Diebstahl und Missbrauch von kompletten digitalen Identitäten geraten zunehmend in den Fokus der Kriminellen, die das Internet als Basis für ihre Beutezüge nutzen. Zu diesem Ergebnis kommt eine aktuell vom Bundesinnenministerium vorgestellte Studie, die im Auftrag des Bundesamtes für Sicherheit in der Informationstechnik (BSI) erstellt wurde. Mit dem Ziel, daraus Profit zu schlagen, verschaffen sich Hacker gezielt Zugang zu den bei sozialen Netzwerken, E-Mail-Dienstleistern und Handelsplattformen verwendeten Identitäten. Um das Risiko eines solchen Missbrauchs zu reduzieren, ist zum einen jeder Bürger aufgefordert, sorgsam mit seinen Daten umzugehen. Darüber hinaus sind aber auch technische Absicherungsmechanismen möglich. DATEV setzt seit langem auf die derzeit sicherste Methode, eine Identität nachzuweisen: Über die Kombination aus Besitz und Wissen, sprich die Verwendung einer SmartCard oder eines USB-Mediums wird nur bei Eingabe der dazugehörigen PIN der Zugang zu Online-Programmen und der Zugriff auf geschützte Informationen beziehungsweise Daten freigegeben. Mit dem neuen Personalausweis will nun der Staat ein übergreifendes Verfahren etablieren, das bei Transaktionen über das Internet mehr Sicherheit bietet.
Eine digitale Identität besitzt jeder, der sich aktiv im Internet bewegt - etwa indem er Online-Banking nutzt, bei Internet-Shops und -Marktplätzen einkauft, und via Handy oder E-Mail kommuniziert. Diese Identität steht im Internet stellvertretend für die Präsenz der Person - oder aber auch der Organisation, wenn die Akteure Unternehmen oder Institutionen sind. Oft ist die Identität lediglich durch ein Passwort abgesichert. Wer diesen Code kennt, kann im Namen eines anderen auftreten und diesem dadurch zum eigenen Vorteil einen Schaden zufügen - sowohl materiell als auch hinsichtlich der Reputation.
Eindeutige Authentifizierung bietet Schutz Angriffe mit dem Ziel eines Identitätsdiebstahls werden heute über verschiedene Mechanismen durchgeführt. Die wohl bekanntesten sind so genannte Keylogger und Trojaner, die Daten vom befallenen Rechner sammeln und weitergeben. Ein Teil dieser Schadprogramme ist so raffiniert konstruiert, dass er auch kleinste Lücken in Firewalls und Antivirensoftware umgehen kann, die etwa dadurch entstehen, dass Updates nicht regelmäßig eingespielt werden. Oft reicht schon der Klick auf eine präparierte Internetseite, um den Computer zu infizieren. Dabei haben die Angreifer nicht mehr nur Online-Banking-Zugangsdaten als zweifellos lukrativste Ziele im Visier, sondern beispielsweise auch die bei E-Mail-Dienstleistern, Packstationen, Auktions- und Handelsplattformen sowie bei Social-Network-Plattformen verwendeten Identitäten. Sind die Zugangsberechtigungen für solche Dienste gleichermaßen über Besitz- und Wissenskomponenten abgesichert, kann die jeweilige Identität nicht ohne weiteres gekapert werden.
Dieses Sicherheitsplus bietet der neue Personalausweis (nPA), indem er eine einfache und sichere Online-Identifizierung ermöglicht. Dazu enthält das Dokument im Format einer Scheckkarte auf einem integrierten Chip persönliche Daten auch in elektronischer Form, über die sich der Inhaber bei einer Behörde, einem Diensteanbieter oder einem Geschäftspartner eindeutig identifizieren kann. Die Übertragung von Daten muss dabei jeweils im Einzelfall mittels einer PIN-Eingabe freigegeben werden. So kann sich der Besitzer im Internet "zertifiziert" ausweisen, wobei er bei jeder Transaktion selber festlegt, welche Einzelangaben auf dem Ausweis freigeben werden.
