Flexible und benutzerfreundliche Authentifizierungsverfahren zur Umsetzung transaktionaler E-Government-Services auf mobilen Geräten

Rechtliche Rahmenbedingungen sind für E-Government-Lösungen im Allgemeinen und für Konzepte der sicheren Benutzerauthentifizierung im Speziellen von hoher Bedeutung und schränken mögliche Umsetzungen durch die Definition hoher Sicherheits- und Datenschutzanforderungen in der Regel stark ein. In Österreich sind für die Konzeptionierung und Umsetzung von E-Government-Lösungen unter anderem das E-Government Gesetz, das Allgemeine Verwaltungsverfahrensgesetz, das Zustellgesetz oder auch das Signatur- und Vertrauensdienstegesetz von Bedeutung. Europäische Verordnungen wie die Verordnung über die elektronische Identifizierung und Vertrauensdienste für elektronische Transaktionen im Binnenmarkt (eIDAS) oder die Datenschutz Grundverordnung (DSGVO) sind ebenfalls zu berücksichtigen.

Da Abb. 2 auf einen Authentifizierungsprozess fokussiert, spart die Darstellung Komponenten, die für ein eID-Enrollment notwendig sind, aus. So wird davon ausgegangen, dass der Benutzer bereits über eine einsatzfähige, d. h. personalisierte und aktivierte, Bürgerkarte verfügt. Komponenten und Prozesse, die für eine Personalisierung und Aktivierung notwendig sind, werden nicht dargestellt, sind aber für das österreichische eID-System als Ganzes natürlich ebenfalls von Bedeutung.

Telefonnummer und Passwort werden im Zuge eines Registrierungsprozesses, auf den hier nicht näher eingegangen wird, festgelegt.

Technisch gesehen wird die Signatur im Fall der Handy-Signatur zentral in einem Hardware-Security-Modul (HSM) berechnet. Der Zugriff auf den persönlichen Signaturschlüssel des Bürgers bzw. der Bürgerin ist über die beschriebenen Authentifizierungsverfahren geschützt.

Mittlerweile existiert als Alternative zum SMS-TAN-Verfahren auch eine QR-Code-basierte Variante. Bei dieser wird ein QR-Code am PC oder Laptop des Bürgers dargestellt und muss mit dem Mobiltelefon gescannt werden. Die Anforderung zweier getrennter Endnutzergeräte bleibt jedoch auch in diesem Fall bestehen.