Wie Unternehmen die E-ID sicher und effizient einsetzen

(Source: Netzmedien)

(Source: Netzmedien)

Sie hat bereits eine bewegte Geschichte hinter sich: Das Stimmvolk bescherte ihr im Frühling 2021 eine krachende Niederlage, dann im September 2025 einen zittrigen Sieg, und bald schon wird sich zeigen, ob sie im Alltag wirklich zu überzeugen vermag. Die elektronische Identität - kurz E-ID - kommt. Laut dem Bund soll es im Dezember 2026 soweit sein. 

Was die E-ID einem Unternehmen bietet, wie sie sich einsetzen lässt und was wir heute schon tun können, um beim Start bereit zu sein, zeigten Netzmedien in einem Webinar - unterstützt von Adnovum als Sponsor.

E-ID-Ökosystem und Vertrauensinfrastruktur

Zu Beginn des Webinars erklärte Daniel Galley, zuständig für den Aufbau des E-ID-Ökosystems beim Bundesamt für Justiz (BJ), wie es um den aktuellen Stand der E-ID steht. Da das Schweizer Stimmvolk die E-ID mit einem knappen Ja-Anteil von nur 50 Prozent angenommen hat, habe das BJ zusätzliche Massnahmen ergriffen, um die Akzeptanz in der Bevölkerung zu stärken. Dabei geht es laut Galley insbesondere um die Themen Datenschutz, Transparenz und Sicherheit. Damit das E-ID-Gesetz demnach wie geplant am 1. Dezember 2026 in Kraft treten kann, müssten "die Sicherheitsanforderungen erfüllt, die Barrierefreiheit gewährleistet und alles rund um die Stimmrechtsbeschwerden geklärt sein". 

Daniel Galley, verantwortlich für das E-ID-Ökosystem beim Bundesamt für Justiz. (Source: Screenshot)

Zudem wichtig für das Thema Ökosystem sei "die potenzielle Staffelung der Vertrauensinfrastruktur". So werde die Ausstellung der E-ID zu Beginn nicht unmittelbar, sondern zunächst über eine Warteschlange erfolgen. Dies soll gemäss dem Referenten dabei unterstützen, ein möglichst reibungsloses Go-Live zu meistern. 

Die Struktur der Vertrauensinfrastruktur erklärte Galley anhand der offiziellen grafischen Darstellung des BJ: Auf der linken Seite stehen die Ausstellerinnen - Organisationen, die digitale Nachweise bereitstellen -, auf der rechten die Verifikatorinnen - Organisationen, die diese Nachweise prüfen. Basis- und Vertrauensregister würden als "Vertrauensanker" dienen, die sicherstellen, dass sowohl Ausstellerinnen als auch Verifikatorinnen authentisch und vertrauenswürdig sind. Für die Endnutzerinnen und Endnutzer sei die sogenannte Swiyu-Wallet als zentrales Werkzeug vorgesehen: Über sie können die digitalen Nachweise empfangen, verwaltet und vorgezeigt werden.

Eine Übersicht der Vertrauensinfrastruktur, die das Fundament der E-ID bildet. (Source: admin.ch)

Galley betonte, dass das Ökosystem und damit "alles, was nebst der E-ID kommen könnte, genauso wichtig ist wie die E-ID selber". Hinsichtlich dieses Ökosystems spreche man auch von drei Ambitionsniveaus. Ambitionsniveau 1 sei die staatliche E-ID - "das Herz des Ganzen", wie Galley sagte. Ambitionsniveau 2 seien alle anderen staatlichen Nachweise, die von Gemeinden, Kantonen oder Bund kommen könnten - dazu zählen zum Beispiel der digitale Fahrausweis oder die digitale Wohnsitzbestätigung. Und Ambitionsniveau 3 stellen laut dem Bundesangestellten alle anderen privaten Nachweise dar, die von Wirtschaft und Gesellschaft kommen, wie etwa Krankenkassenkarten oder Kundenkarten. 

Insbesondere Akteure aus Wirtschaft und Gesellschaft, also aus dem Ambitionsniveau 3, benötigen laut Galley ein gutes Verständnis für das strategische Potenzial von Swiyu, eine unabhängige Koordination pro Sektor und dass auch eine branchenübergreifende Zusammenarbeit stattfindet. Dazu hat das BJ zwei Labels lanciert: Swiyu Ambassadors und Swiyu Orchestrator.  

"Im Internet weiss niemand, dass du ein Hund bist"

Strategisch betrachtet fülle die E-ID einen bislang fehlenden Vertrauenslayer im Internet, sagte Daniel Säuberli, Präsident der Digital Identity and Data Sovereignty Association (Didas). "Im Internet weiss niemand, dass du ein Hund bist", zitierte der Referent dazu einen bekannten Cartoon aus dem Magazin "The New Yorker". Die elektronische Identität und ihre zugrunde liegenden Mechanismen sollen genau dieses Problem adressieren, "um andere digitale Nachweise systematisch zu ermöglichen und ein Vertrauenslayer im Internet einzufügen, der uns mit viel Autonomie und Selbstbestimmtheit ausstatten wird", erklärte Säuberli. 

