Demokratie und E-Government: Kein digitaler Pass ohne Vertrauen

Mit dem E-ID-Gesetz soll der digitale Pass in der Schweiz privatisiert werden. Demokratische Kontrolle und Vertrauen wären damit gefährdet. Die E-ID ist für Demokratie und E-Government viel zu wichtig, um den Systemwechsel mit privaten Identity-Providern zu riskieren.

Die schweizerischen Stimmbürgerinnen und Stimmbürger werden voraussichtlich im Frühjahr 2021 darüber abstimmen können, ob das Bundesgesetz über elektronische Identifizierungsdienste (E-ID-Gesetz, BGEID) in Kraft tritt.

Die Volksabstimmung findet statt, weil eine breite Allianz unter Beteiligung der Digitalen Gesellschaft mit über 80’000 gesammelten Unterschriften erfolgreich das Referendum gegen das E-ID-Gesetz ergriffen hat. Das Referendum ist gesellschaftlich und politisch sowie in allen Landesteilen breit abgestützt. Inzwischen lehnen acht Kantone das E-ID-Gesetz ab.

Bei der Volksabstimmung über das E-ID-Gesetz geht es um eine der demokratie- und staatspolitisch wichtigsten Fragen: Wem obliegen die Ausstellung und Sicherung der offiziellen Identität der schweizerischen Bevölkerung im digitalen Raum?

Seit den Anfängen der Staatlichkeit ist bislang klar: Die Ausstellung und Sicherung der offiziellen Identität der Menschen in einem Land ist eine hoheitliche Aufgabe.

Die Ausstellung und Sicherung der offiziellen Identität der Menschen in einem Land ist eine hoheitliche Aufgabe.

Die Staatlichkeit setzt gemäss der Drei-Elemente-Lehre unter anderem ein Staatsvolk voraus. In Demokratien ist ausserdem klar, dass es sich um eine Aufgabe handelt, die demokratisch kontrolliert werden muss. Die offizielle Identität ist immer dann besonders wichtig, wenn es darum geht, zu erkennen, wer abstimmen und wählen darf. Dazu kommen weitere staatliche Tätigkeiten wie beispielsweise das Gesundheitswesen, die Justiz und die Steuern, wo ein verantwortungsvoller und vertrauenswürdiger Umgang mit den Daten der Menschen in einem Staat besonders wichtig ist.

In der Schweiz gibt heute der Bund die schweizerische Identitätskarte, den Schweizer Pass und den Ausländerausweis als traditionelle Nachweise der offiziellen Identität heraus.

Systemwechsel mit der privatisierten E-ID

Mit dem E-ID-Gesetz würde in der Schweiz ein Systemwechsel stattfinden: Die offizielle Identität würde – vorerst im digitalen Raum – erstmals nicht mehr vom Staat herausgegeben.

Die offizielle Identität würde ausschliesslich von privaten Identity-Providern (IdP) wie insbesondere der SwissSign Group – ein Konsortium von Banken, Krankenkassen und Versicherungen sowie staatsnahen Konzernen – herausgegeben. Der Bund würde zum Lieferanten von Daten über die Bevölkerung in der Schweiz degradiert und das Passbüro durch gewinnstrebige Unternehmen ersetzt.

Wer sich heute mit seinem gedruckten staatlichen Schweizer Pass ausweist, würde sich künftig mit einem digitalen Pass der privaten SwissSign Group ausweisen.

Wer sich heute mit seinem gedruckten staatlichen Schweizer Pass aus Karton und Papier ausweist, würde sich künftig mit einem digitalen Pass der SwissSign Group oder einem anderen privaten IdP ausweisen. Ein traditioneller physischer Pass mag zum Reisen dienen, ist aber letztlich immer ein Mittel, um die offizielle Identität einer Person feststellen zu können. Diese Gleichsetzung von E-ID und digitalem Pass ist folgerichtig und findet sich unter anderem ausdrücklich in der bundesrätlichen Botschaft zum E-ID-Gesetz. Die E-ID könnte in Zukunft durchaus zum Reisedokument werden, wie zum Beispiel die estnische E-ID zeigt.

