Räte einigen sich auf Regeln für elektronischen Ausweis
Vor der abschliessenden Beratungsrunde in der kleinen Kammer hat ein Bündnis um die Digitale Gesellschaft und die Demokratie-Plattform WeCollect das Referendum angekündigt. Für die Organisationen ist das Gesetz ein «Kniefall vor den Interessen der Wirtschaft - auf Kosten der Demokratie und der Bevölkerung», wie sie in einer Mitteilung schreiben.
Stein des Anstosses ist die vom Parlament beschlossene Aufgabenteilung zwischen Staat und Wirtschaft. Der Bund prüft und bestätigt die Identität einer Person. Herausgegeben wird die E-ID aber von privaten Anbietern, sogenannten Identity Providern (IdP), die wiederum vom Bund überwacht werden.
Risiko für Bund zu gross
Diese Aufgabenteilung hatte der Bundesrat vorgeschlagen. Seiner Meinung nach ist das Risiko zu gross, wenn sich der Bund für eine Technologie entscheiden muss. In der Botschaft verwies er auf die Erfahrungen anderer Länder, deren E-ID-Lösungen sich nicht durchgesetzt haben.
In der Schweiz sollen daher die Marktkräfte den besten Lösungen zum Durchbruch verhelfen. Derzeit zeichnet sich allerdings eher eine Monopolsituation ab. Die SwissSign Group, zu der Post, SBB, Swisscom, Six, die Grossbanken und Versicherungen gehören, hat sich bereits zu Stellung gebracht. Das Konsortium, das bereits über Millionen von Kundenbeziehungen verfügt, will mit der SwissID den Internetgiganten die Stirn bieten.
In den Augen der Gegner bedeutet das, dass private Unternehmen den «digitalen Schweizer Pass» ausstellen und sensible Daten verwalten würden. Sie sind überzeugt, dass beim Datenschutz das Vertrauen in private Unternehmen fehlt. Eine Umfrage hatte ergeben, dass 87 Prozent der Bevölkerung die E-ID vom Staat beziehen möchten.
E-ID des Bundes nur im Notfall
Am Montag hat der Ständerat in einem letzten Punkt nachgegeben. Umstritten war noch, unter welchen Umständen sich der Bund an einem Identity Provider beteiligen oder der Bundesrat eine Verwaltungseinheit damit betrauen kann, selber eine E-ID herauszugeben. Die Räte haben sich auf eine subsidiäre Zuständigkeit des Bundes geeinigt: Der Bund darf nur dann tätig werden, wenn die privaten E-ID nicht funktionieren.
Zuvor hatte der Nationalrat der Schaffung einer Eidgenössischen E-ID-Kommission (Eidcom) zugestimmt. Diese soll statt einer Verwaltungseinheit für Anerkennung und Beaufsichtigung der IdP zuständig sein. Die Erstidentifizierung findet beim Bundesamt für Polizei (fedpol) statt.
Verschiedene Sicherheitsniveaus
Der Träger der E-ID ist nicht festgelegt. Denkbar sind gängige elektronische Identifizierungsmittel wie Mobiltelefone oder Smartcards, aber auch Lösungen mit Nutzername, Passwort und allenfalls weiteren Authentifizierungen.
Vorgesehen sind drei Sicherheitsniveaus: niedrig, substanziell und hoch. Auf dem tiefsten Sicherheitsniveau muss eine Alternative zur E-ID zur Verfügung stehen, beispielsweise das Bestellen von Waren als Gast. Ab Sicherheitsniveau substanziell ist eine 2-Faktor-Authentifizierung nötig, bei Sicherheitsniveau hoch muss mindestens ein Faktor der Zwei-Faktor-Authentifizierung biometrisch sein.
Die Vorlage ist bereit für die Schlussabstimmung vom Freitag.