Good Practices beim Bau von eID-Ökosystemen – Teil I

Grosse Architekten studierten früher mit viel Aufwand und Sorgfalt die Kunst anderer grosser Architekten aus der Vergangenheit. Viele tun das noch heute. Solche Bescheidenheit existiert im E-Government nicht. Wissen wird nicht geschätzt. Wir sollten das ändern – gerade und insbesondere beim Thema eID!

Die Schweiz soll nach dem Willen des Bundesrats (für alle ausländischen Leser: der Regierung) eine staatlich anerkannte eID bekommen, die gegenüber der EU notifiziert werden könnte, wenn es zu einem Staatsvertrag käme, der eine Einbindung der Schweiz in den einheitlichen europäischen Identitätsraum regelt. Das ist sehr erfreulich! Die Vernehmlassung für das eID Gesetz soll Anfang 2017 starten. Tatsächliche eIDs könnten so im Idealfall ab der zweiten Hälfte 2019 ausgegeben werden. Zu den Gesetzes- und Implementierungsvorschlägen wird es zu gegebener Zeit Beiträge in SocietyByte geben. In diesem Beitrag geht es um Grundsätzliches: Wie kommt man zu einer staatlich anerkannten eID, die breit genutzt wird?

Bei dieser Frage geht es primär um Erkenntnis (die Vermehrung von Wissen) als Basis für den Aufbau von Knowhow (von Fähigkeiten, in der Praxis erfolgreich zu handeln). Die empirische Architekten- und Ingenieurserfahrung legt zweierlei nahe: erstens den generischen Grundsätzen erfolgreichen Handelns zu folgen und zweitens ganz konkret die Erfahrungen anderer beim Bau von eID-Lösungen zu nutzen. Zu den generischen Grundsätzen zählt, dass man sich vorbereiten soll, dass man richtig sehen können soll und dass man planen soll, ohne sich danach zu fest an die Pläne zu klammern. Es braucht jeweils beides, Konzept und Flexibilität, Wissen und Kreativität, den Blick fürs grosse Ganze und den Blick fürs Detail.

Vom Nichtsehen und einäugig Sehen
Das Wort kommt im E-Government häufig vor und ist Programm: Best Practice. Es ist erstens anmassend und zweitens fast immer als Lüge gemeint. Denn als Best Practice wird meistens die erste Lösung gezeigt, die eine Idee umsetzt (auf Deutsch: die erstbeste Lösung). Dass Best Practices häufig ganz schlecht gebaute Lösungen sind, interessiert selten. Auch nicht, dass es wenig Sinn macht von der besten Lösung in einem allgemeinen Kontext zu sprechen und dass in einem einzigartigen Kontext per definitionem die beste Lösung die einzige ist.

TROTZDEM – jene die Best Practices studieren, das sind die Einäugigen unter der Masse an blinden Lösungsarchitekten. Wobei Blindheit nicht antik gemeint ist – früher war Blindheit eine notwendige Eigenschaft der Seher – sondern umgangssprachlich: ein Nicht-Sehen, welche Erfahrungen andere in der Vergangenheit gemacht haben. (Oder ein sehr eigenwilliges Interpretieren einer einzigen Erfahrung, aus der dann eine ganze Ideologie abgeleitet wird.)

Vom Sehen – Das Ziel
Durch eine Kurve mit dem Auto fahren lernt man nicht, in dem man auf die Kurve schaut, sondern indem man auf ihren Ausgang schaut. Daraus folgt, dass man zuerst wissen sollte, wohin man will, bevor man losstartet. Und dass man darauf reagieren muss, wenn das Ziel aus den Augen gerät. Beim Design staatlicher anerkannter eIDs ist es deshalb notwendig, sich die erzielte Wirkung klar zu machen und diese stets im Auge zu behalten. Wer dagegen nur das Ziel hat, staatlich anerkannte eIDs zu schaffen, der handelt wie der Kurvenlehrling, der auf die Kurve starrt. Er wird nicht mit der notwendigen Geschwindigkeit vorwärts kommen und vielleicht sogar im Strassengraben landen.

Um ein Missverständnis zu vermeiden: Ein Mangel an Weitsichtigkeit ist kein Ausdruck von Bescheidenheit. Beim Thema „eID“ ist die Überzeugung weit verbreitet, dass man mit dem Setzen kleiner Ziele Bescheidenheit zeige. Das verkennt die Zusammenhänge: Bescheidenheit heisst, sich genügend Zeit zu nehmen und deshalb früh zu starten. Man kommt nicht einfacher durch die Kurve, wenn man jeweils nur zehn Meter weiter vorwärts blickt. Schon gar nicht, wenn die Erfahrung des Kurvenfahrens fehlt.