Der Systemwechsel schlägt sich im E-ID-Gesetz insbesondere überall dort nieder, wo die Herausgabe der E-ID geregelt wird, unter anderem:

• «E-ID-System: elektronisches System, das von einem IdP für die Ausstellung, Verwaltung und Anwendung von E-ID betrieben wird […].» (Art. 2 lit. a BGEID)
• «Wer eine E-ID will, beantragt deren Ausstellung über einen IdP […].» (Art. 6 Abs. 1 BGEID)
• «Der IdP […] stellt die E-ID der antragsstellenden Person aus.» (Art. 6 Abs. 4 BGEID)
• «[Der IdP] stellt die E-ID für alle Personen aus, die die persönlichen Voraussetzungen […] erfüllen.» (Art. 15 Abs. 1 lit. b BGEID)

Das E-ID-Gesetz lässt keinen Zweifel daran, dass die Herausgabe der E-ID sowie der Betrieb und die Ausgestaltung der entsprechenden E-ID-Systeme ausschliesslich den privaten IdP obliegen. Der Bund würde den IdP die benötigten Personenidentifizierungsdaten liefern. Im Übrigen bliebe seine Rolle darauf beschränkt, IdP anzuerkennen sowie zu versuchen, diese zu beaufsichtigen.

Privatisierte E-ID ohne wirksame Aufsicht

Gemäss dem E-ID-Gesetz ist nicht mit einer wirksamen Aufsicht zu rechnen.

Gemäss dem E-ID-Gesetz ist nicht mit einer wirksamen Aufsicht zu rechnen, nachdem als Sanktion einzig und allein vorgesehen ist, dass einem IdP die Anerkennung entzogen werden kann. Wenn die offizielle Identität in der Schweiz erst einmal privatisiert ist, wird die Anerkennung einem IdP nur noch entzogen werden können, wenn dieser als nicht systemrelevant beziehungsweise «too big to fail» gilt.

Aus heutiger Sicht wäre die SwissSign-Group mit ihrem Konsortium aus gewinnstrebigen Unternehmen der alternativlose private IdP in der Schweiz, der in der Folge für schweizerische Behörden selbst im beschränkten Rahmen gemäss E-ID-Gesetz nicht wirksam zu regulieren wäre. Der Entzug der Anerkennung würde dazu führen, dass die offizielle Identität im digitalen Raum in der Schweiz nicht mehr verfügbar wäre.

Mit dem E-ID-Gesetz würde die offizielle Identität privatisiert.

Das E-ID-Gesetz enthält keine Strafbestimmungen oder Verwaltungssanktionen und verweist für die IdP ausdrücklich auf die privatrechtliche Haftung im Obligationenrecht. Für die IdP ist keine Staatshaftung vorgesehen. In ihren heutigen Allgemeinen Geschäftsbedingungen (AGB) für die bestehende «SwissID» versucht die SwissSign Group, die Haftung für sich und ihre Hilfspersonen so weit wie gesetzlich möglich wegzubedingen, was mit dem E-ID-Gesetz weiterhin zulässig wäre.

Mit dem E-ID-Gesetz würde die offizielle Identität nicht im Sinn einer öffentlich-rechtlichen Aufgabe mit Hilfe von privaten IdP herausgegeben, sondern die Herausgabe würde mit dem beschriebenen Systemwechsel privatisiert. Das zeigt auch die Auffangbestimmung von Art. 10 Abs. 2 BGEID, wonach eine Verwaltungseinheit, die ein E-ID-System betreiben müsste, falls sich ausnahmsweise kein tauglicher privater IdP findet, den Bestimmungen über die privaten IdP unterliegen würde.

Am Fehlen einer wirksamen Aufsicht ändert die Bestellung der Eidgenössischen E-ID-Kommission (EIDCOM), die im Gesetzgebungsprozess in das E-ID-Gesetz eingefügt wurde, um die Vorlage zu retten, nichts. Die EIDCOM könnte gegenüber den IdP zwar nicht näher spezifizierte Aufsichtsmassnahmen anordnen und Verfügungen erlassen. Sie wäre aber gerade dort zahnlos, wo das grundlegende Problem der Privatisierung der offiziellen Identität liegt, nämlich bei den Daten im weiteren Zusammenhang mit der E-ID-Nutzung.

E-ID als trojanisches Pferd für datenbasierte Geschäftsmodelle

Das E-ID-Gesetz nennt drei Kategorien von Daten: Personenidentifizierungsdaten, Nutzungsdaten und «übrige Daten» (Art. 9 Abs. 3 BGEID). Das E-ID-Gesetz enthält zahlreiche Bestimmungen über Personenidentifizierungsdaten, nicht aber über «Nutzungsdaten» und «übrige Daten». Während Personenidentifizierungsdaten definiert sind (Art. 5 BGEID), fehlen Definitionen für die beiden anderen Kategorien. Was unter «Nutzungsdaten» und «übrige Daten» zu verstehen ist, bleibt offen. Klar ist, dass beide Kategorien keiner direkten Aufsicht oder sonstigen Regulierung durch das E-ID-Gesetz unterliegen.

