch vor allem europäische Unternehmen wieder an die Personendaten europäischer Bürger*innen kommen.
Häufig werden hierbei Onlineidentitäten mit staatlichen Identitäten politisch gleichgesetzt. Politiker*innen sehen nicht, dass ein Facebook-Account zwar vielleicht nicht anonym ist, allerdings nicht mit der Verknüpfung zu einer staatlichen Identität gleichzusetzen ist. Während Menschen bei Google, Facebook und Co. quasi unbegrenzt viele selbst gewählte Identitäten haben können, glaubt der Staat, das es besser wäre, wenn jeder überall einfach auf eine staatliche Identität reduziert werden kann.
Ein äußerst gefährlicher Trugschluss. Die Vergangenheit hat gezeigt, dass davon insbesondere für diskriminierte Minderheiten schnell eine große Gefahr ausgehen kann. Denn für viele Menschen ist es gefährlich, sich öffentlich zu äußern. Für viele würde eine Identifizierungspflicht — was ein verpflichtender Login per SSI ja wäre — im Internet bedeuten: wenn sie ihre Arbeit nicht unter einer sicheren pseudonymen Identität tun können, dass sehr wahrscheinlich irgendwann durch einen Datenabfluss all ihre persönlichen Daten öffentlich werden. Sie leben also immer mit dem Risiko, dass ihre Identität in Zukunft öffentlich wird und dann z.B. böswillige Menschen vor ihrer Tür stehen. Wozu das führen kann, zeigte — wenn auch auf eine andere Art und Weise — unter anderem der Fall Drachenlord.
Ganz nebenbei führt SSI natürlich auch dazu, dass wir alle daran gewöhnt werden, uns im Internet auszuweisen. Das kann natürlich einerseits die Basis dafür sein, dass zum Beispiel digitale Verwaltungsprozesse gut funktionieren. Es macht aber in der Zukunft weitere Ausweispflichten im Internet — z.B. bei sozialen Medien — auch viel einfacher, politisch durchsetzbar und technisch umsetzbar. Denn die dafür benötigte Ausweisinfrastruktur ist dann ja schon vorhanden.
In der Vergangenheit haben wir erlebt, dass solche Infrastruktur zwar eigentlich immer erst freiwillig Angebot wird und wir dann aber durch Gesetzesänderung nicht mehr die Wahl haben, ob wir sie benutzen oder nicht. Gerade erlebten wir das z.B. bei der elektronischen Patientenakte, die eigentlich freiwillig sein sollte, bei der es aber im Rahmen der Impfpflicht die Debatte gibt, diese nun verpflichtend einzusetzen.
Zu guter Letzt geht es aber auch auf der politischen Ebene darum, dass der Staat und die Wirtschaft dachten, dass sie beim Thema SSI den amerikanischen Unternehmen einmal einen Schritt voraus sind. Das sie einmal eine Technologie und einen “Werterahmen” für diese in Europa definieren können. SSI ermöglichen also aus Sicht der Politik das, was sie meinen, wenn sie von der “digitalen Souveränität Europas sprechen”. Nationalstaatliche Identitäten und damit Grenzen im Internet.
Der Markt um die digitalen Identitäten
Letztes Jahr wurden deshalb von der Bundesregierung etwa 100 Millionen Euro an Fördermitteln für Industrie und Wissenschaft bereitgestellt, um “Selbstbestimmte Identitäten” privatwirtschaftlich umzusetzen. Die Idee hier ist, dass ein Markt um unsere personenbezogenen Daten entstehen soll. Also das z.B. Unternehmen Geld dafür bezahlen, das sie unseren staatlichen Ausweisdaten aus einer digitalen Brieftasche abrufen können. Weil diese Daten ja so wertvoll sind.
Es wurden also Unternehmenskonsortien gebildet und gefördert, die Stand heute aus über 100 Unternehmen bestehen. Die an etwa einem halben Dutzend verschiedener digitaler Wallet-Apps bauen und sehr viele Optionen für das digitale Ausweisen im Internet einfach mal umsetzen. Darunter z.B. das Vorzeigen eines digitalen Schulzeugnisses oder der Anmeldung beim Carsharing.
