Vertrauen schaffen in der digitalen Welt
Vier Verfahren zur sicheren Identifikation im Netz
Sichere Methoden der Identitätsfeststellung, die bestenfalls ohne Medienbrüche auskommen
Für bestimmte Dienstleistungen schreibt das Geldwäschegesetz (GWG) eine Legitimationsprüfung für Neukunden vor: einen sogenannten Know-Your-Customer-Prozess. Es liegt also im Interesse von Unternehmen, die Identität ihrer Kunden zu prüfen. Gleichzeitig fürchten sich Verbraucher vor Identitätsdiebstahl und agieren eher zurückhaltend bei digitalen Legitimationsprozessen. Um trotz dieser Anforderungen eine angenehme Nutzererfahrung bei Online-Dienstleistungen zu bieten, braucht es einfache und sichere Methoden der Identitätsfeststellung, die bestenfalls ohne Medienbrüche auskommen. Welche verschiedenen Identifikationsverfahren aktuell zum Einsatz kommen stellt Ingolf Rauh, Product Manager Signing Service bei Swisscom Trust Services, vor.
1. E-ID: Online-Funktion des Personalausweises
Seit 2010 wird der sogenannte "neue" Personalausweis im Kreditkartenformat mit integriertem Funk-Chip ausgegeben, auf dem neben den Ausweisdaten auch ein Passbild und die persönliche Identifikationsnummer gespeichert ist. Da die Personalausweise der Bundesrepublik 10 Jahre gültig sind, sollte inzwischen jeder Deutsche einen solchen Ausweis besitzen. Von Anfang an wurden diese Karten mit einer NFC-Funktion ausgestattet, um Online-Dienstleistungen nutzen zu können. Zu diesem Zweck erhielt jeder Bürger zusätzlich zu seinem Ausweis eine PIN zugesandt. Zu Beginn führte die neue Funktion allerdings ein Schattendasein, was wohl auch daran lag, dass zur Nutzung noch ein spezielles Lesegerät (Kostenpunkt etwa 160 €) notwendig war. Mittlerweile kann der Ausweis aber von NFC-fähigen Smartphones mithilfe einer kostenlosen App ausgelesen werden. Jeder Deutsche, der im Besitz eines NFC-fähigen Mobiltelefons ist, kann diese Funktion also nutzen und hat damit eine elektronische Identität (eID), die beispielsweise zur GWG-konformen Identifikation verwendet werden kann.
Zum 1. Januar 2021 wurde darüber hinaus auch der elektronische Aufenthaltstitel mit der gleichen Chip-Technologie ausgestattet. Aufgrund der EU weiten Notifizierung des eID Verfahrens im Rahmen der eIDAS-Verordnung kann diese neue eID Karte auch von Angehörigen eines EU Mitgliedstaates genutzt werden, der noch nicht über ein eigenes notifiziertes eID-System verfügt. Hierfür muss die Person nicht in Deutschland leben. Ab dem 1. November 2021 kann die Karte über die deutsche Botschaft im jeweiligen Land beantragt werden. Nur Bürger aus dem Nicht-EU-Ausland können dieses Verfahren noch nicht nutzen. Bisher wurde zudem für die Neuerstellung einer PIN eine Gebühr erhoben, allerdings erlassen Behörden diese seit Jahresbeginn. Somit ist die E-ID insgesamt ein sehr komfortables und sicheres Verfahren zur Identifikation im Netz.
2. Videoidentifikation
Die Identifikation über einen Videoanruf ist aktuell eines der meistgenutzten und bekanntesten Verfahren. Zu den großen Vorteilen zählt, dass der gesamte Vorgang online abläuft und der Nutzer sich nicht außer Haus begeben muss und keinem Infektionsrisiko durch persönliche Begegnungen ausgesetzt ist. Allerdings ist dafür entsprechende Hardware nötig, beispielsweise eine Webcam mit ausreichender Auflösung. So kann es bei einer Identifikation in einer Firma zu Problemen kommen, wenn diese die Videobandbreite für ihre Mitarbeiter drosselt. Außerdem können Kunden Videoidentifikation nicht immer und überall nutzen. Sie wollen für ein solches Gespräch sicher ungestört sein, müssen sich aber auch an die Öffnungszeiten des Callcenters halten. Die Identifizierung mit einem Callcenter-Agenten im Videochat verlangt manchmal auch Wartezeiten bis ein Agent frei ist. Im Rahmen eines sogenannten "Liveness Check" werden Callcenter-Agenten ihrem Gegenüber auch Rückfragen stellen, das dient der Prävention von Betrugsversuchen mit aufgezeichneten Videos, Nutzer können das allerdings als unangenehm empfinden.
