“Identifizierung muss kosten­günstiger sein als bei Post- und VideoIdent” – Interview Dr. Klein, Governikus

Governikus stellt IT-Sicherheits­software zum Schutz personen­bezogener Daten her – bisher vorwiegend für die öffentliche Verwaltung und Justiz. Im Falle der eIDAS-Verordnung hat Governikus sogar zwei EU-Projekte mit internationaler Konsortialführerschaft übernommen. Rudolf Linsenbarth hat mit Dr. Klein (CEO Governikus) gesprochen – über eID, starke Authentifizierung – und warum das nun auch für den Finanzsektor relevant wird.

Herr Dr. Klein, was sind die Gründe für den jüngst beschlossenen Eigentümerwechsel?

Governikus arbeitet unter anderem sehr eng mit dem IT-Planungsrat (ein Steuerungsgremium, in dem der Bund und alle Bundesländer vertreten sind) zusammena und verantwortet inzwischen drei sog. „Anwendungen des IT-Planungsrates“. Durch diese Veränderung soll unsere Bindung an die öffentliche Verwaltung und konkret an den IT-Planungsrat noch stärker werden.

Sehen Sie einen Trend hin zu mehr cloudbasierten Angeboten oder will die Mehrheit Ihrer Kunden dann doch einen eigenen eID Server?

Es gibt einen klaren Trend zu cloudbasierten Diensten. Innerhalb der ÖV bedeutet das allerdings auch, dass es besondere Anforderungen an das Rechenzentrum und vor allem den Standort gibt. Hier sind die etablierten IT-Dienstleister der ÖV in einer besonderen Rolle. Sie sind einerseits besonders geeignet, die­se Diens­te an­zu­bie­ten, an­de­rer­seits aber auch be­son­ders ge­for­dert, die Vor­tei­le oh­ne Ein­bu­ße von Si­cher­heit zu ge­währ­leis­ten. Da­mit sind ne­ben an­de­ren Me­cha­nis­men die Go­ver­ni­kus-Pro­duk­te Teil der Lö­sung und zu­gleich cloudfä­hi­ge An­wen­dung.

Beim eID-Service für den Personalausweis ist zumeist ein teures HSM erforderlich. Viele unserer Kunden haben uns gebeten, den eID-Service vorübergehend anzubieten, anstatt selbst in die Hardware zu investieren. Vorübergehend bedeutet zwischenzeitlich acht Jahre. Wir freuen uns, dass die Bundesdruckerei sowie die IT-Dienstleister krz Lemgo und ITDZ Berlin auf der Basis von Governikus Autent ebenfalls diese Dienstleistung anbieten.

Aus welchen der Bereiche, Behörden, Versicherungen, Banken und Industrie kommen ihre Kunden überwiegend?

Unsere Kunden kommen zu 90% aus der deutschen öffentlichen Verwaltung. Allerdings verschaffen uns die Themen zunehmend auch Kontakte in andere Branchen, wo zuvor schon erwähnt.

Der Personalausweis ist online ja nicht nur für E-Government interessant, sondern damit lässt sich bspw. die mit Abstand schnellste und kostengünstigste Online-Kontoeröffnung umsetzen. Da sind das Post-Ident und auch das Video-Ident deutlich unterlegen.”

Darüber hinaus bietet der Personalausweis auch Banken und Sparkassen die Möglichkeit, dass er in der Filiale einfach elektronisch eingelesen werden kann – ohne PIN-Eingabe durch den Ausweisinhaber. Legitimationsprüfungen werden so nicht nur schneller, sondern nebenbei auch fehlerfrei. Und zukünftig muss die Legitimation nicht nur bei der Kontoeröffnung erfolgen, sondern regelmäßig. Ermöglicht wurde das sog. „Vor-Ort-Auslesen“ durch die 2017 beschlossene Änderung des Personalausweisgesetzes. Die Beispiele zeigen, dass einige unserer Lösungen auch in anderen Branchen sehr gut einsetzbar sind.

WebID ruft für eine Geldwäsche-konforme Identifizierung einen Preis zwischen 6 und 7 € je Vorgang auf. Die anderen Video-Ident-Anbieter Wettbewerber liegen wahrscheinlich in einer gleichen Größenordnung. Wo platziert sich Governikus da im Vergleich?

Auf jeden Fall darunter, wenn Sie auf unsere Lösung AusweisIDent anspielen, die wir gemeinsam mit der Bundesdruckerei anbieten werden. Und das ist ja auch logisch, denn eine durchgehend digitale und zudem schnelle Identifizierung muss kostengünstiger sein als eine mehrminütige Identifikation durch Mitarbeiter in der Post oder im Video-Chat.

