The Solution

Die SuisseID ist seit über einem Monat lanciert. Erst ein mal ein grosses Lob an das gesamte Team und deren Partner. Sie haben es geschafft in sehr kurzer Zeit die Spezifikation zu entwerfen und diese zu einem grossen Teil zu implementieren.

Für diejenigen, die nicht wissen was die SuisseID ist, hier ein Ausschnitt aus Wikipedia:

Die SuisseID ist der erste standardisierte elektronische Identitätsnachweis der Schweiz, mit dem sowohl eine rechtsgültige elektronische Signatur wie auch eine sichere Authentifizierung (Log-in) möglich sind. Mit der als USB-Stick oder Chipkarte erhältlichen SuisseID können Geschäfte von Privatpersonen mit Firmen bzw. Verwaltungen direkt und sicher über das Internet oder per E-Mail abgeschlossen werden.

Jeder, der sich noch weiter für die SuisseID interessiert, kann auch einen Blick in ihre Spezifikation werfen.

Habe kürzlich einen Artikel in der Weltwoche entdeckt Teure Lösung für nichtexistente Probleme, welcher sich kritisch über die SuisseID äussert.

Als ich den Artikel gelesen habe, hat es mir fast die Sprache verschlagen. Eine solche Schwarzmalerei und unsachgemässe Recherche kann man ja vom Blick erwarten aber die Weltwoche scheint da wohl nicht besser zu sein. Der Autor schreibt frei aus der Seele und lästert über die SuisseID, hat wohl aber selber nie die Spezifikation der SuisseID gelesen und deren eigentlichen Zweck begriffen. Er stempelt sie als proprietäres, eigenbrötlerisches Schweizer Produkt ab, welches “eine digitale Mauer um unser Land” darstellt. Dabei basiert die SuisseID auf offenen Standards und lässt die Integration in bestehende Infrastruktur grundsätzlich zu.
Der Autor hätte sich mit einem Fachmann zusammensetzen sollen, bevor er den Artikel schrieb. Dies hilft, dass die Schere zwischen Endanwender und “IT Freak” nicht zu weit auseinanderklafft und beide Parteien einen Dialog führen, damit eine (gute) Lösung nicht wieder einmal in Vergessenheit gerät ohne jemals ihren wahren Nutzen erfahren zu haben. Anstatt nur auf die SuisseID in der Presse einzuprügeln und die Leute somit zu bekehren, sollte man als Autor versuchen das SuisseID Projekt und die technischen Möglichkeiten und Einschränkungen zu verstehen und somit sachgemäss über das Produkt zu berichten. Ja, es sind 21 Millionen CHF auf dem Spiel. Und mit solchen Artikeln muss man sich nicht wundern, wenn am Schluss niemand davon Gebrauch macht und das Geld verpufft.

Ich möchte nun selber Stellung nehmen zu einigen Punkten, welche im Artikel erwähnt werden:

Nun, ich kaufe heute schon meine Konzerttickets online, auch die Fahrscheine für Zugfahrten bei der SBB, ich nutze Telebanking, bestelle online bei diversen Shops Waren, usw. Wo genau liegt das Problem? Bei all diesen Angeboten habe ich mich einmal registriert und nutze sie fortan problemlos.

Ja das ist ja schön und recht. Soll von mir aus auch weiterhin so bleiben. Zwar ärgerlich, dass man für jede Seite oder jedes Angebot einen zusätzlichen Benutzernamen und Passwort braucht. Verleitet doch den Benutzer dazu sehr einfache Passwörter zu gebrauchen und dazu meistens immer das gleiche. Dank Phishing & Co. kann man schlimmstensfalls nach Herausinfden des Passworts auf all diejenigen Angebote zugreifen.
Da sehe ich den Vorteil einer SuisseID oder eines SAML Tokens. Kryptologisch betrachtet ist es sehr viel sicherer (SmartCard mit persönlicher PIN, Biometrie wäre noch besser) zudem braucht man sich nur noch einen PIN Code zu merken. Nämlich den PIN Code der SuisseID bzw. des SAML Tokens oder der Informaton Card (SuisseID unterstützt diese Formate).

Wir sind eine Exportnation, unsere Geschäftspartner im Ausland werden mit der SuisseID wohl kaum viel anfangen können. Kommt dazu, dass zwischen Unternehmen meistens eine langfristige Beziehung besteht und es somit auch da kaum Probleme mit nicht vorhandenen digitalen Unterschriften gibt.