Der Staat geht also davon aus, dass Konzepte wie Ausweis oder Zeugnis vorzeigen im digitalen Raum — anders als in der analogen Welt — keine staatliche Basisdienstleistung sind, die kostenlos verfügbar ist, sondern das es einen Markt darum geben sollte.
Der Staat fördert an dieser Stelle also das Modell von Datenhandel — bzw. ermöglicht dadurch, dass er eben Unternehmen gleichzeitig massiv finanziell fördert und den Zugang zu Ausweisdaten auf seiner Seite einschränkt erst diesen Markt.
Doch dieser Markt um unsere Identitätsdaten soll noch viel weiter gehen. In Zukunft sollen wir über unsere Wallet App nicht nur Ausweise, Führerscheine und Zeugnisse teilen. Sondern auch noch garantiert richtige Informationen zu unsere Kreditwürdigkeit, unserem Gesundheitszustand oder wie viele Unfälle wir mit unserem Auto gebaut haben.
SSI soll also nach der Idee des Staates und insbesondere der Industrie eben gerade nicht dazu führen, das wir weniger Daten über uns teilen müssen. Sondern das wir sogar mehr garantiert richtige Daten über uns teilen — weil wir es müssen oder weil wir uns davon einen Vorteil versprechen. Auf diese Daten sollen dann aber nur europäische Unternehmen Zugriff haben, die dürfen diese dann aber auch gerne in sogenannten Datenräumen wieder mit anderen Unternehmen teilen.
Dabei nehmen Politik und Unternehmen also die populistisch vereinfachte Version des Geschäftsmodells von großen amerikanischen Plattformen — Datenhandel statt Werbevermarktung einer Zielgruppe — und setzt dieses dann tatsächlich um.
Europäische Unternehmen haben bei SSI am Ende also noch mehr garantiert richtige Daten über uns und wir als Bürger*innen haben eigentlich nichts davon. Außer das wir immer in der Angst Leben müssen, dass ein Unternehmen unsere Daten verliert. Denn dann haben Kriminelle eine nachweisbar echte Kopie des Personalausweises, des Zeugnisses oder unserer Kreditwürdigkeit.
Wenn Unternehmen Daten teilen, dann haben alle mehr Daten
Das Datenhandel über Loginanbieter — bei denen wir als Bürger*innen tatsächlich nicht mehr kontrollieren können, wer wie Zugriff auf unsere Daten hat — zu einem Geschäftsmodell in Deutschland wird, wäre übrigens nicht das erste Mal. Das passiert z.B. heute schon beim Anbieter netID. Da haben sich Unternehmen wie GMX, Pro7/Sat1 oder die Süddeutsche Zeitung zusammengeschlossen, um ein gemeinsames Loginsystem zu entwickeln und um Daten über ihre Nutzer*innen untereinander für Werbezwecke zu teilen.
Dabei müssen wir uns als Nutzer*innen nur bei einem der Dienste anmelden und stimmen dabei über die AGB zu, dass unsere Daten mit allen anderen Unternehmen bei netID geteilt werden. So erfährt dann der Onlineshop, was wir zuletzt über die Pro7 App schauten und Pro7 was unsere Kleidergröße ist. Ohne das wir es als Benutzer*innen mitbekommen würden oder gar Trackingtechnologien wie Cookies nötig wären.
Unternehmen wie z.B. die Sparkasse machen auch überhaupt kein Geheimnis daraus, welche Ziele sie mit ihrem pro-SSI-Lobbyismus verfolgen. So schreiben z.B. Mitarbeiter des deutschen Sparkassenverbands in einer Stellungnahme im Rahmen des europäischen eIDAS Gesetzgebungsverfahren:
Ein innovationsfördernder Rahmen, welcher auch tragfähige Geschäftsmodelle erlaubt, sollte beschrieben und definiert werden. Die Verordnung sieht bisher lediglich vor, dass Verbraucher für die Nutzung der EUid-Wallet keine Entgelte zahlen sollen. Es ist jedoch unklar, inwieweit einzelne Dienstleistungen im Zusammenhang mit einer Wallet monetarisiert werden können. Hierfür wären ggf. frühzeitig Möglichkeiten zur Umsetzung von positiven Business Cases zu schaffen. Ferner ist die Formulierung zu breit gewählt. Die Übernahme von Credentials in die Wallet ist ein Teil der Nutzung. Mit dem Ziel, heutige papierhafte Credentials im vollständig zu digitalisieren, würden damit sowohl Preise für Bankprodukte (Beispiel Karten), Bescheinigungen (Beispiel Bankauskunft / Bonität) mit einem Mehrwert für den Kunden, als auch Entgelte/Gebühren (Ausgabe Personalausweis) verboten sein.
