Darum geht es beim E-ID-Gesetz

Wer online einkaufen und Dienstleistungen beziehen möchte, muss sich identifizieren – meist mit Benutzernamen und Passwort, manchmal auch mit anderen Angaben. Bisher gibt es für solche Identifizierungsdienste weder Regeln noch Sicherheitsgarantien. Das will das Bundesgesetz über elektronische Identifizierungsdienste (BGEID) ändern.

Die Abstimmungsfrage lautet:
Wollen Sie das Bundesgesetz vom 27. September 2019 über elektronische Identifizierungsdienste (E-ID-Gesetz, BGEID) annehmen?

Das E-ID-Gesetz schafft eine rechtliche Grundlage für die E-ID (siehe weiter unten: Was ist eine E-ID?). Bundesrat und Parlament empfehlen ein Ja. Zu den Befürwortern zählen ausserdem zahlreiche Wirtschaftsverbände wie Economiesuisse oder Swico sowie die Parteien SVP, FDP, CVP, BDP und EVP.

Am 12. Februar 2020 kam das Referendum zustande. Es wird von der Digitalen Gesellschaft, der unabhängigen Schweizer Kampagnenorganisation Campax, der Demokratie-Plattform We Collect und dem Verein Public Beta getragen. Zu den Unterstützerinnen des Referendums gehören neben den Parteien SP, Grünliberale, Grüne und Piratenpartei unter anderem Syndicom, Grundrechte.ch und Senioren-Vereinigungen. Auch acht Kantone verwehren dem Gesetz ihre Unterstützung.

Das Komitee ist nicht grundsätzlich gegen eine E-ID, wehrt sich aber entschieden gegen die Zusammenarbeit des Staates mit Privaten, welche die E-ID ausstellen sollen. Dadurch käme es zu einem «historischen Systemwechsel». Es dürfe nicht sein, dass sensible Personendaten künftig von privaten Unternehmen verwaltet werden. Das Referendumskomitee kritisiert, dass sich der Bund mit dem Gesetz über den Willen der Bevölkerung hinwegsetzen will. In einer repräsentativen Umfrage vom Mai 2019 wollten 87 Prozent der Befragten die E-ID nicht von Privaten beziehen.

Zunächst aber zur Vorlage:

Kurz gesagt: ein elektronischer Identitätsnachweis. Wer eine E-ID besitzt, kann sich im Internet eindeutig ausweisen. Darauf hinterlegt sind Personalien wie etwa Name, Vorname und Geburtsdatum. So funktioniert die E-ID als zentrales Login für verschiedene Schweizer Websites und Dienstleister. Mit denselben Zugangsdaten lassen sich Einkäufe machen, Rechnungen bezahlen, Dokumente unterzeichnen oder Betreibungsregisterauszüge anfordern – bei privaten Unternehmen oder bei Behörden.

Es gibt sogar viele verschiedene. So zum Beispiel mit regionaler Ausrichtung (Stadt Zug) oder für einen speziellen Anwendungsbereich (eHealth). 2010 wurde mit der SuisseID ein erster Versuch gestartet, eine schweizweite digitale Identität zu schaffen. Gestützt wurde diese vom Staatssekretariat für Wirtschaft, vertrieben durch vier Anbieter, darunter Post und Swisscom. Die Anzahl Registrierungen blieb aber weit hinter den Erwartungen zurück – zu hoch waren die Einstiegshürden, zu kompliziert die technische Umsetzung, zu gering der Nutzen, zu teuer das Produkt (50 Franken pro Jahr).

Zu einem zweiten Versuch kam es 2017 mit der SwissID, hinter der die Trägergesellschaft SwissSign Group steht. Die neue Identität ist kostenlos und hat geringere Einstiegshürden. Mit einem Login können sich Nutzerinnen bei verschiedenen Schweizer Online-Diensten (auch auf der Website des Beobachters) einloggen. In In einem zweiten Schritt kann die SwissID mit Daten wie etwa Geburtstag oder Bankangaben gefüttert werden. Künftig soll sie als E-ID zertifiziert werden.

Die Nutzung ist freiwillig. Wer keine E-ID hat, kann auch weiterhin online einkaufen oder Dienstleistungen nutzen – das schreibt das E-ID-Gesetz vor. Oft ist dafür nur ein Login mit Benutzernamen und Passwort nötig, manchmal verlangen Online-Dienste aber auch eine Identifikation auf einem höheren Sicherheitslevel. «Mit der staatlich kontrollierten E-ID können künftig auch Angebote einfach im Internet genutzt werden, für die bisher oft ein Erscheinen vor Ort notwendig war, beispielsweise ein Handy-Abo abschliessen, ein Bankkonto eröffnen oder einen Strafregisterauszug bestellen», heisst es beim Bund. Es ist zwar so, dass ein Erscheinen vor Ort bei diesen Angeboten meist nicht mehr zwingend ist – trotzdem sei der Aufwand vergleichsweise gross.

