Bürgerkarte

Durch die Bürgerkarte können zwei zentrale Sicherheitsfragen bei Behördenwegen, die elektronisch angeboten werden, gelöst werden:

1. Der Bürger kann durch Verwendung seiner Bürgerkarte eindeutig und sicher von der Behörde authentifiziert werden. Dies ist beispielsweise notwendig, bevor Einsicht in die betreffenden Verfahrensdaten gewährt werden kann. Diese sichere Identifikation kann dadurch das persönliche Erscheinen bei der Behörde ersetzen.
2. Der Bürger kann auf elektronischem Weg gegenüber der Behörde eine Willenserklärung abgeben, deren Authentizität zweifelsfrei nachgeprüft werden kann. Diese Funktion ermöglicht es, Verfahren elektronisch anzubieten, für die auf herkömmlichem Weg eine schriftliche Eingabe notwendig wäre.

Der Begriff „österreichische Bürgerkarte“ steht nicht für eine spezielle Karte, die für alle Bürger gleich ist, wie beispielsweise der Reisepass. Die Bürgerkarte ist vielmehr ein Modell zur Ermöglichung elektronischer Verwaltungsverfahren, das jene Anforderungen definiert, die für sichere elektronische Abwicklung der Verwaltungsverfahren notwendig sind.

Durch diese allgemeine Definition eines Modells haben die Bürger die Wahl, welche Bürgerkarte(n) sie schließlich verwenden. Man kann also die Bürgerkarte mit einem elektronischen Ausweis vergleichen: Ausweis bedeutet ein Konzept, das unterschiedliche Ausprägungen haben kann, wie Reisepass, Führerschein, Schülerausweis oder Mitgliedsausweis. Mit Behördenverfahren sind jedoch allgemein gewisse Sicherheitsanforderungen verbunden, die amtliche Ausweisdokumente erfüllen, wie beispielsweise Reisepass, Personalausweis oder Führerschein. Mit dem Konzept Bürgerkarte kann eine elektronische Schnittstelle in den Status des amtlichen Ausweisdokuments übergeführt werden. Das kann eine aktivierte SmartCard sein (Bürgerkarte im engeren Sinne), aber auch die ID Austria.

Zusätzlich zu einem vollgültigen „Ausweis im Internet“ bietet die Bürgerkarte aber auch die Funktion der Unterschrift. Die Lösung Bürgerkarte erfüllt die Richtlinie 1999/93/EG (Signaturrichtlinie)^[5] – Österreich ist das erste Land, das diese umgesetzt hat – und daher eine qualifizierte elektronische Signatur im Sinne der Richtlinie. Das heißt, sie ist der eigenhändigen Unterschrift gleichgestellt, die Rechtswirkung entspricht der Schriftlichkeit im Sinne des § 886 ABGB.^[6]Sie ist daher der Nachweis der eindeutigen Identität einer Rechtsperson wie auch der Authentizität der Urkunde (§ 4 Abs. 1 E-GovG).^[6]

Zusätzlich geregelt ist, dass sie nicht nur die persönliche Vollmacht bestätigen kann, sondern auch diejenige in Stellvertretung für Andere registriert werden kann (§ 5 Abs. 1 E-GovG).

Die Bürgerkarte wurde schon 2003 mit der eGovernment-Initiative der österreichischen Bundesregierung^[7] eingeführt. Lange Zeit hat sie wenig Verbreitung gefunden, mit 2012 waren erst etwa knapp 200.000 Bürgerkarten in verschiedener Form im Umlauf, davon etwa je ein Drittel von Unternehmenskunden (Dienstausweise, Zutrittskarten, und ähnliches), Privatkunden (aktivierte E-Card, Bankomatkarte und ähnliches) und mit Handysignatur.^[8][9] Das sind nur etwa 2½ % der Bürger.^[8]

Anfang 2014 waren dann schon neben 150.000 SmartCards um die 300.000 Handy-Signaturen registriert, womit diese Version die viel verbreiterte ist.^[10] Nach einer Studie Mitte 2014 besitzen inzwischen 18 % der Online-Bevölkerung eine kartenlesertaugliche Bürgerkarte und 21 % die Handy-Signatur.^[11]

2015 entsprachen auch die entsprechenden Karten in Belgien, Estland, Finnland, Island, Italien, Liechtenstein, Litauen, Portugal, Schweden, Slowenien und Spanien den strengen österreichischen Bestimmungen, sodass die Ausweise dieser Länder jeweils ebenfalls gültig sind (E-Government-Gleichwertigkeitsverordnung).^[12] Ab 29. September 2018 werden alle elektronischen Identifizierungsmittel, die in anderen Mitgliedstaaten ausgestellt wurden und bestimmte Qualitätskriterien erfüllen, aufgrund der eIDAS-VO auch in Österreich anzuerkennen sein. Die E-Government-Gleichwertigkeitsverordnung wird daher voraussichtlich bis zu diesem Zeitpunkt behoben werden.^[13]