Sie wollen also Menschen ihre eigenen verifizierten Daten verkaufen. Das wäre insbesondere für Banken, die z.B. kostenpflichtige Nachweise über Kontostand, Kreditwürdigkeit, … ausstellen könnten, ein toller Zuverdienst. Inwiefern ein signierter Nachweis allerdings einen gesellschaftlichen Mehrwert bietet, ist eher fragwürdig.
Die sozialen Gefahren
Heute leben wir in einem Internet, in dem wir die meisten Dinge tun können, ohne das wir unseren Ausweis vorzeigen oder andere sensible Daten über uns preisgeben müssen. Ähnlich wie in der Offline-Welt vor Corona.
Das soll sich durch SSI verändern und wäre mit dieser technologischen Basis auch relativ einfach umsetzbar. Die Wirtschaft fände es grundsätzlich super, wenn sie uns einfach bei jeder Online-Bestellung nach unserem digitalen Personalausweis fragen könnte. Einerseits um Betrug zu minimieren. Andrerseits aber auch, um uns 100% eindeutig zu identifizieren und somit gut tracken zu können.
Gerade konservative Politiker*innen finden eine Ausweispflicht bei sozialen Netzwerken super. Banken und Vermieter fänden es gut, so viele garantiert richtige Daten wie irgendwie möglich über uns zu sammeln, wenn sie unsere Kreditwürdigkeit einschätzen. Der Jugendmedienschutz fände es gut, wenn Pornografie im Internet hinter einer Ausweissperre verschwände.
Das alles wäre mit SSI quasi von heute auf morgen umsetzbar.
Der Unterschied zwischen der analogen und der digitalen Welt bei solchen Zugangsbeschränkungen ist, dass es im Digitalen ohne Weiteres möglich ist, uns als Gesellschaft endlos granular zu separieren. Sogar ohne das wir es merken müssen.
Im Bildungsministerium träumt man schon von der “Individuellen Bildungsjourney” — bei der Menschen z.B. bei Volkshochschulen nur Inhalte angezeigt bekommen, für die sie die “richtige formale Qualifikation” besitzen.
Endlich können im Internet staatliche Nachweise und wirtschaftliche Privilegien etwas zählen — statt der heute häufig viel relevanteren sozialen Kredibilität. Endlich können sich mit einer Ausweispflicht in sozialen Medien Minderheiten nicht mehr frei äußern.
Also eine Technologie mit der Möglichkeit, einem Internet mit konservativen Idealen näherzukommen. Egal ob mit einer Ausweispflicht oder mit Zugangsbeschränkungen, basierend auf Privilegien. Also mehr soziale Kontrolle und Segregation.
Noch problematischer kann es eigentlich nur werden, wenn wir solche Technologie für diskriminierte Minderheiten wie z.B. Menschen auf der Flucht einsetzen. Aber selbst daran arbeitet das Bundesamt für Migration und Flüchtlinge natürlich schon zusammen mit Startups.
Weil bei SSI die Verantwortung über die staatlichen Nachweise an Bürger*innen übertragen wird, lauern gerade für Menschen, die sich nicht das modernste und somit sicherste Smartphone leisten können oder wollen, noch viel mehr Gefahren. Denn natürlich lassen sich digitale Nachweise von Smartphones stehlen. Es wird eine ganze Industrie darum entstehen, Menschen ihre Nachweise zu entwenden und dann mit diesen Betrug zu begehen. Und weil die Menschen ja für ihre Nachweise verantwortlich sind, sind sie auch dafür verantwortlich, was in einem solchen Betrugsfall passiert.
Während ein analoger Ausweis zwar auch geklaut werden kann, merke ich meistens sehr zügig, dass dieser weg ist. Im Digitalen ist das allerdings nicht so. Menschen werden häufig erst merken, dass ihr Ausweis entwendet wurde, wenn der Gerichtsvollzieher vor der Tür steht.
