Bericht und Antrag - Short Information about the ICT 21 process

Leitfaden ‚Rechtskonformes E-Government’:
Digital Identity Management
Wesen, Bedeutung und Handhabung digitaler Identitäten für
eine Informations- und Wissensgesellschaft in der Schweiz
Inhaltsverzeichnis
1. Management Summary ----------------------------------------------------------------------------------------------1
2. Vorwort -------------------------------------------------------------------------------------------------------------------2
3. Definition-----------------------------------------------------------------------------------------------------------------3
4. Identitäten in der ‚analogen’ Welt ----------------------------------------------------------------------------------3
5. Identitäten in der ‚digitalen’ Welt -----------------------------------------------------------------------------------4
6. Identitäten, Rollen und Profile --------------------------------------------------------------------------------------5
7. Diskussion wichtiger Aspekte---------------------------------------------------------------------------------------7
8. Instrumente und Lösungen------------------------------------------------------------------------------------------9
9. Situation in der Schweiz ------------------------------------------------------------------------------------------- 13
10. Fazit und Ausblick --------------------------------------------------------------------------------------------------- 16
1. Management Summary
Während sich in der ‚analogen’ Welt gängige Instrumente, Methoden und Verfahren der Identitätsprüfung
über viele Jahrzehnte etabliert haben und in der Bevölkerung, Wirtschaft und Verwaltung
akzeptiert sind, gilt dies in der ‚digitalen’ Welt einer Informations- und Wissensgesellschaft
in der Schweiz erst ansatzweise. Zwar gehören elektronische Identifikations-, Authentisierungs-
und Autorisierungsverfahren vor allem in Grossfirmen und Verwaltungseinheiten inzwischen
ebenfalls zum Alltag. Aufgrund ihrer bisherigen Ausprägung eignen sie sich jedoch
nur bedingt oder gar nicht zur Handhabung digitaler Identitäten natürlicher und juristischer
Personen in vernetzten, organisationsübergreifenden Online-Geschäften und -Prozessen (sogenanntes
federated digital identity management).
In der Schweiz wird die Diskussion um digitale Identitäten noch kaum integral geführt. Sie hat
sich bisher vor allem an den folgenden drei Punkten konkretisiert:
• in sogenannten public key infrastructure (PKI)-Lösungen
• im Bundesgesetz über die elektronische Signatur (ZertES)
• in der elektronischen Identitätskarte (eID-Karte)
Während das Bundesgesetz über die elektronische Signatur auf Anfang 2005 in Kraft treten
soll, sind die anderen beiden (und weitere nötige) Punkte zum gegenwärtigen Zeitpunkt noch
nicht so weit vorangeschritten oder realisiert, dass die Voraussetzungen für die Gestaltung,
Einführung, Verbreitung und umfassende Nutzung von vernetzten organisationsübergreifenden
Online-Geschäften und -Prozessen in unserer Volkswirtschaft im Allgemeinen und im Bereich
E-Government im Speziellen gegeben wären.
Damit liegt die Schweiz nicht nur gegenüber den vom Bundesrat in der ‚Strategie für eine Informationsgesellschaft
in der Schweiz’ formulierten Zielen, den eingesetzten Verwaltungsressourcen
und den aufgewendeten Steuergeldern im Rückstand. Unser Land fällt insbesondere
im Vergleich mit den diesbezüglich führenden Volkswirtschaften deutlich – und kontinuierlich –
zurück.
Die integrale Auseinandersetzung mit dem Wesen, der Bedeutung und Handhabung digitaler
Identitäten im Sinne des federated identity management tut deshalb ebenso Not wie die Auslösung
eines aus einer Hand, professionell und eng geführten gemischtwirtschaftlichen Pro-
© 2004 Markus Fischer, CH-1789 Lugnorre 2004-12-17 Leitfaden Rechtskonformes E-Government Beitrag DIM v1.2.doc Seite 1 von 17

gramms zur Überwindung der aufgestauten Probleme und zwecks Beschleunigung der Road
Map für eine Informations- und Wissensgesellschaft in der Schweiz.
Dieses Programm muss unter anderem dazu führen, dass der Bund für die natürlichen und juristischen
Personen in der Schweiz eineindeutige digitale Identitäten bereitstellt, diese per Gesetz
regelt und sie in einem entsprechenden nationalen Register führt. Wir sind nicht nur auf
dem Papier (oder kraft anderer traditioneller Ausweisformen) Bürgerinnen und Bürger der
Schweiz, sondern auch by digital means. Das heisst: diese Aufgabe ist nicht an die Privatwirtschaft
delegierbar.
2. Vorwort
Die Ausführungen dieses Beitrages stützen sich unter anderem auf Arbeiten, welche in den
letzten Jahren im Rahmen der Expertenkommission SwissICT 1 zu thematischen Schlüsselbereichen
einer modernen Informations- und Wissensgesellschaft vorangetrieben worden sind.
Besonders wichtige und kritische Themen des Sektors ICT wurden auch im neuen Dachverband
ICTswitzerland 2 der Schweizer ICT-Organisationen aufgegriffen und werden in den entsprechenden
Kommissionen und Projekten behandelt.
Zu den identifizierten Schlüsselthemen, welche für alle Sektoren einer Informations- und Wissensgesellschaft
3,4 relevant sind und diese folglich bereits durchdringen oder in absehbarer
Zeit durchdringen werden, zählt das Thema digital identity management.
Road Map zur
Informations- und Wissensgesellschaft
Querschnittsthemen, Kompetenzen
Gesellschaft
• Arbeitsmarkt
• Healthcare
•...
Wirtschaft
• Wachstum
• Innovation
•...
Öffentliche
Hand
• G2A/B/C
•...
• Business & Process Design
• Digital Identity Management
• Hardware (Engineering, Produktion, ...)
• Informations- und Wissensmanagement
• Qualitäts- und Risk Management
• Rechtliche Fragestellungen
• Research und Trenderkennung
• Security & Forensics
• Service Management
• Software (Engineering, Produktion, ...)
• Standards und Normen
• Technologie-Management
• Value Management, Metrics
Bildung und
Forschung
• Bologna 05
•...
ICT als Enabling Technologies (plan, build, run)
Projektmanagement als Skill, Methode und
Tool zur Planung, Realisierung und Umsetzung
Abbildung 1: Beispiele für Schlüsselthemen einer modernen Informations- und Wissensgesellschaft
(Quelle: Markus Fischer, SwissICT und ICTswitzerland)
1 SwissICT, Schweizerischer Verband der Informations- und Kommunikationstechnologie, www.swissict.ch
2 ICTswitzerland, Dachverband der Schweizer ICT-Organisationen, http://www.ictswitzerland.ch/de/
3 vgl. Koordinationsgruppe Informationsgesellschaft (KIG), http://www.admin.ch/ch/d/egov/egov/kig/kig.html
4 vgl. World Summit on the Information Society (WSIS), http://www.itu.int/wsis/
© 2004 Markus Fischer, CH-1789 Lugnorre 2004-12-17 Leitfaden Rechtskonformes E-Government Beitrag DIM v1.2.doc Seite 2 von 17