Damit ist wiederum auch ein Nachteil für Identifikationsunternehmen verbunden. Die Identifikation im Videocall bindet personelle Ressourcen und ist daher nicht ohne weiteres skalierbar. Zudem kann die auf bestimmte Uhrzeiten beschränkte Verfügbarkeit die Conversion-Rate beeinträchtigen. Man geht davon aus, dass insgesamt bis zu circa 30 Prozent der Videoidentifikationsversuche nicht erfolgreich sind. Es werden daher schon die ersten KI-gestützten, automatisierten Verfahren eingesetzt, die das Problem der Verfügbarkeit adressieren und dann auch hoffentlich Zulassung für alle Arten von erforderlichen Identifikationen etwa im Rahmen des GWG erhalten. Die ersten Ergebnisse sind sehr ermutigend. Liegen menschliche Fehler in der Datenaufnahme und Identitätsprüfung schnell bei 2-3 Prozent, könnten die KI-Automaten wesentlich geringere Fehlerquoten aufweisen.
3. Face-to-Face-Identifizierung
Für die persönliche Identifikation kommen verschiedene Möglichkeiten in Betracht. Sie kann durch einen Kurierfahrer oder Paketboten erfolgen, in Postfilialen oder anderen Geschäften/Filialen. Voraussetzung dafür ist, dass entsprechende Mitarbeiter bei einer Registrierungsstelle akkreditiert sind und in regelmäßigen Abständen Trainings stattfinden. Dennoch können auch hier – wie immer, wenn Menschen involviert sind – Flüchtigkeitsfehler entstehen, wie falsch geschriebene Namen oder ähnliches.
Ein interessanter Use Case können aber Geschäfte sein, die auch eine Finanzierung ihrer Produkte über Kleinkredite anbieten. Auf diesem Markt konkurrieren sie mit Kreditkartenunternehmen. Eine Vereinfachung der Vertragsabschlüsse durch elektronische Identifikationsmethoden könnte hier einen Mehrwert für die Kunden und somit Wettbewerbsvorteile bringen. Verträge müssten nicht erst postalisch zwischen Kreditgeber (Finanzinstitute) und Geschäft, beziehungsweise Kunde ausgetauscht werden, sondern ein elektronisch signiertes PDF ermöglicht eine sofortige Gültigkeit eines Kredites.
Im reinen Online Business hingegen bedeutet Face-to-Face-Identifizierung immer einen Medienbruch. In Zeiten der Pandemie wurde der Zugang zu Identifikationspunkten noch mehr beschränkt und damit wurde ein Nachteil dieses Verfahrens deutlich.
4. Identifizierung über bestehende Bankkonten
Wer in Deutschland ein Bankkonto eröffnen möchte, muss sich dafür einmal zweifelsfrei identifizieren. Entweder klassisch in der Filiale oder durch eines der oben genannten Verfahren. Da die Banken im Rahmen der PSD2 ihre Programmierschnittstellen (APIs) öffnen und sichere Schnittstellen zu Drittanbietern einrichten müssen, können die bei der Bank hinterlegten Daten in Kombination mit weiteren Hintergrundchecks auch als Mittel zur Identifikation herangezogen werden. Durch eine Referenzüberweisung, in der Regel 10 Cent, weist ein Kunde nach, dass sein Konto aktiv ist und er über Zugriff verfügt. Damit gilt dann seine Identität als bestätigt. Für Nutzer von Online-Banking ist dieses Verfahren äußerst komfortabel. Sie müssen nicht aus dem Haus, Video ist nicht notwendig und es ist nicht an bestimmte Uhrzeiten gebunden. Außerdem kennen Nutzer eher die Zugangsdaten für ihr Online Banking als die PIN für den elektronischen Personalausweis, da sie häufiger Bankgeschäfte tätigen.
Das Verfahren ist in dieser Form bisher nur in Deutschland umgesetzt. In anderen Ländern kann das Verfahren erst genutzt werden, wenn die Kontoeröffnung genauso streng erfolgt. Zudem ist diese Form der Identifizierung zumindest aktuell noch an die Möglichkeit eines allgemeinen Zugriffs auf die Bankkonten beispielsweise im Rahmen der PSD2 beziehungsweise mit dedizierten Bankschnittstellen gebunden.
Der Vorteil des Bankidentifikationsverfahrens ist besonders für Zwecke im Zusammenhang mit dem GWG gegeben: Durch den Geldtransfer von 10 Cent wird auch gleichzeitig die Forderung des deutschen GWG erfüllt, die eine Identifikation mit einer qualifizierten elektronischen Signatur zulässt, sofern gleichzeitig eine Referenzüberweisung vom Konto der identifizierten Person erfolgt. Identifikation und GWG-Nachweis können hier in einem Schritt erfolgen. (Swisscom Trust Services: ra)
eingetragen: 17.04.21
Newsletterlauf: 13.07.21
Swisscom Trust Services: Kontakt und Steckbrief
Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.
