Von:
Ralf Knöringer, Leiter Competence Center
Identity Management bei Atos Deutschland
Da Bürger:innen gerade mit der Verwaltung besonders schützenswerte Daten austauschen müssen, ist der Datenschutz von besonderer Bedeutung. Gleichzeitig ist der Komfort bei der Anmeldung ein wesentliches Kriterium für die Akzeptanz der neuen Services.
Als wesentliche Voraussetzung muss eine eigene digitale Identität sowohl für Bürger:innen, als auch Unternehmen implementiert werden, die es ermöglicht, über die Bürgerportale Verwaltungsleistungen digital in Anspruch nehmen zu können. Diese Identität sollen Bürgerinnen und Bürger nicht nur in ihrer Kommune, sondern auch auf Landes- und Bundesebene nutzen können – mit ihrem persönlichen, auf allen Ebenen funktionierenden Nutzerkonto.
Derzeitige Standards:
Um dieses Ziel zu erreichen, stehen heute Standards zur Verfügung:
- Der Need-to-know-Grundsatz: Ein Benutzer hat nur die minimalen Berechtigungen, die für seine Rolle notwendig sind.
- Das Prinzip der Segregation of Duties: Ein Mitarbeiter darf zum Beispiel nicht in der Lage sein, sowohl Fördergelder zu beantragen und zu genehmigen.
- Technologien zur sicheren Verwaltung von Identitäten, die ihre Eignung und Sicherheit bereits in vielen Anwendungsfällen bewiesen haben.
Wichtige Begriffe in diesem Zusammenhang sind:
- Single-Login oder auch Single-Sign-On (SSO): Ein Benutzer kann sich mit einmaligem Anmelden an mehreren Applikationen anmelden.
- Sichere Authentisierung: Sie gewährleistet einen sicheren Nachweis der Identität.
- Föderiertes Identitätsmanagement: Es stellt zur sicheren Anmeldung die Identität über Organisationsgrenzen hinweg bereit.
Lokales Once-Only
Bei vielen Fachverfahren werden bereits Daten direkt aus den kommunalen Melderegister abgerufen, ein „lokales Once-Only“ ist bereits etabliert. Dies bedeutet, dass Daten nur einmal bei einer Behörde angegeben werden müssen und diese dann bei anderen Verfahren benutzt werden können.
Die aktuellen Architekturen entsprechen aber mit hoher Wahrscheinlichkeit nicht der Zielarchitektur der angestrebten Registermodernisierung. Die Registermodernisierung ist unverzichtbar, sobald Daten über Behördengrenzen hinweg abgerufen werden, und automatisiert für den Leistungsabruf durch Bürger:innen bereitliegen sollen.
Passwortverwaltung
Ziel muss es sein, die mehrfache Eingabe personenbezogener Informationen zur Registrierung, je Anwendung und Organisation, sowie das Handling unzähliger Passwörter zu vermeiden und dabei auch das Sicherheitsrisiko durch Verwendung unsicherer Passwörter (wie zum Beispiel123456 oder auch Geburtstage) zu minimieren.
Hier bietet sich die Kombination von Technologien zur sicheren Anmeldung an, wobei nur ein hochsicheres Passwort oder auch eine Methode ohne Passwort, zum Beispielmit Public Key Infrastruktur (PKI) oder Biometrie, für die verschiedenen Anmeldungen verwendet werden. Dies erhöht die Sicherheit, reduziert Administrationsaufwände und steigert die Benutzerfreundlichkeit digitaler Dienste.
Über Organisationsgrenzen hinweg
Idealerweise lässt sich diese sichere Anmeldung dann auch über Organisationsgrenzen nutzen. Hier muss zwischen den Organisationen ein Vertrauensverhältnis existieren. Dies funktioniert in der virtuellen Welt analog zur bekannten Praxis. Nur wenn der Aussteller eines „Passes“ von anderen Stellen anerkannt wird, wird Zugang gewährt.
Hier hilft das sogenannte Föderierte Identitätsmanagement, auch oft Federated Identity Management oder föderiertes Single-Sign-On genannt, welches den Aufbau einer elektronischen vertrauenswürdigen Verbindung zwischen getrennten Organisationen, aus dem öffentlichen oder privatwirtschaftlichen Bereich ermöglicht.
Einmalige Anmeldung
Nutzer:innen können damit nach der einmaligen Anmeldung ohne erneute Eingabe seiner bzw. ihrer Daten sicher und schnell auf Informationen und Dienste der im Vertrauensverbund angeschlossenen Organisationen zugreifen. So ist bei der einmaligen Anmeldung auch ein höherer Sicherheitsstandard (zum Beispiel mit einer Zwei-Faktor-Authentisierung) möglich, ohne den Komfort für den Anwender zu verringern.
Eine sichere Kommunikation mit Bürger:innen sowie Unternehmen und eine einfache Erreichbarkeit der Online-Dienste ist somit realisierbar.
