Kommentar: Bei der d-you jetzt nicht anfangen aufzuhören!

d-you kommt – also die EUDI-Wallet für alle möglichen digitalen Ausweise, falls auch Sie der Name verwirrt. Man meckert hierzulande ja gerne, und auch im Ausschuss für den Rechtsrahmen, das Digitale Identitätengesetz (DIdG), hielten sich die Sachverständigen nicht mit Kritik zurück. Aber das sinnvolle Projekt steht – eigentlich – unter einem guten Stern. Eigentlich, weil es noch drei große Probleme gibt, die das DIdG und das Entwicklerteam der SPRIND-Gründung Common Codes bis zum Start im Januar unbedingt anpacken müssen.

Kornelius Kindermann ist iX-Redakteur und schaut auf die Themen E-Government, Security und Identity Management sowie IT-Recht.

Das erste Problem ist die unabhängige App-Sicherheit. Hinsichtlich der viel beschworenen Souveränität ist d-you weiter als zunächst befürchtet: Unter Android prüft sie ihre Integrität jetzt per Hardwareattestierung, die ohne Google-Play-Dienste auskommt. Common Codes hörte hier also auf die Kritik aus Sicherheitskreisen – sich auf Google Play Integrity zu verlassen, hätte Google einen Kill Switch auf dem Silbertablett überreicht. Ob Googles Play Integrity API ganz rausfliegt, ist aber noch nicht sicher. Außerdem ist die RASP-Komponente (Runtime Application Self-Protection), die nach Manipulationen der App sucht, nicht öffentlich. Solange die eine Blackbox bleibt, enthalten aber alle Aussagen zur Integritätsprüfung ein brockengroßes Korn Salz.

Sektkorken bei Databrokern

Das zweite Problem ist der Datenschutz. Hier ist die Architektur besser als ihr Ruf. Die eIDAS-Verordnung schreibt vor, dass Nutzer nur einzelne Angaben freigeben können, ein Shop soll beispielsweise nur „über 18: ja“ erfahren. Diensteanbieter müssen sich beim Bundesverwaltungsamt registrieren und dürfen ausschließlich abfragen, was sie dort angemeldet haben. Das Problem ist, dass bislang noch niemand vorab prüft, ob das Angemeldete nötig ist; die Datenminimierung der DSGVO greift erst im Nachhinein, wenn überhaupt.

Die Daten tragen ein staatliches Echtheitssiegel, was bei Databrokern die Sektkorken knallen lassen dürfte. Und auch die Pseudonyme, die eIDAS vorschreibt, fehlen zum Start. Das ließe sich mit einer Vorabprüfung der Anbieter noch regeln, wenn jetzt der Dampf auf dem Kessel bleibt und Sachverständige ernst genommen werden. Nur schade, dass die Koalition am 15. November für ein DIdG stimmte, das eine solche Vorabprüfung nicht enthielt – hier entschied man sich also, in alte Muster zu verfallen: „Es soll jetzt endlich losgehen, Datenschutzbedenken klären wir später“.

Drittens, klar, die Adoption. „Widerstand erkenne ich nicht“, sagt Minister Wildberger, und die kommunalen Spitzenverbände begrüßen die Wallet tatsächlich. Im selben Atemzug zählen sie auf, was fehlt: Kostenschätzung samt Finanzierung, verbindliche Schnittstellen, eine Checkliste für den Anschluss, ein realistischer Zeitplan. Der Wille ist da, aber noch ungelenkt.

Eine Wallet nützt außerdem nur so viel wie die Nachweise darin. Doch im Augenblick müssen Bundesbehörden Bescheide erst 12 Monate nach Verkündung des Gesetzes als elektronischen Nachweis ausstellen, Länder und Kommunen überhaupt nicht. Und ohne aktivierten Onlineausweis samt PIN kommt der Ausweis gar nicht erst in die Wallet. Erst wenn Bürgerinnen und Bürger einen Behördengang vollständig digital erledigen, mit derselben App, mit der sie ihren Führerschein vorzeigen, ist erfüllt, was sich EU und Bundesregierung vorgenommen haben.

CCC-Verriss mitnehmen

Deutschland weiß, was sonst passiert. Die elektronische Patientenakte dümpelte jahrelang als Opt-in-Angebot vor sich hin und wird bis heute kaum aktiv genutzt, die De-Mail schmierte ganz ab. Bisher war das ein Muster aus Kritik aus der Sicherheitsszene, die als Störgeräusch behandelt wurde, einer ungelenken gesetzlichen Basis und wenig Flexibilität für Nachbesserungen. Dabei hat d-you die besseren Voraussetzungen dank eines EU-weiten Standards, privater Anbieter mit eigenem Interesse und gesetzlicher Pflichten für den Bund.

Auch die richtigen Leute gibt es, viele von ihnen sitzen im Anhörungssaal und bei Common Codes. Noch besser wäre aber ein offener Entwicklungsprozess nach EU-Vorbild und eine Testumgebung ohne Geheimhaltungsvereinbarung. Ein Bug-Bounty-Programm ist schon angelaufen; BMDS-Staatssekretär Thomas Jarzombek rechnet mit einer gewissen Selbstreflexion ohnehin damit, dass d-you irgendwann das Highlight auf dem Jahrestreffen des CCC wird. Das muss kein Unglück sein, wenn man auf die Befunde mit Nachbesserungen reagiert. Die Weichen sind gut gestellt, aber bis die noch bestehenden Probleme gelöst wurden, darf man jetzt bloß nicht damit anfangen aufzuhören.

(kki)