3. Definition
Unter dem Begriff digital identity management verstehen wir die Inhalte, Massnahmen und
Leistungen, welche für die Gestaltung und Realisierung von sowie für den Umgang mit digitalen
Identitäten für natürliche und juristische Personen, Institutionen, Körperschaften usw. benötigt
werden.
Dazu gehören insbesondere
• die entsprechende Strategie, Konzeption, innovative Gestaltung, Realisierung, Handhabung
und Überwachung,
• die Funktionen, ihre Funktionsträger und Rollen in den entsprechenden Organisationen,
• die Prozesse und Abläufe, Leistungen und Services,
• die Anwendungen, Systeme und Netzwerke, sowie
• die Grundlagen und Rahmenbedingungen (Gesetze, Verordnungen, Normen, Standards).
Demzufolge beinhaltet digital identity management nicht nur spezifische Einzellösungen und
Komponenten wie beispielsweise eine public key infrastructure (PKI) 5 oder elektronische Ausweise
(Smart Cards, USB Token usw.), sondern das gesamte Framework, welches benötigt
wird, um digitale Identitäten für natürliche und juristische Personen in einer Volkswirtschaft und
über ihre internen und externen Schnittstellen hinweg zu handhaben.
4. Identitäten in der ‚analogen’ Welt
Reife Volkswirtschaften zeichnen sich unter anderem dadurch aus, dass sie ihre Bürgerinnen
und Bürger, ihre privatrechlichen und öffentlich-rechtlichen Unternehmen, Organisationen und
Institutionen, ihre Infrastrukturen sowie wichtige Anlagen und Güter kennen, d.h. identifiziert
haben, in entsprechenden Registern führen und bei Bedarf kontrollieren können.
In der ‚analogen’ Welt sind uns die dafür nötigen Instrumente und Verfahren bekannt und im
alltäglichen Gebrauch geläufig:
• Natürliche Personen besitzen einen Pass, eine Identitätskarte und andere Ausweise, durch
die sie repräsentiert sind und entsprechend identifiziert werden können. Dank der Genforschung,
der modernen Gentechnologie und aufgrund entsprechender Anwendungen (z.B.
in der Kriminologie) ist inzwischen allen bewusst, dass wir Menschen durch unsere individuelle
DNS 6 biologisch bzw. biometrisch eineindeutig repräsentiert sind und demzufolge
auch physiologisch zweifelsfrei identifiziert werden können. Ein amtliches eineindeutiges
Identifikationsmerkmal und -verfahren für natürliche Personen fehlt demgegenüber.
• Juristische Personen werden im Handelsregister 7 sowie in weiteren Registern (z.B. Sozialversicherung,
Steuern, Statistiken usw.) eingetragen und in zahlreichen anderen Verzeichnissen
(z.B. Directory Services, Kompass, Ragionenbuch, Teledata usw.) geführt.
• Tiere werden zum Teil ebenfalls in Registern geführt und zwecks Identifizierbarkeit entsprechend
gekennzeichnet (z.B. Marken, Nummern, Tätowierung).
• Infrastrukturen und Anlagen sowie Dinge und Sachen von entsprechender Bedeutung werden
ebenfalls in Registern (z.B. Grundbuch, Luftfahrzeugregister) geführt und durch entsprechende
Beschriebe, Prüfberichte, Spezifikationen usw. dargestellt.
Diese Instrumente und Verfahren sind über lange Zeiträume entstanden und haben sich in den
vielen Jahrzehnten ihrer praktischen Handhabung durch die zahlreichen Organisationen unseres
Staatswesens etabliert und bewährt. Die entsprechenden Grundlagen sind geschaffen,
5 vgl. zum Beispiel http://www.pki-page.org/, http://csrc.nist.gov/pki/,
6 Desoxyribonukleinsäure (engl. DNA), vgl. zum Beispiel http://www.net-lexikon.de/Desoxyribonukleinsaeure.html
7 vgl. http://www.zefix.ch/. Inwieweit die entsprechenden Registereinträge national eineindeutig sind oder nicht,
wurde im Rahmen dieses Beitrages nicht untersucht.
© 2004 Markus Fischer, CH-1789 Lugnorre 2004-12-17 Leitfaden Rechtskonformes E-Government Beitrag DIM v1.2.doc Seite 3 von 17

werden durch die laufende Anwendung ständig interpretiert und gemäss den Erkenntnissen
und Bedürfnissen weiter entwickelt.
Mit anderen Worten – oder als vorläufiges Zwischenfazit:
Wir haben uns an diese Instrumente und Verfahren gewöhnt, und kaum jemand stört sich daran,
solange sich die über viele Stellen verteilten administrativen Abläufe – und die damit verbundenen
Kosten, Umtriebe und Verzögerungen – in akzeptablen Grenzen halten, und solange
kein Missbrauch festgestellt werden muss.
5. Identitäten in der ‚digitalen’ Welt
Mit Blick auf die Anwendung moderner Informations- und Kommunikationstechnologien (information
& communication technologies, ICT) in allen Sektoren und Segmenten unserer Volkswirtschaft
und in praktisch allen Aktivitätsgebieten und Kontexten der Bevölkerung stellt sich
nicht nur die Frage, sondern ergibt sich der dringende Bedarf, das Wesen digitaler Identitäten
zu klären und deren Handhabung auf eine transparente und verlässliche Basis zu stellen.
Als Benutzende von Applikationen, Systemen und Netzwerken ist uns geläufig, dass wir uns
zu Beginn eines ICT-basierten Arbeitsablaufs am entsprechenden Endgerät (z.B. PC, Notebook)
mittels einer dafür bereitgestellten Anwendung ‚anmelden’ oder ‚einloggen’, in der Regel
mittels Benutzerkennung (User ID) und Passwort, teils auch mit sogenannten Smart Cards 8
(Plastic-Karten mit integriertem Microchip sowie Kartenleser am Endgerät), USB Token 9 oder
sogar mittels biometrischer Methoden wie Fingerabdruck, Iris-Scanning usw. Dieser Vorgang
ist uns als Authentisierung 10 mit anschliessender Autorisierung 11 bekannt und ist entsprechend
umfassend dokumentiert 12 .
Die Vielzahl von (oft proprietären 13 ) Geräten und Anwendungen, Arbeitsumgebungen und
Kontexten bringt leider auch eine steigende Menge und Vielfalt an entsprechenden Verfahren
und Daten mit sich, deren Bewirtschaftung uns in all unseren Wirkungskontexten zunehmend
Mühe bereitet. In Unternehmensplattformen und -netzwerken (Intranet- und Extranet-
Lösungen, Corporate oder Enterprise Portals) kennt man daher die Profil- oder Rollen-basierte
Autorisierung, dank der die Mitarbeitenden mittels einer einzigen Anmeldung (single sign on 14 )
auf sämtliche benötigten Daten und Anwendungen zugreifen können, seit Jahren. Solche Profile
können sowohl standardisiert (z.B. für alle entsprechenden Funktionsträger identisch) als
auch individualisiert und personalisiert sein.
Derselbe Ansatz wird auch dazu benutzt, um das wiederholte und unterschiedliche Login auf
die individuellen Web Sites mehrerer Online-Anbieter zu vermeiden, z.B. mittels Microsoft
.NET Passport 15 .
Trotz fortschrittlicher Technologien, Lösungen und Mechanismen fehlen immer noch wichtige
Grundlagen und Komponenten, um die digitalen Identitäten von natürlichen und juristischen
Personen sowie von Tieren und Sachen so einfach, transparent und verlässlich zu handhaben,
wie wir uns dies in der ‚analogen’ Welt gewohnt sind – und darin über Jahrzehnte Vertrauen
gefasst haben.
8 vgl. zum Beispiel http://www.smartcardalliance.org/
9 vgl. zum Beispiel http://www.aladdin.de/produkte/usbtoken_esecurity/etoken_uebersicht.html
10 Beantwortung der Frage: wer ist berechtigt?
11 Beantwortung der Frage: wer ist wozu berechtigt? Die Autorisierung erfolgt dabei vielfach durch Zuweisung
bestimmter Rollen (der einzelnen Funktionsträger in Organisationen) und definierter Profile (rollenspezifische
Berechtigungen für bestimmte Daten, Applikationen und Systeme).
12 vgl. zum Beispiel http://www.it-securityinformation.com/index.htm, http://infosecuritymag.techtarget.com/,
http://security.bitpipe.com/ und zahlreiche andere Quellen
13 d.h. organisations- und anwendungsspezifisch, nicht standardisiert, nicht durchgängig implementierbar
14 vgl. zum Beispiel http://www3.ca.com/Solutions/Product.asp?ID=166
15 vgl. http://www.passport.net/Consumer/Default.asp?lc=1033
© 2004 Markus Fischer, CH-1789 Lugnorre 2004-12-17 Leitfaden Rechtskonformes E-Government Beitrag DIM v1.2.doc Seite 4 von 17

