Digitaler Personalausweis: Chancen und Risiken

Stellen Sie sich vor, Sie könnten alle wichtigen Dokumente, die Ihre Identität bestätigen, sicher auf Ihrem Smartphone speichern. Kein Warten mehr in langen Schlangen bei Behörden, kein Tragen von physischen Ausweisen, die verloren gehen oder gestohlen werden könnten. Klingt nach Science-Fiction? Das ist die Realität des digitalen Personalausweises.

Der digitale Personalausweis revolutioniert die Art und Weise, wie wir unsere Identität bestätigen und auf Dienstleistungen zugreifen. Doch wie bei jeder technologischen Innovation gibt es neben den zahlreichen Vorteilen auch einige Herausforderungen, die bedacht werden müssen. In diesem Artikel geben wir Ihnen einen umfassenden Überblick über den digitalen Personalausweis, um seine Chancen und Risiken zu beleuchten.

Was ist der digitale Personalausweis?

Der Personalausweis mit elektronischer Identität (eID) ist eine digitale Version des herkömmlichen Personalausweises. Er enthält alle relevanten persönlichen Informationen wie Name, Geburtsdatum, Wohnort und biometrische Daten in digitaler Form. Der digitale Ausweis kann über Smartphones oder spezielle Lesegeräte genutzt werden und ermöglicht die Authentifizierung und Identifikation im digitalen Raum.

Seit 2017 wird jeder Personalausweis in der Bundesrepublik Deutschland mit der Möglichkeit der Authentifizierung durch die eID ausgegeben, die dann von Ihnen persönlich zur Nutzung freigeschaltet werden muss. Seit 2021 gibt es die eID-Karte mit Online-Ausweisfunktion außerdem für alle BürgerInnen der Europäischen Union und des Europäischen Wirtschaftsraums.

Wie funktioniert der digitale Personalausweis?

Der Personalausweis enthält einen kontaktlos lesbaren Chip, der Ihnen eine sichere Online-Identifizierung ermöglicht, wenn Sie Dienstleistungen von Unternehmen und Behörden im Internet in Anspruch nehmen. 

Der Vorgang des Online-Ausweisens dauert nur wenige Sekunden und ist besonders einfach mit einem Smartphone durchführbar. Dafür ist lediglich die Aktivierung der NFC-Funktion für kontaktlose Datenübermittlung Ihres Smartphones notwendig. Diese Funktion gehört mittlerweile zur Standardausrüstung jedes Handys. Sollten Sie dennoch Zweifel haben, ob Ihr Gerät diese Funktion unterstützt, lässt sich das ganz einfach in Ihren Systemeinstellungen prüfen. 

Ausweisdaten werden nur übertragen, wenn Sie Ihre sechsstellige PIN eingeben, die Sie bei der Aktivierung der Online-Funktion des Personalausweises festgesetzt haben. Mit Ihrem Online-Ausweis haben Sie die volle Kontrolle darüber, ob und an wen Sie Ihre persönlichen Daten senden möchten. 

Um die Online-Ausweisfunktion zu nutzen benötigen Sie:

• Online-Ausweis
• Sechsstellige PIN
• Smartphone oder Kartenleser
• Software (z.B. die AusweisApp2)

Schritt-für-Schritt digital Ausweisen

1. Der Online-Dienst fordert Sie zur Identifizierung auf. 
2. Folgen Sie den Anweisungen in der verwendeten App.
3. Sehen Sie, wer Ihre Daten anfragt und welche Informationen benötigt werden.
4. Geben Sie Ihre selbstgewählte sechsstellige PIN ein, um die Übermittlung zu bestätigen.
5. Der Chip im Personalausweis überprüft die staatliche Berechtigung des Anbieters zur Datenabfrage. 
6. Bei vorliegender Berechtigung werden die verschlüsselten Daten übertragen.

