Kritik am alten E-ID-Gesetz

[KasparEtter]

Ich möchte hier meine fachliche Kritik am alten E-ID-Gesetz verlinken, damit die Neuauflage besser herauskommt: https://e-idblog.ch/2021/02/26/fachliche-kritik-am-e-id-gesetz-gastbeitrag/

Ein wichtiger Aspekt, den ich in einem Folgeartikel behandelte, ist die Abstreitbarkeit von Authentifizierungen: https://e-idblog.ch/2021/03/07/abstreitbarkeit-von-authentifizierungen/

[grt-dti]

ich wünsche mir, dass du das gleiche Engagement auch für's neue Gesetz an den Tag legst wie in der fachlichen Kritik am alten BGEID - dort wird zwar SSI draufstehen, aber es werden die gleichen Probleme drin sein wie im alten BGEID.
Das Problem an einem E-ID-Gesetz ist nämlich leider nicht die Technik oder Technologie, sondern das Business, welches es mittels Technik und Technologie zu unterstützen gilt.
Man hätte die IdP-Technik (bitte nicht Technologie!) genau so "gut" machen können, wie man die SSI-Technik "schlecht" machen kann - weder SSI noch IdP sind per se gut oder schlecht; es sind die Umsetzungen die es "gut/besser" oder "schlecht/schlechter" machen. Nur weil ich ein paar Tätigkeiten von einem Schreibtisch auf einen anderen verschiebe (und das dann Selbst- oder Fremdbestimmtheit nenne), ist die Gesamtlösung nicht besser oder schlechter.....

Die von dir aufgebrachte Frage der Abstreitbarkeit der Authentifizierung ist ein ganz ekliges Thema, weil es zwei Probleme (die partiell zusammengehören) total vermischt:
a. Identifikation der handelnden Person mittels elektronischer Mittel in einem virtuellen Raum
b. Bekundung eines Willens (z.B. 2 Maserati auf Kredit zu kaufen)
Wir Menschen neigen sehr stark dazu, Problemstellungen, die ähnlich klingen, in einen Topf zu werfen, kräftig umzurühren und dann diesen Einheitsbrei jemandem zum Essen vorzusetzen - sehr zum Leidwesen des Topfes, der Zutaten und des Essenden.
Man kann eine Identifikation (ich vereinfache das Szenario jetzt bewusst damit der Text nicht so lang wird) nur schwerlich plausibel abstreiten - eine Willensbekundung aber schon.

• Eine Identifikation hat stattgefunden, mit einer Menge an bekannten/verstandenen, in ihrer Verlässlichkeit beschriebenen Evidenzen; die Güte der Identifikation ist berechenbar und dies völlig unabhängig vom Willen oder Zutun des Identifizierten - die Kalkulation der Güte kann man nicht abstreiten; man kann sie in Zweifel ziehen, aber das ist etwas ganz anderes.
• Eine Willensbekundung kann stattgefunden haben oder nicht; sie kann beobachtet worden sein oder nicht; der Inhalt des Willens (den man bekundet) kann unpräzise/missverständlich formuliert sein; ja sogar die Identität der bekundenden Person kann falsch sein (dann sind wir wieder bei der Identifikation). Viele dieser "Problemvektoren" kann man in Zweifel ziehen (Identifikation, Beobachtungen), aber den Inhalt des Willens exakt so verstanden und die Intention diesen bekundet zu haben, den kann man abstreiten.

Das sind also zwei paar Schuhe mit extrem unterschiedlichen Schuhgrössen - wieso mach ich diese Unterscheidung?
Man kann die gleiche technische Funktion namens "Authentifizierung" für beide Problemstellungen (Identifikation und Willensbekundung) verwenden - die kann einen (Teil-)Beitrag zur Lösung dieser Problemstellungen bieten; sie können aber niemals die gesamthafte Lösung sein, weil da noch ganz viele weitere technische Funktionen fehlen bevor die Problemstellung gelöst ist. Dazu kommt, dass es alles technische Vorgänge sind; die kann man nicht abstreiten, sondern allenfalls nur in Zweifel ziehen. Man kann abstreiten, das Credential präsentiert zu haben; man kann abstreiten, die PIN eingegeben zu haben; aber man kann die zertifikatsbasierte Authentifizierung nicht abstreiten.

Warum führe ich das so breit aus?
Wir müssen diese beiden Dinge (Identifikation und Willensbekundung) bewusst auseinander nehmen und vorsätzlich (risikogerecht) durch andere technische/technologische Lösungsmuster unterstützen, so dass die Gesamtheit des Geschäftsproblems dem Geschäftsbedarf angemessen gelöst wird. Zu erwarten, dass mit einer Authentifizierung sowohl Identifikation als auch Willensbekundung gelöst wären, wird dem Bedarf an Verlässlichkeit beider Vorgänge nicht gerecht.....