Die Diskussion über digitale Identitäten (und die damit verbundenen Daten, Funktionen und
Werkzeuge) wird denn auch intensiv geführt 16 . Als mögliches privatwirtschaftliches bzw. industrielles
Konzept auf dem Weg zur breiten Anwendung digitaler Identitäten in vernetzten Umgebungen
und zur Benützung von modularen Web Services 17 in Geschäfts- und Verwaltungsprozessen
gewinnt in den USA die Initiative Liberty Alliance 18 zunehmend an Gewicht. Microsoft
verfolgt mit TrustBridge 19 eine eigene Stossrichtung, beteiligt sich dem Vernehmen nach aber
zumindest teilweise auch an der Initiative bzw. den vorgeschlagenen Lösungen und Standards
der Liberty Alliance.
6. Identitäten, Rollen und Profile
Natürliche Personen sind im Verlaufe ihres Lebens in der Regel mindestens in den drei Kontexten
Person, Beruf und Gesellschaft aktiv.
Person
• Individuum
• Familie
• Freunde
• Bekannte
• Life Cycle
• Hobbies
•Reisen
• Präferenzen
• Restriktionen
•…
Profil(e),
Kontexte
Profil(e),
Kontexte
Profil(e),
Kontexte
Gesellschaft
• Bürger
• Gemeinde, Kanton, Staat
• Vereine, Verbände, Politik, Militär, …
Beruf
• Ausbildung
• Jobsuche
• Karriere
• Funktionen
• Rollen
• Leistungen
•Prozesse
• Strukturen
• Branchen
•Märkte
•…
Abbildung 2: Aktivitätskontexte natürlicher Personen (Quelle: Markus Fischer)
Mit Blick auf die in Kapitel 5 geschilderte Problematik und angesichts der vielen Kontexte, in
denen wir mehr oder weniger ständig aktiv sind, ist es daher aus Optik einer modernen Informations-
und Wissensgesellschaft unumgänglich, dass der Staat seinen Bürgerinnen und Bürgern
nicht nur auf deren Verlangen einen Pass oder eine Identitätskarte ausstellt, sondern sie
ab Geburt mit einer eineindeutigen digitalen Identität versieht, diese per Gesetz regelt und sie
in einem entsprechenden nationalen Register führt.
Diese digitale Identität natürlicher Personen bildet, zusammen mit den entsprechenden Gesetzen
und Verordnungen, ihrerseits die Grundlage für die Herausgabe und Handhabung von digitalen
Identitätskarten 20 , aber auch für die aus verschiedenen Gründen nötige Harmonisierung
der entsprechenden Register, Instrumente und Prozesse auf Bundes-, Kantons- und
Gemeindeebene.
Für juristische Personen 21 , Organisationen und Institutionen besteht ein analoges Bedürfnis,
und zwar jeweils für die Organisation als solche (z.B. als Objekte in den entsprechenden Re-
16 vgl. http://www.digitalidworld.com/, http://www.nwfusion.com/topics/id.html und zahlreiche andere Quellen
17 vgl. http://www.w3.org/2002/ws/
18 vgl. http://www.projectliberty.org/
19 vgl. http://www.microsoft.com/presspass/press/2002/Jun02/06-06TrustbridgePR.asp
20 vgl. http://www.ofj.admin.ch/themen/ri-ir/dig-id/intro-d.htm
21 vgl. Unternehmens-Identität (U-Id),
www.bakom.ch/imperia/md/content/deutsch/telecomdienste/internet/informationsgesellschaft/7.pdf
© 2004 Markus Fischer, CH-1789 Lugnorre 2004-12-17 Leitfaden Rechtskonformes E-Government Beitrag DIM v1.2.doc Seite 5 von 17

gistern und für deren Harmonisierung) als auch für ihre Organe und Bevollmächtigten (z.B.
durch Referenzierung auf die digitalen Identitäten der entsprechenden natürlichen Personen).
Kontext
digitales Ich
( digID)
Kontext
digitales
Unternehmen
( digID)
Kontext
handelt
• als (Funktion, Professionalitätsstufe, …)
• entlang (Abläufe, Geschäftsprozesse)
• verantwortlich für (Menschen, Produkte, …)
• einzeln, kollektiv zu …
• bis zu (Betrag, Budget, Limite, Termin, …)
( Rolle)
digitale
• Institutionen
• Organisationen
• Verbände
• Vereine
• Verwaltungen
•usw.
( digID)
Formel: digID + Rolle = Profil (generiert und bewirtschaftet von, bei ...)
Abbildung 3: Identitäten, Rollen, Profile (Quelle: Markus Fischer)
In einer zunehmend vernetzten Welt spielen digitale Identitäten eine überragende Rolle, wenn
es darum geht, Berechtigte in den entsprechenden vernetzten Umgebungen und Kontexten,
entlang von Prozessen zwischen Behörden, Geschäftspartnern und anderen Parteien sowie in
Verbindung zu diesbezüglichen Interaktionen und Transaktionen zu identifizieren – und auf
dieser Grundlage zu berechtigen (vgl. Kapitel 5, Authentisierung und Autorisierung).
Da die entsprechenden Anwendungen, Prozesse und Services – und die damit verbundenen
Instrumente und Verfahren der Identitätsprüfung – nicht an den Grenzen einer Abteilung, eines
Unternehmens oder einer Verwaltungseinheit Halt machen, sondern Organisationen vernetzt
übergreifen und sich mitunter entlang ganzer Wertschöpfungsketten manifestieren, müssen für
ein funktionierendes ‚digital identity management’ auch die Grenzen traditioneller Identifikations-,
Authentisierungs- und Autorisierungslösungen überwunden werden. Dafür hat sich der
Begriff des federated identity management etabliert 22, 23 . Vor allem in den USA finden zu diesem
Themenbereich regelmässige und viel beachtete Kongresse unter Beteiligung führender
Fachleute, Anbieter und Interessensvertreter statt 24 .
Welche Geschäftstypen, Prozesse und Transaktionen eine – in diesem Falle digitale – Identifikation
der involvierten Parteien erfordern, ist im Zuge der Bereitstellung digitaler Identitäten
nicht neu zu erfinden. Die Benützung elektronischer Medien und Kanäle sowie die Bereitstellung
und Abwicklung entsprechender Angebote der Öffentlichen Hand, der Wirtschaft, des Bildungssektors
und der Gesellschaft ändern vorerst nichts an den bestehenden gesetzlichen
Grundlagen, verlangen aber deren gezielte Ergänzung 25 und allfällige Anpassung.
Mit Bezug auf die mitunter recht emotional geführte Diskussion um die Sicherheit und den
Schutz von Daten, Informationen, Anwendungen, Systemen und Netzwerken ist festzuhalten,
dass die zunehmend vernetzte Welt entsprechend hohe Standards 26 , professionelle Handhabung
sowie einwandfreie Transparenz und Kontrollierbarkeit erfordert. Die Erweiterung elekt-
22 vgl. http://discuss.andredurand.com/stories/storyReader$320 und andere Quellen
23 vgl. http://msdn.microsoft.com/library/default.asp?url=/library/en-us/dnwebsrv/html/wsfedinterop.asp
24 vgl. http://conference.digitalidworld.com/2004/Page.do;jsessionid=3B36932171A47A1D2E22DFD554E178F3?name=home
25 zum Beispiel ZertES, http://www.ofec.admin.ch/themen/digsig/intro-d.htm
26 vgl. SNR CWA 14842:2003 E-Trust sowie die Arbeiten des Vereins eCH (http://www.ech.ch/)
© 2004 Markus Fischer, CH-1789 Lugnorre 2004-12-17 Leitfaden Rechtskonformes E-Government Beitrag DIM v1.2.doc Seite 6 von 17

onisch abgewickelter Prozesse und Transaktionen um die Möglichkeit der Prüfung digitaler
Identitäten ändert daran grundsätzlich nichts; sie verpflichtet die involvierten Parteien jedoch
umso mehr zur lückenlosen Einhaltung der ohnehin strengen Vorschriften, Massnahmen und
Kontrollen.
Staat als Herausgeber
und Halter von digID
Beauftragter für Führung
und Abwicklung (CA, PKI)
Information Evaluation Contract Transaction Fulfilment After Sales
ID-Prüfung i.d.R. fakultativ ID-Prüfung i.d.R. obligatorisch i.d.R. fakultativ
• handelt für sich
• handelt für Unternehmen
• handelt für Dritte
digitales
Individuum
Profil-
Daten
generiert Kunden- und
Geschäftsfall-Daten und
-Informationen bei jeder
Gegenpartei in Systemen,
Applikationen und Netzen
(CIF, GFD, CRM, ERP, MIS / EIS, SCM, …)
Abbildung 4: Prozesse, Daten und Anwendungen im Online-Geschäfts- und Behördenverkehr
(Quelle: Markus Fischer)
Die grossen Fortschritte, welche auf dem Gebiet der radio frequency identification (RFID) 27 -
Technologie und ihrer Handhabung (z.B. entlang von Logistik-Prozessen) erzielt werden, erweitern
die Diskussion um digitale Identitäten auf das Gebiet der Dinge (z.B. Artikeldeklarationen,
Etiketten, RFID tags) und Tiere (z.B. Implantierung von RFID-Chips bei Haustieren 28 ).
Aus Optik einer zunehmend vernetzten Welt wäre es daher wünschbar, auch Tiere und Sachen
mit digitalen Identitäten auszustatten und sie damit bei Bedarf zu digital identifizierbaren
Objekten zu machen, sei dies im Zusammenhang mit der Abwicklung von Prozessen oder mit
entsprechenden Registern und deren Harmonisierung.
7. Diskussion wichtiger Aspekte
Die Frage, ob digitale Identitäten überhaupt nötig und unter Gesichtspunkten des Datenschutzes
zumutbar sind, wird immer wieder neu aufgeworfen und kontrovers diskutiert. Eigentlich
würden doch bestehende Instrumente der Identifikation und Verfahren der Identitätsprüfung
ausreichen (vgl. Kapitel 4 und 5). Und offenbar wird es – aus welchen Gründen auch immer –
als erwünscht oder nötig angesehen, die wahre Identität von Personen bei Online-Geschäften
verbergen (anonymisieren), verändern (pseudonymisieren) oder vervielfachen (multiplizieren)
zu können. Dieser alles andere als triviale Punkt wird am Schluss dieses Kapitels kommentiert.
Zudem wird argumentiert, dass lediglich ein sehr geringer Anteil sämtlicher elektronisch benutzbarer
Geschäfts- und Verwaltungsprozesse, Interaktionen und Transaktionen eine zweifelsfreie
Identifikation natürlicher und/oder juristischer Personen voraussetzen. Die überwiegende
Mehrzahl der Online-Interaktionen und Transaktionen begnüge sich mit der kontrollierbaren
und nachvollziehbaren Bezahlung der bestellten Leistung (z.B. Download einer Software
und Bezahlung mit Kreditkarte). Die Überprüfung des Zahlungspflichtigen wird dabei den traditionellen
Anbietern und ihren Leistungen überlassen (Kreditkartenorganisation, Karteninhaber,
Kartennummer, Laufzeit der Kartengültigkeit usw.).
27 vgl. zum Beispiel http://www.rfidjournal.com/
28 vgl. zum Beispiel http://www.anis.ch/deutsch/index.html
© 2004 Markus Fischer, CH-1789 Lugnorre 2004-12-17 Leitfaden Rechtskonformes E-Government Beitrag DIM v1.2.doc Seite 7 von 17

