Die neue e-ID erklärt

Was ist diese e-ID?

Sollte das Gesetz Ende September angenommen werden, wird es zusätzlich zur physischen ID die Möglichkeit für eine e-ID geben. Diese wird, wie jetzt auch die bestehende ID vom Bund herausgegeben. Damit wir als Bürger diese e-ID aufbewahren können, braucht es eine Mobile App mit dem etwas seltsamen Namen swiyu. Diese wird Quelloffen entwickelt (hier z.B. iOS https://github.com/swiyu-admin-ch/eidch-ios-wallet) und ist selbstverständlich gratis zum Nutzen. Man spricht hier auch von einem sogenannten Wallet auf deutsch Geldbörse. Die Funktion entspricht passenderweise genau dem was ein Geldbeutel in der analogen Welt macht: Er bewahrt Ausweise (ID, Fahrausweis, etc.) auf.

Mehr allgemeine Infos zur e-ID gibt es hier: https://neovo.ch/blog/kann-ich-der-eid-vertrauen

Wer erstellt die e-ID?

Wie erhalte ich auf dieses Wallet eine e-ID und wer stellt diese aus?

Beides wird durch den Bund und die von ihm bereitgestellte Infrastruktur bewerkstelligt. Man nennt diese technisch auch Issuer, was zu deutsch Aussteller heisst. Das ist nichts anders als bei den analogen Ausweisen. Diese werden ebenfalls vom Bund (FedPol) ausgestellt und dann an uns geschickt. Jedoch gibt es bei der digitalen Version einige Besonderheiten:

Die e-ID wird nur für ein Gerät, in unserem Fall ein Handy, ausgestellt. Damit möchte man vermeiden, dass die e-ID beliebig kopiert werden kann. Verliert man sein Handy, kann eine neue e-ID gratis auf das neue Gerät ausgestellt werden und die alte Version wird invalidiert.

Ein weiterer Unterschied zur analogen ID ist, dass die Daten der e-ID nicht im Klartext, also für jeden lesbar, abgelegt werden, sondern verschlüsselt. Dazu braucht es entweder ein Passwort / PIN oder etwas moderner, einen biometrischen Schlüssel wie Face ID, Fingerabdruck oder Ähnliches. Dahinter steckt ein Mechanismus der Encryption Stores genannt wird und auf fast alles Plattformen genutzt werden kann. Man kann sich das vorstellen, wie einen persönlichen Safe auf dem Smartphone, zu dem man nur selbst Zugang hat. Das bedeutet in der Praxis, dass niemand ungefragt meine e-ID nutzen kann, selbst wenn ich mein Handy verliere oder es mir gestohlen wird. Das machen Banking Apps schon lange so und es hat sich bewährt.

Wo liegen diese Daten?

Die Daten die zur Erstellung meiner e-ID verwendet werden sind übrigens ausschliesslich auf meinem Smartphone gespeichert, nicht auf einem zentralen Server "in der Cloud".

Eine Kleinigkeit wird allerdings gespeichert, und das ist eine Art Fingerabdruck von meiner e-ID.

Leider ist das deutsche Wort Fingerabdruck etwas ungünstig gewählt, da ja ein Fingerabdruck eindeutig (eineiige Zwillinge ausgenommen) einem Menschen zugeordnet werden kann.

Das ist bei unserem Fingerabdruck nicht der Fall. Nennen wir ihn daher besser mit seinem technischen Namen: Hash zu deutsch Streuwert

Eine Hashfunktion ist eine Mathematische Funktion die eine grosse Menge Daten als Eingabe verwendet und anschliessend eine relativ kurze Zeichenkette, den Hash, ausgibt. Damit kann man sehr gut überprüfen, ob Daten korrekt sind oder verändert wurden. Das findet man häufig bei Downloads im Linux Umfeld mit z.B. md5 oder SHA-256 Hashwerten.

Ein Beispiel: Ich möchte jemandem einen Text schicken und sicherstellen das er auch den Text erhalten hat den ich abgeschickt habe.

Beispieltext:
Das neue e-ID Gesetz ist eine gute Sache für die Schweiz!

Der SHA-256 Hashwert von diesem Text wäre 2a49cf10f98083b6feb4af16bdd70cc4647f39af773a96754455e4f7e1122f41.