Daniel Säuberli, Präsident von Didas. (Source: Screenshot)

Die E-ID eröffnet demnach neue Möglichkeiten, unter anderem für nutzerzentrierte Workflows und personenzentrierte Prozesse. Über die standardisierten Protokolle von Swiyu können laut Säuberli sektorenübergreifend sowie zwischen Staat und Privatwirtschaft digitale Prozesse automatisiert werden. Damit adressiere die Infrastruktur nicht nur Identitätsnachweise, sondern auch andere digitale Nachweise, die bisher schwer von Papier in die digitale Welt überführt werden konnten. Gleichzeitig bringe die Einführung neue Anforderungen an Governance, Standardisierung und IT-Organisationen mit sich, die sich auf komplexe Abläufe einstellen müssen.

E-ID als digitale Infrastruktur der Schweiz

Kristof Hertig, Senior Program Manager im Bereich Emerging Technologies and Digital Ecosystems beim Verband Digitalswitzerland, verglich die Infrastruktur der E-ID mit einer digitalen Basisinfrastruktur, ähnlich wie Strassen und Stromnetze. Er betonte, dass es nun in der Schweiz auch an der Zeit sei, "sichere digitale Strassen und Infrastrukturen aufzubauen" - und die E-ID biete hierfür ein exzellentes Vertrauensnetzwerk, auf dem sich auch private Use Cases aufbauen liessen. "Das stärkt die digitale Souveränität der Schweiz, es stärkt die digitalen Kompetenzen der Schweiz, und es stärkt die digitale Selbstbestimmung von Unternehmen und Privatpersonen, sodass sie sich in diesem Ökosystem wirklich selbstbestimmt und sicher bewegen können", ergänzte der Referent. Dazu nannte er einige Beispiele, wie etwa die Vereinheitlichung digitaler Identifikationsverfahren für den Finanz- und Versicherungssektor oder die rechtsverbindliche Altersverifikation im E-Commerce-Bereich.

Kristof Hertig, Senior Program Manager Emerging Technologies and Digital Ecosystems bei Digitalswitzerland. (Source: Screenshot)

Hertig betonte zudem, dass die E-ID sehr sicher und datensparsam gestaltet sei: Die Daten bleiben ausschliesslich auf dem Gerät und werden nicht in einer Cloud gespeichert, wie er sagte. Zudem sorgen neue Massnahmen zur Unverknüpfbarkeit laut dem Referenten dafür, dass weder Unternehmen noch Verifikatorinnen den Einsatz der E-ID nachverfolgen können - in puncto Sicherheit sei sie der physischen ID in vielen Belangen sogar überlegen. 

Im weiteren Verlauf des Webinars fasste Daniel Galley zudem noch zusammen, wie die drei Organisationen - die Schweizerische Eidgenossenschaft beziehungsweise das BJ, Didas und Digitalswitzerland - zusammenspielen:

• Das Bundesamt für Justiz fungiere als Fachbereich für die E-ID und koordiniere den Aufbau des Swiyu-Ökosystems sowie die Kommunikation gegenüber der Öffentlichkeit.
• Die Didas sei als neutraler Vernetzer von Akteuren für gemeinsames Lernen verantwortlich.
• Digitalswitzerland setze sich als Ambassador für die Vergrösserung der Sichtbarkeit der E-ID auf nationaler Ebene ein sowie für die Verknüpfung mit anderen Themen wie der Cybersicherheit.  

Praktische Integration und Datenfreigabe

Axel Schild, Senior IAM Engineer im Bereich Digital Identity & Swiss E-ID Offering beim IT-Dienstleister Adnovum, ergänzte, dass auch Softwareunternehmen eine Rolle einnehmen werden, damit Firmen praktisch an der E-ID-Vertrauensinfrastruktur teilnehmen können. Im Fokus stünden dabei Fragen zu Anwendungsfällen, technischer Integration und Compliance-Anforderungen, etwa in HR-Systemen oder Identitätsverwaltungssoftware. Die Fragen können laut Schild sehr unterschiedlich sein, "je nachdem, welche Anwendungen man verfolgt". Ziel sei es, eine sichere und funktionierende technische Basis für die Teilnehmenden des Ökosystems zu schaffen.

Dazu, wie die Weitergabe von E-ID-Daten praktisch funktioniert, erklärte Daniel Galley im anschliessenden Q&A, dass Verifier konkrete Daten abfragen und die Nutzerinnen und Nutzer dies entweder bestätigen oder ablehnen können - eine selektive Freigabe einzelner Daten sei aber nicht möglich. Zudem betonte er, dass Transparenzmassnahmen sicherstellen, dass Verifier nur die deklarierten Daten abfragen und Abweichungen als Warnung im Wallet angezeigt würden. Auch die Übertragbarkeit der E-ID bei Gerätewechsel oder Verlust wurde geklärt: Die E-ID bleibe an das Gerät gebunden und eine erneute Ausstellung wird laut Galley jedoch kostenlos sein. 

Hinsichtlich Implementierung für Organisationen rieten die Referenten in der Fragerunde, bereits mit der derzeit verfügbaren Public Beta des Bundes zu experimentieren. Neben der technischen Integration müssten Unternehmen jedoch auch interne Prozesse, Governance und rechtliche Fragen klären. Für einfache Anwendungsfälle wie eine Altersverifikation in einem Webshop sei der Aufwand überschaubar, da zentrale Komponenten der Infrastruktur als Open Source vom Bund bereitgestellt werden.

Hier geht es zur vollständigen Videoaufzeichnung des Webinars.

Der Kenncode lautet: Ya8!!=i!

Und die Slides der Präsentation können Sie hier als PDF herunterladen.