Aus Optik der Benutzenden von Online-Angeboten kann dieser Argumentation dann gefolgt
werden, wenn sich Anbieter von Online-Leistungen nachweislich dazu verpflichten und sich
periodisch darauf prüfen lassen, ihre Online-Angebote, Organisation, Prozesse und Sicherheitsmassnahmen
entsprechend auszugestalten, zu handhaben und abzuwickeln 29 . Dadurch
tragen sie dazu bei, in den Online-Geschäften und -Prozessen Vertrauen (trust) zu begründen
und aufrecht zu erhalten. Eine Prüfung der Identität der beteiligten Parteien können sie damit
jedoch keinesfalls ersetzen.
Anbieter aus
• Privatwirtschaft
• Öffentliche Hand
• Bildung & Forschung
• Gesundheitswesen
• Utilities, ...
Staat als Herausgeber
und Halter von digID
Beauftragter für Führung
und Abwicklung (CA, PKI)
SNR CWA 14842 E-Trust
Handhabung und
Einhaltung von
• Recht
• Prozessmanagement
• Sicherheit
Information
Evaluation
Contract
Transaction
Fulfilment
After Sales
• lösen aus
• signieren digital
• bezahlen
„digitale“ Individuen
• Personen
• Organisationen
Kunden, Auftraggeber
• beziehen Waren
und Leistungen
• erhalten Rechnung
Abbildung 5: Vertrauen im Online-Geschäft dank der Vertrauensinitiative e-comtrust
(Quelle: Markus Fischer)
Für jene Fälle, die eine zweifelsfreie Identifikation und Identitätsprüfung der Gegenpartei von
Gesetzes wegen unumgänglich machen oder aus anderen Gründen erfordern, sind jedoch zusätzliche
Vorkehrungen zu treffen.
Bedeutende Unternehmen der Privatwirtschaft sowie bundesnahe Betriebe haben dazu sophistizierte
Instrumente, Methoden und Verfahren entwickelt und bieten die entsprechenden
Lösungen als Service im Kontext zu ihren Geschäftsprozessen an (z.B. Online-Transaktionen
im Bank- und Finanzbereich). Diese Lösungen sind jedoch meist proprietär und daher für andere
Online-Anbieter, Geschäfts- und Transaktionstypen nicht verwendbar. Sie unterstützen
keine organisationsübergreifende und geschäftsprozessorientierte Identitätsprüfung und entsprechen
daher nicht den Anforderungen an ein federated identity management. Zudem liegt
es meist nicht in der Strategie oder Geschäftsnatur solcher Anbieter (z.B. Banken), die Identifikation
und Identitätsprüfung als eigenständigen Service auch für Dritte anzubieten, z.B. im Zusammenhang
mit anderen Online-Diensten, welche dieses Prüfungsniveau voraussetzen.
Bezüglich des eingangs erwähnten Arguments, die Identität von Personen bei Online-
Geschäften verbergen (anonymisieren), verändern (pseudonymisieren) oder vervielfachen
(multiplizieren) zu wollen, sei folgendes klargestellt:
29 vgl. SNR CWA 14842 E-Trust sowie Vertrauensinitiative ‚e-comtrust’, www.e-comtrust.com
© 2004 Markus Fischer, CH-1789 Lugnorre 2004-12-17 Leitfaden Rechtskonformes E-Government Beitrag DIM v1.2.doc Seite 8 von 17

• Kein uns heute bekanntes menschliches Wesen verfügt über mehr als eine (d.h. seine individuelle)
DNS. Jeder Mensch ist also durch seinen genetischen Code im uns bekannten
Universum einmalig und biologisch bzw. biometrisch eineindeutig repräsentiert.
• Das alter ego gehört offenbar zu den archetypischen Mustern unserer Existenz. Ihm wird
unter anderem dadurch nachgelebt, dass Menschen sich beispielsweise am Karneval eine
Maske aufsetzen, in Theaterstücken die Identität eines Hamlet oder anderer Figuren annehmen
und verkörpern, oder eben auch dadurch, sich im Web nicht oder zumindest nicht
unter der einzig realen Identität zu erkennen zu geben.
• Bei all diesen Versuchen und Massnahmen, anderweitige Identitäten anzunehmen oder die
einzig reale Identität nicht preiszugeben, handelt es sich jedoch stets nur um Rollen (oder
um Rollenspiele), nie aber um neue, zusätzliche oder duplizierte reale Identitäten. Zu einfach
(und vielleicht auch zu schön?) wäre es, die diesbezüglichen enormen moralischen,
gentechnologischen, gesetzlichen und weitere Hürden im Sinne einer Web-basierten Alchemie
überwinden zu wollen.
Die Betrügereien im Online-Geschäft mit Hilfe von gestohlenen, gefälschten und verfälschten
Identitäten (identity theft and fraud) 30 gehören inzwischen zu den häufigsten Delikten in der Informationsgesellschaft
und verursachen enorme wirtschaftliche Schäden 31 . Umso mehr drängen
sich im Umgang mit digitalen Identitäten klare Grundlagen, professionelle Instrumente und
Verfahren, eine transparente und verlässliche Handhabung sowie Massnahmen zum Aufbau
und zum dauerhaften Erhalt von Vertrauen (trust) auf.
Wie delikat der Umgang mit – in diesem Falle fehlenden – digitalen Identitäten sein kann, mag
uns folgendes in den Medien 32 als Fahndungserfolg gefeiertes Beispiel vor Augen führen:
dank der gezielten Überwachung von Anrufen mittels Mobile Phones, die mit Prepaid SIM
Cards ausgestattet waren, gelang es, wichtige Beziehungen und Funktionsträger im globalen
Terrornetzwerk zu ermitteln.
Das ist die erfreuliche Seite der Medaille: ein erfolgreich aufgedeckter Missbrauch von ICT
durch vorher nicht identifizierte Kräfte zum Zweck krimineller bzw. terroristischer Machenschaften.
Die unerfreuliche Seite der Medaille jedoch ist, dass das Fehlen bzw. Ausbleiben der
Identifikation und Identitätsprüfung in Verbindung mit dem Einsatz von ICT es ja erst ermöglicht
hat, ICT (in diesem Falle nicht identifizierte Prepaid SIM Cards in Mobile Phones) zu solchen
Zwecken überhaupt einzusetzen.
In diesem Zusammenhang stellt sich auch die Frage, zu was ein falsch verstandener Datenschutz
letztlich führen kann. Mit anderen Worten: Die Datenschützer müssen sich nicht nur
daran messen lassen, was sich mittels Datenschutz erreichen und/oder verhindern lässt, sondern
auch an dem, was sie mit solchermassen verstandenem Datenschutz ermöglichen und/
oder zulassen.
8. Instrumente und Lösungen
Die klassische Lösung, in einer Organisation die Berechtigung zur Benützung von ICT-
Ressourcen zu prüfen, wurde in Kapitel 5 dargestellt. Es wurde auch ausgeführt, dass dieser
Ansatz in einer vernetzten Welt mit organisationsübergreifenden Prozessen und Services nicht
taugt.
Seit Jahren wurden und werden daher Instrumente und Lösungen entwickelt und an den Markt
gebracht, um diese Unzulänglichkeit zu überwinden. Die prominenteste Lösung besteht darin,
dass die sich nicht a priori kennenden Parteien in Online-Interaktionen mittels öffentlicher und
privater Schlüssel eine entsprechende Prüfung der Identitäten anstreben. Zu diesem Zweck
30 vgl. zum Beispiel http://www.usdoj.gov/criminal/fraud/idtheft.html
31 vgl. http://www.nzz.ch/2004/01/30/em/page-article9DGSF.html
32 vgl. http://www.nytimes.com/2004/03/04/international/europe/04PHON.html?hp
© 2004 Markus Fischer, CH-1789 Lugnorre 2004-12-17 Leitfaden Rechtskonformes E-Government Beitrag DIM v1.2.doc Seite 9 von 17