Wenn ich nun diesen Text jemandem übertrage und sicher sein will, dass diese Person auch diesen Text bekommt und nicht etwa:
Das neue e-ID Gesetz ist keine gute Sache für die Schweiz!

Prüft nun der Empfänger die Nachricht mit dem mutwillig bösen Versuch, meine Aussage ins Gegenteil zu verändern, so wäre nun der SHA-256 Hash 33ad848be88187f4b7b071329a1571e7c222f1db2d75ae581a9d45863bcb2108 . Dies kann der Empfänger leicht prüfen.

Natürlich läuft all dies in der Praxis mit komplexeren Hashfunktionen und automatisiert ab. Das Prinzip bleibt jedoch dasselbe: Der Empfänger von Informationen kann sicher sein, dass sie von der Stelle stammen, die Vorgibt, sie zu senden, und dass der Inhalt nicht manipuliert wurde. In der e-ID Infrastruktur werden alle diese Hashes in einem sogenannten Registry abgelegt. Ausserdem enthält dieses Register die Information, ob die zugehörige e-ID gültig ist oder nicht.

Wie verwende ich die e-ID und was läuft technisch dabei ab?

Die e-ID kann prinzipiell für alles eingesetzt werden, wo eine normale ID eingesetzt wird. Voraussetzung ist ein Smartphone, eine darauf installierte Wallet App (mit der e-ID die swiyu App) und eine in der App gespeicherte e-ID. Gehen wir einmal einige Szenarien durch, um die Funktionsweise der e-ID besser zu verstehen.

Beispiel: Online ein Bier beim Pizzadienst bestellen

Nehmen wir an, ein Jugendlicher mit 17 Jahren möchte abends eine Pizza bestellen. Die Eltern sind aus dem Haus, und die Freunde sind bereits eingetroffen. Der erste Film läuft, und der Magen aller Beteiligten meldet sich – eine Pizza muss her, natürlich mit ein paar Dosen Lagerbier. Die Prepaid-Kreditkarte wird zum Bezahlen verwendet, bietet jedoch keine ausreichende Garantie, dass der Besteller über 16 bzw. 18 Jahre alt ist.

Der Onlineshop kann die Altersprüfung jedoch bereits mittels e-ID durchführen. Vor dem Checkout erscheint eine Meldung, dass sich Waren im Warenkorb befinden, für die gesetzlich ein Altersnachweis erforderlich ist. Natürlich bietet unser Pizzashop zusätzlich die Option, den Ausweis beim Empfang der Ware zu zeigen.

In diesem Beispiel entscheiden wir uns jedoch für die Prüfung mittels e-ID. Ein QR-Code erscheint, den wir mit der swiyu App abfotografieren. Daraufhin erscheint ein Dialog, in dem steht, dass der „Super Pizza Store“ von mir einen Altersnachweis (+16 Jahre) anfordert und fragt, ob ich diese Information teilen oder den Vorgang abbrechen möchte.

Wir teilen die Information und bezahlen den Warenkorb mit der Kreditkarte. 30 Minuten später schlemmt die Gruppe unsere imaginären Pizzen mit kühlem Bier.

Was genau läuft hier ab?

Damit unser Pizzashop eine Altersprüfung mittels e-ID einbauen kann, muss er sich beim Bund registrieren. Der Ablauf funktioniert folgendermassen:

1. Wir erstellen einen Login oder nutzen ein bestehenden im ePortal (https://eportal.admin.ch) und loggen uns ein.

2. Wir registrieren unsere Organisation, also die Pizzeria, oder das Unternehmen dahinter.

3. Wir erstellen eine sogenannte DID in der Base Registry für unser Unternehmen.

4. Wir registrieren uns in der Trust Registry als Verified Actor.

Das mag zunächst kompliziert wirken, aber es ist im Prinzip ziemlich einfach. Der Bund will verhindern das sich jeder einfach so als Verifier, also als jemanden der Abfragen machen darf, ausgeben kann. Daher die Registrierung im ePortal des Bundes. Dabei müssen wir angeben, warum wir gewisse Angaben abfragen wollen. Das Passfoto und der Heimatort sind wohl nicht nötig um Bier zu verkaufen. Auch hier möchte man Missbrauch ausschliessen.

