Elektronischer Personalausweis: Wie der Online-Handel profitiert

Um seine Identität zweifelsfrei nachweisen zu können, war bislang für jeden Bürger die physische Anwesenheit und das Vorzeigen des Personalausweises unabdingbar. Das soll sich mit dem neuen Personalausweis (nPA)   ändern. Zusätzlich zu den Angaben eines herkömmlichen Personalausweises verfügt der Neue auf Wunsch über einen Chip, auf dem alle aufgedruckten Informationen digital abgelegt sind (eID-Funktion) und darüber hinaus noch biometrische Daten wie das Passbild und optional zwei Fingerabdrücke.

Bürger können zudem ihren neuen Perso mit ihrer qualifizierten elektronischen Signatur (QES) versehen, die die gleiche Rechtsverbindlichkeit wie die eigenhändige Unterschrift hat. Nachdem der Durchbruch der elektronischen Signatur jahrelang auf sich hat warten lassen, könnte sie mit dem nPA nun endlich kommen. Und mit ihr ein Schub für den rechtsverbindlichen Handel im Web.

Bislang fristeten Anwendungen über E-Signaturen ein Nischendasein. Für die massenhafte Verbreitung fehlte die Akzeptanz, sowohl auf Seiten der Nutzer als auch bei den Anbietern. Dabei besteht erheblicher Bedarf an Online-Authentifizierung. Allein im vergangenen Jahr hat das Bundeskriminalamt (BKA)   6800 Fälle von digitalem Identitätsdiebstahl verzeichnet. Die Dunkelziffer dürfte noch um ein Vielfaches höher liegen, schätzt das BKA. Denn die Geschädigten wissen in der Regel nicht, dass ihre Rechner infiziert und Daten gestohlen wurden. Der finanzielle Schaden ist immens. Die durchschnittliche Schadenssumme durch Phishing bei Onlinebanking beziffert das BKA auf 4000 Euro pro Fall. Online-Händler kämpfen zudem mit Kosten, die sich auf Dauer läppern: "Kunden, die ständig ihre Passwörter vergessen und deshalb neue anfordern, kosten das Unternehmen bis zu 15 Euro pro Vorgang, wenn er nicht komplett automatisiert abläuft", rechnet IT-Sicherheitsexperte Alexander Tsolkas vor.

Für alle Anwendungen, die Altersangaben benötigen

Mit dem neuen Personalausweis können solche Probleme künftig der Vergangenheit angehören. Er beruht auf dem Prinzip des gegenseitigen Ausweisens. Mit den digitalen Daten des nPA können sich Nutzer online ausweisen. Umgekehrt können nur Online-Diensteanbeiter auf Ausweisdaten zurückgreifen, wenn sie über ein Berechtigungszertifikat verfügen. Der Ausweisinhaber kann selbst festlegen, auf welche Daten genau die Unternehmen zugreifen dürfen. Somit bekommen alle Beteiligten die Garantie, es mit einem seriösen Gegenüber zu tun zu haben. "Damit reduziert sich das Risiko von Betrugsfällen, denn wird der neue Personalausweis genutzt, können beispielsweise keine falschen Empfängeradressen angegeben werden", erklärt Dr. Matthias Merx , Bereichsleiter Trusted Solutions bei der Bundesdruckerei  . "Spaßkäufe" an irgendeine Adresse und windige Geschäftemacher haben somit keine Chance.

"Wir können allein das Thema Altersverifizierung ganz anders angehen. Mit dem nPa muss man kein mühsames Identifikationsverfahren mehr durchlaufen", freut sich Christoph Wenk-Fischer , Hauptgeschäftsführer des Bundesverbandes des Deutschen Versandhandels (BVH)  . Das ist für alle Handelssegmente attraktiv, in denen Altersangaben gebraucht werden: beim Vertrieb von Spielen, Medien und immer da, wo es um hochwertige Güter geht, wo man eben wissen will: Mit wem habe ich es zu tun? Auch E-Government bekommt durch den nPA endlich den Komfort, auf den man bislang vergeblich gewartet hat. Lästige und zeitraubende Behördengänge entfallen. Dringlichste Aufgabe ist es aber zunächst, den Mehrwert durch den Einsatz des neuen Personalausweises klar zu machen. "Was habe ich als Bürger davon, den Ausweis online zu nutzen? Datensparsamkeit und vertrauensvolle Kommunikation sind hier zwei wichtige Stichwörter. Aber auch die Anbieter sind in der Verantwortung, zu zeigen, dass sie vertrauensvoll mit den ihnen übermittelten Daten umgehen. Ein "schwarzes Schaf" und die ganze Branche wird es schwer haben", warnt Merx.