In der analogen Welt ist ein entwendeter Ausweis außerdem höchstens hilfreich, wenn die Diebin fast genauso aussieht wie die Inhaberin des Ausweises. Bei einem digitalen Zertifikat ist das egal, es gibt keine Bindung von Nachweis an biometrische Merkmale.
Wir erleben bereits heute das selbst technisch versierte Menschen ihre NFTs und Crypto-Währungen nicht ausreichend beschützen können und regelmäßig Opfer von Betrug werden. Die Erwartung, dass die ganze Gesellschaft digitale Nachweise beschützen kann, ist einfach weltfremd.
Die technischen Gefahren
Neben der für viele oft abstrakt wirkenden sozialen Gefahr bestehen aber ganz konkrete technische Gefahren. Denn man lässt Unternehmen hier ja nicht mehr einfach nur mit personenbezogenen Daten spielen, sondern mit Daten, bei denen durch den Staat bewiesen wurde und dauerhaft beweisbar bleibt, dass sie echt sind.
Deshalb hatte ich mir zusammen mit Flüpke mehrere dieser digitalen Brieftaschen Apps in den letzten Monaten angesehen. Wir stellten dabei erhebliche Sicherheitsprobleme in verschiedensten Anwendungen fest. Unter anderem der staatlichen Ausweisapp IDWallet oder dem digitalen Schulzeugnis der Bundesdruckerei.
So waren bei mehreren Applikationen sogenannte “Machine-in-the-Middle”-Angriffe auf die Ausweisinfrastruktur möglich. Momentan können Nutzer*innen in einer solchen App in der Regel überhaupt nicht feststellen, ob die Person, die vorgibt, die Ausweisdaten freigegeben zu bekommen, auch wirklich die Person ist. Das lässt sich von Kriminellen auf die verschiedensten Arten kreativ nutzen.
Außerdem werden dadurch, dass jede*r Ausweisdaten auf seinem Smartphone hat, auch Angriffe auf diese Geräte noch lukrativer. Denn mit den gestohlenen Zertifikaten kann dann dank der einfachen Verifikation ohne menschliche Überprüfung — wie z.B. durch einen Videoanruf, wie sie heute beim Ausweis im Internet die Regel ist, noch einfacher Internetbetrug passieren.
Und weil Nutzer*innen bei SSI ja selbst Verantwortung für ihre Ausweisdokumente übernehmen, haften sie auch selbst dafür, falls ihnen ihre Daten gestohlen werden. Und dann Betrüger*innen z.B. einen Kredit in ihrem Namen aufnehmen.
Das bedeutet auch, dass insbesondere wirtschaftlich schlecht gestellte Menschen, die nicht über ein besonders sicheres Smartphone verfügen, relativ einfach Opfer von solchen Angriffen und Betrugsmaschen werden können.
Wie erfolgreich solche Phishing Attacken sein können, kann man heute schon bei Projekten wie https://web3isgoinggreat.com/ nachlesen. Dort wurden über die letzten Monate Dutzende Fälle von NFT und Bitcoin-Diebstahl gesammelt.
Auf viele weiteren Probleme bei der SSI-Technik weisen auch Unternehmen wie Mozilla, Apple, Facebook oder Twilio insbesondere im Kontext der europäischen Standardisierung von SSI hin. Auf den verschiedensten Ebenen. Von staatlichen Zertifikaten, die Browserhersteller verpflichten, in ihre Browser einbauen sollen bis hin dazu, dass es eigentlich schon einen sinnvollen ISO-Standard für staatliche digitale Nachweise gibt und es nicht sinnvoll ist, mal wieder einen eigenen EU-Standard zu entwickeln.
Da könnte man jetzt natürlich erst mal denken “aber die internationalen Konzerne wollen doch nur ihr Monopol bei den Logindiensten beschützen” oder aber man ließt sich deren Einwände mal durch und stellt dann fest, dass all diese Kritik ziemlich fundiert ist. Natürlich haben diese Anbieter alle Eigeninteressen. Davon, dass es bei Loginanbietern Monopole gibt, sind wir aber weit entfernt.
Aber wir haben ja schon den “neuen Personalausweis”, der kann das doch alles auch?