Die E-ID gemäss dem vorliegenden E-ID-Gesetz wäre eine Einladung an die private SwissSign Group, auf Grundlage der offiziellen Identität der Menschen in der Schweiz zu versuchen, ein datenbasiertes und lukratives Geschäftsmodell zu betreiben.

Die E-ID gemäss dem vorliegenden E-ID-Gesetz wäre deshalb eine Einladung an private IdP wie die SwissSign Group und ihr Konsortium, auf Grundlage der offiziellen Identität der Menschen in der Schweiz zu versuchen, ein datenbasiertes und lukratives Geschäftsmodell zu betreiben. Das E-ID-Gesetz will ein solches Geschäftsmodell nicht verhindern, wie die Beschränkung auf die Regulierung auf Bekanntgabe und Nutzung von Personenidentifizierungsdaten sowie «Daten, die bei der Anwendung der E-ID entstehen», zeigt (Art. 16 Abs. 2 BGEID).

Für datenbasierte Geschäftsmodelle werden solche Daten gar nicht benötigt, sondern es genügt, dass die E-ID-Verwendung als trojanisches Pferd für die Erhebung von weiteren Daten der Personen, welche eine E-ID verwenden, genutzt werden kann. Jeder Login mit der E-ID kann genutzt werden, um davon unabhängig weitere Daten der betroffenen Personen zu erheben. Gemäss schweizerischem Datenschutzrecht ist grundsätzlich keine Einwilligung der betroffenen Personen erforderlich.

Das E-ID-Gesetz unterstellt IdP keinem Kopplungsverbot. Private IdP hätten damit einen erheblichen Anreiz, dass sich Nutzerinnen und Nutzer im digitalen Raum mit ihrer E-ID auch dann einloggen müssen, wenn eine Identifizierung gar nicht erforderlich ist. Eine solche Erforderlichkeit ist die Ausnahme. So zählt beispielsweise im E-Commerce grundsätzlich nicht, wer einkauft, sondern dass die einkaufenden Personen die bestellten Dienstleistungen und Waren tatsächlich bezahlen. Darauf zählen, dass der Grundsatz der Datensparsamkeit freiwillig umgesetzt wird, sollte niemand.

Bei datenbasierten Geschäftsmodellen ist daran zu erinnern, dass Daten gerade nicht weitergegeben werden. Facebook und Google beispielsweise geben die erhobenen Daten ihrer Nutzerinnen und Nutzer nicht weiter, wie fälschlicherweise häufig angenommen wird. Ihre Geschäftsmodelle basieren nicht darauf, Daten zu «verkaufen», sondern auf Grundlage von Daten werden eigene Leistungen – insbesondere für das Targeting von Personengruppen und sonstige Werbung – angeboten. Die Weitergabe der Daten wäre das Ende solcher Geschäftsmodelle, denn der Wert solcher Daten liegt in ihrer Ausschliesslichkeit sowie in der Anreicherung mit Informationen aus verschiedensten Quellen. Die SwissSign-Group spricht offen von «erweiterten Attributen» und sieht ein Ökosystem mit «digitalen Geschäftsbeziehungen» aufgrund der «SwissID» als «Single IdP».

Mit dem E-ID-Gesetz würden im Sinn einer Public Private Partnership die möglichen Gewinne privatisiert und die Risiken verstaatlicht.

Bei der E-ID wird das datenbasierte Geschäftsmodell ergänzt mit traditionellen Gebühren für die E-ID-Nutzung, deren Erhebung durch die IdP im E-ID-Gesetz nicht geregelt wird. In jedem Fall besteht damit ein weiterer Anreiz für IdP beziehungsweise für an IdP beteiligten Unternehmen, dass sich Nutzerinnen und Nutzer möglichst häufig mit ihrer E-ID einloggen müssen, anstatt sich im digitalen Raum datensparsam bewegen zu können.