Einsatz moderner Identitätsmanagement-Lösungen in der Praxis
Gerade im Kontext der öffentlichen Verwaltung kann Identitätsmanagement die Basis für moderne eGovernment-Lösungen bilden. Viele regionale Verwaltungen sind dezentral organisiert, wollen aber zentrale Dienste anbieten, die dann sicher und effizient von allen Mitgliedern im Verbund genutzt werden können.
Neben öffentlichen Stellen müssen verstärkt auch Partner aus der Privatwirtschaft und Bürger:innen direkten Zugriff auf Verfahren und Informationen erhalten. Man unterscheidet hierbei in zwei Szenarien:
- Government to Citizen (G2C): In diesem Szenario möchten Bürger*innen – also natürliche Personen in der Rolle einer Zivilperson, das heißt nichtbehördliche Akteure – unkompliziert die fachlichen Leistungen einer Behörde in Anspruch nehmen. Ein Beispiel ist der Masterplan BAYERN DIGITAL II mit dem Ziel die Digitalisierung der Verwaltung voranzubringen. Das Fundament bietet das BayernPortal mit seinen Basisdiensten, wie unter anderem der BayernID, als auch das Programm „Digitales Rathaus“ in dem Dienstleistungen der bayerischen Gemeinden, Landkreise und Bezirke digitalisiert werden, wie zum Beispiel Meldebescheinigungen und die Beantragung von Wohngeld.
- Government to Government (G2G): In diesem Szenario möchten Mitarbeiter*innen oder Services einer Behörde, also Gemeinde, Landkreis oder Bund, auf fachliche Leistungen von anderen und unter Umständen auch der eigenen Behörde zugreifen. Ein Beispiel ist die digitale Erfassung der Corona-Zahlen durch das Gesundheitsamt und der digitale Austausch mit weiteren Behörden, wie zum Beispiel dem Robert-Koch-Institut.
Zentrales Identitätsmanagement
Zu Beginn der Planungen steht häufig die Notwendigkeit, die Identitäten der Mitarbeiter:innen in der Verwaltung sicher und effizient zentral zu verwalten und die Berechtigungen und Zugriffe auf Fachverfahren und die IT-Infrastruktur zu automatisieren.
Hier wird ein zentrales Identitätsmanagement eingeführt. Auf der rechten Seite sieht man, wie die IT-Infrastruktur und auch die verschiedenen Verfahren direkt angebunden werden, das heißt, die Verantwortung für die Verwaltung der Identitäten und Berechtigungen liegt beim zentralen Identitätsmanagement.
Einbindung Dritter
Die Anforderung, die Nutzung öffentlicher Verfahren und Dienste durch Dritte zu ermöglichen, erfordert jedoch auch die Einbindung verbundener Organisationen, deren Verfahren und Systeme nicht direkt der Hoheit der zentralen Verwaltung unterliegen.
Dies ermöglicht ein Identity Broker, der die Identitätsprovider (IdP) der Verwaltung und dritter Organisationen über Vertrauensbeziehungen verbindet.
Dadurch können gleich mehrere Ziele erreicht werden:
- eine vereinfachte Zusammenarbeit zwischen übergeordneten föderalen Organisationen, der regionalen Verwaltung, Kommunen und Dritten
- ein kostengünstiger Anschluss neuer Systeme und Organisationen an eine zentrale hochverfügbare Plattform
- ein transparenter Zugang zu den regionalen Diensten für Mitarbeiter*innen der Verwaltung, kooperierende Unternehmen und Bürger bei leichter Bedienbarkeit
Die Verwendung anerkannter Standards ermöglicht dabei die Anbindung verschiedener Systemlandschaften unterschiedlichster Hersteller.
Beispiel aus der Praxis
Ein Beispiel für die Nutzung zentraler Identitätsdienste ist der Zugriff auf sichere nationale Polizeianwendungen beim Innenministerium im Vereinigten Königreich. Atos als Produkthersteller konnte hier mit der DirX Produktfamilie modernste Sicherheitsanforderungen erfüllen und hat als Lösungspartner sowohl bei Design als auch bei der Umsetzung der Lösung bis zur Inbetriebnahme unterstützt.
Über sichere Genehmigungsprozesse werden Mitarbeiter*innen der Polizei landesweit Zugriffsrechte auf Datenbanken und interne Dienste zugewiesen. Durch die Beschleunigung und die Automatisierung konnte die Effizienz der sogenannten „Frontline“-Dienste verbessert und die Verfügbarkeit erhöht werden.
Durch die Einbindung der Zertifikats-basierten Smart-Card-Infrastruktur wurden dabei noch dazu höchste Sicherheitsanforderungen umgesetzt. Neben der Zeitersparnis für die Beamten im Diensteinsatz konnte auch der Datenaustausch zwischen Polizei und Strafjustiz optimiert werden. (sg)
Die wichtigsten Begriffe kurz erklärt
Identitätsmanagement
Sichere Identität – eine digitale Identität besteht aus definierenden Merkmalen (Attributen), die eindeutig einer externen Entität zugeordnet werden können. Diese kann eine Person, eine Organisation, ein Computer oder anderes Gerät sein.