Menschen, die sich schon länger mit Ausweisen im digitalen Raum auseinandersetzen, wird an dieser Stelle vielleicht auffallen, dass das Modell der “Null-Wissen-Beweise” überhaupt nicht neu ist in Deutschland. Das konnte der “neue Personalausweis”, den es mittlerweile seit über 10 Jahren gibt, schon von Anfang an. Das Online-Vorzeigen seines Ausweises, um das Alter oder den Wohnort zu beweisen, ist also überhaupt nichts neues.
Allerdings hat das in Deutschland meines Wissens nach noch nie irgendjemand so in seine Software tatsächlich eingebaut. Außer Zigarettenautomaten.
Der alte “neue Personalausweis” verfügt außerdem auch über eine Funktion, um alle oder nur ausgewählte Daten, die im Ausweis enthalten sind, weiterzugeben, ohne das diese digital beglaubigt werden müssen. Das Verfahren würde auf die offline Welt übertragen, eher so aussehen: Ihr geht mit eurem Ausweis zu einer Verwaltungsmitarbeiterin. Diese ruft dann beim Onlinedienst an und liest diesem die Daten, die auf dem Ausweis stehen, vor. Weil der Onlinedienst der Verwaltungsmitarbeiterin vertraut, kann er selbst davon ausgehen, dass die Daten, die er erhalten hat, richtig sind. Er kann dann die vorgelesenen Daten zwar aufschreiben, aber nicht gegenüber Dritten beweisen, dass diese tatsächlich so im Ausweis einer Person stehen. Somit sind diese Daten — im Vergleich zu den staatlich signierten Daten — auch für Kriminelle nicht sonderlich wertvoll.
Insgesamt wurde bei diesem System vor über 10 Jahren viel richtig gemacht. Allerdings werden die Funktionen des “neuen Personalausweises” eher selten von Bürger*innen benutzt — vor allem weil es kaum Onlinedienste gibt, bei denen man den Personalausweis einsetzen kann. Wenn man Onlinedienstanbieter fragt, warum sie den neuen Personalausweis nicht einsetzen, bekommt man oft die Antwort, dass ja sowieso keine Bürger*in diesen benutzen würde. Außerdem sei er schwierig, in Onlinedienste zu integrieren. Es wirkt wie ein Henne-Ei-Problem.
Nie war einen Ausweis zu überprüfen komplizierter
Um herauszufinden, warum der neue Personalausweis an so wenigen Orten im Internet eingesetzt wird, habe ich mich einmal in die Perspektive eines Onlinedienstanbieters begeben. Und versucht, selbst einen Dienst zu bauen, bei dem ich den “neuen Personalausweis” überprüfen kann.
Dabei muss man sich am Anfang erst einmal entscheiden, ob man einen Personalausweis bzw. einige Felder daraus selbst auslesen können möchte oder ob ein Identifizierungsanbieter das Auslesen übernehmen soll. Und man am Ende nur die Informationen aus dem Ausweis über eine Programmierschnittstelle übermittelt bekommt.
Wenn man sich dazu entscheidet ein Identifizierungsanbieter zu benutzen, dann hat man heute die Wahl aus einer handvoll Anbietern (z.B. verimi, Authada, skIdentity, Postident). Dort bezahlt man als Unternehmen dann in der Regel mehr als 5€ pro identifizierten Kunden.
Die Alternative ist, selbst ein sogenanntes Berechtigungszertifikat bei der Bundesdruckerei zu bestellen. Dieses ermöglicht, ohne eine dritte Firma auf den Ausweis zugreifen zu können. Um ein solches Zertifikat zu bekommen, muss man als Firma erst mal eine Menge Sicherheitsstandards erfüllen und entsprechend zertifiziert werden. Dann ist es möglich, ein Zertifikat zu erwerben. Das kostet eine 5-stellige Summe. Wie viel genau und zu welchen Modalitäten, das erfährt man leider erst, wenn man bei der Bundesdruckerei eine Verschwiegenheitserklärung unterschrieben hat.
Die Bundesdruckerei ist ein privatwirtschaftliches Unternehmen in staatlicher Hand und möchte keine Auskunft über die Preise der von ihnen verkauften Dienstleistungen geben. Das ist auf eine gewisse Art und Weise aber auch verständlich. Denn sie hat Eigeninteressen, den Vergabeprozess solcher Berechtigungszertifikate möglichst kompliziert zu machen. Sie ist nämlich selbst an Identifizierungsanbietern wie verimi beteiligt und hat somit ein Eigeninteresse daran, dass Identifizierungen weiterhin relativ teuer sind und es nicht so viele davon gibt.