Seit 1. Jänner 2018 können auch Volksbegehren mittels Handy-Signatur oder Bürgerkarte unterschrieben werden. Dies gilt sowohl für die Abgabe einer Unterstützungserklärung als auch für die Unterzeichnung eines Volksbegehrens.^[14]

Aus technischer Sicht sind derzeit Chipkarten beziehungsweise Smartcards ein Mittel der Wahl, um den Sicherheitsanforderungen zu genügen, sowie ein Chipkartenleser und eine entsprechende Bürgerkartenumgebung (etwa Mocca).^[15] So lässt sich die e-card als Bürgerkarte aktivieren. Das Signierungs-Modell ist allerdings nicht darauf beschränkt. So sind auch das Mobiltelefon mit der ehemaligen Handy-Signatur, die ID Austria^[2] und andere Geräte des täglichen Gebrauchs, wie USB-Geräte, als Bürgerkarte umgesetzt.

Die gesetzlich geforderte Personenbindung der elektronischen Signatur (§ 4 Abs. 2 E-GovG) erfolgt über die Stammzahl einer (natürlichen oder juristischen) Person (§ 6 E-GovG). Diese wird über eine komplexe Verschlüsselung bei Einwohnern die Melderegisterzahl (ZMR-Zahl aus dem Zentralen Melderegister Österreichs), sonst die Firmenbuchnummer, die des Vereinsregisters (ZVR-Zahl), und anderes (ein Errechnen der ursprünglichen Zahl aus der Stammzahl ist nur mit prohibitiv hohem Aufwand möglich).^[16] Diese ist dann der österreichweite eindeutige Identifikator einer Person zum Zwecke der Signierung. Sie wird – mit Name, Geburtsdatum und öffentlichem Schlüssel der asymmetrischen Verschlüsselung – verschlüsselt, von der Stammzahlregisterbehörde (StZRegBeh, das ist die Datenschutzbehörde DSB) signiert, auf die Bürgerkarte geschrieben^[17] (Ausnahme: Handy-Signatur). Die Authentifizierung erfolgt über den Zertifikat-Service-Betreiber^[18] (das ist in Österreich bisher einzig die Firma A-Trust).

Behördenseits wird mit der Bürgerkarte verbundenen Stammzahl dann das bereichsspezifische Personenkennzeichen (pBK) berechnet,^[19][16] welche dann den nötigen Datenschutz sicherstellt, dass die erhobenen Daten auch nur aufgabenorientiert verwendet werden (§ 8 Eindeutige Identifikation in Datenanwendungen ff E-GovG).^[20]

Erste Ausprägungen waren ab 2003 verfügbar (Mitgliedsausweis der Österreichischen Computer Gesellschaft OCG, oder die Bürgerkarte der A-Trust). Seit 2005 konnten die neue Generation der Maestro-Karte (also der Bankomatkarte), die e-card^[21] der Hauptverbandes der österreichischen Sozialversicherungsträger, oder das Mobiltelefon über die A1-Signatur der mobilkom Austria als Bürgerkarte aktiviert werden. Die A1-Signatur der mobilkom wurde (mit 16. Oktober 2007) eingestellt. Ab Ende 2009 wurde mit der Handysignatur der A-Trust wieder eine Bürgerkarte am Mobiltelefon gestartet.^[2]

Heute sind auch weitere Funktionen möglich, so das Signieren von PDF-Dateien, elektronischen Dokumenten nach dem System des Unternehmens Adobe, die heute allgemeiner Standard sind.^[22]

In Zukunft werden weitere Anwendungen ergänzt werden, so allgemein das Abschließen von Rechtsgeschäften in e-Commerce, wo die elektronisches Signatur als amtlicher Ausweis mehr Rechtssicherheit für die Beteiligten bieten soll.