Im Gegenzug gibt sich auch das Unternehmen über ein Berechtigungszertifikat eindeutig zu erkennen, so dass der Kunde, Antragsteller, Lieferant usw. genau weiß, an wen die freigegebenen Daten übermittelt werden. Bislang kann derjenige, der Angebote im Internet nutzt, nicht hundertprozentig sicher sein, ob es sich um einen verlässlichen Geschäftspartner handelt, der die gekauften Waren auch liefert, und der persönliche Daten oder Zahlungsinformationen wie Kreditkartenangaben oder Kontendaten nicht missbraucht. Über das System der Zertifizierung gibt der nPA hier beiden Seiten Gewissheit, was die Sicherheit der Transaktion maßgeblich erhöht.
Anwendungsmöglichkeiten für Arbeitnehmer DATEV begrüßt diesen zentralen, übergreifenden Ansatz, der verhindern kann, dass Insellösungen und damit immer wieder neue Barrieren für einen einheitlichen Standard implementiert werden. Zudem sieht das Unternehmen in dem Verfahren Potenzial für eigene Online-Dienste. Als Pilotprojekt in diesem Umfeld, das auch als Anwendungstest beim Bundesinnenministerium angemeldet ist, startet es zum Ausgabetermin des neuen Ausweises im November die Online-Bereitstellung von Lohn- und Gehaltsabrechnungen mit Absicherung durch den nPA. Die Anwendung wird es Arbeitnehmern optional ermöglichen, ihre Lohn- und Gehaltsabrechnung über das Internet zu lesen, auf ihren PC herunterzuladen und auszudrucken. An der Pilot- und Erprobungsphase nehmen rund 700 DATEV-Mitarbeiter auf freiwilliger Basis teil.
Im Laufe des kommenden Jahres soll das System dann auf die Arbeitnehmerinnen und Arbeitnehmer in Deutschland ausgeweitet werden, die bereits einen nPA besitzen und deren Gehaltsabrechnung mit DATEV-Software erstellt wird. Dies ist aber nur der erste von einer ganzen Reihe möglicher Online-Dienste für Arbeitnehmer, die in einem Arbeitnehmerportal denkbar sind. Neben dem reinen Abruf von Informationen und Auswertungen könnte ein solches Portal zum Beispiel auch für Erfassungskomponenten genutzt werden, die im Zusammenhang mit dem Beschäftigungsverhältnis oder der eigenen Steuererklärung stehen, und so den Informationsaustausch mit dem Arbeitgeber und dem Steuerberater vereinfachen und beschleunigen.
Eine digitale Identität besitzt jeder, der sich aktiv im Internet bewegt - etwa indem er Online-Banking nutzt, bei Internet-Shops und -Marktplätzen einkauft, und via Handy oder E-Mail kommuniziert. Diese Identität steht im Internet stellvertretend für die Präsenz der Person - oder aber auch der Organisation, wenn die Akteure Unternehmen oder Institutionen sind. Oft ist die Identität lediglich durch ein Passwort abgesichert. Wer diesen Code kennt, kann im Namen eines anderen auftreten und diesem dadurch zum eigenen Vorteil einen Schaden zufügen - sowohl materiell als auch hinsichtlich der Reputation.