Zur Erläuterung: Bei AusweisIDent handelt es sich um eine Dienstleistung als Identifizierungsdiensteanbieter mittels Online-Ausweisfunktion. D. h. ein Anbieter braucht weder selbst eine eID-Infrastruktur und Berechtigungszertifikate. AusweisIDent fungiert als „Mittler“ und liefert über angebundene, sichere Schnittstellen die Daten aus dem Personalausweis. Die Abrechnung erfolgt transaktionsbasiert.

Sie sagen, eine Authentifizierung per eID sei signifikant günstiger. Warum sind Banken und Mobilfunkunternehmen dann beim Einsatz dieser Technologie so zurückhaltend?

Wir stehen ja erst am Anfang und der Erfolg wird sich schon einstellen.”

Das Personalausweisgesetz wurde vor einem Jahr so geändert, dass die für Banken und Sparkassen, aber auch andere Branchen interessanten Services wie AusweisIDent oder das Identifizieren in einer Filiale ohne PIN erst rechtlich möglich wurden. Die technische Lösung besteht aus mehr als Hard- und Software, vor allem eine Reihe von Zertifizierungen sind erforderlich. Das dauert eben seine Zeit.

Aber wenn erst einmal klar wird, dass jetzt schon 60 Mio. Personalausweise einfach elektronisch ausgelesen werden können in einer sog. Vor-Ort-Situation, also in einer Filiale, dann werden sich Unternehmen mit Filialen und dem Bedarf an einer korrekten Identifizierung ihrer Kunden das demnächst gut überlegen müssen, wenn sie andere Verfahren wählen.”

Gibt es Überlegungen mit einem der Video-Ident-Anbieter in eine Kooperation einzusteigen?

Nein, Überlegungen aktiv auf einen Video-Ident-Anbieter zuzugehen, gibt es bei uns im Haus derzeit nicht. Wir sind allerdings auch noch von keinem Video-Ident-Anbieter angesprochen worden.

Klar ist, dass wir jedenfalls nicht als Anbieter in das Video-Ident einsteigen, das ist einfach nicht unser Business.”

Wir sehen das eher ergänzend, denn bei einer Kontoeröffnung mit AusweisIDent sprechen wir ja nur diejenigen an, die eine PIN zum Personalausweis und ein Lesegerät oder Android-Smartphone besitzen. Das werden zwar zunehmend mehr Menschen, weil seit einem Jahr zu jedem neuen Personalausweis auch die PIN zugesandt wird und ein Smartphone durch die AusweisApp2 zum Kartenleser wird. Trotzdem muss man konstatieren, dass am Video-Ident jeder teilnehmen kann, der über eine Kamera am PC oder Smartphone verfügt. Insofern sehen wir im Video-Ident eine teure Massenanwendung, die allmählich zurückgedrängt werden wird von der günstigeren und schnelleren Lösung AusweisIDent, an der Stand heute aber noch nicht so viele Menschen teilnehmen können wie am Video-Ident.

Beide Angebote haben also ihre Berechtigung und das wird letztlich der Markt entscheiden.”

Unternehmen, die eine Kundenidentifizierung anfordern, benötigen jetzt nicht mehr ein eigenes Zertifikat, sondern können sich auf ein globales Zertifikat Ihres Dienstleisters abstützen. Sehen Sie, dass die eID Funktion des nPA durch diese Gesetzesänderung, einen Schub erhält?

Das ist jedenfalls ein wichtiger Baustein, um Anwendungen mit dem Personalausweis für die Diensteanbieter attraktiver zu machen. Es wurde kostengünstiger und einfacher, weil nur ein Berechtigungszertifikat beim Bundesverwaltungsamt beantragt und bei der Bundesdruckerei bezogen werden muss. Das geht alles auf die gesetzlichen Änderungen am Ende der vergangenen Legislaturperiode zurück.

Ein Schub wird aber nur dann entstehen, wenn neben den rechtlichen und technischen Voraussetzungen die ökonomischen Ergebnisse stimmen.”

Und genau da haben wir gute Argumente.

Sie haben ja bereits eine weitere Neuerung, das sogenannte „Vor-Ort Auslesen“ des Ausweises angesprochen. Hier werden die Kundendaten direkt vom Personalausweis erfasst. Die Personalausweis PIN wird dazu nicht benötigt wird. Wann sehen wir hier die ersten Angebote?

