Der ePA ist tot, es lebe der "neue Personalausweis"

[Dynamite]

Der Staatssekretär im Bundesinnenministerium (BMI) und Beauftragte der Bundesregierung für Informationstechnik, Hans Bernhard Beus, erwartet intensive Diskussionen über den elektronischen Personalausweis, der ab November das bisherige Dokument ablösen wird. "Wir halten sie für gut und richtig", erklärte er anlässlich der Eröffnung der dreitägigen Omnicard, dem alljährlichen Branchentreff der Chipkarten-Industrie. Das Treffen steht in diesem Jahr unter dem Leitthema "Sicherer elektronischer Identitätsnachweis" und thematisiert auch die Einsatzmöglichkeiten des neuen Ausweises beim E-Commerce und im E-Government. Vom Sommer an will das BMI deshalb die Öffentlichkeitsarbeit intensivieren – und Beus zählt dabei auf die Mitwirkung der Unternehmen und öffentlichen Verwaltungen. Wichtig sei vor allem, deutlich die verschiedenen Funktionsebenen des neuen Ausweises zu trennen, die in der Öffentlichkeit häufig durcheinander gebracht würden, wie der BMI-Staatssekretär beklagte.

Der neue Ausweis im Scheckkartenformat führt neben der biometriegestützten Identitätsfunktion, die ausschließlich den zur Identitätsfeststellung berechtigten Behörden vorbehalten ist, als unabhängige weitere Anwendung die eID-Funktion zur sicheren Online-Authentisierung am PC ein: Die Daten, die heute visuell vom Dokument ablesbar sind, werden künftig im Ausweis-Chip gespeichert, so dass sich der Inhaber auch im elektronischen Rechts- und Geschäftsverkehr über das Internet ausweisen kann. Zusätzlich wird als dritte Neuerung den Bürgern optional auch die qualifizierte elektronische Signatur (QES) mit dem kontaktlos auslesbaren Chip auf der Ausweiskarte zur Verfügung stehen.

Die eID-Funktion werde dem Bürger "mehr Souveränität über seine Daten im Ausweis verschaffen, als das bisher der Fall ist". So könne man jeweils im Einzelnen entscheiden, welche Daten man bei einer Transaktion im Internet übermittelt und "man weiß zugleich, an wen man seine Daten übermittelt". Denn Webshops und Dienstleistern wird der Zugriff auf die eID-Daten nur mit einem Berechtigungszertifikat möglich sein, das sie bei der beim Bundesverwaltungsamt in Köln angesiedelten Vergabestelle (VfB) beantragen und dabei ein berechtigtes Interesse für das Auslesen personenbezogener Daten aus dem Personalausweis nachweisen müssen. Aufgrund dieses Verfahrens hat der Netzbürger die Gewähr, "dieses Unternehmen gibt es in der wirklichen Welt und es ist berechtigt, mit diesen Daten zu arbeiten", erklärte Beus. "Wir werden Vertragsbeziehungen und Geschäftsbeziehungen haben, die von mehr Vertrauen getragen sind, als wir es heute haben."

Derzeit werden jährlich etwa fünf bis sechs Millionen Personalausweise erneuert, doch Beus hofft auf einen Run auf die Meldestellen und dass die Vorzüge der neuen Generation viele Bürger veranlassen, noch vor Ablauf der Geltungsfrist des alten einen neuen Ausweis zu beantragen. Zu den Mehrkosten für den Bürger über die bisher verlangte Gebühr von acht Euro hinaus wollte der Staatssekretär heute keine Angaben machen; man sei noch in Verhandlungen mit den Herstellern. "Da lässt sich im Augenblick noch keine Hausnummer nennen", erklärte er, versicherte aber, "das werden wir bis zum Frühjahr geklärt haben".

Auf der Eröffnungsveranstaltung erinnerte Mario Tobias vom Bitkom an die politischen Diskussionen über die biometrische Merkmalserfassung auf dem hoheitlichen Teil des Ausweis-Chips. Dies seien "schlechte Voraussetzungen" gewesen, "um den neuen Personalausweis mit seinen Vorzügen einzuführen". Deshalb begrüße er es, dass jetzt offiziell nicht mehr vom ePA, sondern vom nPA, dem "neuen Personalausweis " die Rede ist. Der Bitkom-Vertreter regte an, in der Öffentlichkeitsarbeit besonders die Jugendlichen zu adressieren und den "nPA" künftig nicht erst ab 16 Jahren, sondern vielleicht schon ab 14, oder sogar ab 12 Jahren auszugeben.

