Akzeptanz der eID: Experte Ronnie Schrumpf (ING) im Interview

Die Akzeptanz der eID (Online-Ausweisfunktion) ist in Deutschland bisher nicht so verbreitet, wie sich das Bundesministerium des Innern und für Heimat (BMI) vielleicht gewünscht hat. Ronnie Schrumpf, Experte Customer Identitymanagement bei der ING, gibt Antworten auf die wichtigsten Fragen zur eID.

Schrumpf arbeitet seit 2004 für die ING Deutschland. Seit zehn Jahren verantwortet er das Identitätsmanagement und die dazugehörigen Identifikations- und Signaturverfahren. Ferner bringt er seine Expertise in die Erforschung und Entwicklung von digitalen Identitäten ein. Gemeinsam mit Vertretern aus Banken, Unternehmen, Ministerien und Behörden arbeitet er im „Large Scale Pilots Potential“, ein von der EU gefördertes Projekte zur Umsetzung der eIDAS 2.0, die European Digital Identity, einer europäischen digitalen Identität für das Smartphone.

Herr Schrumpf, der Personalausweis mit elektronischer Identitätsfunktion (eID) wurde im November 2010 eingeführt. Wie verbreitet ist die Akzeptanz unter den Banken?

Ronnie Schrumpf: Die Akzeptanz der eID (Anm. d. Red. Offizielle Bezeichnung gegenüber den Ausweisinhabern ist auch „Online-Ausweis“ oder „Online-Ausweisfunktion“) unter den Banken und ganz generell ist überschaubar. Es gibt zwar unter www.personalausweisportal.de eine Anbieterübersicht, allerdings ist die nicht vollständig. Mir fallen spontan, neben der ING, die Comdirect, N26 und vereinzelte Sparkassen oder auch Scalable ein.

Ab wann muss die eID denn verbindlich von allen Banken und Sparkassen angeboten werden?

Schrumpf: Eine eID Verpflichtung selbst gibt es nicht. Allerdings werden unter anderem Banken durch die eIDAS 2.0-Verordnung der EU verpflichtet, ab voraussichtlich 2027 die European Digital Identity (EUDI) und die dazugehörige Wallet akzeptieren zu müssen. Bei der EUDI handelt es sich um eine Art europäischen Personalausweis für das Smartphone, mit dem ich mich ab 2027 gegenüber der Verwaltung, Wirtschaft und auch Banken ausweisen kann. Die EUDI wird vom jeweiligen Mitgliedsstaat herausgegeben. Um in Deutschland eine EUDI auf dem Smartphone speichern zu können, benötigt man nach aktuellem Stand seine eID. Man kann also von einer indirekten Akzeptanzpflicht sprechen.

Woran hapert es, dass bisher so wenig Institute mit der eID arbeiten?

Schrumpf: Um auf diese Frage antworten zu können, müssen wir kurz in die Geschichte der eID einsteigen. Die eID wurde 2010 gelauncht, die eigentliche Entwicklung begann aber wesentlich früher, ich schätze mal um 2005. Zu dieser Zeit haben wir als User digitale Dienste überwiegend über einen PC oder Notebook genutzt – das iPhone, das erste Smartphone überhaupt, kam ja erst 2007 auf den Markt.

Die Entwicklung der eID orientierte sich damals also zu Recht am Nutzerverhalten und deren Bedürfnisse. Und um die eID an einem PC auslesen zu können, brauchte man damals     wie heute ein Lesegerät. Die Bundesregierung hat die Kartenlesegeräte damals auch subventioniert, die man unter anderem über die Krankenkasse oder über Printmedien kostenlos erhalten konnte. Leider wurden diese Geräte kurze Zeit später vom Bund selbst als nicht sicher deklariert – es fehlte den Kartenlesegeräten die Tastatur. Das und die Tatsache, dass Bürger und Bürgerinnen der Aktivierung der eID aktiv zustimmen mussten, trug nicht zur Akzeptanz und somit zum Erfolg der eID bei.