Wir sind da schon in der Umsetzung mit namhaften Instituten der Finanzbranche. Faktisch geht es nur um die Übertragung der maximal 14 Datenfelder aus dem Ausweis in ein Formular der Kernbankanwendung.”

Aber es entstehen eben keine Eingabe-Fehler, ganz anders beim Abtippen durch einen Menschen. Und die Erfassung korrekter Kundendaten ist nicht nur bei der Kontoeröffnung wichtig, sondern im Prinzip regelmäßig aufgrund der neuen Anforderungen der EU-Verordnung zur Geldwäsche und weil viele Kunden bspw. ihren Umzug oder eine Namensänderung nicht sofort aktiv mitteilen. Am Ende des Tages haben alle Beteiligten einen Vorteil, weil schneller, ohne Fehlerbehaftung und dadurch günstiger. Wir versprechen uns dadurch auch einen Schub für die Online-Ausweisfunktion im Allgemeinen. Wer einmal in einer Filiale den Nutzen des Personalausweises erkannt hat, wird diesen auch künftig online einsetzen wollen.

Wie sieht es beim Vor-Ort Auslesen mit den Zertifikaten aus? Geht das mit einem zentralen Dienstleister Zertifikat?

Nein, das sind zwei getrennte Vorgänge. Ein Diensteanbieter benötigt für einen Online-Vorgang ein Berechtigungszertifikat, für das Vor-Ort-Auslesen wird ein separates Zertifikat benötigt. Den Antrag dazu schreiben wir inzwischen in wenigen Minuten. Das ist allenfalls eine kleine Hürde, bei der wir und auch das Bundesverwaltungsamt gerne behilflich sind. Überhaupt ist die Vergabestelle für Berechtigungszertifikate beim BVA eine kleine agile Truppe, die sehr kompetent berät und ziemlich unbürokratisch rüberkommt, wenn ich das mal so salopp ausdrücken darf.

Wäre es denkbar, das „Vor-Ort Auslesen“ auch als „Ausfüllhilfe“ im Internet oder für das Smartphone zu verwenden?

Schon wieder lautet meine Antwort leider Nein. Es klingt leider negativ, dabei ist es doch sehr positiv, dass der Gesetzgeber sich zu einem sehr guten Kompromiss durchgerungen hat.

Kompromiss heißt hier, dass der Ausweis zwar ohne PIN eingesetzt werden kann und damit sind schon bald über 70 Mio. Personalausweise und auch alle rund 8 Mio. sog. elektronische Aufenthaltstitel für das Vor-Ort-Auslesen nutzbar.”

Aber ein Abgleich des Fotos auf dem Ausweis mit der Person, die ihn vor Ort vorlegt, muss schon erfolgen. Das lässt sich auch per Video nicht lösen, einmal aus Sicherheitsgründen und zum anderen, weil das Gesetz es eben nicht erlaubt. Online kann der Ausweis nur mit der Online-Ausweisfunktion und dem PIN eingesetzt werden, das können inzwischen schon 25 Mio. Ausweisinhaber. Das sind auch nicht gerade wenige, aber es sind eben nicht alle Besitzer eines elektronischen Personalausweises.

Bei den Anbietern für die eID Auslesefunktion des neuen Personalausweises gab es in den vergangenen Jahren eine Ausdünnung des Feldes. Wie sehen Sie die Wettbewerbssituation?

Man braucht schon einen langen Atem in diesem Feld und den hat nicht jedes Unternehmen oder ist bereit zu investieren. Wir haben da aufgrund unserer langfristigen Verträge und vor allem aufgrund unserer klaren Überzeugung, dass der Personalausweis das beste Instrument gegen Identitätsdiebstahl im Internet ist, eine klare Haltung:

Wir tun alles, was in unserer Macht steht, damit die Vorteile des Personalausweises erkennbar werden und sich durchsetzen.”

Welchen Ansatz favorisieren Sie für die eID Identifizierung? Verwendung der in Ihrem Hause entwickelten AusweisApp2, oder Lieferung eines SDK, für die Integration in die Apps Ihrer Kunden? Ist es bei der Auswahl von Bedeutung, ob der Kunde ein eigenes Berechtigungszertifikat hat?

Natürlich beide, denn jeder Ansatz hat klare Vorteile. Die Verwendung der vom Bundesinnenministerium finanzierten AusweisApp2 erzeugt eine klare Wiedererkennung, ganz egal, welche Anwendung aus welcher Branche auf dem Ausweis basiert. Wer sich mal seinen Flensburger Punktestand angesehen hat, wird auch in der Lage sein, ein Girokonto mittels AusweisApp2 zu eröffnen oder Zugang zu seinen Versicherungsdaten zu erhalten.

