Deep Dive Digital: Der Ausweg aus dem Passwort-Dschungel

Digitale Identitäten sollen zukünftig einen einfachen und zugleich sicheren Zugang ins Netz ermöglichen. Warum sie zum Gamechanger werden und Deutschland ausnahmsweise mal Vorreiter ist, erläutert Gottfried Ludewig in unserer Digitalkolumne.

Dr. Gottfried Ludewig — Gottfried Ludewig ist Chef der Gesundheitssparte von T-Systems. Unter Jens Spahn war er im Bundesgesundheitsministerium Abteilungsleiter für Digitales.

Wer kennt es nicht? Eine Online-Überweisung, eine Bestellung beim Internethändler des Vertrauens, das Checken von Nachrichten bei Instagram, Facebook, Linkedin und Co., das Abrufen von E-Mails über das Internet, von der Kommunikation mit Behörden oder Krankenkassen ganz zu schweigen. Für jede Form von Austausch im Netz benötigen wir einen digitalen Zugang. Und für diesen müssen wir uns identifizieren. Stichwort: Digitale Identität. In den meisten Fällen ist diese nicht mehr als ein Nutzername in Kombination mit einem Passwort. Möglichst kompliziert, möglichst lang. Das nervt nicht nur, es überfordert viele Menschen und ist meist nicht wirklich sicher.

Passwort-Dschungel ist nur ein Problem Digitaler Identitäten. Ihre fehlende Sicherheit ist ein weiteres und größeres. Wer steckt hinter einer Digitalen Identität? Überprüfen lässt sich das nicht. Und fantasievolle Nutzernamen wie DaisyDuck97552 machen die Sache nicht leichter. Zudem: Ob analog oder digital gespeichert: Zugangsdaten, E-Mail-Adressen oder Handynummern locken Kriminelle. Identitätsdiebstahl heißt das. Hacker kaufen auf unsere Kosten ein. Oder geben sich übers Netz als Familienmitglieder aus. Die Masche: „Papa mein Handy ist kaputt. Kannst Du bitte überweisen?“ „Liebe Oma, wurde beklaut, sitze im Urlaub fest. Bitte schick mir Geld.“ Nur zwei von vielen Beispielen.

Vertrauen schaffen

Digitale Identitäten sollen daher künftig den Passwort-Dschungel lichten und gleichzeitig sicher sein. Das klingt unspektakulär. Aber neben schnellen Netzen, Künstlicher Intelligenz oder Cloud hängt die Zukunft der Digitalisierung auch an sicheren digitalen Identitäten. Warum? Weil mangelndes Vertrauen weiterhin der größte Hemmschuh der Digitalisierung ist. Ohne Vertrauen in die Digitale Identität von Käufern und Verkäufern kommt kein einziger Kauf im Internet zustande. Kein Gewerbe wird online genehmigt. Vom sicheren und zugleich unkomplizierten Zugriff auf Patientenakten ganz zu schweigen.

Gerade die Kommunikation mit Behörden oder Gesundheitswesen fordert Vertrauen und Sicherheit. Über das richtige Maß Sicherheit scheiden sich in Deutschland traditionell die Geister. Unstrittig ist: Nutzername-Passwort-Zugang wäre für eine Patientenakte wohl grob fahrlässig. „Krypto-Hightech-Verfahren“ für einen Turnschuh aus dem Netz wäre dagegen Kanonen auf Spatzen. Und ein völliger Schuss in den Ofen, wenn die Technik hochsicher unhandlich ist.

Was zu kompliziert ist, nutzt keiner. Was bequem ist, setzt sich durch.

Eine einfache Erkenntnis, die EU und Mitgliedstaaten zum Nachdenken zwingt. Denn viele Anbieter nutzen inzwischen die Logins von Social-Media-Plattformen. Die hat einen Haken: Die Unternehmen erstellen Nutzerprofile und verkaufen diese meistbietend und anderem an die Werbeindustrie.

Die EU sorgt sich um den Datenschutz. Daher treibt sie sogenannte selbstsouveräne Digitale Identitäten (SSI) voran. EU-Bürger und Bürgerinnen sollen ihre Privatsphäre selbst schützen können. Und souverän entscheiden, wann sie mit wem und warum welche Daten teilen.

