Elektronischer Personalausweis : BSI Forum: Prozesse mit dem Personalausweis digital umsetzen

Von Jennifer Breuer, BSI

Der seit 2010 ausgegebene Personalausweis im Scheckkartenformat (Abb. 1) kann mehr als sein Vorgänger: Mittels der auf dem Chip gespeicherten Daten (eID) kann sich der Ausweisinhaber online ausweisen und sich damit beispielsweise den Gang zur Behörde sparen. Statt einen Antrag auszufüllen und zu unterschreiben, kann die Online-Ausweisfunktion genutzt werden, um den Antrag rechtsverbindlich und medienbruchfrei zu stellen. Durch die sichere Zwei-Faktor-Authentisierung – das heißt Besitz des Ausweises und Wissen der PIN – erreicht der Personalausweis ein sehr hohes Sicherheitsniveau (ebenso wie auch der elektronische Aufenthaltstitel und die für den 1. Nov. 2020 geplante eID-Karte für EU-Bürger).

Medienbruchfreiheit ist auch das Schlagwort, wenn es um das seit 2017 mögliche Vor-Ort-Auslesen geht: Hierbei kann der Personalausweis mittels Eingabe der aufgedruckten Zugangsnummer (CAN) vor Ort von einer berechtigten Stelle ausgelesen werden, um Fehler bei der Übertragung der Daten zum Beispiel in ein Formular zu vermeiden.

Sowohl das Vor-Ort-Auslesen als auch die Online-Ausweisfunktion umfassen Sicherheitsmaßnahmen, die den Bürger davor schützen sollen, dass Daten unberechtigt ausgelesen oder missbräuchlich genutzt werden können. Das Auslesen ist nur möglich, wenn ein Berechtigungszertifikat vorhanden ist. Dieses wird vom Bundesverwaltungsamt vergeben – dazu muss ein Antrag ausgefüllt werden, der angibt, welche Daten für welchen Zweck ausgelesen werden sollen. Nur für diese begründeten Datenfelder wird das Zertifikat ausgestellt. Durch die wechselseitige Identifizierung ist sichergestellt, dass die Daten nur von berechtigten Stellen ausgelesen werden. Ob vor Ort oder online: In der AusweisApp2 wird dies auch transparent und datenschutzkonform dargestellt.

Formular-Management-System

Das Formular-Management-System des Bundes (FMS) basiert auf dem Produkt „Lucom Interaction Platform“ (LIP) und gestattet es, Formulare und selbst komplette Workflows digital umzusetzen. In Kombination mit der Online-Ausweisfunktion ist es dann zum Beispiel möglich, diese Daten direkt an eine Behörde zu versenden und damit die gesetzliche Schriftformerfordernis zu erfüllen. Mit den richtigen Schnittstellen zum Fachverfahren entfällt auch die lästige Datenübertragung durch einen Mitarbeiter.

FMS-Anwendungen des BSI

Das BSI nutzt das FMS in Verbindung mit der Online-Ausweisfunktion bereits für mehrere Formulare, die bisher entweder postalisch oder per De-Mail eingereicht werden mussten. Eines dieser Formulare ist die Unabhängigkeits- und Unparteilichkeitserklärung für Auditoren und Prüfstellen. Die Erklärung musste bisher von Hand unterschrieben werden. Nun kann sie nicht nur am Desktop ausgefüllt und abgeschickt werden, sondern wurde auch für die mobile Nutzung optimiert (Abb. 2). Damit kann die Erklärung etwa direkt auf einem kompatiblen Smartphone oder Tablet ausgefüllt und mittels Online-Ausweisfunktion übertragen werden.

Das Vor-Ort-Auslesen des Personalausweises in Kombination mit dem FMS kann zudem für die Digitalisierung von Prozessen verwendet werden. Im BSI wurde dies prototypisch für das Besuchermanagement umgesetzt. Bei der Besucheranmeldung werden nach der Identitätsprüfung die Daten des Personalausweises ausgelesen und validiert. Die ausgelesenen Daten werden dann automatisch mit den Daten der registrierten Besucher abgeglichen und nach dem entsprechenden Datensatz gefiltert. Auf diese Weise wurde der gesamte Prozess des Besuchermanagements digitalisiert.

FMS-Umsetzung in Kombination mit dem Personalausweis

Bei der Umsetzung eines Formulars oder eines Workflows im FMS sollte zuerst der Ist-Zustand betrachtet werden: Hier kann es nötig sein, einige Anpassungen vorzunehmen, um den Prozess benutzerfreundlich gestalten zu können. Im Gegensatz zu Papierformularen macht es das FMS möglich, den Anwender durch die eingebauten Bedingungen und Verknüpfungen bei der Formularausfüllung zu leiten.