Die Frage hier ist nicht ob die Geschäftspartner was mit der SuisseID anfangen. Die Frage ist, ob sie was mit digitalen Unterschriften anfangen können. Ob hinter der digitalen Unterschrift eine SuisseID dahintersteckt, oder eine BELPIC (Belgien) oder eine BULSTAT (Bulgarien) uvm, spielt keine grosse Rolle. Das wichtigste ist hierbei, dass das darunterliegende Zertifikat und Krypto-Verfahren standardisiert ist. Und dies ist bei der SuisseID ebenfalls der Fall. Welche EU Länder bereits schon eGov-Vorstösse wie die SuisseID betreiben oder solche Lösungen bereits schon realisiert haben findet man in der eID Interoperability for Pan-European eGovernment Services.

Das letzte Beispiel, welches jeweils angeführt wird, ist die Alterskontrolle für Einkäufe von Produkten, die für Jugendliche nicht geeignet sind. Spiele und Videos ab 18 Jahren, alkoholische Getränke usw. Neben der Tatsache, dass auch mit der SuisseID solche Hürden durch jugendliche Kreativität ohne Probleme umgangen werden können, sei noch erwähnt, dass die Alterskontrolle auch über die Kreditkarte durchgeführt werden könnte.

Das ein Jugendlicher die Kreditkarte seines Vaters mal schnell “entwendet”, das ist jugendliche Kreativität. Das ein Jugendlicher ein Krypto-Verfahren mal so schnell knackt, WOW, dann wäre das ein Top10-Hacker, dessen sechs- bis siebenstelligen Lohn ich gerne hätte. Zudem bräuchte er nebst enorm (!) viel Rechenpower auch mathematische Kenntnisse. Leider verheissen die jüngsten PISA Studien nichts gutes über die Coolnes von Mathe bei Jugendlichen.
Natürlich, das Bewusstsein über die Tragweite einer Weitergabe des PIN Codes einer SuisseID an andere Personen ist in der Bevölkerung bei weitem nicht verankert. Dies ist tatsächlich ein Problem. Aber nicht nur bei der SuisseID sondern generell bei Passwörtern. Z.B. ein vermeintlicher Bluewin Mitarbeiter ruft an und meldet einen geplanten Unterbruch des Internetzugangs an. Er bräuchte schnell das Passwort, damit er die Leitung anschliessend wieder reaktivieren kann.
Wenn man aber die SuisseID künftig z.B. auch für die digitale Steuererklärung, elektronische Abstimmung, dem eBanking und als elektronische Identitätskarte nutzt, da überlegt man sich zwei Mal ob man so schnell den PIN Code jemandem anderen anvertraut. Ich meine, kenne niemanden der seinen PIN Code seiner Bankkarte jemandem anderen anvertraut (ohne ihn wenigstens anschliessend zu ändern).

Gleichzeitig aber würden wir uns – sollte sich denn das behördlich verordnete System durchsetzen - vielen gesellschaftlich äusserst fragwürdigen neuen Möglichkeiten staatlicher Kontrolle aussetzen. Es würde wohl nicht lange dauern, bis die Online-Altersverifikation mittels SuisseID für -zig Produkte obligatorisch erklärt würde.

Im schlimmsten Fall könnte die SuisseID grundsätzlich zur Voraussetzung werden, um überhaupt online gehen zu können.

Da stimme ich voll und ganz zu! Es muss mit Vorsicht genossen werden. Es darf nicht sein, dass der Staat dies als Möglichkeit betrachtet völlige staatliche Kontrolle zu erreichen. Die SuisseID soll nur für ganz gezielte Anwendungen (Abstimmung etc.) Pflicht sein. Die Online-Shops sollten selber bestimmen dürfen, ob sie die SuisseID (oder generell SAML) als zusätzliches Authentisierungsverfahren nutzen möchten.

Mit der SuisseID bauen wir eine digitale Mauer um unser Land, denn für unseren kleinen Markt werden ausländischen Anbieter kaum eine weitere Extrawurst implementieren.

Ich zitiere hier gerne einen User-Kommentar zu einem weiteren SuisseID kritischen Blogeintrag des Autors:

Und das ganze via SAML 2.0. Da ist nichts SuisseID spezifisches dabei was die Schweizer selbst erfunden haben. Das sind offene Standards keine Ricolas.

Nun meine Bitte für das nächste Mal an Herr Gunten: Informieren Sie sich zuerst genau bevor Sie solche Artikel schreiben. Ich stehe, soweit mein Wissen es ermöglicht, auch gerne bei Fragen zur Verfügung.