Neuer Personalausweis: Wo die wirklichen Gefahren lauern

Eine der Funktionen des neuen Personalausweises ist die elektronische Identifizierung (eID). Mit einem entsprechendem Lesegerät kann man sich beispielsweise am eigenen PC gegenüber einem anderen Interteilnehmer, etwa einer Bank oder einer Behörde, identifizieren. Die eID-Funktion ist optional und kann beim Einwohnermeldeamt jederzeit deaktiviert oder aktiviert werden.

Dabei können folgende Daten übermittelt werden

• Name, Doktortitel sowie gegebenenfalls Ordens- und Künstlername
• Geburtstag und Geburtsort
• Anschrift
• Dokumententyp
• Land
• Wohnortbestätigung
• Altersverifikation
• pseudonyme Kennung

Vor der Eingabe der PIN muss der Dienstleister im Internet mitteilen, welche Daten er übermittelt haben möchte. Dem muss der Ausweisinhaber zustimmen. Ein Anbieter von Erotikseiten im Internet kann beispielsweise die pseudonyme Kennung und die Altersverifikation anfordern. Er erfährt dann weder den echten Namen noch das Geburtsdatum. Allerdings weiß er, dass tatsächlich der Ausweisinhaber vor dem PC sitzt und dieser mindestens 18 Jahre alt ist.

Das alles hört sich in der Theorie gut an. In der Praxis sieht es jedoch anders aus. Zunächst einmal benötigt der Ausweisinhaber ein kontaktloses RFID-Lesegerät, das etwa 10 bis 20 Euro kostet. Wer etwa von seiner Bank ein Chipkartenlesegerät mit Kontakten hat, kann dieses nicht weiterverwenden.

Viele Businessnotebooks besitzen einen eingebauten Kartenleser für Karten mit Kontakten. Kontaktlose Leser sind optional für einige neue Notebookmodelle erhältlich, siehe Bild 4. Für die Besitzer älterer Notebooks bleibt nur eine Lösung mit USB-Kabel oder als Express Card.

Der Dienstleister im Internet muss sich ein Zertifikat beschaffen, das er gegen Identitätsnachweis bei der Vergabestelle für Berechtigungszertifikate bekommen kann. Das zeitlich befristete Zertifikat selbst gibt es gegen Bezahlung bei akkreditierten Zertifizierungsdiensteanbietern der Bundesnetzagentur wie der DATEV, der Deutschen Telekom, der Deutschen Post oder der Bundesnotarkammer.

Ferner muss der Dienstleister eine speziell zertifizierte Infrastruktur aufbauen, die unter anderem sicherstellt, dass gesperrte Ausweise nicht mehr akzeptiert werden, sprich er muss eine CRL abfragen. Alternativ dazu kann ein Dienstleister im Internet diese Serverinfrastruktur auch von einem externen Anbieter nutzen, was ebenfalls mit Kosten verbunden ist.