Sollten IdP mit ihren Geschäftsmodellen scheitern, wäre für sie nicht viel verloren. Die Haftung, für die das E-ID-Gesetz eine «ausreichende Versicherung» fordert (Art. 13 Abs. 2 lit. f BGEID), kann wie erwähnt weitgehend ausgeschlossen werden und die IdP müssen sich für die Anerkennung nicht verpflichten, ihr E-ID-System langfristig zu betreiben (Art. 13 BGEID e contrario). Private IdP können ihre Geschäftstätigkeit jederzeit einstellen, ohne dafür haften zu müssen (Art. 14 Abs. 1 BGEID). Wenn kein anderer IdP einspringen könnte, müsste der Bund das E-ID-System – immerhin ohne Entgelt – übernehmen, die darin enthaltenen Daten vernichten (jeweils Art. 14 Abs. 5 BGEID) oder sich an gescheiterten privaten IdP beteiligen (Art. 10 Abs. 1 lit. b BGEID).

Der Bund wäre damit faktisch der «IdP of Last Resort». Mit dem E-ID-Gesetz würden im Sinn einer Public Private Partnership die möglichen Gewinne privatisiert und die Risiken verstaatlicht. Ein solches Risiko ist übrigens auch die technische Umsetzung der E-ID, wie das Elektronische Patientendossier (EPG) und andere staatliche Projekte zur Digitalisierung durch Privatisierung zeigen.

Fehlendes Vertrauen in eine privatisierte Identität im digitalen Raum

Auch unser Staat muss sich das erforderliche Vertrauen verdienen, unter anderem durch eine klare Grenzziehung zwischen Datenschutz und wachsendem Überwachungsstaat.

Das E-ID-Gesetz mit privaten IdP kann das erforderliche Vertrauen in die offizielle Identität im digitalen Raum in der Schweiz nicht gewährleisten. Wer die E-ID herausgibt und betreibt, muss langfristig insbesondere die Datensparsamkeit und die Zweckbindung der Daten gewährleisten können. Private IdP verdienen kein solches Vertrauen und werden vom E-ID-Gesetz in der vorliegenden Form auch nicht entsprechend in die Verantwortung genommen. Die SwissSign Group im Besonderen zeigt mit dem erwähnten weitreichenden Haftungsausschluss schon heute, dass sie eine solche Verantwortung gar nicht wahrnehmen möchte.

Eine offizielle E-ID, die analog zu Pass, Identitätskarte und Ausländerausweis, staatlich herausgegeben und kontrolliert würde, wäre selbstverständlich nicht per se vertrauenswürdig. Auch unser Staat muss sich das erforderliche Vertrauen verdienen, unter anderem durch eine klare Grenzziehung zwischen Datenschutz und wachsendem Überwachungsstaat.

Wir können unseren Staat aber mit demokratischen Mitteln in die Verantwortung nehmen, so wie beim E-ID-Gesetz in Kürze mit unserer Stimmabgabe an der Urne. Wir können unseren Staat ausserdem auf die Einhaltung der Grundrechte behaften und müssen nicht über eine allfällige Drittwirkung auf Unternehmen hoffen.

SwissCovid-App und Fürstentum Liechtenstein als Vorbilder

Eine aktuelle Blaupause, wie eine staatlich herausgegebene und kontrollierte E-ID strukturiert werden müsste, liefert die Regulierung der SwissCovid-App

Eine aktuelle Blaupause, wie eine staatlich herausgegebene und kontrollierte E-ID strukturiert werden müsste, liefert die Regulierung der SwissCovid-App zur Bewältigung der COVID-19-Pandemie in der Schweiz. Das Parlament erlaubte das Smartphone-basierte Exposure-Tracking erst nach der gesetzlichen Verankerung von Grundsätzen wie Datensparsamkeit, möglichst dezentrale Infrastruktur, garantierte Freiwilligkeit und vollständige Offenheit in Bezug auf alle Komponenten.

Im Gesetzgebungsprozess wurden trotz grossem Zeitdruck die Wissenschaft und die Zivilgesellschaft angehört. Der Betrieb der erforderlichen Infrastruktur erfolgt ausdrücklich in der direkten Verantwortung des Bundes. Mit all diesen Punkten verfolgte das Parlament das Ziel, das erforderliche Vertrauen zu schaffen. Die Folge ist ein Leuchtturm der Gesetzgebung für digitale staatliche Projekte mit Ausstrahlung auf die Schweiz sowie viele andere Länder.

Die SwissCovid-App zeigt, dass der Bund in der Lage ist, eine digitale Infrastruktur selbst zu betreiben oder betreiben zu lassen.