Ein weiterer Faktor ist die Tatsache, dass sich die Technologie und unser Nutzerverhalten rasant verändert hat. Innerhalb kürzester Zeit ist das Smartphone in das Zentrum gerückt und immer mehr Services, auch Banking, werden heute selbstverständlich über das Smartphone genutzt.

biallo.de im Interview mit Ronnie Schrumpf von der ING

Könnte man sagen, dass das veränderte Nutzerverhalten schuld ist, dass die eID nicht so akzeptiert wird?

Schrumpf: Ja. Leider kann die Verwaltung damals wie heute mit der Veränderungsschnelligkeit nicht Schritt halten. Das hat dann der Markt selbst erledigt. Im Jahr 2014 kam erstmalig die Videolegitimation auf den Markt und war von Beginn an ein voller Erfolg. Sehr zum Missfallen des BMI und BSI, die mit Verboten und Restriktionen versucht haben, die Videolegitimation unattraktiv zu machen in der Hoffnung, dass die Banken auf die eID setzen. Nur haben Smartphones keine USB Buchse – die Folge eines Verbots wäre gewesen, dass Kunden weiterhin Postident hätten nutzen müssen, was alles andere als digital gewesen wäre.

Die eID hat also ein nachhaltig schlechtes Image. Ich bin aber auch der Überzeugung, dass es Zeit ist für ein Umdenken. Auch wenn es lange gedauert hat: Die Bundesregierung hat ihre Hausaufgaben gemacht. Anstelle eines Kartenlesegeräts kann man das Smartphone nutzen, die eID ist automatisch aktiviert und einen neuen PIN-Brief kann ich kostenlos beantragen und bekomme ihn nach Hause geschickt. Die bisherigen Barrieren sind also abgebaut – jetzt liegt es an der Wirtschaft, entsprechende Anwendungsfälle anzubieten.    

Wo genau liegt das Problem?

Schrumpf: Aufgrund des schlechten Images und der Tatsache, dass laut der aktuellen Studie des eGovernmentmonitors 2023 nur 14 Prozent der Befragten sagen, dass sie die eID schon mal genutzt haben, werden gerade die knappen IT-​Ressourcen in Verfahren investiert, die eine höhere Reichweite haben. Auch das ist verständlich, sind doch manuelle oder automatisierte Videoidentverfahren mit weniger Barrieren nutzbar. Aber wie soll die eID eine höhere Reichweite erreichen, wenn die Nutzer und Nutzerinnen keine Anwendungsmöglichkeiten haben?

Das ist nicht logisch, obwohl die eID gegenüber allen anderen Verfahren nur Vorteile hat: Sie ist rechtssicher, sie kostet sehr wenig und der Großteil der Bürger und Bürgerinnen hat, ohne es zu wissen, eine aktive eID im Portemonnaie.

Wie oft haben Sie die eID persönlich schon genutzt?

Schrumpf: Im Rahmen von Tests sehr oft – in der Praxis habe ich die eID genutzt, um einen Blick in mein Rentenkonto zu werfen, meine Steuererklärung abzugeben und um meine elektronische Patientenakte (ePA) zu beantragen.

In welchen Bereichen kann die eID noch genutzt und eingesetzt werden?

Schrumpf: Man kann die Anwendungsfälle in die Bereiche Verwaltung und Wirtschaft unterteilen. Eine nicht vollständige Übersicht findet man unter www.personalausweisportal.de. Das gibt einem ein Gefühl über die Einsatzmöglichkeiten. Da kann man aber auch die Fantasie spielen lassen: im Grunde kann man sagen, dass man überall dort, wo es wichtig ist, dass ich mich als Nutzer mit meinem echten Namen identifizieren muss, also meinen Ausweis in die Kamera halte, auch die eID einsetzen kann beziehungsweise könnte.

Wie erkenne ich, ob mein Personalausweis eine eID hat?

Schrumpf: Dazu benötigt man seinen Personalausweis, ein Smartphone und die aktuelle Version der AusweisApp, die man in jedem App-Store (Anm. d. Red.: Google Play Store, App Store Apple) findet. Hat man sich die AusweisApp installiert, findet man dort den Menüpunkt „Gerät und Ausweis prüfen“.