Eindeutige Authentifizierung bietet Schutz Angriffe mit dem Ziel eines Identitätsdiebstahls werden heute über verschiedene Mechanismen durchgeführt. Die wohl bekanntesten sind so genannte Keylogger und Trojaner, die Daten vom befallenen Rechner sammeln und weitergeben. Ein Teil dieser Schadprogramme ist so raffiniert konstruiert, dass er auch kleinste Lücken in Firewalls und Antivirensoftware umgehen kann, die etwa dadurch entstehen, dass Updates nicht regelmäßig eingespielt werden. Oft reicht schon der Klick auf eine präparierte Internetseite, um den Computer zu infizieren. Dabei haben die Angreifer nicht mehr nur Online-Banking-Zugangsdaten als zweifellos lukrativste Ziele im Visier, sondern beispielsweise auch die bei E-Mail-Dienstleistern, Packstationen, Auktions- und Handelsplattformen sowie bei Social-Network-Plattformen verwendeten Identitäten. Sind die Zugangsberechtigungen für solche Dienste gleichermaßen über Besitz- und Wissenskomponenten abgesichert, kann die jeweilige Identität nicht ohne weiteres gekapert werden.
Dieses Sicherheitsplus bietet der neue Personalausweis (nPA), indem er eine einfache und sichere Online-Identifizierung ermöglicht. Dazu enthält das Dokument im Format einer Scheckkarte auf einem integrierten Chip persönliche Daten auch in elektronischer Form, über die sich der Inhaber bei einer Behörde, einem Diensteanbieter oder einem Geschäftspartner eindeutig identifizieren kann. Die Übertragung von Daten muss dabei jeweils im Einzelfall mittels einer PIN-Eingabe freigegeben werden. So kann sich der Besitzer im Internet "zertifiziert" ausweisen, wobei er bei jeder Transaktion selber festlegt, welche Einzelangaben auf dem Ausweis freigeben werden.
Im Gegenzug gibt sich auch das Unternehmen über ein Berechtigungszertifikat eindeutig zu erkennen, so dass der Kunde, Antragsteller, Lieferant usw. genau weiß, an wen die freigegebenen Daten übermittelt werden. Bislang kann derjenige, der Angebote im Internet nutzt, nicht hundertprozentig sicher sein, ob es sich um einen verlässlichen Geschäftspartner handelt, der die gekauften Waren auch liefert, und der persönliche Daten oder Zahlungsinformationen wie Kreditkartenangaben oder Kontendaten nicht missbraucht. Über das System der Zertifizierung gibt der nPA hier beiden Seiten Gewissheit, was die Sicherheit der Transaktion maßgeblich erhöht.
Anwendungsmöglichkeiten für Arbeitnehmer DATEV begrüßt diesen zentralen, übergreifenden Ansatz, der verhindern kann, dass Insellösungen und damit immer wieder neue Barrieren für einen einheitlichen Standard implementiert werden. Zudem sieht das Unternehmen in dem Verfahren Potenzial für eigene Online-Dienste. Als Pilotprojekt in diesem Umfeld, das auch als Anwendungstest beim Bundesinnenministerium angemeldet ist, startet es zum Ausgabetermin des neuen Ausweises im November die Online-Bereitstellung von Lohn- und Gehaltsabrechnungen mit Absicherung durch den nPA. Die Anwendung wird es Arbeitnehmern optional ermöglichen, ihre Lohn- und Gehaltsabrechnung über das Internet zu lesen, auf ihren PC herunterzuladen und auszudrucken. An der Pilot- und Erprobungsphase nehmen rund 700 DATEV-Mitarbeiter auf freiwilliger Basis teil.
Im Laufe des kommenden Jahres soll das System dann auf die Arbeitnehmerinnen und Arbeitnehmer in Deutschland ausgeweitet werden, die bereits einen nPA besitzen und deren Gehaltsabrechnung mit DATEV-Software erstellt wird. Dies ist aber nur der erste von einer ganzen Reihe möglicher Online-Dienste für Arbeitnehmer, die in einem Arbeitnehmerportal denkbar sind. Neben dem reinen Abruf von Informationen und Auswertungen könnte ein solches Portal zum Beispiel auch für Erfassungskomponenten genutzt werden, die im Zusammenhang mit dem Beschäftigungsverhältnis oder der eigenen Steuererklärung stehen, und so den Informationsaustausch mit dem Arbeitgeber und dem Steuerberater vereinfachen und beschleunigen.
