Reinhard Riedl: «Il faut résoudre sans équivoque la ... - SharePoint

Doch während viele Verwaltungsstellen von
Gemeinden, Kantonen, dem Bund und manch
ein Vertreter der Privatwirtschaft bereits auf die
SuisseID schwören, fehlen überzeugende Anwendungen
für ihren privaten Gebrauch noch weitgehend.
Den praktischen Wert der SuisseID als sicherer,
universeller, für alle verfügbarer und für alle
Zwecke einfach benutzbarer Identitätsnachweis in
Ehren: Ohne genügende Anwendungsmöglichkeiten
bleibt ihr Nutzen der breiten Bevölkerung schleier-
haft – zumal sie mit jährlichen Kosten von 33 Franken
nicht gratis ist (Seite 30). Und so lange der Nutzen
unklar ist, hält sich auch das Vertrauen in den
elektronischen Identitätsnachweis in Grenzen.
Die Katze beisst sich in den Schwanz und zwar,
sieht man die Pressearchive durch, seit nun gut zwei
Jahren schon: Nur wenige Privatpersonen kaufen
eine SuisseID, solange es nicht genügend Applikationen
gibt, kaum ein Entwickler legt sich ins Zeug,
solange es nur wenige Kunden gibt. Doch vielleicht
wird sich das nun bald ändern. So soll ab 2016 Bürgerinnen
und Bürgern die Möglichkeit offen stehen,
eine Identitätskarte mit elektronischer Identität für
E-Government- und E-Business-Anwendungen zu
Die Gretchenfrage
beantragen. Verschmilzt die SuisseID mit der Identitätskarte,
so dürfte sie sich in der Schweiz vielleicht
nicht gerade flächendeckend, aber doch bedeutend
weiter verbreiten, als dies heute der Fall ist.
Ein wichtiger Punkt wird auch sein, ob es gelingt,
die SuisseID grenzüberschreitend einzusetzen.
Verschiedene Länder haben eigene eID-Lösungen
aufgebaut, welche die europäische Kommission nun
im Interesse eines einheitlichen E-Business-Raumes
in Europa zu vereinheitlichen trachtet. Von einem
möglichen Anschluss der SuisseID an diese gemeinsame
eID-Architektur verspricht sich das SECO eine
Menge. In seinem Auftrag arbeitet die Berner Fachhochschule
zurzeit an einem breit angelegten europäischen
Pilotprojekt mit (Seite 48). o
(cdh) – Die SuisseID kann geknackt werden. Das zeigte etwa Gunnar Porada an einem ISSS-Security Lunch im
vergangenen Mai eindrücklich: Er führte vor, wie einfach es ist, mittels eines Trojaners die elektronische Identität
einer anderen Person im Handumdrehen zu kapern und für rechtsverbindliche Tätigkeiten zu missbrauchen (zu
bewundern auf: www.youtube.com/watch?v=vlTlQXn_Jgk). Wer haftet in solchen Fällen?
Laut Gesetz müssen der Anbieter der elektronischen Signatur und die zuständigen Zertifizierungsdienstanbieter
gewährleisten, dass die verwendeten Signaturschlüssel vor der missbräuchlichen Verwendung durch andere Personen
verlässlich geschützt werden. An ihnen ist es also, zu überprüfen, ob der Schlüsselhalter über eine sichere
Signatureinheit verfügt.
Aber auch der Endanwender der SuisseID hat Pflichten: Nach Art. 59a des Obligationenrechts haftet der Signaturinhaber
gegenüber Drittpersonen für Schäden, die diese erleiden, weil sie sich auf das qualifizierte gültige Zertifikat
einer anerkannten Anbieterin von Zertifizierungsdiensten im Sinne des schweizerischen Signaturgesetzes (ZerES)
vom 19. Dezember 2003 verlassen haben. Die Haftung entfällt, wenn der Inhaber des Signaturschlüssels glaubhaft
darlegen kann, dass er kein unsicheres Gerät benutzt und die nach den Umständen notwendigen und zumutbaren
Sicherheitsvorkehrungen getroffen hat, um den Missbrauch des Signaturschlüssels zu verhindern. In diesem Fall
kann der Schlüsselinhaber auf den Zertifizierungsdiensteanbieter Rückgriff nehmen.
Welches aber sind diese notwendigen und zumutbaren Sicherheitsvorkehrungen? Sie gleichen denen, die im Umgang
mit Kreditkarten gelten: Die PIN nicht aufschreiben, PIN und Chipkarte sicher, aber niemals zusammen
aufbewahren, weder SuisseID noch PIN an Dritte weitergeben, den Verlust sofort melden und eine kompromittierte
SuisseID für ungültig erklären lassen, den Computer gegen Viren schützen und ein Betriebssystem benutzen, das
auf dem neuesten Stand ist.
Alles klar? Nicht wirklich. So ist, nach Meinung verschiedener Rechtsexperten, nicht abschliessend definiert, welches
die notwendigen und zumutbaren Sicherheitsvorkehrungen sind, die der Endnutzer beachten muss. Auch die «Pflichten»
der Anbieter von Zertifizierungsdiensten sind nicht ausschöpfend umschrieben. Wer sich wie gegen Missbrauch
wehren kann, bleibt damit ziemlich offen, zumal bisher jede Gerichtspraxis fehlt.
SCHWERPUNKT
2/2012 bulletin 41