EU gibt Takt vor

Basis für die europäische Digitale Identität ist die eIDAS(electronic IDentification, Authentication and Trust Services) von 2014. Damals waren nur vier Anwendungen im Fokus: E-ID (wie beim deutschen elektronischen Personalausweis), sichere digitale Zustelldienste, elektronische Signaturen und Web-Zertifikate. Weil sich die Digitalwirtschaft aber schnell dreht, war von Beginn an eine Revision von eIDAS geplant. Die EU hat Juli 2022 eine überarbeitete Verordnung vorgestellt. Sie wird gegenwärtig diskutiert. Ohne abgesegneten Rahmen aus Brüssel bleiben auch nationalstaatliche Projekte wie der digitale Führerschein der Bundesregierung in der Warteschleife.

Digitale Dienste sollen künftig nur auf wirklich benötigte Daten zugreifen dürfen.

Wesentliche Änderungen der neuen Verordnung sind bereits absehbar, eIDAS 2.0 zahlt stärker auf digitale Angebote der Privatwirtschaft ein. Weiterhin soll die sogenannte Erst-Identifikation künftig elektronisch laufen. Bislang war das von Angesicht zu Angesicht wie beim Haustür-Ident geplant. Hinzu kommt die Datensparsamkeit. Digitale Dienste sollen künftig nur auf wirklich benötigte Daten zugreifen dürfen. Für einen Zigarettenkauf übers Internet etwa ist nur die Altersangabe notwendig. Aber kein Auslesen des komplett auf dem Smartphone verfügbaren Datensatzes.

Digitale Brieftasche auf dem Handy

Sicherer Hort für den elektronischen Identitätsnachweis oder andere Digitaldokumente wie Führerschein oder Geburtsurkunde wird nach Willen der EU eine digitale Brieftasche auf dem Handy. Alle Mitgliedstaaten sollen eine sogenannte „European Digital Identity Wallet“ bereitstellen. Die EU schafft die Basis dafür. Die Wallet bleibt aber in der Hoheit der einzelnen Mitgliedstaaten. Dänemark, Deutschland, Schweden und Ungarn haben bereits Lösungen für nationale elektronische Identitäten. Die Eigenkreationen sind heute untereinander noch inkompatibel. Die Wallet aus Brüssel soll künftig für alle Mitglieder funktionieren. Das Ziel verfolgt ebenfalls die Open Wallet Foundation, zu denen auch T-Systems gehört.

Bleibt die Frage, was passiert, wenn das Mobiltelefon verloren geht. Kein Problem. Die relevanten Daten liegen verschlüsselt in einer Open Sovereign Cloud bei einem deutschen Vertrauensanbieter und nicht auf dem Handy. Und der Code für diese Cloud- Lösung ist auch als Open Source veröffentlicht. Die Reaktivierung geschieht mit einer PUK, ähnlich wie das vom Online-Banking bekannt ist. Danach muss der Ausweis dann noch einmal mit dem neuen Gerät gekoppelt werden. Nur wenn sowohl Handy als auch PUK verloren gehen, muss der komplette Identifizierungsprozess von vorne durchlaufen werden.

Treiber der Digitalisierung

Die Digitalen Identitäten kommen. Sie werden unser aller Leben vereinfachen und werden ein Treiber der Digitalisierung sein. So kann jede Patientin und jeder Patient zum Beispiel künftig auf die persönlichen Medikationsdaten zugreifen oder die Daten beim Arzt freigeben. Ohne eine zusätzliche Karte, einen Pin oder ein Passwort. Das ist in weiten Teilen Europas bereits möglich. Und es wird höchste Zeit. Der Fahrplan für die Digitalen Identitäten ist in groben Zügen erkennbar. Gesetzliche Krankenkassen müssen diese bereits ab Januar 2024 anbieten. Bis dahin haben die Anbieter die Chance zu zeigen, wie einfach und sicher Digitale Identitäten eingeführt und umgesetzt werden können. Sie werden somit zum Vorreiter in einer Schlüsseltechnologie.

Digitale Identitäten werden nicht einfach weitere digitale Anwendungen sein, sondern Schlüssel für die schnelle und sichere Nutzung der digitalen Welt.

Zudem werden Digitale Identitäten, die bei den gesetzlichen Krankenkassen eingeführt werden - sofern sie auf dem elektronischen Personalausweis beruhen - auch der Türöffner für andere Anwendungsszenarien. Das sind zum Beispiel eine Kontoeröffnung oder das Login bei der Bank, das Login beim Telekommunikationsanbieter oder Online-Bürger-Services gemäß Online-Zugangsgesetz. Digitale Identitäten, die bereits die Grundlage der EU beachten, werden nicht einfach weitere digitale Anwendungen sein, sondern Schlüssel für die schnelle und sichere Nutzung der digitalen Welt. Ein echter ‚Gamechanger‘. Und einer der seltenen Bereiche, in denen das Gesundheitswesen in Deutschland Vorreiter ist. Mehr sollten folgen.