Vom Sehen – das grosse Ganze
Im Fall des eID-Ökosystems ist das Ziel ein funktionierendes, gut genutztes soziotechnisches System – mit zahlreichen Vertrauensdiensten, klaren Gesetzen, einer sauberen institutionellen Kontrolle, einfachen Werkzeugen und einfach einsetzbaren IAM-Softwaremodulen, zahlreichen Nutzungsmöglichkeiten die wirklich Nutzen bringen und zahlreichen Nutzern die die Vertrauensdienste regelmässig nutzen, mit verständlichen Informations- uns Lernangeboten. Die Kosten müssen für die Nutzer verhältnismässig sein, und zwar sowohl die Anfangskosten als auch die Lebenszykluskosten, sowie auch in Bezug auf Zeit und Geld. Zudem müssen die Einnahmen für die Anbieter und Aufsichtsinstitutionen adäquat sein.

Selbst sehr eng fokussiert betrachtet, bestehen Nutzer dabei aus vier sehr unterschiedlichen Gruppen:

• die Besitzer von eIDs
• Relying Parties, die eIDs zur Authentifikation akzeptieren
• Anbieter von Eigenschaftszertifikaten (wie Universitäten, die Abschlüsse bestätigen)
• Institutionen die digitale Unterschriften akzeptieren und selber nutzen.

Im Fall der Anbieter von Eigenschaftszertifikaten überschneiden sich Nutzer und Anbieter. Weitere Anbieter sind natürlich die IDPs, die Anbieter von über die reine Identifikation und Authentifikation hinausgehenden Vertrauensdiensten wie Zeitstempel und digitalen Signaturen, sowie Identitätsbroker im Inland und gegenüber dem Ausland (letzteres voraussichtlich eIDAS Knoten). Mit zum System gehören auch die Aufsichtsinstitutionen, umso mehr, wenn die Schweiz anstrebt, Teil des europäischen Identitätsraums zu werden, der durch eIDAS geschaffen wird (weil dies eine staatliche Haftungspflicht mit einschliesst).

Vom Sehen – das Rechnen und Kommunizieren
Es gibt sehr unterschiedliche Zugänge zum strategischen Denken. Mintzbergs berühmte Strategie-Safari demonstriert dies eindrücklich. Wenn man wesentliche Veränderungen anstrebt sind aber zwei Zugänge fast immer essentiell: einerseits einen Weg vom IST zum SOLL zu definieren und zweitens einen Grossteil der involvierten Akteure von der Notwendigkeit des Handelns zu überzeugen, bevor das eigentliche Handeln beginnt.

Es spricht viel dafür, vom SOLL zum IST zurückzurechnen, statt vom IST zum SOLL vorwärts zu rechnen. Und es spricht viel dafür, in der Kommunikation die Notwendigkeit der Veränderung zu betonen, statt Erfolgsbeispiele anderer zu beschreiben. Veränderung ist immer wahrscheinlicher, wenn sie als notwendig empfunden wird als wie wenn sie „nur“ als nützlich wahrgenommen wird. Das weist auch auf ein zu umschiffendes Paradoxon hin: Erfolgsbeispiele zu kennen ist matchentscheidend für jene, die Lösungen bauen sollen, aber es ist ungeeignet für die Überzeugungsarbeit gegenüber jenen Stakeholdern, die das Vorhaben unterstützen müssen. Wer hier nicht klar trennt, sondern die Kommunikation auf die Lösungsentwicklung wirken lässt oder die Lösungsentwicklung auf die Kommunikation, hat ein hohes Risiko zu scheitern.

Beide – Lösungsdesign und Kommunikation – sollten klar und einfach sein und beide sollten Erfahrungen anderer nutzen, aber das WIE muss sich unterscheiden, wenn man Risiken minimieren will. Das verlangt, dass die Verantwortlichen die Fähigkeit besitzen, auf unterschiedliche, nämlich die jeweils adäquaten, Aspekte des Vorhabens zu schauen, und darauf aufbauen Bilder zu entwerfen, die den Blick der von ihnen Adressierten passend lenken. Das richtige Sehen spielt auch beim (Zurück-)Rechnen und beim Kommunizieren eine entscheidende Rolle und es ist alles andere als einfach.

Lesen Sie hier Teil 2