Kritiker sprechen von einem sogenannten Nudging. Dabei handelt es sich um eine verhaltensökonomische Methode, bei der das Verhalten von Menschen auf vorhersagbare Weise beeinflusst werden soll. Sprich: Irgendwann werden die Hürden so gross, dass die E-ID zur einfachsten Lösung wird. Sogar das Eidgenössische Justiz- und Polizeidepartement (EJPD) schreibt: «Es ist absehbar, dass regulierte Online-Dienste, die gesetzlich dazu verpflichtet sind, für ihr Angebot eine Altersprüfung durchzuführen, über kurz oder lang nicht mehr ohne E-ID nutzbar sein werden.»

Die Ausstellung einer E-ID soll für Nutzer laut Bundesamt für Justiz «voraussichtlich kostenlos» sein. Das E-ID-Gesetz sieht dafür vier Player vor: die Nutzerin, den Bund, die Anbieterinnen und Online-Dienste.

Ein Beispiel: Will Marta Muster eine E-ID, beantragt sie diese bei einem E-ID-Anbieter (auch Identitätsdienstleister IdP genannt). Dazu gehören neben Verwaltungseinheiten der Gemeinden und Kantone vor allem private Unternehmen wie die Post, Banken oder Versicherungen. E-ID-Anbieter müssen die Anforderungen des Staates erfüllen und werden von der Eidgenössischen E-ID-Kommission (EIDCOM) kontrolliert. Wer gegen Auflagen verstösst, verliert die Zulassung.

Die E-ID-Anbieterin sendet den Antrag anschliessend an den Bund. Dieser gleicht Marta Musters Angaben mit der Datenbank des Bundesamts für Polizei (Fedpol) ab, bestätigt ihre Identität und leitet die notwendigen Daten an die E-ID-Anbieter weiter. Damit die E-ID einfach nutzbar ist, ist sie auf Trägermitteln angebracht, die schon weit verbreitet sind. Dazu gehören etwa das Handy, der Swiss Pass der SBB oder eine Bankkarte. Will Marta Muster nun ein Bankkonto eröffnen, wird die E-ID zwischen Online-Dienst und E-ID-Anbieter geprüft und bestätigt.

Der Bund arbeitet seit Jahren an der E-ID. Es kam jedoch immer wieder zu technischen und datenschutzrechtlichen Schwierigkeiten. Eine Aufgabenteilung zwischen Staat und Privaten soll nun rasch zu einer zufriedenstellenden Lösung führen: Der Staat kümmert sich um die gesetzlichen Vorgaben, bestätigt die Richtigkeit der Daten und kontrolliert die E-ID-Anbieter. Diese, meist private Unternehmen, stellen eine Infrastruktur zur Verfügung und können flexibel auf technische Veränderungen reagieren.

Diese Aufgabenteilung wird vom Referendumskomitee kritisiert. «Die Herausgabe von Identitätsausweisen muss in staatlicher Verantwortung bleiben und gehört unter demokratische Kontrolle», heisst es im Abstimmungsbüchlein. (Mehr dazu weiter unten unter Ist der Datenschutz gewährleistet?)

Die E-ID wird auf drei verschiedenen Sicherheitsniveaus ausgestellt. Folgende Personifizierungsdaten sind dafür nötig:

E-ID-Nutzerinnen können ihre Daten online einsehen und selbst bestimmen, an wen sie diese weitergeben. Ohne eine ausdrückliche Zustimmung erfolgt kein Datentransfer. Zudem werden nur diejenigen Daten weitergegeben, die für eine spezifische Transaktion nötig sind.

E-ID-Anbieter dürfen Daten nur bei der Identifizierung verwenden und nicht an Online-Dienste weitergeben. Umgekehrt haben sie auch keinen Zugriff auf Daten von Online-Diensten, zum Beispiel Gesundheits- oder Bankdaten.

Auch der Staat kann grundsätzlich nicht einsehen, wie und wo eine E-ID eingesetzt wird. Eine Ausnahme gibt es allerdings: «Wenn die Voraussetzungen für die Datenüberwachung im Rahmen von strafrechtlichen oder nachrichtendienstlichen Ermittlungen erfüllt sind, kann der Anbieter von E-ID-Leistungen zur Datenherausgabe verpflichtet werden. Die gesetzlichen Grundlagen dafür bestehen bereits», so das Polizeidepartement EJPD.