Durch diese hohen Kosten und die schwere Zugänglichkeit zur Ausweisinfrastruktur ist die Bundesdruckerei — also der Staat selbst — das Problem, warum niemand seine Infrastruktur benutzt.
Aber der Staat besitzt nicht nur Anteile an verimi sondern hat auch andere Identifizierungsanbieter wie SkIdentity (insgesamt 2.734.000 €) oder Authada (insgesamt 515.000€) gefördert. Man könnte auch sagen: Fast das gesamte Ökosystem um den neuen Personalausweis basiert nur auf staatlichen Fördergeld.
Es wäre also für uns als Steuerzahler*innen besser und günstiger, wenn es statt eines nicht funktionierenden Marktes um den neuen Personalausweis einen staatlichen Identifizierungsdienstanbieter gäbe, der den neuen Personalausweis — wenn es gesetzlich erforderlich ist — kostenlos und bürger*innenfreundlich ausliest und die Daten an die nutzenden Unternehmen sicher weitergibt. Denn der Staat betreibt diese Infrastruktur für sich selbst ja sowieso und das schöne an solche Infrastruktur im digitalen Raum ist, dass sie nicht wesentlich teurer wird, nur weil mehr Menschen sie nutzen.
So wäre es attraktiver für Unternehmen und Bürger*innen, den neuen Personalausweis zu benutzen und wir als Bürger*innen müssten nicht die Profite von Unternehmen, die pseudo-privatisierte Infrastruktur des Staates betreiben, bezahlen. Weder mit Geld noch mit unseren Daten.
Fazit
Die SSI-Technologie ist für uns als Gesellschaft gefährlich. Sie ist gefährlich, weil sie Bürger*innen und deren Daten ein enormes Risiko aussetzt. Vor allem birgt sie aber soziale Gefahren. Eine völlige Nachverfolgbarkeit unserer digitalen Aktivitäten und immer absolut korrekte und nachvollziehbare personenbezogene Daten mögen zwar für die Wirtschaft ziemlich attraktiv sein. Für uns als Bürger*innen würden wir mit eine flächendeckenden SSI-Nutzung aber einer Überwachungsdystopie einen ganzen Schritt näherkommen.
Nichts an den “Selbstbestimmten Identitäten” ist selbstbestimmt. Wir werden nach der Einführung sehr schnell nicht mehr entscheiden können, wann wir welche Daten weitergeben. Weil wir uns auch heute in einem Machtverhältnis mit Unternehmen und dem Staat befinden. So wie wir heute in der Regel nicht entscheiden können, ob wir einem Vermieter von der Gehaltsabrechnung bis zur Schufa-Auskunft alles geben, was er gerne hätte, werden wir zukünftig auch nicht entscheiden können, ob wir ihm eine lange Liste an Dokumenten aus unserem Wallet übersenden müssen.
Wir können keinesfalls überblicken, was mit unseren Daten passiert. Wir können nicht kontrollieren, wer sie hat, wozu sie verwendet werden oder ob sie irgendwo abgeflossen sind. Falls unsere Daten einmal Teil eines Datenabflusses sind, ist unsere staatliche Identität auf einmal für jeden online abrufbar und verifizierbar. Für immer.
Vor allem aber: Ein Internet, in dem man sich an jeder Ecke ausweisen muss, in dem Funktionen an Staatsbürgerschaften, staatliche und soziale Privilegien geknüpft werden, wäre kein Internet mehr.
Die Freiheiten, die uns das Internet gegeben hat, sollten wir nicht aufgeben. Nicht für ein bisschen Komfort bei Verwaltungsvorgängen.
Danke an alle Menschen die bei dieser Recherche unterstützt haben. Ganz besonders Flüpke, mit dem ich zusammen verschiedene SSI-Apps analysiert habe.
Wenn ihr meine zivilgesellschaftliche Arbeit zu Themen wie z.B. Verwaltungsdigitalisierung, Sicherheitsforschung und Open Data unterstützen wollt, dann könnt ihr das via 💸Patreon💸 tun. Und wenn ihr bei meiner nächsten Recherche live dabei sein wollt, dann folgt mir auf Twitter.