Effiziente Identifikation: So nutzen Unternehmen den digitalen Personalausweis

Unternehmen können die Online-Ausweisfunktion ihrer KundInnen nutzen, um deren Identität sicher und effizient zu verifizieren, was nicht nur die Benutzerfreundlichkeit verbessert, sondern auch rechtliche und sicherheitstechnische Anforderungen erfüllt. Dazu können sich Unternehmen entweder selbst als Dienstanbieter bereitstellen, oder einen Dritten Service-Anbieter wählen, um die Daten ihrer KundInnen auszulesen.

Rechtliche und technische Rahmenbedingungen

Rechtliche Rahmenbedingungen

Berechtigungszertifikat: Unternehmen benötigen eine staatliche Berechtigung, auch „Berechtigungszertifikat“ genannt, um auf die im Online-Ausweis gespeicherten Daten zugreifen zu können. Dieses Zertifikat stellt sicher, dass nur autorisierte DienstanbieterInnen die sensiblen Daten verarbeiten dürfen.

Alternativ können Sie eine externe Identifizierungslösung für Ihren Onlinedienst wählen und die Identifizierung über zertifizierte externe Service-AnbieterInnen anbieten. 

Wie erhalte ich die staatliche Berechtigung für die Nutzung des Online-Ausweises?

Sie können die staatliche Berechtigung für die Nutzung der Online- Datenübertragung Ihrer KundInnen online im Bundesportal, schriftlich oder bei einem persönlichen Termin in der Vergabestelle für Berechtigungszertifikate beantragen. Die staatliche Berechtigung zur Nutzung ist für maximal drei Jahre gültig. 

Unternehmen müssen hierfür angeben, für welchen Geschäftszweck die Daten genutzt werden und Angaben zu Prozessbeschreibungen, Datenschutz und IT-Sicherheit machen.

eIDAS-Verordnung: Die Nutzung des Online-Ausweises unterliegt der europäischen eIDAS-Verordnung (Verordnung (EU) Nr. 910/2014), die elektronische Identifizierung und Vertrauensdienste für elektronische Transaktionen regelt. Diese Verordnung stellt sicher, dass die Online-Ausweisfunktion ein hohes Vertrauensniveau bietet.

Datenschutzgesetze: Unternehmen müssen die Datenschutz-Grundverordnung (DSGVO) und andere relevante Datenschutzgesetze einhalten. Dies beinhaltet die sichere Speicherung und Verarbeitung der personenbezogenen Daten sowie die Einholung der Einwilligung der KundInnen zur Datenverarbeitung.

Sicherheitsanforderungen: Unternehmen müssen sicherstellen, dass sie die hohen Sicherheitsanforderungen des Gesetzgebers erfüllen. Dazu gehören Maßnahmen zur Verhinderung von Datenmissbrauch, die regelmäßige Überprüfung der Systeme auf Sicherheitslücken und die Schulung der Mitarbeitenden im Umgang mit sensiblen Daten.

Darüber hinaus können Datenschutzfolgeabschätzungen hilfreich sein, um das Risiko bei der sicheren Verarbeitung von personenbezogenen Daten in Ihrem Unternehmen zu bewerten.

Transparenz und Nachvollziehbarkeit: Unternehmen müssen ihren KundInnen transparent darlegen, wer ihre Daten erhält und zu welchem Zweck sie verwendet werden. Zudem muss gewährleistet sein, dass KundInnen jederzeit nachvollziehen können, welche Daten übermittelt wurden und ob die staatliche Berechtigung des Diensteanbieters vorliegt.

Vor-Ort-Auslesen: Für die Nutzung der Vor-Ort-Auslesen-Funktion, bei der Daten elektronisch vom Chip des Ausweises übernommen werden, ist ebenfalls ein Berechtigungszertifikat erforderlich. Die Datenübermittlung erfolgt im Beisein der identifizierten Person und unter Nutzung der Zugangsnummer (CAN), um die Identität sicher zu verifizieren.

Technische Rahmenbedingungen

Infrastruktur: Unternehmen müssen eine geeignete technische Infrastruktur bereitstellen oder einen Identifizierungsdiensteanbieter bzw. eID-Service-Anbieter beauftragen. Diese Anbieter stellen die notwendige technische Infrastruktur zur Verfügung, sodass Unternehmen keine eigenen Systeme entwickeln müssen.