Der nPA könne aber Internetkriminalität bekämpfen und das Vertrauen der Bürger in elektronische Transaktionen stärken, sind sich Bundesregierung und Behörden sicher. Auch für das Dauerbrenner-Thema Jugendschutz sei der neue Perso die passende Lösung und nicht nur im Web, sondern auch an Automaten, wie beispielsweise beim Zigarettenkauf. Doch die Eier legende Wollmilchsau für Transaktionen aller Art sehen die Nutzer darin noch nicht. So hat die Einführung des nPA am 1. November zwar einen Run ausgelöst - aber auf den alten Perso.

Einwohnermeldeämter verzeichneten Ende Oktober teilweise doppelt so viele Antragsteller wie an normalen Tagen. Viele Bürger beantragten noch schnell den alten Perso  , da sie den Nutzen des nPA für sich nicht sehen: "Wir wollen keine Zigaretten ziehen oder im Internet surfen. Und warum sollte ich dann 28 Euro ausgeben, wenn ich den Ausweis auch für acht haben kann?"

Unsicherheitsfaktor Mensch

Hinzu kommen Horrorszenarien in Sachen Datensicherheit, die routinemäßig gemalt werden, sobald es um sensible Daten geht und die auch in diesem Fall wieder für Verunsicherung gesorgt haben  . "Es gibt keine Sicherheitslücke", betonte die IT-Beauftragte der Bundesregierung, Cornelia Rogall-Grothe , in einem Interview  . Gehackte PINs hätten nichts mit dem nPA zu tun, sondern mit Schadsoftware am PC, vor der sich jeder wirksam schützen könne, indem er Virenschutzprogramme benutzt und eine Firewall installiere. Auch IT-Sicherheitsexperte Armin Barnitzke winkt ab: "Wenn ich einen Trojaner-verseuchten Rechner habe, und der Trojaner klaut meine Perso-PIN, muss ich mich fragen, was der Trojaner sonst noch alles klaut." Der E-Perso bringe in Sachen Datenschutz und Sicherheit einen guten Fortschritt, ist sich Barnitzke sicher.

Neben der Aufklärungsarbeit in Sachen Sicherheit und Nutzen, die die Bundesregierung und Behörden noch bei Endverbrauchern und Firmen zu leisten haben, gibt es noch zwei andere Hürden: Die QES wird nicht von jeder Passbehörde ausgegeben. Sie muss separat bei einem Trustcenter erworben werden. Zudem braucht man zur Nutzung seiner eID und QES ein Lesegerät, für das der Nutzer bis zu 125 Euro investieren muss. Damit sind Online-Transkationen zwar sicherer aber auch komplizierter als gewohnte Abwicklungen: Man muss den Reader erst installieren und die Perso-Karte einschieben. Und wenn es dem Kunden an die Geldbörse geht, vergisst er erstmal seine Sicherheitsbedenken. "Die meisten Nutzer verwenden auch heute noch das unsicherere Web-Banking als HBCI-Banking mit Karte und Reader", zweifelt auch Armin Barnitzke an der schnellen Akzeptanz des Systems.

Zur Verbreitung von Lesegeräten will die Bundesregierung in den nächsten Monaten in Kooperation mit privaten Partnern Lesegeräte ausgeben. Teilweise sollen diese auch als Beilagen in Zeitschriften-Abos verteilt werden. Vielleicht spornt dies auch mehr Unternehmen an, das Berechtigungszertifkat zu erwerben, damit es nicht wie bei der digitalen Signatur zum Henne-Ei-Problem kommt: Nutzer kaufen sich ein Lesegerät nur, wenn es attraktive Anwendungen gibt. Und Unternehmen investieren nur in Anwendungen, wenn sie damit eine kritische Masse erreichen. Bislang ist die Liste der Diensteanbieter mit Berechtigungszertifikat   noch überschaubar. "Wir stehen noch ganz am Anfang, der Markt für Lösungen muss sich erst entwickeln. Wir müssen den Unternehmen die technische Plattform erklären und ihnen zeigen, was es für Optionen gibt, das System im Handelsbereich einzusetzen", begründet Wenk-Fischer die Zurückhaltung. Die Gebühr für ein Berechtigungszertifikat, das das Bundesverwaltungsamt vergibt, ist mit 102 Euro für drei Jahre erschwinglich. Teuer werden kann hingegen die Integration in eigene IT oder Shopsysteme. Klaus Wolter vom Bundesverwaltungsamt   rechnet hier mit Kosten im "höheren vierstelligen Bereich pro Jahr". Die Investition in Sicherheit und Komfort von Online-Transaktionen wird sich aber für alle Beteiligten lohnen, da sind sich die Experten einig. Denn die Vorteile überwiegen.