eID: Gute Idee, schlechte Umsetzung

Eine sichere, digitale Identität für das ganze Internet. Eine solche Identiät ist ein durchaus berechtigtes Anliegen, bedenkt man doch die dutzenden Accounts, welche vermutlich jeder von uns besitzt. Das vorliegende Gesetz will uns dies auch bieten, allerdings in einer erdenklich schlechten Art. So sollen private Firmen als Authentifizierungsstelle (Identity-Providers) dienen.

Und genau hier liegt der Hund begraben: Es macht schlicht und ergreifend keinen Sinn, ein IT-System mit solch vertraulichen Daten nur darum aufzutrennen, um die Daten über Unternehmen fliessen lassen zu können. Denn eine solche Trennung bedeutet auch, dass zwischen der „Source of Truth“, sprich dem Register des Bundes, und dem Unternehmen Schnittstellen gebaut werden müssen, welche angreifbar sind.

Man könnte jetzt anführen: Der herkömmliche Pass wird ja auch nicht vom Bund selber gedruckt. Das ist zwar richtig, aber nicht vergleichbar. Nach dem Druck halte ich alleine den Pass in den Händen. Die eID und deren Systeme hingegen sind 24/7 im Netz zugänglich. Wir sprechen also nicht von einem einfachen Produktionsauftrag, sondern von einer permanenten Datenhoheit.

Das Risiko eines Sicherheitslecks wird ausserdem noch weiter erhöht, sobald mehrere Anbieter vorhanden sind: Je mehr Systeme, desto grosser das Risiko für ein Loch. Und da die Zugänge grundsätzlich unabhängig vom gewählten Identity-Provider funktionieren müssen, wäre dann praktisch der Zugang auf sämtliche eIDs möglich.

Zusätzlich stellt sich auch die Frage nach dem Nutzen für die Unternehmen: Ein beteiligtes Unternehmen wird diese Infrastruktur nicht aus Goodwill zur Verfügung stellen. Eine Weitergabe oder anderweitige Verwendung der Daten ist zum Glück im Gesetz ausdrücklich verboten, was den Business-case für ein solches Angebot aber nicht gerade attraktiver macht. Schlussendlich werden wir also wahrscheinlich bezahlen müssen: Sei dies über unsere Steuergelder oder direkt an die Unternehmen, damit wir dieses Angebot nutzen können.

Schlussendlich stellt sich also die Frage: Wollen wir, dass private Unternehmen so viel Macht über die offizielle Identität im Netz besitzen? Ich glaube nein. Denn die Identität ist ein elementarer Teil der Grundversorgung und gehört nicht im kommerzielle Hände.