sind sogenannte public key infrastructures (PKI) 33 zu errichten und zu betreiben, bei denen die
sogenannten certification authorities (CA) digitale Zertifikate herausgeben, prüfen und bei Bedarf
revozieren, und bei denen die sogenannten registration authorities (RA), welche die Benutzenden
aufgrund ihrer Funktion kennen und in ihren Systemen und Applikationen datenmässig
führen, das Zutreffen der Identität der Teilnehmenden bestätigen.
Was ist eine PKI?
Eine PKI (Public Key Infrastructure) und ihre Funktionen können anhand ihrer Komponenten
wie folgt beschrieben werden:
• P (public) und K (key) können verstanden werden als die Software und Hardware, die benötigt
werden, um kryptografische Schlüsselpaare herzustellen und zu verwalten. Der entsprechende
Mechanismus besteht aus der Erstellung oder dem Import kryptografischer
Schlüssel, aus deren ‚Verpackung’ in einen Identifikator (ein Zertifikat) sowie aus der digitalen
Signierung, welche die Korrektheit der im Zertifikat enthaltenen Information bestätigt.
Die PKI als Organisation ist verantwortlich für die ordnungsgemässe Handhabung der Zertifikate
(und ihrer Inhalte) und überwacht ihre Korrektheit und Gültigkeit.
• I (infrastructure) steht für die Infrastruktur oder die Umgebung, in welcher verschiedene
Anwendungen und Funktionen mit kryptografischen Schlüsseln und/oder Zertifikaten ablaufen.
Diese Anwendungen reichen von Zugangskontrolle über sichere E-Mail bis zu digital
signierter Information. Der Infrastruktur kommt steigende Bedeutung zu, indem sie nicht
nur die informationstechnologische Basis bereitstellt, sondern die oben erwähnten Funktionalitäten
schafft und unterstützt.
Was ist eine CA und eine RA, was sind CAO und RAO?
Eine CA (Certification Authority) kann als Software bezeichnet werden, die auf einer hochgradig
sicheren und vertrauenswürdigen Hardware in einer ebenso sicheren und entsprechend
geschützten Umgebung installiert ist, und die durch hochqualifizierte Spezialisten betrieben
wird, deren Funktionen zwecks Gewaltentrennung untereinander aufgeteilt werden. Diese Vorkehrungen
dienen der Vorbeugung gegen Missbrauch digitaler Identitäten, welche mittels der
CA-Software gehandhabt (und mitunter erzeugt) werden.
Die CA-Software ist nicht nur in der Lage, die mathematischen Funktionen zur Erzeugung
kryptografischer Schlüssel abzuarbeiten, sondern sie ‚umwickelt’ diese Schlüssel gleichsam
mit einem Zertifikat. Die CA handhabt die Gültigkeit oder den Status dieser Zertifikate, indem
sie diese aufheben (sistieren) oder widerrufen (revozieren) kann, und indem sie die Gültigkeit
oder den Status dieser Zertifikate gegenüber Drittparteien anzeigt oder diese benachrichtigt.
Zu diesem Zweck stellt die CA eine CRL (Certificate Revocation List) aus oder ermöglicht deren
Online-Abfrage mittels des OCSP (Online Certificate Status Protocol)-Mechanismus.
Eine RA (Registration Authority) kann als Software und/oder Organisation bezeichnet werden,
welche für die Überprüfung der Beglaubigung von Individuen verantwortlich ist, die ihrerseits
eine digitale Identität anfordern. Die RA steht dafür ein, dass die Information, welche diese Individuen
repräsentiert und in Form von Zertifikaten dargestellt wird, korrekt ist.
CAO steht für den Betreiber (Operator) der CA, also für eine oder mehrere Personen mit bestimmten
Funktionen und Pflichten bezüglich der CA. RAO steht für den Betreiber (Operator)
der RA, also für eine oder mehrere Personen mit bestimmten Funktionen und Pflichten bezüglich
der RA.
Was ist eine digitale Identität?
Als digitale Identität (digital identity) kann die Kombination kryptografischer Schlüssel mit dem
Zertifikat, das den Bezug auf dessen Eigentümer (subscriber) gewährleistet, bezeichnet werden.
Eine digitale Identität wird üblicherweise in einer Datei auf einer Harddisk angelegt und
33 vgl. http://www.pki-page.org/ und andere Quellen
© 2004 Markus Fischer, CH-1789 Lugnorre 2004-12-17 Leitfaden Rechtskonformes E-Government Beitrag DIM v1.2.doc Seite 10 von 17

gespeichert; sie kann aber auch auf einer externen kryptografischen Komponente (z.B. Smart
Card, USB Token) residieren. Eine digitale Identität (die manchmal auch als DN [distinguished
name] bezeichnet wird) kann beispielsweise so aussehen:
DN = CN=Joseph Antonius Doekbrijder / Email=joseph.doekbrijder@swisssign.com /
O=SwissSign AG / C=CH
Was ist ein Zertifikat?
Das Zertifikat stellt sozusagen die ‚Verpackung’ dar, welche den öffentlichen kryptografischen
Schlüssel (public key) und die digitale Identität enthält. Diese Verpackung gestattet die Verifikation
der Gültigkeit und, bis zu einem gewissen Grad, der Korrektheit der Information über die
digitale Identität, welche im Zertifikat enthalten ist. Bei einem Zertifikat handelt es sich demzufolge
um jene Information, die von einer CA zu einem öffentlichen kryptografischen Schlüssel
hinzugefügt wird, um diesen Schlüssel mit seinem Eigentümer und mit der herausgebenden
CA in Verbindung zu bringen.
Ein Zertifikat enthält in der Regel eine Zertifikatsnummer, einen Personennamen, eventuell eine
E-Mail-Adresse und möglicherweise zusätzliche Informationen wie z.B. die Organisationseinheit,
der die Person angehört, und/oder das Land, in der die Organisationseinheit oder die
Person domiziliert ist. Idealerweise enthält das Zertifikat möglichst wenig Information. Zudem
sollte diese Information wenn immer möglich ‚statisch’, d.h. stabil und keinen Änderungen unterworfen
sein. Alle zusätzlichen Informationen (z.B. Personalnummer usw.) sollten nach Möglichkeit
in einer hochsicheren Datenbank angelegt und gespeichert werden, deren Zugangsund
Zugriffsmöglichkeit ausschliesslich dazu berechtigten Personen eingeräumt wird.
Wie und mit welchen Konsequenzen wird ein Schlüssel benützt?
Die Sicherheit von Schlüsseln kann erhöht werden, indem der spezifische Gebrauch von kryptografischen
Schlüsselpaaren (public key, private key) entsprechend definiert wird. Grundsätzlich
kann mit lediglich einem Schlüsselpaar gearbeitet werden, jedoch mit dem Nachteil, dass
Daten verloren gehen können, falls beispielsweise der Schlüsselsatz (pass phrase, nicht zu
verwechseln mit dem Begriff Schlüsselpaar) zum privaten Schlüssel vergessen wird. In diesem
ungünstigen Fall können Daten, welche mit dem öffentlichen Schlüssel verschlüsselt worden
sind, nicht mehr entschlüsselt werden.
Aus diesem Grunde empfehlen Lösungsanbieter wie z.B. SwissSign 34 dringend, zwei separate
Schlüsselpaare zu verwenden, nämlich eines für die Verschlüsselung sowie eines für die Signierung.
Das Schlüsselpaar für die Verschlüsselung kann wie üblich gehandhabt werden, indem
einerseits der öffentliche Schlüssel publiziert und andererseits der private Schlüssel – in
jedem Fall unter Anlage eines Backup – gespeichert wird. Dafür eignen sich die CA solcher
Lösungsanbieter in idealer Weise.
Auch das Schlüsselpaar für die Signierung kann, abgesehen von einer wichtigen Ausnahme,
wie üblich gehandhabt werden, indem der öffentliche Schlüssel publiziert wird. Jedoch – und
dies ist die Ausnahme – darf unter keinen (!) Umständen zugelassen werden, dass irgend eine
Instanz zu irgend einem Zeitpunkt ein Backup des privaten Signierungsschlüssels erstellt. Sollte
der Schlüsselsatz (pass phrase) vergessen werden oder verloren gehen, kann über die Infrastruktur
von SwissSign jederzeit, problemlos und ohne Kostenfolge ein neues Schlüsselpaar
für die Signierung bezogen werden.
Wofür kann eine digitale Identität oder ein Zertifikat eingesetzt werden?
Allein und für sich genommen eröffnen weder eine digitale Identität noch ein Zertifikat irgend
eine Funktionalität. Erst ihr Einsatz und ihre Anwendung in entsprechenden Applikationen,
Prozessen und Kontexten (z.B. E-Business, E-Government, E-Healthcare) schafft den beabsichtigten
Zugewinn an Sicherheit (security), Schutz (privacy) und Vertrauen (trust). So kann
34 vgl. http://www.swisssign.com/index_en.php
© 2004 Markus Fischer, CH-1789 Lugnorre 2004-12-17 Leitfaden Rechtskonformes E-Government Beitrag DIM v1.2.doc Seite 11 von 17

