Der neue Personalausweis - Vergabestelle für Berechtigungszertifikate im Bundesverwaltungsamt vergibt das 1. Zertifikat

Quelle: BVA

Millionen Bürger zeigen heute ihren gültigen Personalausweis vor, wenn sie ein Konto eröffnen, altersbeschränkte Waren kaufen oder ein Einschreiben bei der Post abholen. Anhand des Ausweises prüfen Geldinstitute, Einzelhändler und Behörden die Identität des Ausweisinhabers und seine Berechtigung zum Erwerb der Ware. Im digitalen Zeitalter verlagern sich immer mehr Transaktionen ins Netz. Auch für die Anbieter von Online-Diensten ist es entscheidend, zu wissen, mit wem sie Geschäfte machen. Der neue Personalausweis, den die Bürger ab dem 1. November 2010 beantragen können, ermöglicht erstmals den elektronischen Identitätsnachweis. Die Bürger können ihn auf Wunsch nutzen, um sich im Internet eindeutig zu erkennen zu geben.

Die Sicherheit der persönlichen Daten gewährleistet ein spezielles Zugriffskonzept, in dem das Bundesverwaltungsamt (BVA) eine wichtige Rolle einnimmt. Diensteanbieter aus Wirtschaft und Verwaltung, die ihren Kunden ermöglichen möchten, den Identitätsnachweis elektronisch zu erbringen (eID-Funktion), benötigen ein Berechtigungszertifikat, das festlegt, welche personen- und ausweisbezogenen Daten aus dem Personalausweis abgefragt werden dürfen. Nur das Berechtigungszertifikat ermöglicht dem Diensteanbieter den Zugang zu den Daten des Personalausweisinhabers. "Sicherheit, Vertrauen und Transparenz sind die wesentlichen Aspekte bei der Nutzung der eIDFunktion des neuen Personalausweises", erklärt Christoph Verenkotte, Präsident des Bundesverwaltungsamtes.

Als erstes Unternehmen in Deutschland hat heute die Gothaer Allgemeine Versicherung ein entsprechendes Berechtigungszertifikat erhalten. "Die Gothaer begrüßt es sehr, dass Deutschland als eines der ersten Länder weltweit ein derart innovatives und zukunftsgerichtetes System einführt. Wir haben uns daher auch schon am Pilotprojekt zur Einführung des neuen Personalausweises beteiligt und wichtige Erfahrungen mit dieser neuen digitalen Form der Identifikation gesammelt", erläuterte Oliver Schoeller, Mitglied des Vorstands der Gothaer, bei der Übergabe des Zertifikats. "Im ersten Schritt werden wir unseren Kunden nun die Möglichkeit bieten, den neuen Personalausweis beim Online-Abschluss einer Kfz-Versicherung einzusetzen. Mit diesem neuen Verfahren werden seine Daten sicher verschlüsselt und zugleich signiert übertragen. Zudem erleichtert der neue Personalausweis den Zulassungsprozess, denn durch das automatische Auslesen der Daten ist sichergestellt, dass die Angaben auf der Versicherungsbestätigung immer mit den amtlichen Dokumenten übereinstimmen." Im nächsten Schritt will das Unternehmen den neuen Personalausweis für ein unkompliziertes Login in den geschützten Kundenbereich im Internet einsetzen. Der große Vorteil für den Kunden: er muss sich keine langen Kennwörter und PINs mehr merken.

Zertifikat drei Jahre gültig

Die Vergabestelle für diese Berechtigungszertifikate (VfB) in der Kölner Bundesbehörde entscheidet in einem Verwaltungsverfahren darüber, ob und in welchem Umfang Diensteanbieter die eID-Funktion für ihr Geschäftsfeld nutzen dürfen. Die Identität des Dienstanbieters, die Rechtmäßigkeit des angebotenen Dienstes und die "Erforderlichkeit" der Nutzung des jeweiligen Datenfeldes im Hinblick auf den beschriebenen Zweck sind die wesentlichen Kriterien der Entscheidung, die für drei Jahre gültig ist. Das Alter des Geschäftspartners darf z. B. abgerufen werden, wenn Waren für Kunden ab 18 Jahren angeboten werden. In diesem Fall wird nicht das konkrete Geburtsdatum des Nutzers preisgegeben, sondern lediglich bestätigt, dass er die geforderte Altersgrenze überschritten hat.

Hohe Sicherheitsstandards

Nur berechtigte Anbieter von Dienstleistungen können die Daten des Ausweises abfragen, wobei der Inhaber des neuen Personalausweises in jedem Einzelfall die Kontrolle darüber behält, welche der persönlichen Daten dem Anbieter elektronisch übermittelt werden. Darüber hinaus werden die auf dem Chip gespeicherten persönlichen Daten durchgehend an die Diensteanbieter verschlüsselt übertragen.

Telefonischer Sperrnotruf bei Verlust

Das BVA wird jedoch nicht nur im Rahmen der Vergabe von Berechtigungszertifikaten an Dienstanbieter tätig, sondern betreibt als zusätzliche wichtige Aufgabe das sog. "Sperrlistenmanagement". Abhanden gekommene Ausweise müssen an den Sperrdienst im BVA gemeldet werden, um einen möglichen Missbrauch der eID-Funktion zu verhindern. Der Sperrdienst stellt sicher, dass den Diensteanbietern die Informationen über gesperrte elektronische Personaldokumente in geeigneter Form zur Verfügung gestellt werden. Der Bürger kann die Identitätsfunktion sofort bei der jeweils zuständigen Personalausweisbehörde oder über den telefonischen Sperrnotruf sperren lassen. Zur Wahrung der Vertraulichkeit und Integrität der personenbezogenen Daten des Ausweisinhabers wird ein sog. "Sperrhash" (Zahlencode) an den Sperrdienst übermittelt. Das BVA kann durch den Sperrhash zuverlässig die Sperrung des jeweiligen Personalausweises veranlassen, ohne die personenbezogenen Daten des Inhabers zu kennen.