E-ID-Daten müssen unter hohen Sicherheitsstandards in der Schweiz gespeichert werden. Das E-ID-Gesetz macht strikte Vorgaben zu Datenschutz und Sicherheit der technischen Systeme. Alle Beteiligten sind verpflichtet, diese zu erfüllen. Der Bund betont, dass der Datenschutz sogar über die Vorgaben des Datenschutzgesetzes hinausgehe.

Die Gegner vergleichen die E-ID mit dem Schweizer Pass und kritisieren, dass private Unternehmen wie Banken und Versicherungen solch sensible Daten verwalten. «Mit der Kommerzialisierung der digitalen Identität wird der Bund zu einem Datenlieferanten degradiert. Das Bundesamt für Polizei würde dafür eigens eine neue Personendatenbank schaffen, um privaten Konzernen die persönlichen Daten der Bürgerinnen und Bürger zur Verfügung zu stellen», heisst es im Abstimmungsbüchlein.

Im Vergleich zu bisherigen Ausweisen wird jede E-ID-Nutzung bei einem privaten Unternehmen zentral gespeichert. Das Missbrauchspotenzial sei dadurch gross. Personen könnten lückenlos getrackt werden, der Weg zum gläsernen Kunden sei nicht mehr weit: «Es besteht die Gefahr, dass für alltägliche Vorgänge eine Anmeldung mehr und mehr nötig wird und somit Persönlichkeitsprofile erstellt werden können. Dafür lockt dann beispielsweise beim Stöbern im Online-Shop ein individueller Rabatt», heisst es im Argumentarium.

«Zahlreiche andere Länder sind der Schweiz voraus und haben bereits eigene elektronische IDs. Dieser Rückstand schwächt unseren Innovations- und Wirtschaftsstandort», heisst es auf der Website des Ja-Komitees. Erfolgreiche E-ID-Modelle seien im Ausland oft auf Initiative privater Firmen entstanden.

Das stimmt so nicht, wie die Techjournalistin Adrienne Fichter zeigt: «Fast alle Länder setzen beim Thema E-ID auf hybride Modelle, also auf eine Koexistenz von privaten und staatlichen Angeboten», schreibt sie in der «Republik». Eine Ausstellung durch Private wählen hingegen die wenigsten Länder, ähnliche Modelle gibt es in Italien und England. Staatliche Lösungen hätten sich vor allem in Ländern mit einem hohen Bewusstsein für die Privatsphäre, mit einer langjährigen Identitätskarten-Tradition und einem hohen Vertrauen in den Staat etabliert. «Die Schweiz erfüllt alle drei der genannten Kriterien. Es ist daher fragwürdig, dass es hierzulande keine staatliche Anlaufstelle geben soll», so Fichter.
 

«Heute im Ausverkauf: Journalismus», titelte die «Republik» am 20. Januar 2021, «Ringier, der Goldschatz und die Demokratie» hiess es am Tag darauf in der «Wochenzeitung». Kurz zuvor hatte Ringier bezahlte Anzeigen des Pro-Komitees aufgeschaltet und auf Facebook beworben. Eine angeblich fehlende Trennung von Redaktionsinhalt und Werbung wurde scharf kritisiert. Im Fokus der Kritik: Ringier-CEO Marc Walder. Dieser ist Präsident des Steuerungskomitees von Digitalswitzerland – einer Dachorganisation, die zusammen mit Wirtschaftsverbänden den Wahlkampf für das E-ID-Gesetz führt.

Sie fragen sich, was das mit dem Beobachter zu tun hat? Marc Walder ist ebenfalls Verwaltungsrat bei Ringier Axel Springer Schweiz AG (RASCH). Der Beobachter gehört seit 2016 zum Gemeinschaftsunternehmen der Verlagshäuser Ringier und Axel Springer.

So ist auch beim Beobachter eine Publireportage des Pro-Komitees zu sehen. Es ist nicht an der Redaktion, zu entscheiden, ob ein Inserat aus politischer Sicht «richtig» oder «falsch» ist – Redaktion und Verlag arbeiten klar getrennt. Der Verlag ist zuständig für die Inserate, die Redaktion für die journalistischen Inhalte. Werbung ist als solche gekennzeichnet. Redaktorinnen und Redaktoren haben beim Verfassen von Artikeln die volle publizistische Freiheit. Sie wählen und beleuchten Themen so, wie es aus journalistischer Sicht nötig und sinnvoll ist.

Also ja: Der Beobachter kann unabhängig über das E-ID-Gesetz berichten.