Digitale IdentitätMit Sicherheit benutzerfreundlich

Eine Voraussetzung für eine moderne und digitale Verwaltung ist die funktionierende Authentifizierung von Bürgerinnen und Bürgern online. Hier mangelt es in vielen Ländern noch an akzeptierten Lösungen – auch in Deutschland. Zu oft denken Verwaltungen einspurig, behaupten, Sicherheit ginge immer vor Benutzerfreundlichkeit, und der Staat müsse alles selbst machen. Dabei gibt es verschiedene Wege zum Ziel, und benutzerfreundliche Authentifizierung muss nicht auf Kosten der Sicherheit gehen.
In Deutschland gab es beim Thema elektronische Identität (eID) lange Zeit wenig Neues, das Thema hatte keine Priorität. Deshalb ist es nicht verwunderlich, dass neun Jahre nach der Einführung des neuen Personalausweises (nPA) nur circa sechs Prozent der Bevölkerung aktive Nutzer der eID-Funktion sind. Bürger bewerten den Aufwand für die Freischaltung und Nutzung der eID oft höher als deren Nutzen.
Doch seit Kurzem kommt auch in Deutschland frischer Wind auf. Der nPA kann nun auch mit Smartphones statt nur mit Kartenlesegerät und Computer verwendet werden. Und bessere digitale Dienstleistungen zeigen, wieviel einfacher es Bürger im Umgang mit der Verwaltung haben könnten. Zum Beispiel mit dem Projekt „Einfach Leistungen für Eltern“ (ELFE) in Bremen (wir berichteten), wo in Zukunft mit nur einer digitalen Unterschrift Geburtsurkunde, Elterngeld und Kindergeld gleichzeitig beantragt werden können. Solche Anwendungsfälle machen den Nutzen von digitaler Identität greifbar.

Blick ins europäische Ausland

Dass Estland, Dänemark, Schweden und Norwegen Vorreiter bei der Digitalisierung sind, ist inzwischen allgemein bekannt. Auch beim Thema eID haben die Länder die Nase vorn. Dort nutzt praktisch die gesamte Bevölkerung digitale Identitäten und Unterschriften im Umgang mit der Verwaltung oder für Privates wie Online-Einkäufe.
Interessant ist, dass sich die Erfolgsmodelle stark unterscheiden. Es gibt also nicht das eine Modell, das Deutschland übernehmen könnte oder sollte. In Norwegen und Schweden verwenden Bürger hauptsächlich die BankID, also ihr Online Banking Log-in für digitale Dienste. In Dänemark operiert das Unternehmen NemID im Auftrag der Verwaltung. In Estland gibt es einen Mix, der von klassischer eID mit Lesegerät wie in Deutschland über das kommerzielle SmartID bis hin zu handybasierter Mobil-ID reicht. Die Esten sind übrigens die einzigen Bürger auf der Welt, die ihr Parlament online wählen können – natürlich mit der digitalen Unterschrift.
In Deutschland hört man inzwischen ungerne von Estland & Co., da die Länder viel kleiner und auch kulturell ganz anders ausgerichtet seien, was die digitale Verwaltung betrifft. Wie sieht es aber mit Frankreich aus, das in Bezug auf Größe, Komplexität und vor allem Bürokratie vergleichbar mit Deutschland ist?
Noémi reicht gerade ihre Steuererklärung elektronisch ein. Schnell prüft sie noch den Status ihrer Kostenerstattung von der staatlichen Krankenversicherung und trägt sich auf die lokale Wählerliste ein – alles nach einmaliger Anmeldung über den Zugangsdienst FranceConnect. Sie kann sich aussuchen, ob sie FranceConnect lieber mit ihrer Steuer-ID verbindet, dem Krankenkassen-Log-in oder ihrem Handyvertrag.
Noémi ist ein Beispiel für inzwischen mehr als zwölf Millionen Franzosen, die digitale Identitäten für die Interaktion mit Behörden nutzen. Umgerechnet sind das 18 Prozent der Bevölkerung, Tendenz rasant steigend. Auch andere Regierungen, die Deutschland in Bezug auf Komplexität und Bürokratie in wenig nachstehen, geben Bürgern inzwischen einfach und rechtlich sicher Zugang zu öffentlichen Diensten: Italien, Spanien und Österreich.

