«Die E-ID ist nur ein Login!»

Nein, denn die E-ID dient der Identifikation, wie jeder andere Ausweis. Das ist nicht dasselbe wie ein Login, das nur der Authentifizierung dient. Man erhält zwar zusammen mit der E-ID auch ein Passwort, das als Login eingesetzt werden kann. Die E-ID machen aber die persönlichen Angaben aus, mit denen man sich ausweist. 

«Die E-ID ist ein sicheres Login!»

Eine E-ID, eingesetzt als Login, ist nicht per se sicherer. Mehr Sicherheit wird etwa erreicht durch eine Zwei-Faktor-Authentifizierung (2FA) und serverseitige Mindestanforderungen an Passwörter. Das hat überhaupt nichts mit der E-ID zu tun. Im Gegenteil, verwendet man dasselbe Login überall, wird es zum Risikofaktor.

«Die E-ID ist freiwillig!»

Per Gesetz ja, de facto nein. Die Behörden werden gesetzlich verpflichtet, die E-ID für ihre Onlineschalter zu akzeptieren. Bereits vor Einführung des Gesetzes akzeptieren einige Kantone nur noch die private SuisseID. Ohne private E-ID bleibt also nur der Postweg, Dienstleistungen werden teurer und neue, digitale Dienstleistungen bleiben verwehrt.

«Die E-ID umfasst keine biometrischen Daten!»

Das ist falsch. Bereits ab Sicherheitsstufe «substanziell» erhält der IdP das Foto zur Verifikation bei der Ausstellung der E-ID. Ab Sicherheitsstufe «hoch» ist das Foto fester Bestandteil der E-ID. Die Botschaft zum Gesetz sieht auch die Möglichkeit weiterer biometrischer Daten vor.

«Die E-ID ist wichtig für den Wirtschaftsstandort!»

Ein leeres Argument. Einzig die Einbindung der Schweizer E-ID in den europäischen Verbund könnte wichtig werden. Das ist auch vorgesehen. Leider gibt dazu noch keinen Fahrplan, denn für die Schweiz bestehen etliche Hürden. Das liegt auch am gewählten Weg mit privaten Anbietern. Und es bräuchte bereits schon eine Änderung am Gesetz, das noch nicht mal in Kraft ist. 

«Der Bund kann das nicht!»

Selbst der Kanton Schaffhausen und Liechtenstein können das. Und die Realität widerspricht der Behauptung mit dem Login: Der Bund betreibt seit langem das CH-Login und eIAM. Das Bundesamt für Informatik BIT ist aber auch ein «Trust Service Provider» nach ZertES (digitale Unterschrift). Und es betreibt rund 7'000 Server und 30'000 Arbeitsplätze. Die können das sehr wohl.

«Der Bund ist schon mal gescheitert!»

Gemeint ist die «SuisseID», die Ende 2021 nach zehn Jahren eingestellt wird. Der Bund war nur einer von vier Herausgebern, organisiert in einem Trägerverein. Ein anderer war die SuisseSign AG, die nun erneut am Start steht. Gescheitert ist das Projekt vor allem wegen der hohen Erstehungskosten der «SuisseID», wobei der Bund die privaten Anbieter noch subventionierte. Ein Projekt mit drei weiteren, privaten Anbietern scheiterte, nicht der Bund.

«Private sind innovativer!»

Der Bund programmiert nicht selbst. Er würde heute das überzeugendste System am Markt kaufen und betreiben – und es wieder ersetzen, wenn es Besseres gibt. Zehn Jahre nach dem Erstprojekt gibt es in der Schweiz und in Europa etliche Anbieter. Doch stattdessen soll die Schweiz das System erhalten, welches das lauteste Marketing betreibt. Das muss nicht das Beste sein. Und der Bund verliert damit die Unabhängigkeit. 

«Nur Private können für die Verbreitung sorgen!»

Nein, denn der Bund könnte die E-ID automatisch mit Identitätskarte oder Pass abgeben, wie das Österreich tut. Oder die E-ID mit dem analogen Ausweis verschmelzen, wie Deutschland und Belgien. Und: für die Verbreitung brauchte es vor allem Anwendungen. Solche, welche eine Ausweispflicht fordern, gibt es wenige.

«Die privaten Anbieter werden vom Bund kontrolliert!»

Nein, es bestünde lediglich «eine Aufsicht» durch eine Kommission. Eine solche kann also auch nur Papiere prüfen und ist auf die Einhaltung der Meldepflicht durch die privaten Anbieter angewiesen. Die Kommission hat weder den Auftrag noch die Mittel, zu «kontrollieren». Eine Kontrolle bedingte einen kontinuierlichen, direkten Zugang zu den IT-Systemen der E-ID. Das wäre nur möglich, wenn der Bund diese selbst betreibt.  

«Es ist eine Private Public Partnership!»

Nein, dazu fehlten wichtige Voraussetzungen wie Risiko- und Kostenverteilung, ggf. mit einer gemeinsamen Firma von Bund und Privaten. Bund und Bürger tragen nun das volle Risiko. Der private Anbieter entzieht sich weitgehend einer Haftung und geht keine weitere Verpflichtung ein. Es handelt sich also um eine reine Privatisierung.

«Der Staat bleibt Herausgeber!»

Dem widerspricht selbst das Fedpol. Herausgeber ist die private Firma: Sie macht die Vermarktung, betreibt das System und ist dem Bürger Ansprechpartner. Das Fedpol liefert lediglich die Personendaten zur Ausstellung der E-ID und macht einen Plausibilitätscheck. Der IdP hingegen führt die Verifikation durch. Das heisst, er prüft, ob die Person tatsächlich die ist, welche sie vorgibt, zu sein.  

«Wir verlieren Jahre Zeit!»

Eine E-ID gemäss Gesetz könnte gemäss EJPD frühestens Anfang 2023 eingeführt werden. Die Kritik am Gesetz hingegen betreffen wenige Artikel, die rasch geändert werden könnten. Man müsste also nicht von Null beginnen. Die laufenden Arbeiten beim Fedpol wären zudem kaum betroffen. Es wäre aber auch möglich ganz ohne neues Gesetz. In Arbeit ist eine neue Identitätskarte. Ausgestattet mit einem kontaktlosen Chip wäre sie die ideale E-ID. Das Ausweisgesetz AwG wäre ausreichend. Der Bund hatte an der Fachhochschule Bern bereits 2013 die Machbarkeit abklären lassen. U. a. Estland, Deutschland, Belgien gehen diesen Weg bei ihrer neuesten E-ID.

«Sonst übernehmen die Techgiganten!»

Das können sie gar nicht. Ein Social Media Login von Google, Facebook etc. hat nicht zu tun mit einer staatlich anerkannten E-ID. Sie konkurrenzieren sich nicht. Paradoxerweise könnte aber Google Schweiz gerade mit dem neuen Gesetz eine Schweizer E-ID anbieten. Lukrativ wäre das nicht, aber gut für's Prestige.