Sichere Online-Identifikation in einer neuen Phase

Eine Schlüsseltechnologie für Digital Identity Wallets, wie sie die Europäische Union mit der eIDAS-Verordnung und die Schweiz mit der Swiss E-ID anstreben, ist die Sicherheitsfunktion «Protected Confirmation». Diese Sicherheitsfunktion ermöglicht es dem Endnutzer, eine sensible Transaktion oder das Einloggen in einen sensiblen Service über eine vertrauenswürdige Benutzeroberfläche zu bestätigen und dabei die alleinige Kontrolle über den Bestätigungsprozess zu behalten. Dies sollte auch bei einem kompromittierten Endgerät der Fall sein.

Dies mag oberflächlich banal klingen, ist aber äusserst anspruchsvoll. Die technische Bereitstellung dieser Sicherheitsfunktion war bisher zu aufwendig, weshalb die Umsetzung immer wieder zurückgestellt wurde. Die SASFS unterstützt deshalb gezielt die Standardisierungsaktivitäten in diesem Bereich, welche die UBS und die Berner Fachhochschule im Rahmen eines Innosuisse-Projekts vorantreiben und die auch für die E-ID von Bedeutung sein dürften. Der ambitionierte Zeitplan des Bundesrates sieht die Einführung der E-ID in Anlehnung an die Pläne der EU ab 2026 vor.

Ohne diese Sicherheitsfunktion könnten Endnutzer leicht getäuscht werden und dabei ihre sicher verwahrten Zugangsdaten der Digital Identity Wallets für betrügerische Transaktionen freigeben. Betrüger könnten eine Identifikation für eine harmlose Aktivität vortäuschen, während sie im Hintergrund beispielsweise auf das Onlinebanking zugreifen.

Die Praxistauglichkeit der neuen Sicherheitsfunktion wurde durch den letztjährigen Pilotversuch mit der UBS Access App eindeutig bewiesen. Neben diesem erfolgreichen Pilotprojekt mit Google zeichnet sich nun ein weiterer Meilenstein ab: eine Zusammenarbeit mit der FIDO Alliance (FIDO = Fast IDentity Online), einer in Kalifornien ansässigen Non-Profit-Organisation, die sich für offene und lizenzfreie Industriestandards für die weltweite Authentifizierung im Internet einsetzt. Sie definiert durch die unterstützten Technologien auf Endgeräten und in Browsern weitgehend die de facto Standards der Zukunft und damit auch die technischen Möglichkeiten künftiger Online-Identifikationslösungen

Dr. Alain Hiltgen
Vorstandsmitglied SASF