NFC-fähige Geräte: Für das Online-Ausweisen benötigen KundInnen NFC-fähige Smartphones oder Lesegeräte, die die kontaktlose Datenübertragung unterstützen. Diese Geräte müssen kompatibel mit der AusweisApp2 oder ähnlichen Softwarelösungen sein, die die Online-Ausweisfunktion ermöglichen. In der Regel verfügt jedes gängige Smartphone über diese Funktion. 
Softwareintegration: Die Online-Ausweisfunktion muss in die bestehenden Systeme und Prozesse des Unternehmens integriert werden. Dazu gehören die Anpassung der Unternehmenssoftware und die Sicherstellung einer durchgehenden Verschlüsselung der Datenübertragung, um die Sicherheit der Kundendaten zu gewährleisten.

Anwendungsmöglichkeiten für Unternehmen

Die Nutzung des eID bietet Unternehmen zahlreiche Vorteile. Im folgenden finden Sie einige Beispiele, wie Organisationen die Online-Ausweis Funktion für sich nutzen können. 

• FinanzdienstleisterInnen: FinanzdienstleisterInnen können die Online-Ausweisfunktion nutzen, um die Identität Ihrer KundInnen bei Konto- und Depoteröffnungen schnell und sicher zu überprüfen und so die Anforderungen des Geldwäschegesetzes (GwG) zu erfüllen.

Unser E-Learning “Geldwäscheprävention im Finanzwesen” bereitet Ihre Mitarbeitenden umfassend auf die Herausforderungen der Geldwäscheprävention vor, um Unternehmen in der Finanzbranche effektiv zu schützen.

• Versicherungsunternehmen: Die Online-Ausweisfunktion ermöglicht es Ihnen, neue KundInnen sicher und unkompliziert zu authentifizieren, wenn diese online Versicherungsverträge abschließen möchten.
• E-Commerce: In Ihrem Online-Shop können Sie die Online-Ausweisfunktion zur Altersverifikation einsetzen, um sicherzustellen, dass altersbeschränkte Waren wie Alkohol, Tabakwaren oder bestimmte Medienprodukte nicht an Minderjährige verkauft werden.
• TelekommunikationsanbieterInnen: Nutzen Sie die Online-Ausweisfunktion zur Identitätsprüfung bei Vertragsabschlüssen, um die Anforderungen des Telekommunikationsgesetzes (TKG) zu erfüllen.
• Online-Plattformen: Soziale Netzwerke, Foren und Chatrooms können die Online-Ausweisfunktion verwenden, um pseudonyme Anmeldungen zu ermöglichen und gleichzeitig die Identität der NutzerInnen zu verifizieren.
• Immobilienverwaltung: Die Online-Ausweisfunktion ermöglicht es Ihnen, die Identität von MieterInnen und KäuferInnen bei Vertragsabschlüssen sicher zu verifizieren.
• Gesundheitswesen: Krankenhäuser und Arztpraxen können die Funktion zur sicheren Identifikation von PatientInnen und zur Verwaltung elektronischer Patientenakten nutzen.
• Reise- und Transportdienste: Airlines, Bahnunternehmen und Autovermietungen können die Online-Ausweisfunktion zur Identitätsverifikation bei Buchungen und Check-ins einsetzen.
• Event-Management: Sie können die Funktion zur sicheren Identifikation von Teilnehmenden und zur Zutrittskontrolle bei Konzerten, Messen und anderen großen Events verwenden.
• Öffentliche Verwaltung: Behörden und staatliche Einrichtungen können die Online-Ausweisfunktion nutzen, um die Identität von BürgerInnen bei der Beantragung von Dienstleistungen und Dokumenten sicher zu überprüfen.

Diese Beispiele zeigen, wie die Online-Ausweisfunktion es Ihnen ermöglicht, Ihre Prozesse zu optimieren, die Sicherheit zu erhöhen und die Benutzerfreundlichkeit zu verbessern

Vorteile für Ihr Unternehmen

Höchste Vertrauensstufe: Der Online-Ausweis ist gemäß der eIDAS-Verordnung als hochsicheres staatliches Identifizierungsinstrument zertifiziert, was seine Vertrauenswürdigkeit und Sicherheit gewährleistet.