Andererseits wünschen sich viele Anbieter, die eine eigene App nutzen, dass diese eigene App niemals während einer Transaktion verlassen werden muss, weil das statistisch zu nennenswerten Abbrüchen führt und darüber hinaus ja auch etwas mit der eigenen Corporate Identity zu tun hat. Da hat es klare Vorteile, dass ein Bank- oder Versicherungskunde in der Bank- oder Versicherungs-App bleibt, wenn er die Identifikation mittels Personalausweis durchführt. Die ist ja nie Selbstzweck, sondern immer nur Mittel zum Zwecke, also bspw. erforderlich um persönliche Daten einzusehen oder um ein Konto zu eröffnen.

In beiden Fällen kann der Diensteanbieter entweder ein eigenes Berechtigungszertifikat nutzen oder unser Gemeinschaftsangebot AusweisIDent nutzen, für das wir bzw. unser Partner – die Bundesdruckerei – das erforderliche Berechtigungszertifikat besitzt.

Ist die Positionierung als eigenständiger Identity Provider, wie etwa VERIMI und YES, für Governikus auch eine Option?

Schon wieder eine Frage auf die ich mit Nein antworten muss.

Wir kooperieren mit YES und Verimi, weil wir neben dem Personalausweis – bei aller Sympathie – eben auch andere elektronische Identitäten nutzbar machen wollen. Das entscheiden doch die Bürgerinnen und Bürger, mit welcher elektronischen Identität sie sich zu erkennen geben wollen.”

Manchmal ist allerdings ein hohes Vertrauensniveau erforderlich und da kommt dann nur der hoheitliche Personalausweis in Frage. Es gibt aber viele Anwendungen mit einem mittleren oder normalen Vertrauensniveau und da gibt es zunehmend interessante Lösungen. Unsere Aufgabe ist es, alle diese Lösungen für einen Einsatz im E-Government nutzbar zu machen. Dazu gehören dann auch die Nutzerkonten, die von der ÖV selbst zunehmend angeboten werden. Bei vielen dieser elektronischen Identitäten ist es übrigens für die Erstregistrierung sehr sinnvoll, den Personalausweis einzusetzen. Das sieht man auch bei YES und Verimi so und folglich ergänzen deren Angebote und unsere Produkte sich geradezu ideal.

Hat Governikus auch eine Signaturlösung im Portfolio? Wenn ja, basiert diese auf einem Zertifikat im Ausweis, oder ist es eine Fernsignaturlösung?

Endliche eine Frage, auf die ich mit einem klaren Ja antworten kann. Wir bieten mit dem Governikus Signer schon seit Jahren eine Lösung zum Signieren mit Signaturkarte und Leser an. Auch fortgeschrittene Signaturen auf Basis von Software sind natürlich möglich. Den Governikus Signer gibt es als Stand alone Lösung und integriert in Fachverfahren und Web Anwendungen.

Neu wird der Governikus-Signing-Broker sein, der den Signer erweitert um eine Lösung zur Fernsignatur. Hier bemühen wir uns gerade um eine technisch-organisatorische Lösung, bei der sich ein Bürger nach dem Ausfüllen eines Formulars aussuchen kann, wie er sich identifizieren möchte, damit eine einmalige sog. Fernsignatur für ihn erzeugt und angebracht werden kann. Das kann dann eine Identifikation mittels Bank- oder Sparkassenkonto sein, aber auch mittels Verimi oder Servicekonto der ÖV. Dann sind zwar immer unterschiedliche Fernsignaturanbieter zu involvieren, aber auch hier verfolgen wir den Ansatz, dass wir alle relevanten Anbieter verfügbar machen wollen, so dass letztlich die meisten Bürger am Ende des ausgefüllten Formulars eine bereits vorhandene elektronische Identität einsetzen können. Der eine nutzt sein Bankkonto, der andere sein Verimi-Account, etc. Und das muss dann für den Bürger kostenfrei sein, weil es zentral bspw. durch die Bundesländer finanziert wird. Ein solches Modell besprechen wir gerade mit allen Akteuren und die technische Umsetzung ist da auch schon sehr weit vorangeschritten.

Welche weiteren Dienstleistungen gibt es noch, oder sind auf der Roadmap? Können Sie den Banken z.B. Lösungen beim Thema starke Authentifizierung für die PSD2 und dem Autorisieren von Transaktionen anbieten?

