Der Bund hat in einer Medienmitteilung eine Verzögerung der Inbetriebnahme der Vertrauensinfrastruktur in die erste Jahreshälfte 2027 angekündigt. Noch schlimmer: Er nennt keinen Termin für die Einführung der e-ID mehr, diese verzögert sich also auf unbestimmte Zeit. Dabei wäre die e-ID eine Schlüsselkomponente für ein sicheres und datenschutzfreundliches Internet. Beides steht mit der heutigen Ankündigung auf dem Spiel.
Das Internet wird erwachsen. Das zeigt sich auch daran, dass an verschiedenen Orten nur noch Erwachsene Zugang erhalten oder erhalten sollen. Das schweizerische Jugendschutzgesetz von 2022 fordert, dass wir alle nur noch nach Altersnachweis auf YouTube surfen dürfen. In Australien darf man sich seit Ende letztem Jahr erst ab 16 Jahren in Sozialen Medien aufhalten, mit den erwarteten Nebenwirkungen. Gewisse europäische Soziale Netze wollen nur noch identifizierte Personen zulassen (oder sie zumindest bevorzugen).
Das bedeutet aber auch, dass man gegenüber diesen Plattformen Eigenschaften wie Name oder Alter beweisen muss. In den meisten Fällen bedeutet das, dass man ID oder Pass vor die Handykamera halten, sein Gesicht zeigen und/oder andere biometrische Eigenschaften beweisen muss. Viele dieser Massnahmen sind fälschbar, z.T. schon alleine durch Videospiele täuschbar oder beinhalten Datenschutzrisiken, sei es, weil die Identifikationsplattform die Daten an Dritte weiterleiten können oder ihre Daten ungenügend schützen, so dass sie in die Hände von Kriminellen geraten können. Gleichzeitig spriessen Firmen, die Altersverifikation anbieten, wie Pilze aus dem Boden; mit unterschiedlichsten Geschäftsmodellen, vor allem aber mit dem Resultat, dass Nutzer:innen – egal ob erwachsen oder noch ein Kind – sich im Rahmen ihrer Internetaktivitiäten bei mehreren Diensten identifizieren müssen. Die meisten dieser Nutzer:innen können die Vertrauenswürdigkeit des Dienstes nicht einschätzen und haben oft auch gar keine Wahl.
Alters- und Identitätsverifikation ist aktuell ein sicherheits- und datenschutztechnischer Alptraum. Neben obskuren Geschäftsmodellen oder potenziellen Datenschutzmängeln haben die Nutzer:innen auch mit weiteren Formen des Datendiebstahls zu rechnen. Zum einen sind die Daten extrem wertvoll für Kriminelle, die Identitätsdiebstahl begehen wollen, mit dem Resultat, dass möglicherweise serienweise Bankkonten geleert werden. Auf der anderen Seite werden Betrüger Mails verschicken, welche auffordern, die eigene Identitätskarte und andere biometrische Daten auf Phishingseiten hochladen werden, wo sie wiederum für Identitätsdiebstahl genutzt werden können.
E-ID als Grundlage für Privatsphäre und Sicherheit im Internet
Genau hier hätte die schweizerische e-ID als wichtige, datenschutzfreundliche Lösungsmöglichkeit angesetzt.
Mit der heutigen Medienmitteilung des für die E-ID zuständigen Bundesamts für Justiz (BJ) ist unklar, ob die e-ID verfügbar ist, bevor die Video-, Spiele- und Social-Media-Plattformen bereits Fakten geschaffen haben und unsere Passdaten haben.
Selbstverständlich ist es wichtig, dass das Prestigeprojekt E-ID unter Wahrung der Privatsphäre sicher umgesetzt wird und auch so genutzt werden kann.
Fehlende Transparenz
Doch die heutige Ankündigung wirft mehr Fragen auf als sie beantwortet:
So soll nur die Vertrauensinfrastruktur ihren Dienst in der ersten Jahreshälfte 2027 aufnehmen, und auch das nur „voraussichtlich“. Die Vertrauensinfrastruktur ist aber nur die IT-Plattform. In der Medienmitteilung fehlt jede Information, ob und welche Prozesse im nächsten Jahr laufen werden. Insbesondere fehlt jegliche Erwähnung der Ausstellung der ersten e-ID. Und wie rasch danach e-IDs ausgestellt werden können. Denn ohne e-ID-Besitzer:innen wird es auch kaum Online-Dienste geben, welche die e-ID anerkennen.
Auch wenn die Vertrauensinfrastruktur in Experimenten schon für Vereinsausweise genutzt wurde, dafür alleine ist sie viel zu teuer. Erst mit der e-ID erhält sie einen wahren Nutzen und wird zu dem Schlüssel für ein sicheres Internet, das wir erwarten. Auch der in der Pressemitteilung erwähnte Führerausweis dürfte kaum mehr als ein Pflästerchen sein.
Denn eine e-ID ist erst dann sinnvoll, wenn sie auch breit eingesetzt werden kann. Solange nur ein paar handvoll Insider eine e-ID haben, werden sich die Anbieter von Plattformen verständlicherweise weigern, Schweiz-spezifische Lösungen umzusetzen, auch wenn diese aus Datenschutzperspektive noch so spannend wären. Damit sind unsere Identitätsdaten im Internet weiterhin unsicher.
Das Fenster schliesst sich
Das Window of Opportunity schliesst sich rasch. Jede Verzögerung des Projekts sorgt dafür, dass mehr Bürger:innen unsichere oder datenschutzfeindlichen Diensten ausgesetzt werden und einfache Opfer von Betrügern werden können. Und nichts davon kann im Interesse der Schweiz, ihrer Bevölkerung oder des Bundesamtes für Justiz sein.
Um so wichtiger ist jetzt, dass dieses wohl wichtigste Digitalisierungsprojekt des Bundes möglichst rasch breit genutzt werden kann. Und dass der Bund Transparenz über die nächsten Schritte und ihren Zeitplan schafft. Denn nur so schafft er es, das Vertrauen der Bevölkerung in die Vertrauensinfrastruktur und die e-ID zu erhalten.