Geringer Integrationsaufwand: Unternehmen müssen keine eigene IT-Infrastruktur aufbauen. Sie können Identifizierungsdiensteanbieter oder eID-Service-Anbieter nutzen, die die erforderliche technische Ausstattung bereitstellen.

Einfachheit und Komfort: Die Nutzung des Online-Ausweises ist einfach und komfortabel. Ihre KundInnen benötigen lediglich ihren Ausweis, eine sechsstellige PIN, ein NFC-fähiges Smartphone und eine App wie die AusweisApp des Bundes, um sich schnell und sicher online auszuweisen.

Automatisierte Datenerfassung: Persönliche Daten werden direkt und ohne Fehler in die Unternehmenssysteme übertragen, was die Weiterverarbeitung erleichtert und manuelle Eingabefehler vermeidet.

Gesetzeskonformität: Der Online-Ausweis unterstützt Unternehmen bei der schnellen und unkomplizierten Einhaltung gesetzlicher Vorschriften zur Identitätsprüfung, wie sie im Geldwäschegesetz und Telekommunikationsgesetz vorgeschrieben sind.

Erhöhte Sicherheit: Durch die Verwendung biometrischer Daten und verschlüsselter Übertragungen wird das Risiko von Identitätsdiebstahl und Betrug minimiert, was den Schutz sensibler Informationen verbessert.

Effiziente Kundenidentifikation: Unternehmen können die Identität ihrer KundInnen schnell und sicher verifizieren, was den Registrierungs- und Anmeldeprozess erheblich beschleunigt und vereinfacht.

Reduzierte Verwaltungskosten: Der digitale Personalausweis verringert den Bedarf an manuellen Überprüfungen und physischen Dokumenten, was zu einer Kostensenkung bei der Verwaltung und Archivierung führt.

Wie sicher ist der digitale Personalausweis?

Datenschutzbedenken und mögliche Missbrauchsgefahren

Der digitale Personalausweis gilt als äußerst sicher, doch es gibt einige Aspekte, die berücksichtigt werden müssen. Wenn das Betriebssystem eines Computers, Smartphones oder Tablets mit Schadsoftware infiziert ist, kann die PIN-Eingabe über die Tastatur mitgelesen werden. Dies gilt auch für virtuelle Bildschirm-Tastaturen. Selbst wenn die PIN ausgelesen wird, haben Cyberkriminelle jedoch nur einen Faktor (Wissen) für die Nutzung der Online-Ausweisfunktion. Da es sich um ein Zwei-Faktor-Verfahren (Kombination aus Wissen und Besitz) handelt, ist ein Missbrauch ohne die physische Ausweiskarte nicht möglich, es sei denn, die Schadsoftware hat auch Zugriff auf den Kartenleser bzw. die NFC-Schnittstelle.

Dennoch bleiben einige wenige Risiken: 

• Schadsoftware: Eine infizierte Software kann die PIN auslesen, jedoch bleibt die Karte erforderlich, um die Online-Ausweisfunktion zu nutzen.
• Technische Schwachstellen: Sicherheitslücken in Software oder Geräten könnten von Hackern ausgenutzt werden.
• Manipulierte Systeme: Nur vertrauenswürdige eID-Clients und offizielle Software sollten verwendet werden, um sicherzustellen, dass die Daten an den richtigen Empfänger gesendet werden.

Unsere Schulungen zu Datenschutz und IT-Security bereiten Ihr Unternehmen und Ihre Mitarbeitenden umfassend auf die sichere Nutzung der Online-Ausweisfunktion vor. Durch gezielte Schulungen können Sie das Risiko von Sicherheitslücken und Datenmissbrauch erheblich reduzieren, Ihre Sicherheitsstandards erhöhen und die digitale Identität Ihrer KundInnen effektiv schützen.

Tipps für Unternehmen zur sicheren Nutzung der Auslesefunktion von Kundendaten

Regelmäßige Software-Updates: Stellen Sie sicher, dass Betriebssysteme, Kartenlesegeräte, NFC-Schnittstellen und eID-Clients stets auf dem neuesten Stand sind, um bekannte Sicherheitslücken zu schließen.