AusweisIDent eignet sich ganz klar auch als starke Authentifizierung nach der Zahlungsverkehrs-Richtlinie der EU. Wenn Banken der Sparkassen es neben eigenen Angeboten in ihre Prozesse einbauen wollen, würde uns das natürlich sehr freuen.”

Das gleiche gilt für die Autorisierung einzelner Transaktionen, allerdings wird hier jedes Institut die Kosten und die Zeit einer einzelnen Transaktion im Blick behalten. Und sehr sichere Transaktionen sind eben nicht ganz so schnell und nicht ganz so preiswert wie solche, die mit weniger Rechenaufwand für die zugrundeliegende Kryptografie auskommen. Ich würde keiner Bank empfehlen, auf die eigenen Lösungen zur Authentisierung zu verzichten. Aber eine Ergänzung zur Erhöhung der Verfügbarkeit, zumal bei annähernd gleichen Kosten, kann man sich bestimmt auch gut in der Kreditwirtschaft vorstellen. Zumindest deuten das unsere Gesprächspartner an.

Die AusweisApp2 wurde zuletzt um Themen wie Smartphone als Lesegerät oder „Vor-Ort-Auslesen“ ergänzt. Welche weiteren Entwicklungsfeatures sind hier geplant?

Das ist ja erstmal eine tolle Neuerung, dass ich mein Android Smartphone neben meinen Laptop lege, über das WLAN koppele und schon habe ich einen Kartenleser für den Personalausweis.”

Das muss sich jetzt weiter durchsetzen und es nimmt übrigens den Herstellern von Kartenlesern kein Geschäft weg. Denn ehrlicherweise würden viele Menschen, die zwar eine kostenfreie App installieren, alternativ keinesfalls Geld ausgeben für eine weitere Hardware. Der Markt der Kartenlesegerät Hersteller liegt vor allem dort, wo Leser für viele Nutzer eingesetzt werden, bspw. beim Vor-Ort-Auslesen in der Filiale von Bank, Sparkasse, Telefonanbieter, etc. Oder an einem Kiosk-Terminal im Rathaus. Zurück zu ihrer Frage nach den neuen Features für die AusweisApp2, da ist doch einiges zu nennen:

Aktuell arbeiten wir gerade an diversen Themen. Die Oberfläche der stationären AusweisApp2 wird komplett überarbeitet, Nutzer werden künftig eine Feature-Preview integriert haben, das Thema der App in Firmennetzwerken, und einige technische Erleichterungen werden mit dem Winterrelease zertifiziert zur Verfügung stehen.

Weiter in der Planung sind eine verbesserte Open Source-Unterstützung für Linux-/Unix-Nutzer sowie eine Instant-App. Falls also ein Nutzer die AusweisApp2 gar nicht installiert hat, über einen Online-Dienst die Nutzung dennoch aufruft, übernimmt diese das Download-Handling aus dem Playstore.”

Darüber hinaus werden wir Diensteanbietern mehr Usability-Informationen für die Integration in den eigenen Dienst zur Verfügung stellen.

Zu guter Letzt, wie sieht es mit dem iPhone aus? Gibt es schon einen Prototyp, mit dem ein direktes Auslesen des nPA am Gerät möglich ist?

Geplant ist auch ein iOS-Release. Die iOS-Variante befindet ist zwar im Grunde seit geraumer Zeit fertig, allerdings derzeit nur zum Testen freigegeben. Grund dafür ist, dass Apple die NFC-Schnittstelle nach wie vor nicht freigegeben hat.”

Allerdings haben wir unabhängig von unserer Beauftragung durch BMI/BSI aktuell selbst einen Kooperationspartner aus dem Kartenlesersegment mit der Herstellung von Prototypen für Aufstecklesegeräte über den Lightning-Anschluss für iOS-Geräte beauftragt. Unser Partner sieht hier ebenfalls einen Markt, wir finanzieren nun erstmal die Forschungs- und Prototypenkosten. Sämtliche derzeit am Markt verfügbaren Alternativen im Bluetooth- oder Steckbereich sind entweder teuer und/oder im Handling, nennen wir es mal optimierungsbedürftig, oder in Kombination mit der Online-Ausweisfunktion nicht stabil funktionsfähig.

Interessant ist das allemal für moderne Finanzinstitute, die ihre Kunden vor Ort mittels iPad beraten und mal eben nebenbei die Legitimation durchführen wollen, natürlich per Vor-Ort-Auslesen.

Herr Dr. Klein – vielen herzlichen Dank für das ausführliche Gespräch!Rudolf Linsenbarth