Und wenn man dann auf „Prüfung starten“ klickt, muss man seinen Ausweis an das Smartphone halten, wie es auf dem Gerät beschrieben ist, korrekt?

Schrumpf: Genauso ist es.

Ist die Online-Ausweisfunktion automatisch aktiviert?

Schrumpf: Ja – bei Ausweisen, die ab 2017 ausgegeben werden (Anm. d. Red: Ausnahme ist der Personalausweis für Kinder). Bis dahin musste man bei der Beantragung/Abholung des Personalausweises die eID aktivieren – seit 2017 kann man der Aktivierung der eID widersprechen. Ab 2027 werden nur noch Ausweise mit aktivierter eID im Umlauf sein. Die Widerspruchsquote wird sehr gering ausfallen.

Kann man die eID auch nachträglich aktivieren?

Schrumpf: Am einfachsten geht das online über www.pin-ruecksetzbrief-bestellen.de. Hier kann man sich neben einem Aktivierungs-Code auch eine neue PIN nach Hause bestellen, falls man seinen PIN-Brief nicht mehr findet. Voraussetzung ist, dass man über einen Personalausweis oder eine eID-Karte besitzt, eine aktuelle Meldeadresse hat und die AusweisApp auf dem Smartphone installiert hat.

Alternativ kann man die eID auch in seinem örtlichen Bürgerbüro aktivieren oder sich eine neue PIN setzen. Inhaber eines elektronischen Aufenthaltstitels (dieser enthält auch eine eID) können diesen Service nur vor Ort in ihrer Ausländerbehörde nutzen. In jedem Fall ist die Aktivierung und PIN Neusetzung für alle kostenlos.

Seit Anfang 2021 gibt es auch eine eID-Karte. Warum braucht es diese zusätzliche Karte überhaupt, wenn der Online-Ausweisfunktion ohnehin seit Mitte 2017 in jedem neuen Personalausweis aktiviert ist?

Schrumpf: Die eID ist quasi ein eigenständiges Identifikationsverfahren, das Teil deutscher Ausweisdokumente ist. Bei deutschen Staatsangehörigen befindet sich die eID im Personalausweis, für aufenthaltsberechtigte Nicht-EU Bürger befindet sich die eID im elektronischen Aufenthaltstitel.

Da sich EU Bürger auch ohne Aufenthaltstitel in Deutschland aufhalten dürfen und sie üblicherweise über Ausweisdokumente ihres Heimatlandes verfügen, die keine deutsche eID enthalten, wurde für diese Gruppe und für Angehörige des EWR-Raums (etwa Norwegen) sowie für die Schweiz die eID-Karte entwickelt. Sie wird auch Unionsbürgerkarte genannt, kostet so viel wie der Personalausweis und kann nur im digitalen Raum eingesetzt werden. Bis Mitte 2022 wurden davon circa 10.000 Karten ausgegeben.

Für wie sinnvoll halten Sie die Online-Ausweisfunktion?

Schrumpf: Für absolut sinnvoll. Aus ganz unterschiedlichen Gründen. Aus der Kundenperspektive ist es das datensparsamste, sicherste und schnellste Verfahren. Es werden nur die Daten ausgelesen, die wirklich benötigt werden. Keiner sieht, wie ich aussehe und ich muss nicht einem Videoident-Agenten oder einem Bankmitarbeiter einen Blick ins Wohnzimmer gewähren. Und anstatt viele Minuten damit zu verbringen, auf die Annahme des Videocalls zu warten oder den Ausweis vor dem Smartphone hin und her zu kippen, halte ich einfach meinen Ausweis hinter das Smartphone und gebe meine PIN ein. Das dauert zehn Sekunden. Die größte Herausforderung ist das Finden der NFC Antenne auf der Rückseite des Smartphones – das ist aber eine Frage der Gewohnheit.