zum Beispiel die sehr häufig und normalerweise ungeschützt eingesetzte Anwendung ‚E-Mail’
zu secure e-mail werden, indem E-Mail in Verbindung mit einem Zertifikat verwendet wird.
Was ist eine digitale Signatur?
Digitales Signieren oder digitale Signatur bedeutet jene Handlung, bei welcher der Eigentümer
des privaten Signaturschlüssels den entsprechenden Schlüsselsatz (pass phrase) eingibt und
so quasi seine elektronische (oder digitale) Unterschrift unter das Dokument setzt. Dadurch,
dass der öffentliche Signaturschlüssel und der private Signaturschlüssel zusammenpassen
und dadurch, dass das Zertifikat der herausgebenden CA mitsamt der darin enthaltenen Information
und der öffentliche Signaturschlüssel Gültigkeit erhalten, kann eine Drittpartei ermitteln
und verifizieren, dass es sich beim Absender tatsächlich um jene Instanz handelt, welche
diese zu sein vorgibt.
Eine Datei wird also digital signiert, indem die digitale Identität – unter massivem Einsatz mathematischer
Mittel – zur Verschlüsselung dieser Datei eingesetzt wird, und indem die Instanz,
welche das Dokument signiert, durch den privaten Signaturschlüssel in Verbindung mit dem
Schlüsselsatz (pass phrase) identifiziert wird.
Die herausgebende CA kann prüfen und den Nachweis erbringen, wer zum Zeitpunkt der Erstellung
der digitalen Signatur der Eigentümer des digitalen Signaturschlüssels war, und ob eine
gültige (d.h. aktive, nicht sistierte oder revozierte) digitale Identität benützt wurde. Eine solchermassen
digital signierte Datei ist sowohl für kommerzielle Transaktionen als auch für
Rechtsgeschäfte gültig, vorausgesetzt, dass die gesetzlichen Grundlagen und rechtlichen Vereinbarungen
dies vorsehen und zulassen.
Was ist ein qualifiziertes Zertifikat?
Der Begriff ‚qualifiziertes Zertifikat’ entstand in Europa, als in der EU entsprechende Arbeiten
zugunsten eines einheitlichen Standards für PKI-Systeme vorangetrieben wurden. Obwohl
keine formelle Definition besteht, kann mit ‚qualifiziertes Zertifikat’ grundsätzlich jene Art von
Zertifikaten bezeichnet werden, welche gemäss den gesetzlichen Regulierungen einer nationalen
Gesetzgebung erstellt wird. Zur Zeit kommt in der Schweiz ZertDV 35 zur Anwendung. Ab
Januar 2005 dürfte ZertES 36 in Kraft treten. In der EU gilt dafür die ETSI 37 -Norm, und in den
USA und in Kanada kommt die ANSI 38 -Norm zur Anwendung.
Was ist ein ‚root certificate’?
Als ‘root certificate’ wird ein unsigniertes oder selbst signiertes Zertifikat einer CA bezeichnet.
Die Benützung eines ‚root certificate’ setzt grundsätzlich das Vertrauen in die entsprechende
CA voraus – und dies wiederum bedingt, dass die Instanz, welche ein solches ‚root certificate‚
benützt, darüber informiert ist und versteht, wer bzw. was die CA ist, wie sie funktioniert und
operiert, und wer bzw. was sich dahinter verbirgt (Organisation, Personen, haftendes Kapital,
Kompetenz, Marke, Vertrauenswürdigkeit usw.).
Mit der Benützung eines ‚root certificate’ anerkennt und akzeptiert die benützende Instanz alle
Zertifikate, welche von der entsprechenden CA ausgegeben werden. Der detaillierte Beschrieb
der Handhabung, Organisation, Funktionen, Abläufe und Prozesse der CA findet sich in den
sogenannten CP/CPS 39 (Certificate Policy/Certification Practice Statement). Jede Instanz, welche
sich für ein ‚root certificate’ und eine CA entscheidet bzw. diese in Anspruch nimmt, entscheidet
also auch darüber, ob sie und ihre Partner im elektronischen Verkehr in dieses ‚root
35 Verordnung vom 12. April 2000 über Dienste der elektronischen Zertifizierung (Zertifizierungsdiensteverordnung,
ZertDV)
36 Bundesgesetz über Zertifizierungsdienste im Bereich der elektronischen Signatur (Bundesgesetz über die
elektronische Signatur, ZertES) vom 19. Dezember 2003
37 ETSI TS 101 456, vgl. http://portal.etsi.org/docbox/EC_Files/EC_Files/ts_101456v010201p.pdf
38 ANSI X9.79, vgl. http://webstore.ansi.org/ansidocstore/product.asp?sku=ANSI+X9%2E79%2D2001
39 vgl. zum Beispiel http://www.swisssign.com/documents/SwissSign_Gold_CPS.pdf
© 2004 Markus Fischer, CH-1789 Lugnorre 2004-12-17 Leitfaden Rechtskonformes E-Government Beitrag DIM v1.2.doc Seite 12 von 17

certificate’ und in diese CA Vertrauen setzen will, kann und soll. Auch hier gilt: ‚drum prüfe, wer
sich ewig ( an wen, für wie lange, zu welchen Konditionen, …) bindet’!
Was ist ‚revocation’?
Mit Revozierung (revocation) wird jener Prozess bezeichnet, welcher ein Zertifikat ungültig
macht, indem er es aufhebt (sistiert) oder widerruft (revoziert). Unter speziellen Umständen
kann der Schlüssel, der mit dem Zertifikat verknüpft ist, für ein anderes Zertifikat verwendet
werden (rollover). Widerrufene oder aufgehobene Zertifikate werden in der CRL (Certificate
Revocation List) aufgeführt, und die CRL wird durch die CA gemäss ihren CP/CPS publiziert.
Selbst wenn ein Verschlüsselungszertifikat revoziert werden soll/wird/worden ist, ist es dennoch
ausserordentlich wichtig, den zugehörigen privaten Schlüssel (für die Verschlüsselung,
nicht für die Signierung) aufzubewahren. Dieser Schlüssel wird weiterhin dazu benötigt, um
Daten, welche mit dem alten (revozierten) Zertifikat verschlüsselt wurden, weiterhin entschlüsseln
zu können. Der private Schlüssel für die Signierung behält demgegenüber keinen Wert
und kann im Falle der Revozierung eines Zertifikates gelöscht werden.
Eine weitere Lösung zur digitalen Identitätsprüfung bieten sogenannte digitale oder elektronische
Identitätskarten (digID card, e-ID-Karte), bei denen ein Microchip mit den entsprechenden
Identifikations-Informationen eingearbeitet ist, und die an entsprechenden Lesegeräten die
Identifikation der KarteninhaberInnen gestattet. Dabei sind verschiedene Ausprägungen realisierbar:
• Aus Optik der Benutzenden und aus Gründen eines umfassenden Service Levels werden
grundsätzlich Karten bevorzugt, die gemäss den Wünschen und Anforderungen ihrer Inhaber
und den Geschäftsmöglichkeiten der Anbieter möglichst universell und in mehreren
Kontexten eingesetzt werden können, z.B. als Identitätskarte, Führerausweis, Versichertenkarte
usw. Solche Karten hätten demzufolge entsprechend reichhaltige Datensets auf
dem Microchip gespeichert.
• Aus Gründen des Daten- und Persönlichkeitsschutzes werden zumindest von den mit Datenschutz
Beauftragten jedoch Karten bevorzugt, die ausschliesslich der Identifikation der
entsprechenden Person dienen, also keine zusätzlichen Informationen enthalten und somit
auch nicht für zusätzliche Anwendungsbereiche und Services eingesetzt werden können.
Dies bedeutet, dass zwecks Erreichen des gewünschten Services Levels anderweitige
bzw. ergänzende Lösungen gefunden werden müssen.
Schliesslich ist noch die digitale oder elektronische Unterschrift oder Signatur zu erwähnen,
welche der ‚analogen’ handschriftlichen Unterschrift gleichgestellt wird, und welche dazu beitragen
soll, in Online-Interaktionen für die involvierten Parteien sichere Vereinbarungen zu treffen,
den Formvorschriften genügende Verträge abzuschliessen und Geschäftsabwicklungen
zu vollziehen (vgl. Kasten ‚PKI’ und Bundesgesetz über die elektronische Signatur, ZertES).
9. Situation in der Schweiz
Im Bereich der PKI/CA-Lösungen wurden in der Schweiz sowohl von privatwirtschaftlichen als
auch von bundesnahen Akteuren entsprechende Instrumente und Lösungen entwickelt, die
zum Teil mangels Benützung wieder verschwunden sind 40 oder noch bestehen 41 , den breiten
Markt in allen Sektoren (Wirtschaft, Gesellschaft, Öffentliche Hand, Bildung und Forschung)
einer Informations- und Wissensgesellschaft in der Schweiz aber noch nicht durchdringen.
PKI in der Schweiz am Beispiel der SWITCHpki
In der Schweiz sind zahlreiche PKI-Umgebungen im Gebrauch. So betreiben praktisch alle
bedeutenden Banken, viele Grossunternehmen sowie grosse Verwaltungseinheiten spezifi-
40 vgl. http://www.telekurs-services.com/swisskey/index.html, http://www.igtop.ch/
41 vgl. http://www.swisscert.ch/, http://www.swisssign.com, http://www.arpage.ch/isi_services_0.html
© 2004 Markus Fischer, CH-1789 Lugnorre 2004-12-17 Leitfaden Rechtskonformes E-Government Beitrag DIM v1.2.doc Seite 13 von 17