Verwendung zertifizierter Software: Laden Sie Software nur aus vertrauenswürdigen und offiziellen Quellen herunter, wie z.B. die AusweisApp2 vom Bund. Stellen Sie sicher, dass alle genutzten Anwendungen regelmäßig auf ihre Zertifizierungen überprüft und von vertrauenswürdigen Anbietern stammen.

Schulung und Sensibilisierung der Mitarbeitenden: Schulen Sie Ihre Mitarbeitenden regelmäßig in Sicherheitsfragen, insbesondere im Umgang mit sensiblen Daten und der Erkennung von Phishing-Versuchen, um das Risiko von Schadsoftware zu minimieren.

Verwendung hochwertiger Kartenleser: Nutzen Sie kontaktlose Kartenleser mit eigener Tastatur, um die PIN-Eingabe zu sichern und vor unberechtigtem Mitlesen zu schützen. Kartenleser mit eigenem Display können die Berechtigung des Diensteanbieters anzeigen und Manipulationen verhindern.

Zwei-Faktor-Authentifizierung: Implementieren Sie Zwei-Faktor-Authentifizierung, um die Sicherheit der Datenübertragung weiter zu erhöhen und empfehlen Sie Ihren KundInnen, ihre PIN regelmäßig zu ändern, um die Sicherheit zu erhöhen.

Vertrauenswürdige eID-Clients und Apps: Nutzen Sie nur eID-Clients und Apps, die von vertrauenswürdigen Anbietern zertifiziert und regelmäßig überprüft werden. Regelmäßige Sicherheitsüberprüfungen und Tests helfen, Schwachstellen zu identifizieren und zu beheben.

Sichere Datenverwaltung: Erfassen und speichern Sie nur die notwendigsten Daten, um das Risiko bei einem möglichen Datenverlust zu minimieren. Implementieren Sie strenge Zugriffskontrollen, sodass nur autorisierte Personen Zugriff auf die sensiblen Daten haben.

Kundensicherheit gewährleisten: Informieren Sie Ihre KundInnen darüber, wie ihre Daten geschützt und verwendet werden.

Durch die Umsetzung dieser Tipps können Unternehmen die Auslesefunktion von Kundendaten sicher und effektiv nutzen und das Vertrauen ihrer KundInnen in die digitale Identitätsverifikation stärken.

Fazit

Der digitale Personalausweis bietet eine innovative Möglichkeit, persönliche Dokumente sicher auf dem Smartphone zu speichern und schnell auf Dienstleistungen zuzugreifen, ohne physische Ausweise mit sich führen zu müssen. Diese Technologie revolutioniert die Identitätsbestätigung und vereinfacht viele Verwaltungsprozesse erheblich.

Der digitale Personalausweis ermöglicht es Unternehmen, die Identität ihrer KundInnen schnell und sicher online zu verifizieren, was sowohl die Benutzerfreundlichkeit als auch die Sicherheit erhöht. Um die damit verbundenen Risiken zu minimieren, sollten Unternehmen zertifizierte Software verwenden, regelmäßige Updates durchführen und ihre Mitarbeitende im sicheren Umgang mit sensiblen Daten schulen. So können sie das Vertrauen der KundInnen in die digitale Identitätsverifikation stärken und gleichzeitig den Datenschutz gewährleisten.

Quellen:

• Bundesministerium des Innern und für Heimat. “Online-Ausweisen anbieten – Die Vorteile auf den Punkt gebracht”. 
• Bundesministerium des Innern und für Heimat. “Einsatzmöglichkeiten für den Online Ausweis”. 
• Bundesministerium des Innern und für Heimat. “So werden Sie Diensteanbieter” .
• Bundesamt für Sicherheit in der Informationstechnik “eIDAS-Verordnung über elektronische Identifizierung und Vertrauensdienste“.
• Bundesamt für Sicherheit in der Informationstechnik. “Weitere Fragen und Antworten zur Sicherheit der Online-Ausweisfunktion“.