Wichtig sind nun die DIDs. Sie sind ein global eindeutiger und überprüfbarer digitaler Identifikator, der eine Entität (Person, Organisation, etc.) repräsentiert und ohne zentrales Register auskommt. DIDs ermöglichen eine dezentrale, selbstverwaltete Identität, die auf kryptographischen Schlüsseln und Datenregistern basiert, meist einer Blockchain, welche die Kontrolle über die eigenen Identitätsdaten behält.

Die swiyu App auf unserem Handy kann also bei der Anfrage des Pizzashops überprüfen, ob dieser überhaupt einen gültigen Eintrag im Base Register des Bundes hat. Falls nicht, kann sie das hier ausgeben. Der Bund hat hiermit ebenfalls die Möglichkeit Entitäten zu sperren, welche sich nicht an die Gesetze halten oder Missbrauch betreiben.

Das ist quasi so wie die Kondukteurin, die mir ihren Ausweis zeigt, damit ich weiss, dass sie berechtigt ist, mich nach einem gültigen Fahrausweis zu fragen.

Nun geht es noch weiter. Denn nicht nur eine gültige DID ist nötig, sondern auch ein Eintrag zu unserem DID im sogenannten Vertrauensregister. Dieses Register führt welche DID berechtigt ist und welche Informationen von Ihr abgefragt (Alter, Name, Foto, Heimatort, Geburtsdatum) werden dürfen.

Auch das erkennt die App: Wenn die Pizzeria versuchen würde, zusätzlich mein Geburtsdatum abzufragen, würde die App diese Anfrage bereits ablehnen, da sie im Vertrauensregister nur Berechtigung für Alter +16 und Alter +18 hinterlegt hat.

Nun spielen wir das Beispiel von oben mal aus Sicht des Shop durch und halten fest, wer und welche Informationen von wo nach wo fliessen.

1. Jemand möchte einen Warenkorb bezahlen mit Waren +16
   Das ist nur Logik im Webshop und kann individuell implementiert werden, auch mit Optionen wie manuelle Prüfung bei Übergabe o.Ä.

2. Wir erstellen einen Altersnachweis Request (nichts anderes als eine URL als Barcode)
   Das ist eine URL die auf den Shop Server zeigt z.B. https://shop.superpizza.ch/v3/api/request Dieser antwortet mit einem JWT (JSON Web Token) in dem genau steht wer, was abfragen möchte und wohin anschliessend diese Antwort geschickt werden soll.

3. Wir erhalten ein gültigen Altersnachweis-Response
   Die App schickt uns direkt zu dem Endpoint z.B. https://shop.superpizza.ch/v3/api/response den wir bei Schritt 3 angegeben haben, nur die angeforderten Daten, in unserem Beispiel "ist älter als 16".

4. Wir prüfen ob der Ausweis gültig mit Hilfe eines Hash im Register
   Der Shop kann nun, gleich wie die App, prüfen ob der Ausweis gültig ist und damit auch die erhaltene Anfrage. Das läuft wieder über das zentrale Register. Ganz wichtig ist hier zu verstehen, dass auf der Seite des Registers weder ein Rückschluss gemacht werden kann, wer gerade geprüft wurde, noch welche Informationen abgefragt wurden. Diese Information läuft nur zwischen Pizza Shop und der Person, welche bestellt.

Zusammenfassung

Die aktuelle Vorlage für eine e-ID und die quelloffene Implementierung sind ein Novum für Softwareprojekte auf Bundesebene in der Schweiz. Im Vergleich zum ersten, abgelehnten Entwurf, macht der neue Vorschlag vieles richtig und versucht dabei technologische Standards zu verwenden, welche es uns in Zukunft auch europaweit oder weltweit ermöglichen, kompatibel zu sein.

Die hier vorgestellten Beispiel sind sehr stark vereinfacht, wen die genauen Details und Protokolle interessieren findet alle Informationen unter https://www.eid.admin.ch. Besonders interessant sind die Referenzimplementierungen die auf GitHub unter https://github.com/swiyu-admin-ch eingesehen werden können.

Wer jetzt schon neugierig ist, wie sich eine e-ID anfühlt, kann sich bereits jetzt die App herunterladen und eine Beta-ID selbst unter https://www.bcs.admin.ch/bcs-web ausstellen und mit ein paar Szenarien testen.