Von den Bürgerkarten gibt es folgende Ausprägungen:^[23]

• Die Aktivierung der e-card als Bürgerkarte ist kostenlos und erfolgt entweder
  • bei Aktivierungsstellen z. B. Servicestellen der Krankenkasse mittels Identitätsnachweis
  • über FinanzOnline, für dessen Zugang schon ein Identitätsnachweis erbracht werden musste
  • Anforderung eines eingeschrieben RSa-Briefes
• Weiters können Dienstausweise (so des Finanzministeriums oder Bundeskanzleramtes) und Berufsausweise aktiviert werden, auch Schülerausweise und Studentenausweise.
• Die Aktivierung von Bankomatkarten spielt heute in Österreich kaum eine Rolle.^[24]
• Zudem können andere Karten kostenpflichtig bei A-Trust direkt aktiviert oder bestellt werden (bezeichnet man dann meist als explizite Signaturkarte). Dort werden auch anderweitige Lösungen speziell für Firmenkunden angeboten (Aktivierung von betrieblichen Zugangs-Chipkarten, andere mobile Datenträger).
• Zur Aktivierung des Mobiltelefons (respektive der Mobil-Telefonnummer) siehe Handy-Signatur.

Das E-Government-Gesetz fordert für die Bürgerkarte eine qualifizierte Signatur, was zu einer Reihe von Problemen führt:

• Das Verfahren der digitalen Signatur und der Personenbindung ist so komplex, dass nur eine sehr kleine Gruppe von Experten beurteilen kann, ob die vielen Komponenten einer Signatur wirklich sicher sind, unter anderem auch, weil es bei den Anwendern keine Plattform für Trusted Computing gibt. Würde die digitale Signatur größere Verbreitung finden und dadurch für Angreifer attraktiv werden, würde das die versprochene hohe Sicherheit unterhöhlen.
• Die technische Implementierung der Bürgerkarte erfordert eine proprietäre Schnittstelle, die von Anwendungen explizit unterstützt werden muss. Industriestandards wie PKCS11 und CSP werden dagegen von Web-Browsern, E-Mail-Clients und PDF-Anwendungen breit unterstützt.

Wie erst 2009 bekannt wurde^[25], gab es bereits 2006 eine Untersuchung^[26] des SecLab der Technischen Universität Wien, die drei Schwachstellen in der Softwareimplementierung der Bürgerkartenumgebung trustDesk basic (PC-Version) aufgezeigt hat. Die Schwachstellen, die z. B. in Verbindung mit einem Trojaner ausgenützt werden können, führen dazu, dass der Benutzer andere Dokumente bzw. Inhalte signiert als angezeigt bzw. vorgesehen.

• Angriff gegen eine HTML-Seite bzw. Anwendung, wie z. B. bei Banking-Anwendungen
• Angriff gegen FinanzOnline
• Angriff gegen Mail-Verschlüsselung (Thunderbird Plugin)

Die bekannt gewordenen Schwachstellen dürften bereits vor geraumer Zeit behoben worden sein, es bleibt allerdings der Vorwurf, dass die Software zuvor durch die A-Sit als sicher zertifiziert wurde und laut der Untersuchung der TU-Wien in Verbindung mit einem Trojaner eine Veränderung des Inhalts vor der Signatur niemals, auch nicht bei anderer Bürgerkarten Software, ausgeschlossen werden kann.

Der Kartenleser wäre genauso ein mögliches Angriffsziel.^[27]

Eine Studie von 2012 zeigte, dass, obschon eGovernment in Österreich von 70 % der Einwohner genutzt wird, und Österreich damit im weltweiten Spitzenfeld liegt,^[28] die Vorbehalte gegen die Bürgerkarte als elektronischer Identitätsnachweis vergleichsweise groß ist.^[29] Bedenken bestehen bei etwa einem Fünftel der Bevölkerung insbesondere in Bezug auf Datensicherheit.^[29] Das größere Hindernis dürfte aber der Vergleichsweise aufwändige Zugang sein.^[8]

Das persönliche Sozialversicherungs-Pensionskonto^[30] ist mit der Bürgerkarte zugänglich. Dazu wurde kritisiert, dass auch private Finanzberater während eines Beratungskontaktes die Bürgerkarte aktivieren dürften, wenn sie die entsprechenden, relativ leicht erhältlichen Berechtigungen erworben hätten, und damit erleichterten Zugang zu den künftigen staatlichen Pensionsdaten bekämen.^[31]

• www.buergerkarte.at – Informationen zur Bürgerkarte auf der Webseite des A-SIT Zentrum für sichere Informationstechnologie – Austria
• Die Bürgerkarte – auf der eGovernement-Plattform des Bundeskanzleramtes digitales.oesterreich.gv.at
• Bürgerkarte, auf hELP.gv.at;

  E-Government-Anwendungen mit Bürgerkarte nach Anwendungen, nach Bundesländern/Gemeinden

• www.a-trust.at – A-Trust
• www.a-sit.at – A-SIT