sche interne PKI-Lösungen, um vertrauliche interne Kommunikation und Datenhandling zu ermöglichen.
Bei mittleren Unternehmen, kantonalen Organisationen usw. finden sich neben eigenen
PKI-Lösungen auch sogenannte CA-Outsourcing-Lösungen wie z.B. mit SwissSign.
Zu den bedeutenden operativen Schweizer PKI-Lösungen zählt jene des Swiss Education &
Research Network 42 . Als dessen Betreiberin hat SWITCH für die Mitglieder eine PKI 43 aufgebaut,
welche den Zugang und die Verbindung zu bestimmten Komponenten der akademischen
Infrastruktur sicherstellt.
SWITCHpki Services
SWITCHpki, ein X.509 Public Key Infrastruktur-Service für das Schweizer Hochschulsystem,
bietet folgende Dienste an:
• Zertifikate für den Einsatz als ‚trust anchor’ in Client/Server-Anwendungen
• Betrieb der SWITCH RA (registration authority) zur Herausgabe von Zertifikaten basierend
auf der SWITCH Server CA (certification authority), welche von SwissSign als Partner der
SWITCHpki betrieben wird
• Entsprechende Interfaces zur Handhabung der SWITCHpki-Zertifikate
• Unterhalt der SWITCHpki Dokumentation
SWITCHpki Architektur
Die gesamte Architektur von SWITCHpki basiert auf einem hierarchischen Modell, welches die
Feinkontrolle über diverse involvierte CA und RA gestattet. Zurzeit bestehen drei SWITCH CA:
Die ‚SWITCH CA’, welche zur Unterzeichnung der ‚SWITCH Server CA’ eingesetzt wird, ist offline
in einem Schweizer Banksafe eingelagert. Die ‚SWITCH Server CA’ wird gebraucht, um
Server-Zertifikate herauszugeben. Die ‚SWITCH Personal CA’ wird zurzeit ausschliesslich für
die Herausgabe von persönlichen Zertifikaten für den Betrieb der RA eingesetzt.
Die Schlüsselkomponente der SWITCHpki ist die RA-Infrastruktur. Das Outsourcing der CA-
Lösung ermöglicht es dem Swiss Education & Research Network, eine oder mehrere RA zu
bilden und diese RA mit der SWITCH CA-Infrastruktur zu verbinden. Diese flexible Lösung
gestattet die Identifikation und Herausgabe von Zertifikaten auf die jeweils sinnvollste Art.
42 http://www.switch.ch/
43 http://www.switch.ch/pki/about.html, http://www.switch.ch/pki/SWITCHpki_Launch.pdf
© 2004 Markus Fischer, CH-1789 Lugnorre 2004-12-17 Leitfaden Rechtskonformes E-Government Beitrag DIM v1.2.doc Seite 14 von 17

Dazu vergleichbare Architekturen werden von einer Vielzahl kommerzieller Organisationen
eingesetzt, welche dadurch in die Lage versetzt werden, eigene RA zu betreiben, ohne deswegen
komplexe und kostspielige CA-Infrastrukturen aufbauen und betreiben zu müssen.
Somit verbleibt die Forderung nach einer Gesamtlösung, innerhalb derer sich die entsprechenden
Instanzen der öffentlichen Hand und der privatwirtschaftlichen Lösungsanbieter so
organisieren, dass die zweifelsfreie Identifikation von Parteien im vernetzten interaktions- und
transaktionsorientierten Online-Geschäft – und die digitale Identitätsprüfung als ein selbständiger
Service – für all jene Fälle angeboten und betrieben werden können, die dies erfordern,
und für die zurzeit noch keine anderen geeigneten Identifikationsmöglichkeiten bestehen.
Es stellt sich also weniger die Frage, wer in der Schweiz als Anbieter und Betreiber einer Public
Key Infrastructure (PKI) und als Certification Authority auftreten soll, sondern vielmehr, wie
die Integration der Instanzen, Anbieter, Instrumente und Prozesse zu einer Gesamtlösung zu
gestalten und operativ sicherzustellen ist. Diesbezügliche Forderungen und Erwartungshaltungen
schwanken zwischen der Privatwirtschaft und der Öffentlichen Hand hin und her, wobei
der (monetäre) Nutzen jeweils mit Vorteil privatisiert und die Lasten gerne sozialisiert würden,
was natürlich kaum zu einer raschen und einvernehmlichen Lösung führen kann.
Aufgrund der Erfahrungen der letzten Jahre (e-hype und anschliessende Konsolidierung) sowie
der spezifischen Bedingungen in der Schweiz (hohe Ansprüche, Standards und Sensitivitäten
bezüglich Qualität, Sicherheit und Vertrauen) ist davon auszugehen, dass für ein breit
akzeptiertes, stabiles und leistungsfähiges federated digital identity management in der Gesamtheit
seiner Ausprägungen und Aufgaben nur Organisationen und Lösungsanbieter in Frage
kommen, zu deren Tradition, Geschäftsgebiet und Tagesgeschäft der vertrauensvolle Umgang
mit Daten, Informationen, Geldmitteln und mit anderen Dingen gehören, welche besondere
Sensitivität hinsichtlich Schutz, Sicherheit, Stabilität und Vertrauen erfordern.
Dass in der Schweiz nur wenige Organisationen dafür in Frage kommen, liegt nahe. Für sie
stellt sich die Frage, ob, unter welchen Umständen und innerhalb welcher Zeiträume entsprechende
Services sowohl bezüglich Tarifierbarkeit, Preisbildung und Verrechnungsmodelle als
auch vom Mengengerüst her einen sinnvollen und praktikablen Business Case ergeben.
Bei der Suche nach Antworten auf diese Frage sind also jene Parteien und Geschäftstypen zu
identifizieren, die aufgrund der Natur ihrer Angebote und Leistungen entweder dazu verpflichtet
sind oder ein höchstmögliches Interesse daran haben, die zweifelsfreie Identifikation der
Gegenpartei und Identitätsprüfung der Benutzenden als zwingenden Bestandteil ihrer Online-
Angebote zu integrieren. Als Beispiele sind zu nennen:
• Elektronische Wahlen und Abstimmungen (E-Voting, E-Democracy)
• Grundbuch- und andere Behördengeschäfte wie beispielsweise die Bestellung und Verlängerung
von Pässen, Identitätskarten usw.
• Sensitive Online-Transaktionen, z.B. im Gesundheitsbereich, mit Ärzten, Apotheken, Krankenversicherungen,
Kliniken usw.
• Online-Transaktionen mit sogenannten Utilities (z.B. Energieversorger, Wasserwerke usw.)
Zum Thema ‚elektronische Identitätskarte 44 ’ ist zu vermerken, dass der Bundesrat dem Eidgenössischen
Justiz- und Polizeidepartement im Juli 2002 den Auftrag erteilt hat, bis Ende 2003
ein Konzept und einen Gesetzesentwurf für die Einführung einer elektronischen Identitätskarte
auszuarbeiten 45,46 . Die Karte muss als konventionelle wie als elektronische Identitätskarte eingesetzt
werden können und rechtsverbindliches Signieren ermöglichen. Ferner soll sie auch
den Ausländerausweis ersetzen.
44 vgl. http://www.swissict.ch/intern/inside/doku/Muster_Beitrag.pdf
45 vgl. http://www.ofj.admin.ch/themen/ri-ir/dig-id/i-com-d.htm
46 vgl. http://www.ofj.admin.ch/themen/ri-ir/dig-id/artikel-digid-eidkarte-d.pdf
© 2004 Markus Fischer, CH-1789 Lugnorre 2004-12-17 Leitfaden Rechtskonformes E-Government Beitrag DIM v1.2.doc Seite 15 von 17