Identitätsmanagement - Unter Identity Management versteht man die Dienste, Technologien, Produkte und Standards, welche die Nutzung von digitalen Identitäten ermöglichen, um Benutzer und Sicherheitsrichtlinien über alle IT-Systeme zu verwalten.
Authentisierung - Authentisierung soll die Frage klären “Wer möchte Zugriff (auf eine Ressource)?”. Möchte eine Person auf eine geschützte Ressource zugreifen, muss sie sich identifizieren. Dies kann auf verschiedene Weisen passieren, die alle gemein haben, dass nur der legitime User sie erfüllen kann. Gebräuchlich sind Nachweise durch
- Wissen, wie Benutzername und Passwort, immer noch eine der häufigsten Methoden, obwohl beide Informationen nicht sicher sind
- Besitz, zum Beispiel ein Mobiltelefon, eine SmartCard oder RSA-Token
- Inhärenz, dazu zählen Biometrische Merkmale wie Fingerabdruck, Gesichts- und Spracherkennung
- Prüfung, ob der Benutzer an einem bestimmten Ort oder in einem bestimmten Netz mit entsprechender IP-Adresse ist
Um die Sicherheit bei der Authentisierung zu erhöhen, können zwei (2FA = Zwei-Faktor-Authentisierung) oder mehr (MFA = Multi-Faktor-Authentisierung) Faktoren zeitgleich eingesetzt werden, zum Beispiel SmartCard (Besitz) und PIN (Wissen).
IdP (Identity Provider) - Ein Identitätsanbieter speichert und verwaltet die digitalen Identitäten von Benutzer*innen und stellt Authentisierung für deren Zugriffe bereit. Dabei authentisiert der IdP die Benutzer entweder direkt oder kann die Anfrage an Authentisierungsdienste von Drittanbietern weiterleiten.
Identity Broker - Ein Identity Broker ist Teil einer Single-Sign-On-Architektur als Zwischendienst, der mehrere Service Provider mit verschiedenen Identity Providern (IdPs) verbindet. Über Mapping werden Attribute verschiedener IdPs der digitalen Identity zugeordnet. Als Vermittlungsdienst ist der Identity Broker dafür verantwortlich eine Vertrauensbeziehung mit IdPs aufzubauen. Zudem bietet ein Identity Broker eine zentralisierte Möglichkeit, digitale Identitäten über verschiedene Sicherheitsdomänen zu verwalten und als föderierte Identität (Federated Identity) bereitzustellen.
OAuth (Open Authorization) - OAuth 2.0 ist der Industriestandard bei Protokollen für die Autorisierung. Es ermöglicht eine standardisierte und sichere API-Autorisierung für Desktop-, Web- und Mobile-Anwendungen. Dabei verwendet OAuth Access Token und Refresh Token und bietet mehrere sogenannte Flows, auch Grant Types genannt, an, die für verschiedene Clients und Anwendungsfälle geeignet sind.
SAML(Security Assertion Markup Language) - Ein XML-basierter Standard zum Austausch von Authentisierungs- und Autorisierungsinformationen zwischen Identitätsprovider (IdP) und Serviceprovider (SP)/Dienstanbieter.
OpenID Connect – Erweitert OAuth 2.0 und ergänzt dessen Autorisierungsschicht um eine Authentisierungsschicht. Letztere erlaubt es Clients, Informationen über authentifizierte Sessions und Benutzer abzufragen.
OTP (One Time Password) - Bei der Zwei-Faktor-Authentisierung gibt der Nutzer in der Regel ein Passwort und anschließend einen zweiten Authentisierungsfaktor an, zum Beispieleinen Fingerabdruck, oder er hat ein physisches Token, eine Karte oder einen Einmal-Passcode (OTP) über sein Smartphone.
Föderiertes Identitätsmanagement (auch oft Federated Identity Management oder föderiertes Single-Sign-On genannt) bezeichnet den Aufbau einer vertrauenswürdigen Verbindung zwischen getrennten Organisationen, aus dem öffentlichen oder privatwirtschaftlichen Bereich.
Man spricht hier von Security Policies, die festlegen, wie das elektronische Vertrauensverhältnis funktioniert.
OOP (Once-Only Prinzip) - OOP ist eines der zentralen Prinzipien des eGovernment Aktionsplans 2016-2020 der Europäischen Kommission. Es fordert, dass Bürger und Unternehmen bestimmte Standardinformationen öffentlichen Verwaltungen nur noch beim ersten Kontakt mitteilen müssen. Danach sollen diese Daten unter den Verwaltungen ausgetauscht und damit die administrative Belastung für Bürger und Unternehmen bei der Kommunikation mit der Verwaltung reduziert werden.