Die Anbindung der Online-Ausweisfunktion ist bereits im FMS integriert, trotzdem werden für die Nutzung noch weitere Komponenten benötigt. Abbildung 3 veranschaulicht die Architektur, die für das Vor-Ort-Auslesen benötigt wird.

Für das Vor-Ort-Auslesen händigt der Besucher dem Pförtner den Ausweis aus. Dieser legt das Dokument nach dem Lichtbildabgleich auf das Lesegerät. Dies ist weiterhin notwendig, weil das Vor-Ort-Auslesen nicht der Identifizierung dient, sondern der medienbruchfreien Übernahme der Ausweisdaten in ein elektronisches Formular und die Identifizierung über das Lichtbild vor Nutzung des Vor-Ort-Auslesens zudem gesetzlich gefordert wird.

Nachdem der Personalausweis auf das Lesegerät gelegt wurde, wird durch einen Klick in der Webanwendung „Pforte 4.0“ die AusweisApp2 als clientseitige Middleware gemäß eCard-API geöffnet und gleichzeitig die Authentisierungsanfrage an den eID-Server weitergeleitet, da die Middleware die sichere Kommunikation zwischen Lesegerät, Chip und eID-Server herstellt. Der eID-Server wird benötigt, um zu überprüfen, ob der abfragende Diensteanbieter die entsprechende Berechtigung für die angefragten Datenfelder besitzt. Zudem wird sowohl der Identitätsnachweis des Diensteanbieters als auch des Ausweisenden vorgenommen. Dem Pförtner werden dann dort das Berechtigungszertifikat und die angefragten Ausweisdatenkategorien angezeigt. Erst nach Eingabe der Zugangsnummer oder im Fall der Online-Ausweisfunktion nach Eingabe der 6-stelligen PIN werden die Daten übertragen.

Seitens des eID-Servers werden die Authentizität und Integrität des Ausweises und zudem durch Abgleich mit der zentralen Sperrliste dessen Gültigkeit geprüft. Das Sperrmanagement verhindert die missbräuchliche Nutzung gestohlener oder verloren gegangener Personalausweise – dazu muss der Ausweisinhaber den Verlust zuvor gemeldet haben.

Vom eID-Server aus werden die Daten dann Ende-zu-Ende-verschlüsselt und fehlerfrei an die Webanwendung beziehungsweise in das Besuchermanagement-Formular übertragen. Für die Kommunikation zwischen der AusweisApp2, dem Applikationsserver im ITZ-Bund und dem eID-Server bei der Bundesdruckerei (siehe SAML-Kanal in Abb. 3) ist wegen technischer Anforderungen der Online-Ausweisfunktion ein direkter Ende-zu-Ende-verschlüsselter Kanal unbedingt notwendig. Aus diesem Grund müssen hierfür gegebenenfalls Ausnahmen für das sonst übliche Aufbrechen an der Firewall vorgenommen werden, weil das Aufbrechen der Verschlüsselung für einen Vertrauensverlust sorgen würde.

Selbstverständlich müssen die Daten, die aus dem Personalausweis ausgelesen werden, ob nun per Vor-Ort-Auslesen oder per Online-Ausweisfunktion, nach den datenschutzrechtlichen Grundsätzen (bspw. der Datensparsamkeit) erhoben, gespeichert und verarbeitet werden. Bei der Konzeptionierung eigener Formulare und Anwendungen, in die der Personalausweis integriert wird, spielen Privacy by Design und by Default eine wichtige Rolle. Ebenso sollte die Speicherung der Daten so erfolgen, dass sich Betroffenenrechte nach der EU-Datenschutz-Grundverordnung, wie die Auskunftsanfrage oder das Recht auf Löschung, leicht umsetzen lassen. Ebenfalls gehört zu der Anwendung die Erstellung eines Rollen- und Rechtekonzepts, das sicherstellt, dass unterschiedliche Rollen nur die Rechte besitzen, die sie unbedingt benötigen. Die Verantwortung endet daher nicht mit dem Auslesen der Daten.

Das BSI unterstützt Institutionen, die den Personalausweis in ihre Fachverfahren oder digitalisierten Prozesse einbinden möchten. Hilfestellung gibt das Referat DI 15 „eIDLösungen für die digitale Verwaltung“ unter referat-DI15@bsi.bund.de. Weiterführende Informationen: www.ausweisapp.bund.de/mobile-geraete