Innovation und Kreativität gefragt

Behörden versuchen zu oft, das komplexe Problem der digitalen Identität alleine zu lösen, obwohl das nicht ihre Kernkompetenz ist und man mit Partnern oft viel weiter denkt und kommt. Auch ordnen Verwaltungen gerne alles, vor allem die Nutzerfreundlichkeit, dem Prinzip Security First unter, was nicht immer sinnvoll ist.
Um die digitale Verwaltung auch in Deutschland besser und sicherer für Bürger zu gestalten, ist Innovation und Kreativität bei folgenden drei Themen gefragt: Steuerung, Benutzerfreundlichkeit und Technologiewandel. Steuerung bedeutet, nicht alles selbst zu machen, sondern auch anderen zu vertrauen. Die Nutzung alternativer Identity Service Provider (IdSP) wird sich mehr und mehr durchsetzen. Ein Beispiel ist die Kooperation zwischen dem Land Thüringen und Verimi (wir berichteten). Untersuchungen des Forschungs- und Beratungsunternehmens Gartner gehen davon aus, dass bis 2023 mindestens 80 Prozent der Behörden weltweit den Zugang über mehrere Anbieter digitaler Identitäten unterstützen werden. So wie Noémi werden Bürger also die digitale Identität ihrer Wahl nutzen können, um mit Regierungsbehörden zu interagieren.
Die Beauftragung von IdSP aus der Privatwirtschaft wirft die Frage des Datenschutzes auf. Externe Dienstleister müssen aber nicht die unsicherere Wahl sein: Das Geschäftsmodell kann schließlich davon abhängen, dass die anvertrauten Daten nicht missbräuchlich genutzt werden können. Andererseits können kommerzielle Interessen denen von Bürgern entgegenstehen.

Sicher und benutzerfreundlich

Sicherheit und Benutzerfreundlichkeit stehen nicht im Konflikt miteinander. Sicherheit ist immer wichtig – aber nicht bei jedem Anwendungsfall gleich wichtig. Terminbuchungen beispielsweise sind weniger riskant als die digitale Steuererklärung und diese wiederum weniger als die amtliche Eintragung eines Namenswechsels oder eines Grundstückskaufs. Ein Pilotprojekt von Tech4Germany zeigt, wie Bürger bequem auf Online-Services zugreifen können, ohne dabei von der Authentifizierung ausgebremst zu werden.
Auf europäischer Ebene hat man sich mit der eIDAS-Verordnung auf drei Level von Sicherheit und Benutzerfreundlichkeit verständigt. So sollen Bürgerservices über nationale Grenzen hinweg mit derselben digitalen Identität nutzbar werden.
Der rasante Technologiewandel bei digitalen Identitäten verlangt eine gewisse Balance zwischen neuen Möglichkeiten und Konstanz der Benutzererfahrung. Codegenerator-Applikationen ermöglichen zum Beispiel eine sicherere und komfortablere Zwei-Faktor-Authentifizierung, die Bürger bereits von kommerziellen Anwendungen kennen, von Blockchain, decentralized und self-sovereign identities ganz zu schweigen. Noch gibt es keine konkreten Umsetzungen von Blockchain für eID in Verwaltungen, aber die Möglichkeiten zur Authentifizierung ohne Preisgabe wertvoller persönlicher Daten sind vielversprechend.
Die Nutzung von IdSP-Diensten, eine gleichzeitige Betrachtung von Sicherheits- und Ergonomiefragen sowie neue technologische Möglichkeiten stimmen zuversichtlich, dass der Gang auf die digitale Behörde in Zukunft auch in Deutschland leichter sein wird als heute.