Der Sprecher des Deutschen Städte- und Gemeindebundes, Franz Reinhard Habbel, begrüßte die neuen Möglichkeiten der eID-Funktion im E-Government. Als eine Anwendung könne er sich beispielsweise auch "Datenkontrollstationen" vorstellen – einen Webzugang in die Verwaltung, über den der Bürger feststellen könne, welche Daten die Behörden über ihn gespeichert haben. Weitere Funktionen auf den Ausweis-Chip zu laden, sei technisch möglich, aber juristisch hierzulande nicht vorgesehen. So sei es denkbar, sein Auto statt mit dem Zündschlüssel künftig mit dem Ausweis zu starten.

Einen anderen Blick in die Zukunft warf der Geschäftsführer der Bundesdruckerei, Ulrich Hamann, der bereits an mobile Anwendungen der eID-Services denkt. "Warum soll man das Handy nicht als Terminal für den Personalausweis einsetzen", fragte er. Die absehbare Verbreitung von NFC-fähigen Mobiltelefonen würde dies ermöglichen und die NFC-Schnittstelle das Handy zum kontaktlosen Lesegerät für den elektronischen Ausweis machen. Im internationalen NFC-Forum engagiert sich die Bundesdruckerei bereits für eine entsprechende Anpassung der NFC-Spezifikation. "Wir arbeiten mit Partnern heftig dran", erklärte Hamann und kündigte an, "wir werden auf der CeBIT eine erste Applikation vorstellen". (Richard Sietmann) / (pmz)

Quelle: Heise.de

[Dynamite]

Elektronischer Personalausweis: Hart im Zeitplan

Mit der Ausgabe der neuen elektronischen Personalausweise (ePA) und ihrer eID-Funktion ist auch der Aufbau einer Infrastruktur verbunden. Damit die eID vom Bürger zur Authentisierung in E-Commerce- und E-Government-Anwendungen genutzt werden kann, benötigt der User außer dem ePA einen Kartenleser und eine spezielle Software, den sogenannten Bürgerclient. Im Hintergund müssen zudem ein oder mehrere eID-Server die sichere Abwicklung der Authentisierungsvorgänge zwischen dem Kunden und Dienstanbieter übernehmen. Zur Infrastruktur gehört auch ein Portal, von dem der Client heruntergeladen werden kann und das Unterstützungsleistungen sowie FAQs anbietet.

Diese Komponenten werden unter der Projektleitung von Siemens IT Solutions and Services in einem Konsortium mit den Partner OpenLimit (Bürgerclient) und der Bundesdruckerei (eID-Service) entwickelt. Wie Hubert Geml von Siemens jetzt auf der Omnicard in Berlin erläuterte, setzt der Bürgerclient als Middleware das 'eCard API Framework' (BSI TR-03112) um und "ermöglicht auch die Online-Authentisierung mit anderen eCards", also beispielsweise der elektronischen Gesundheitskarte, Signaturkarten, ELSTER oder ELENA – so sie denn in der geplanten Form kommen. Die Ver- und Entschlüsselung von E-Mails sowie als Option die qualifizierte elektronische Signatur (QES) "sind weitere Funktionalitäten, die der Bürgerclient anbietet".

Die Software wird diverse Betriebssysteme unterstützen. Mit Microsoft XP und Vista ist das bereits im Anwendungstest der Fall; noch in diesem Monat werden laut Geml Mac OS X und Ubuntu hinzukommen, weitere sollen folgen. Die Nutzung des Client ist derzeit mit den Browsern Explorer, Firefox und Safari möglich. Der eID-Service wiederum, der sich bei jeder Online-Datenabfrage aus dem neuen Ausweis durch einen dazu berechtigten Webshop einschaltet, entspreche der Richtlinie TR-03130 des BSI, werde in einem hochsicheren Trust Center betrieben und setze in der realisierten Architektur auf "eine saubere Trennung zwischen der eID-Kernfunktionalität, den eID-Cryptodiensten, und Hintergrundsystemen wie der Berechtigungs-PKI und dem Sperrdienst".