Aus der Bankperspektive ist das eID Verfahren natürlich das unschlagbar günstigste Verfahren – je nach Implementierung zahlt man wenige Cents bis hin zu wenigen Euros. Mit Blick auf die gesetzlich vorgeschriebenen Kontrollmaßnahmen ist die eID im Vergleich zu anderen Verfahren mit wenigen Aufwänden zu managen. Und bei Einsatz der eID wird in Echtzeit geprüft, ob der Ausweis gestohlen wurde – der Einsatz von als gestohlenen gemeldeten oder gefälschten Ausweisen ist bei der eID ausgeschlossen.

Das einzige Risiko, was ich sehe, ist die Tatsache, dass man nicht weiß, wer die eID eingesetzt hat. Einen Personenabgleich gibt es nicht. Das ist aber wie bei der Girocard oder den Log-In-Daten zum Banking: Die PIN ersetzt das Gesicht. Und da vertrauen wir ja auch drauf, dass nur der Kunde die PIN kennt. Mit Blick auf 2027 und die Tatsache, dass man nur über die eID an die EUDI kommt, ist es mehr als logisch, dass wir jetzt die Zeit nutzen müssen, über Anwendungsfälle die eID in den digitalen Alltag unserer Kunden und Kundinnen zu integrieren. Und die Verantwortung liegt bei der Wirtschaft.

Wie funktioniert die Legitimation etwa bei Kontoeröffnung mit der eID des Online-Personalausweises?

Schrumpf: Dazu müssen mehrere Voraussetzungen erfüllt sein. Der Kunde muss über eine aktivierte eID verfügen, die PIN kennen, ein NFC fähiges Smartphone besitzen (das ist aber die Regel) und eine eID fähige App installiert haben. Der Anbieter, in unserem Beispiel die Bank wiederum muss Zugang zum eID-Ökosystem haben. Hier gibt es verschiedene Wege. Die ING arbeitet mit der Deutschen Post AG zusammen, die die eID in ihr PostID Portal integriert hat.

Die Legitimation bei einer Kontoeröffnung ist einfach. Der Kunde installiert auf seinem Smartphone die PostID App (=eID fähige App), wählt dann in der App die Online-Ausweisfunktion aus und folgt den Anweisungen auf dem Smartphone. Er hält seine eID an die NFC Antenne des Smartphones und gibt seine PIN ein. Das dauert je nach Übung nicht länger als zehn Sekunden. Wir rufen dann die Daten ab und innerhalb von wenigen Momenten ist der Kunde legitimiert.

Im Übrigen bieten wir jetzt neben Videoident und Filial-Identifikation seit November 2022 auch die eID an. Jeder dritte Kunde wählt als Erstes im PostID-Portal die Online-Ausweisfunktion aus. 40 Prozent davon stellen dann leider fest, dass sie die Voraussetzungen nicht erfüllen (überwiegend wegen der fehlenden PIN). Aber der überwiegende Teil kann die eID erfolgreich nutzen. Das sind am Ende circa 15 bis 20 Prozent unserer Kunden und Kundinnen.

Das ist ein ​guter Wert und zeigt, dass das Interesse größer ist als die 14 Prozent, die sagen,  dass sie die eID schon mal genutzt haben. Wir haben beide Gruppe, nach einem Feedback gefragt – egal ob sie die eID erfolgreich nutzen konnten oder auch nicht: Die Befragten würden die eID ihrer Familie und Freunden weiterempfehlen.

Was hat es mit der BundID auf sich?

Schrumpf: Die BundID ist in erster Linie eine App, vergleichbar mit einer Banking-App. Über die BundID können zukünftig digitale Verwaltungsleistungen genutzt werden, so wie ich über die Banking-App an der Börse handeln kann oder Geld überweise. Die BundID wird auch ein digitales Postfach enthalten, über die mir zukünftig die Verwaltung rechtssicher Bescheide übermitteln kann.

Voraussetzung für die Nutzung der BundID-App ist die Anlage eines Profils – eben der BundID. Das Profil lege ich an, in dem ich mich mit meiner eID in der BundID-App identifiziere. Auch das ist vergleichbar mit einer Banking-App. Ich brauche erst ein Profil in Form eines Kontos und hier muss ich mich ja auch identifizieren und erhalte dann im Anschluss Zugangsdaten.

Vielen Dank für das Interview, Herr Schrumpf.