[KasparEtter]

ich wünsche mir, dass du das gleiche Engagement auch für's neue Gesetz an den Tag legst wie in der fachlichen Kritik am alten BGEID

Da ich mitgeholfen habe, das alte BGEID zu Fall zu bringen, fühle ich mich schon ein bisschen in der Pflicht, bei dieser transparenteren und offeneren Neuauflage meinen Beitrag zu leisten. Aus diesem Grund dachte ich mir, dass ich mich nun mal zumindest in diesem Forum etwas einbringen sollte. Wie weit meine Geduld und Energie reicht, werden wir sehen.

Deinen restlichen Ausführungen kann ich nicht wirklich folgen. Zertifikatsbasierte Authentifizierung bedeutet für mich, ein Credential (mit (Zero-Knowledge) Proof of Ownership) zu präsentieren. Weshalb man nur das eine, nicht aber das andere, abstreiten können soll, verstehe ich nicht. Non-Repudiation und Plausible Deniability haben in der Kryptographie eine ziemlich genaue Bedeutung. Wie schon beim ersten Artikel wollte ich beim zweiten Artikel die Frage aufwerfen: Was will man eigentlich von einer E-ID? Vermutlich ist in diesem Fall die Antwort: Beides (sowohl Abstreitbarkeit als auch Nicht-Abstreitbarkeit – je nach Use Case). Aus diesem Grund würde ich einfach das ZertES mit tieferen Niveaus und zusätzlichen Verwendungszwecken ergänzen.

[grt-dti]

was will man an einer zertifikatsbasierten Authentifizierung abstreiten - um es präziser zu machen:
Was will man an einer auf der Präsentation eines elektronischen Zertifikats basierten Identifikation einer Person in einem virtuellen Raum (das ist eine komplizierte aber präzise Formulierung für "zertifikatsbasierte Authentifizierung") abstreiten können?
a. das dieser Vorgang überhaupt stattgefunden hat: die Tatsache, dass dieses Verfahren "durchgelaufen" ist, ist bereits Beweis genug
b. das das Verfahren nicht verlässlich ist: das ist kein Abstreiten, sondern in Zweifel ziehen
c. das dieser Vorgang nicht mit meiner Einwilligung oder ohne meine Kontrolle stattfand: das ist unerheblich, weil es passiert ist und damit die Identifikation stattfand
d. das nicht ich, sondern eine andere Person dieses Identifikationsverfahren durchgeführt hat und meine ID missbräuchlich impersoniert hat: das könnte man abstreiten, aber wäre auch dann unerheblich, weil aus der reinen Identifikation keine weiteren Pflichten für die identifizierte Person erwachsen. Sollten sich tatsächlich weitere Pflichten ergeben, so MUSS die Einwilligung zur Übernahme dieser (zusätzlichen) Pflichten separat erfolgen, weil der handelnden Person diese Pflichten zum Identifikationszeitpunt überhaupt nicht bewusst gewesen sein können und darum nicht einfach überbunden werden können.

Du siehst, weder auf der geschäftlichen Ebene die Identifikation noch auf der technischen Ebene die zertifikatsbasierte Authentifizierung geht wirksam abzustreiten; man kann sie in Zweifel ziehen und die Zweifel kann man mit Evidenzen (bei SSI- deutlich schwieriger zu bewerkstelligen als bei IdP-Lösungen) ausräumen (oder eben bestätigen). Es fehlt schlicht an der Wirksamkeit des Abstritt oder an der Möglichkeit eines Solchen......
Entscheidend für deine effektive Problemstellung - dem Hintergrund deines Blogeintrags - ist aber die Frage, ob man aus der reinen Identifikation nachfolgend Pflichten übertragen bekommen darf; die Frage, ob man sich die Rechtswirkung der Handlungen einer Identität (im virtuellen Raum) zuschreiben lassen will/muss oder eben nicht. Deine Problemstellung dreht sich eben nicht um die Authentifizierung, sondern um die darin vermutete Willensbekundung.
Und hier ist der Gesetzgeber extrem eindeutig: eine solche Willensbekundung muss freiwillig, persönlich (oder durch Bevollmächtigte) und konkludent erfolgen. Spätestens an der Konklussion wird jede triviale zertifikatsbasierte Authentifizierung, welche nur unter der Bezeichnung als "Login" und eben nicht "Autorisation" oder "Willensbekundung" firmiert, scheitern.
Genau darum muss man die beiden Vorgänge Identifikation und Willensbekundung trennen, so dass man die Identifikation anzweifeln und die Willensbekundung abstreiten kann - das gibt dann erst die notwendige Rechtssicherheit in der Anwendung zertifikatsbasierter Authentifizierungsverfahren.....

[christianheimann]

Da ich mitgeholfen habe, das alte BGEID zu Fall zu bringen, fühle ich mich schon ein bisschen in der Pflicht, bei dieser transparenteren und offeneren Neuauflage meinen Beitrag zu leisten. Aus diesem Grund dachte ich mir, dass ich mich nun mal zumindest in diesem Forum etwas einbringen sollte.

@KasparEtter Ich danke für diese positive Einstellung und deine Beiträge.