Die SwissCovid-App zeigt im Übrigen, dass der Bund durchaus in der Lage ist, eine digitale Infrastruktur, die diesen – eigentlich selbstverständlichen – Anforderungen genügt selbst zu betreiben oder betreiben zu lassen. Der Verzicht auf eine privatisierte E-ID in der Schweiz müsste nicht bedeuten, dass der Bund keine Unternehmen beauftragen dürfte. Die SwissCovid-App wurde massgeblich von einem schweizerischen Unternehmen entwickelt und für die erforderliche Infrastruktur wird teilweise auf die Leistungen von Unternehmen zurückgegriffen. Haftbar und verantwortlich ist aber der Bund mit dem federführenden Bundesamt für Gesundheit (BAG).

Bei der E-ID würde die Staatlichkeit bedeuten, dass die demokratische Kontrolle und die Kontinuität ohne weiteres gegeben wären.

Bei der E-ID würde die Staatlichkeit genauso bedeuten, dass der Bund haftbar und anderweitig verantwortlich wäre, wodurch die demokratische Kontrolle und die Kontinuität ohne weiteres gegeben wären. Der Bund muss die offizielle Identität der schweizerischen Bevölkerung nicht als Geschäftsmodell betreiben, sondern kann sich auf hoheitliches Handeln mit der E-ID als digitale Ergänzung zur traditionellen Identität beschränken. Die Möglichkeit, dass der Bund die schweizerische E-ID herausgibt und kontrolliert, ist im E-ID-Gesetz wie erwähnt vorgesehen, aber nur im Rahmen von Auffangbestimmungen. Immerhin zeigen diese Bestimmungen, dass das Parlament dem Bund zutraut, ein E-ID-System selbst zu betreiben.

Als Vorbild für eine schweizerische E-ID, die Vertrauen verdient, könnte die E-ID im Fürstentum Liechtenstein dienen.

Die SwissCovid-App zeigt weiter, dass Vertauen im digitalen Raum wichtig, aber keine Selbstverständlichkeit ist. Die SwissCovid-App stösst trotz den vorbildlichen Rahmenbedingungen, die das Parlament gesetzlich verankerte, auf viel Misstrauen im Zusammenhang mit insbesondere dem Datenschutz. Die E-ID gemäss dem vorliegenden E-ID-Gesetz mit seinen privaten IdP erfüllt diese Rahmenbedingungen allesamt nicht und stammt sichtbar aus einer Zeit, als ausgeblendet oder zumindest unterschätzt wurde, wie wichtig Datenschutz in der Wahrnehmung der Bevölkerung inzwischen geworden ist. Dieser Bedeutung können private IdP nicht gerecht werden, denn sie müssen Gewinn erwirtschaften und können keine übergeordneten Interessen langfristig verfolgen.

Bei der SwissSign Group kommt dazu, dass viele ihrer Unternehmen in ihrem Konsortium skandalbehaftet sind. So sorgen beispielsweise die Post und die SBB, aber auch Banken und Versicherungen immer wieder mit Datenhunger und Datenpannen für Schlagzeilen, die nicht geeignet sind, Vertrauen zu schaffen.

Die dauerhafte Herausgabe und Sicherstellung der Identität im digitalen Raum für Demokratie und E-Government ist viel zu wichtig, um sie zu privatisieren.

Als Vorbild für eine schweizerische E-ID, die Vertrauen verdient, könnte die E-ID im Fürstentum Liechtenstein dienen. Unser Nachbarland hat seine staatlich herausgegebene und kontrollierte E-ID innert kürzester Zeit lanciert. Die Herausgabe erfolgt in erster Linie durch die Installation einer offiziellen Smartphone-App mit einem anschliessenden Vorsprechen beim Liechtensteinischen Ausländer- und Passamt in Vaduz für die persönliche Registrierung. Das Fürstentum Liechtenstein zeigt, genauso wie fast alle anderen Staaten mit einer E-ID, dass die offizielle Identität in einem Staat eine hoheitliche Aufgabe ist und bleiben muss.

Die Schweiz benötigt unbestritten eine E-ID. Ohne eine funktionierende und vertrauenswürdige E-ID wird es der Schweiz nicht gelingen, ihren digitalen Rückstand aufzuholen. In allen Bereichen der staatlichen Verwaltung gibt es erheblichen Nachholbedarf und die digitale direkte Demokratie steht noch ganz am Anfang.

Die dauerhafte Herausgabe und Sicherstellung der Identität im digitalen Raum für Demokratie und E-Government ist viel zu wichtig, um sie zu privatisieren. Die Digitale Gesellschaft lehnt deshalb die Herausgabe der offiziellen Identität der schweizerischen Bevölkerung durch private IdP ab.

Bild: PublicBeta.