Ausweise Unternehmen sollen E-ID herausgeben

Der Staat prüft die Identität einer Person, die Wirtschaft gibt den elektronischen Ausweis (E-ID) heraus: Nach dem Nationalrat hat am Dienstag auch der Ständerat dieser Aufgabenteilung zugestimmt. Die Gegner rüsten sich für ein Referendum.

«Wir wollen eine staatliche E-ID», sagte Che Wagner von der «Allianz gegen private E-ID» der Nachrichtenagentur Keystone-SDA. Er erinnerte an die Ergebnisse einer von der Allianz durchgeführten Umfrage: 87 Prozent der Bevölkerung wünschen sich, dass der Staat die elektronische Identifikation herausgibt. Für eine private Lösung sprachen sich nur 2 Prozent aus.

«Wir sind jetzt schon daran, das Referendum vorzubereiten», sagte Wagner. Viele Menschen hielten das Thema für hoch sensibel und problematisch. Damit dürfte das Volk das letzte Wort haben. Die Räte haben die Diskussion über die umstrittene Aufgabenteilung nämlich bereits abgeschlossen. Ein Rückweisungsantrag war im Ständerat chancenlos.

Anita Fetz (SP/BS) wollte das Gesetz zur Überarbeitung an den Bundesrat zurückschicken. Es brauche eine sichere und vertrauenswürdige elektronische Identifikation, sagte sie. «Genau so wie der rote Pass muss auch die digitale ID eine staatliche Aufgabe sein.» Das Vertrauen in den Staat sei grösser.

Nach Ansicht des Bundesrats wäre dieser aber kaum in der Lage, eine funktionierende E-ID herauszugeben. Justizministerin Keller-Sutter verwies auf Erfahrungen im Ausland: Staatliche Lösungen würden kaum genutzt. Sie liessen sich nicht rasch genug an die technologische Entwicklung anpassen.

Warnung vor Tech-Giganten

Der Zürcher FDP-Ständerat und IT-Unternehmer Ruedi Noser warnte vor Verzögerungen im Fall einer Rückweisung. Damit überliesse man das Feld Amazon, Apple oder Google. Es sei die letzte Gelegenheit, die Kontrolle über die Identität der Schweizerinnen und Schweizer in der Schweiz zu behalten, sagte er.

Keller-Sutter wies darauf hin, dass die E-ID kein digitaler Pass sei, sondern ein qualifiziertes Login. Der Staat gebe die Kontrolle über die Daten nicht aus der Hand. Die privaten Unternehmen lieferten lediglich das Zugangsmittel. Der Rückweisungsantrag scheiterte mit 32 zu 7 Stimmen.

Bessere Kontrolle

Inhaltlich verschärfte der Ständerat die Vorschriften jedoch im Sinn der Kritiker, insbesondere mit der Einführung der E-ID-Kommission (EIDCOM). Statt der Verwaltung soll dieses unabhängige Profi-Gremium die Herausgeber der E-ID, die so genannten Identity Provider (IdP), zulassen und überwachen.

Das Verbot, die E-ID auf Dritte zu übertragen, hat der Ständerat aus dem Gesetz gestrichen, ebenso die erhöhte Sorgfaltspflichten für die Nutzerinnen und Nutzer. Die Vorschriften zur Datenweitergabe wurden verschärft. Zudem soll der Bund selber ein E-ID-System betreiben oder sich an einem solchen beteiligen können.

Das umstrittene Konzept jedoch bliebt unangetastet: Aufgabe des Staates ist es, die Identität einer Person mithilfe von Angaben aus den Informationssystemen des Bundes amtlich zu überprüfen und den IdP zu bestätigen. Diese geben die E-ID heraus.

Abgestufte Sicherheit

Den Träger lässt das Gesetz offen. Denkbar sind gängige elektronische Identifizierungsmittel wie Mobiltelefone oder Smartcards, aber auch Lösungen mit Nutzername, Passwort und allenfalls weiteren Authentifizierungen.

Vorgesehen sind drei Sicherheitsniveaus: niedrig, substanziell und hoch. Für das tiefste Schutzniveau werden mit der E-ID-Registernummer Namen, Vornamen und das Geburtsdatum verbunden. Die Registrierung erfolgt online gestützt auf einen staatlichen Ausweis.

Beim Sicherheitsniveau «substanziell» kommen Geschlecht, Geburtsort und Staatsangehörigkeit hinzu. Zudem ist eine persönliche Vorsprache oder eine Videoidentifikation nötig. Dieses Sicherheitsniveau verlangt mindestens eine 2-Faktor-Authentifizierung, wie sie heute für E-Banking-Lösungen üblich ist.

Schutz vor Cyberangriffen

Nur für das Sicherheitsniveau «hoch» ist ein Gesichtsbild nötig. Zudem wird ein biometrisches Merkmal und die Echtheit des Ausweises geprüft. Mindestens ein Faktor der Zwei-Faktor-Authentifizierung muss biometrisch sein. Das Sicherheitsniveau «hoch» soll auch Schutz vor Cyberangriffen bieten.

Die Nutzung der E-ID bleibt freiwillig. Im E-Commerce können damit die Kundinnen und Kunden eindeutig identifiziert werden. Die E-ID soll auch Zugang zum elektronischen Patientendossier gewähren und einen sicheren Behördenkontakt ermöglichen. Die Vorlage geht nun zurück an den Nationalrat.

SDA