eIDMobil sicher ausweisen

Überweisungen per Smartphone erledigen, Fahrkarten für Bus und Bahn per App kaufen und nebenher noch bequem online shoppen – all das gehört für viele Menschen bereits fest zum Alltag. Doch längst nicht alles lässt sich schon auf diese Weise erledigen. Stattdessen wird das Zusenden von Ausweiskopien verlangt oder sogar das persönliche Erscheinen auf einem Amt. Zudem verfügen viele Menschen zwar über digitale Profile und Passwörter, um sich bei der Nutzung verschiedenster Online-Dienste zu legitimieren. Doch weder lassen sich diese Anmeldedaten universell nutzen, noch gehen sie mit einer amtlichen und vertrauenswürdigen Identifikation der Daten einher. Genau hier kann künftig die Smart-eID Abhilfe schaffen, zu deren Einführung das Bundesamt für Sicherheit in der Informationstechnik (BSI) maßgeblich beigetragen hat.

Smart-eID holt den Ausweis aufs Smartphone

Ausweisdokumente dienen dazu, die Identität des Gegenübers zu verifizieren und anderen die eigene Legitimität zu versichern. Doch im digitalen Raum fehlen bislang vergleichbare Mechanismen. Diese müssen obendrein mit der wachsenden Mobilität der Menschen Schritt halten. Zwar ist die Online-Ausweisfunktion schon seit vielen Jahren verfügbar, doch ist ihr Einsatz leider noch kaum verankert. Die Einführung der Smart-eID verschlankt den Prozess deutlich – und holt den elektronischen Personalausweis direkt auf das Smartphone. Die gesetzliche Grundlage dafür trat mit dem „Gesetz zur Einführung eines elektronischen Identitätsnachweises mit einem mobilen Endgerät“ im September 2021 in Kraft.
Die Smart-eID wird in die Infrastruktur der klassischen eID inte­griert. Sie bietet aber einen entscheidenden Vorteil: Die Identitätsdaten des Personalausweises, des elektronischen Aufenthaltstitels oder der seit Januar 2021 neu eingeführten europäischen Unionsbürgerkarte lassen sich direkt auf das Smartphone übertragen. Der digitale Personalausweis ist somit nach der einmaligen Einrichtung jederzeit mobil online nutzbar. Für die Einrichtung der Smart-eID werden mithilfe der AusweisApp2 – dem eID-Client des Bundes – die Identitätsdaten der Nutzer einmalig über die NFC-Schnittstelle von einem der genannten Dokumente ausgelesen und mithilfe eines Personalisierungsdienstes sicher im Smartphone gespeichert. Der Zugriff wird durch eine sechsstellige PIN abgesichert, welche die Nutzerinnen und Nutzer selbst wählen können.

BSI formuliert Sicherheitsanforderungen

Verfügt das Smartphone über ein verbautes Secure Element, werden Zugriffsschutz und Sicherheit der Daten erweitert. Dieser Hardware-Sicherheits-Chip verfügt über kryptografische Funktionen und ermöglicht die sichere Speicherung und Verwendung von Schlüsselmaterial in der Hardware auf dem mobilen Gerät. Zur Einführung der Smart-eID werden zunächst Smartphones unterstützt, die über einen derartigen Sicherheits-Chip mit den vom BSI definierten Sicherheitsanforderungen verfügen – das ist beispielsweise beim Samsung Galaxy S20 der Fall.
Perspektivisch soll es möglich sein, die Smart-eID auch mit solchen Geräten zu nutzen, die kein Secure Element haben. In diesen Fällen werden die Daten der digitalen Identität im Hauptspeicher der Smartphones verschlüsselt verwahrt. Statt also auf den eID-Chip des physischen Personalausweises zu setzen, macht sich der Smart-eID-Ansatz die konkreten Sicherheitstechnologien moderner Smartphones zunutze. Mit seinem eID Security Framework ist das BSI dabei, die Sicherheitsanforderungen und Prozesse zu formulieren, die es dafür einzuhalten gilt.

Volle Kontrolle über persönliche Daten

Die Nutzerinnen und Nutzer behalten mit der Smart-eID die volle Kontrolle über ihre Daten und ihre digitale Identität. Gespeichert werden die zugehörigen Informationen deshalb ausschließlich im jeweiligen Smartphone – und lassen sich über die AusweisApp2 jederzeit löschen. Spätestens an dieser Stelle werden die Vorteile der Smart-eID auch jenseits des reinen Anwendungsfalls deutlich. Geht ein Personalausweis nämlich verloren, ist die Wiederbeschaffung mit allerlei Mühen verbunden. Hinzu kommt die Gefahr, dass Kriminelle die Karte für ihre Zwecke nutzen und Identitätsdiebstahl betreiben. Die Smart-eID hingegen lässt sich wahlweise über das Betriebssystem aus der Ferne löschen oder über eine Hotline sperren. Zudem können die Nutzer über einen Auskunftsservice Informationen zu sämtlichen Smart-eIDs abrufen – was etwa dann von Interesse sein kann, wenn sie diese auf verschiedenen Smartphones hinterlegt haben.

Meilenstein für die Digitalisierung

Die Smart-eID stellt einen Meilenstein auf dem Weg hin zu einer sicheren Digitalisierung Made in Germany dar. Mit der Umsetzung des Onlinezugangsgesetzes werden in Zukunft eine Vielzahl von Verwaltungsleistungen digital zur Verfügung stehen. In etlichen Fällen werden starke Identitätsnachweise die Voraussetzung dafür sein, bestimmte Dienstleistungen überhaupt in Anspruch nehmen zu können. Auch Mobilfunkverträge, Kontoeröffnungen und andere privatwirtschaftliche Dienstleistungen lassen sich mit ihrer Hilfe künftig sehr viel schneller vornehmen.
Letztlich sind die Daten des Personalausweises womöglich auch nur der Anfang. Vom Jahresticket des ÖPNV bis hin zum digitalisierten Autoschlüssel sind zahlreiche Anwendungsfälle denkbar, bei denen die Smart-eID-Technologie zum Verwahren von Nachweisen dienen und so den Alltag auch jenseits von reinen Online-Services deutlich erleichtern kann.