Leider wurden die entsprechenden Arbeiten im Frühjahr 2004 beinahe kommentarlos sistiert,
offenbar als Folge der Budgetkürzungen und Sparmassnahmen. Es muss jedoch vermutet
werden, dass die Arbeiten hinter den Kulissen bereits seit längerer Zeit massiv beeinträchtigt
wurden, sei es infolge unterschiedlicher Auffassungen zwischen den Protagonisten über die
Ausgestaltung der Karte, ihrer Merkmale und Services, bezüglich ihres Einsatzes im Online-
Verkehr mit Behörden sowie im Verhältnis der beteiligten oder betroffenen Bundesstellen, Registern
usw. Schliesslich war am 22.09.2004 zu lesen 47 , dass ‚nun private Anbieter am Zug’
seien – wodurch das Problem natürlich keiner Lösung zugeführt, sondern lediglich der
‚schwarze Peter’ weitergereicht worden ist 48 .
Bezüglich der digitalen oder elektronischen Unterschrift oder Signatur ist die Referendumsfrist
(8.04.2004) für das Bundesgesetz über Zertifizierungsdienste im Bereich der elektronischen
Signatur (Bundesgesetz über die elektronische Signatur, ZertES) vom 19.12.2003 49 unbenützt
verstrichen. Das neue Gesetz tritt voraussichtlich am 1. Januar 2005 in Kraft 50 . Damit werden
wir in der Schweiz demnächst über ein entsprechendes Bundesgesetz verfügen, aber noch
kaum über breit anwendbare Instrumente und Services, um digitale Identitäten natürlicher und
juristischer Personen in vernetzten und organisationsübergreifenden Online-Geschäften und -
Prozessen einfach und sicher zu handhaben.
10. Fazit und Ausblick
Dieses gravierende Implementierungsmanko wird einer Informations- und Wissensgesellschaft
in der Schweiz nicht nur bei der Gestaltung und Benützung entsprechender Leistungen, Prozesse
und Services in den einzelnen Sektoren und über ihre organisatorischen Grenzen hinweg
im Wege stehen.
Vielmehr wird es die in den verschiedenen Sektoren tätigen Anbieter von Online-Geschäften
und -Prozessen auch noch längere Zeit davon abhalten, die immensen Möglichkeiten und Potenziale
der Effizienz-, Effektivitäts- und Wertsteigerung, welche mit der Benützung solcher
verknüpfter Online-Geschäfte und -Prozesse in möglichst zahlreichen Kontexten für alle Beteiligten
– und damit für unsere Volkswirtschaft als Ganzes – einhergehen, gezielt und nachhaltig
auszuschöpfen.
Für die Einführung, Verbreitung und Nutzung von Online-Services im Bereich E-Government
hat dies fatale Konsequenzen. Während verwaltungsintern noch am ehesten Lösungen (wie
beispielsweise der elektronische Personalausweis des Bundesamtes für Informatik und Telekommunikation
BIT) gefunden werden dürften, bleiben vernetzte geschäfts- und prozessorientierte
Interaktionen und Transaktionen im elektronischen Behördenverkehr zwischen dem
Bund, den 26 Kantonen und den über 2'800 Gemeinden einerseits sowie der Bürgerschaft und
der Privatwirtschaft andererseits auf weite Sicht eine Illusion.
Angesichts der in der Strategie des Bundesrates für eine Informationsgesellschaft in der
Schweiz 51 im Jahre 1998 formulierten Ziele, des umfangreichen und millionenschweren Projektportfolios
der Departemente, der Bundesämter und der Bundeskanzlei 52 sowie der im jährlichen
Turnus publizieren umfangreichen Berichte der Koordinationsgruppe Informationsgesellschaft
(KIG) 53 muss dieses ernüchternde Fazit und diese enttäuschende Perspektive als
47 vgl. http://www.parlament.ch/afs/data/d/gesch/2004/d_gesch_20043228.htm
http://www.e-gov.zh.ch/internet/sk/e-gov/de/aktuelles/presse/2004/2307_kanton.html
48 vgl. dazu Motion Ruedi Noser (http://www.parlament.ch/afs/data/d/gesch/2004/d_gesch_20043228.htm) und
Anfrage Trix Heberlein (http://www.parlament.ch/afs/data/d/gesch/2004/d_gesch_20041133.htm)
49 vgl. http://www.swisssign.com/documents/ZertES-d-BBl-2003-8221.pdf
50 vgl. http://www.ofec.admin.ch/themen/digsig/intro-d.htm
51 vgl. http://www.admin.ch/ch/d/egov/egov/kig/strategie_br_980218.pdf
52 vgl. zum Beispiel Guichet virtuel, www.ch.ch
53 vgl. http://www.admin.ch/ch/d/egov/egov/kig/kig.html sowie http://www.admin.ch/ch/d/egov/egov/kig/kig.html
© 2004 Markus Fischer, CH-1789 Lugnorre 2004-12-17 Leitfaden Rechtskonformes E-Government Beitrag DIM v1.2.doc Seite 16 von 17

edenklich bezeichnet werden. Dies ganz besonders im direkten Vergleich zu den in anderen
Volkswirtschaften erarbeiteten und implementierten Lösungen.
Um die Diskussion über digitale Identitäten hierzulande nicht nur nachzuverfolgen, sondern zu
intensivieren und praxistaugliche Lösungen rascher als bisher voranzubringen, ist es daher
vordringlich,
• den Themenkomplex ‚Digital Identity Management’ samt seinen Instrumenten, Prozessen
und Verfahren als Schlüsselprojekt zu positionieren, entsprechend zu alimentieren und prioritär
zu bearbeiten,
• Pilotbetriebe in Schlüsselbereichen unserer Volkswirtschaft und unter Einbezug von Vertretern
der Benutzergruppen durchzuführen 54 ,
• einen diesbezüglichen Masterplan für die Informations- und Wissensgesellschaft Schweiz
zu formulieren 55 , und
• dieses Programm aus einer Hand, professionell und eng zu führen, damit es nicht Opfer
von Föderalismus, Partikularinteressen und Rivalitäten wird.
Andernfalls riskieren wir im besten Fall, in absehbarer Zeit zwar ein Bundesgesetz über die
elektronische Signatur sowie – möglicherweise in einem zweiten Anlauf – eine digitale Identitätskarte
zu bekommen, diese aber mangels entsprechender Dienste, Anbieter und Betreiber
auf viele Jahre hinaus nicht handhaben und nutzbringend einsetzen zu können.
Im schlechtesten Fall liegt das Risiko jedoch darin, dass
• die Schweiz im Vergleich zu anderen Volkswirtschaften im Bereich vernetzter, interaktionsund
transaktionsfähiger Online-Lösungen und insbesondere im Bereich E-Government
weiter zurückfällt,
• die bundesrätliche Strategie für eine Informationsgesellschaft in der Schweiz bzw. die ausgelösten
Projekte, eingesetzten Verwaltungsressourcen und Steuergelder diesbezüglich ihre
Ziele verfehlen, und
• die Schweiz diesbezüglich anlässlich des zweiten Weltgipfels der Informationsgesellschaft
(WSIS) im November 2005 in Tunis 56 ein unbefriedigendes Dossier präsentieren wird.
____________________________________________________________________________________________
Adresse des Verfassers:
Markus Fischer
MF Consulting
Route du Mont 40
CH-1789 Lugnorre
markus-fischer@bluewin.ch
54 vgl. dazu Editorial und Beitrag ‚Helvetia: Zur PKI wie die Jungfrau zum Kind’, InfoWeek Nr. 20/2004
55 vgl. dazu Workshop ‚e-society’ der SATW ICT commission (http://ict.satw.ch/SPIP/rubrique.php3?id_rubrique=1),
11. und 12.11.2004, Schloss Münchenwiler
56 vgl. http://www.smsitunis2005.org/plateforme/index.php?lang=en
© 2004 Markus Fischer, CH-1789 Lugnorre 2004-12-17 Leitfaden Rechtskonformes E-Government Beitrag DIM v1.2.doc Seite 17 von 17