Die mit dem Bürgerclient einsetzbaren Kartenleser müssen der BSI-Richtlinie TR-03119 entsprechen. Die lässt drei Kategorien von Lesegeräten für die eID-Anwendungen zu, den Basisleser (Cat B), den Standardleser (Cat S) und den Komfortleser (Cat K). Gemeinsam ist allen die kontaktlose Schnittstelle nach ISO 14443 zur Karte sowie die eCard-API zum Host PC. Gegenüber der Basisversion werden Cat-S-Geräte die Möglichkeit zu sicheren Firmwareupdates bieten und über ein eigenes PIN-Pad zur sicheren Eingabe der sechsstelligen Geheimzahl verfügen. Beim Komfortleser kommen darüber hinaus ein zweizeiliges Display, ein kontaktbehaftetes Interface nach ISO 7816 sowie die Zertifizierung nach den Common Criteria hinzu. Mit den Cat-K-Geräten lassen sich dann auch, sofern der Inhaber diese Option des neuen Ausweises nutzt, qualifizierte elektronische Signaturen erstellen, vor allem aber kann man mit ihnen dank der zusätzlichen Schnittstelle auch die kontaktbehafteten HBCI-Karten zum Online-Banking oder die GeldKarte weiter nutzen.

"Wir haben relativ schnell die Technische Richtlinie des BSI umsetzen können", erklärte Dietmar Wendling von der SCM Microsystems GmbH auf der Kongressmesse in Berlin. Sein Unternehmen bietet Produkte in allen drei Kategorien mit den Treibern für die Betriebssysteme MS Windows 2000, XP, Vista, Mac OS X und Linux an. Der für das Geschäftsfeld EGovernment bei SCM zuständige Manager glaubt, dass die eID-Funktion zu einer "Killer-Applikation" wird. "Die kritische Masse von Bürgern mit positiven Erfahrungen", ist Wendling überzeugt, "erzeugt den 'me too'-Effekt".

Bereits seit Oktober läuft ein zentral koordinierter Anwendungstest mit 30 Dienstanbietern, in dem Mitarbeiter der beteiligten Firmen die eID- und QES-Funktionen des Ausweises im Zusammenspiel mit den entwickelten Anwendungen und dem eID-Service erproben. Anfang Januar hat jetzt die zweite Phase mit einem offenen Feldtest begonnen, an dem jedes interessierte Unternehmen teilnehmen kann. Zur Zeit haben sich mehr als 80 Firmen gemeldet, weitere sind aber willkommen. "Das ist kein closed shop", betonte der Bundes-CIO und Staatssekretär im Bundesinnenministerium, Hans Bernhard Beus auf der Omnicard. "Wir sind glücklich und zufrieden über jeden, der sich dafür interessiert, um auf die Weise die Zahl der Anwendungen zu erhöhen".

Bislang liege man im Zeitplan, erklärte Siemens-Manager Geml. Im Februar wird mit der Verabschiedung der Personalausweis-Verordnung durch den Bundesrat gerechnet. Vom 1. Mai an sollen die Diensteanbieter ihre Anträge für die Berechtigungszertifikate zum Wirkbetrieb bei der Vergabestelle (VfB) im Bundesverwaltungsamt einreichen können. Parallel dazu, ab Ende März, sollen der Bürgerclient und der eID-Server in der Version 2 in die Zertifizierung nach Common Criteria EAL3+ gehen. Die Abnahme durch den Auftraggeber, das Bundesinnenministerium, ist im Zeitraum von Juli bis Mitte September vorgesehen. Beobachter indes halten den Zeitplan für ein Entwicklungsprojekt in dieser Größenordnung angesichts noch vieler offener Fragen für "gewagt". So sei bisher noch nicht einmal bekannt, wie die Berechtigungszertifikate aussehen, warf Torsten Wunderlich von der Datev in die Diskussion ein. Doch Geml blieb optimistisch. "Wir sehen derzeit keine Hindernisse größerer Natur, die den Zeitplan in irgendeiner Weise in Frage stellen würden". (Richard Sietmann) / (jk)

Quelle: Heise.de