Staat v. Private: Eine wenig zielführende Diskussion

An dieser Stelle möchte ich Kaspar Etter danken für seinen Gastbeitrag hier: Fachliche Kritik am E-ID-Gesetz (Gastbeitrag). In diesem Post einige Gedanken, die ich meiner Replik an Kaspar Etter voranstellen möchte. Und zwar möchte ich zunächst den Punkt hervorheben, in dem wir uns einig sind:

Man sollte die Diskussion nicht darüber führen, ob der Staat die Infrastrukturen für die E-ID bereitstellt oder doch.

Kaspar Etter beschreibt dies unter dem Abschnitt “Verschiebung der Diskussion” wie folgt:

Ob Attribute vom Staat oder von privaten Firmen bestätigt werden, ist meiner Meinung nach die falsche Diskussion. Wie ein Benutzer zu identifizieren ist, muss immer rechtlich geregelt werden. Was auch immer man einem Beamten vorschreibt, kann man auch Mitarbeitern einer privaten Firma vorschreiben. Viel eher sollten wir diskutieren, wie wir möglichst viele der gewünschten Eigenschaften von der rechten Spalte in die linke Spalte verschieben können, so dass die entsprechenden Risiken gar nicht erst entstehen.

(Hervorhebung nicht im Original)

Und dann hebt Kaspar Etter das Thema der “Monetarisierung” hervor. Dieser Punkt hängt insgesamt mit der Frage “Staat oder Private” zusammen. Eine Begrifflichkeit hätte ich zwar anders gewählt. Aber die Gedanken von Kaspar Etter (er geht darauf unter Punkt 5 des Gastbeitrags “Fachliche Kritik” ein) sind lesenswert und auch wert, vertieft reflektiert zu werden. Und auch darüber, dass diese Diskussion nötig ist, sind wir uns einig.

Es wird nochmals einen Beitrag dazu brauchen. Hier aber dennoch schon erste Gedanken:

1. Warum hätte ich andere Begrifflichkeiten gewählt als “Monetarisierung”? Bei Gegnern des BGEID löst der Begriff der Monetarisierung negative Reaktionen aus. Der Staat verschleudere sein “Tafelsilber” (gemeint sind die Daten aus den fünf Bundesregistern und der Datenbank des FedPol), der Staat privatisiere, der Bund werde zum Datenlieferanten degradiert, die möglichen Gewinne würden privatisiert und die Risiken würden verstaatlicht. Das BGEID unterscheidet sich m.E. von einer Privatisierung, was ich aber erst später und in einem anderen Beitrag diskutieren möchte (hier geht es ja v.a. um den Austausch mit Kaspar Etter).
2. Zum Begriff “Monetarisierung”: Im Beitrag von Kaspar Etter ist der Begriff Monetarisierung nicht definiert. Aber aus Punkt 5 erkennt man, worum es geht: Wer eine E-ID-Infrastruktur in der Schweiz bereitstellen will, muss (erstens) investieren und trägt entsprechend (zweitens) das Risiko, dass sich die Investition nicht lohnt (“Scheitern”, Teil- oder Totalverlust).
3. Was heisst “Scheitern”? Man kann von einem Scheitern des Vorhabens “E-ID” in der Schweiz sprechen, wenn die “E-ID” sich nicht durchsetzt, d.h. wenn das Ziel der grösstmöglichen Verbreitung sich nicht erfüllt (dazu sogleich, Punkt 4).
4. Was ist das Ziel? Unternehmen, gestandene Unternehmen ebenso wie Startups, sowie Behörden bzw. Amtsstellen, möchten planen können. Es geht um Folgendes: Wenn sie ein digitales Angebot planen, möchten sie voraussehen können, ob sie damit potentiell “die ganze Schweiz” erreichen werden oder nicht. Entsprechend: Grösstmögliche Verbreitung der “E-ID” ist das Ziel (selbstredend spielt der Faktor Zeit eine Rolle), und zwar möglichst rasch. Gemeint ist nicht “das Angebot des einen bestimmten Anbieters”, sondern: Dass jede und jeder im Land grundsätzlich auch über einen digitalen Kanal erreicht werden kann. (Dass es unter Umständen noch einen anderen Kanal als einen unter Einbezug der E-ID geben muss, regelt Art. 10 Abs. 2 BGEID.)
5. Kosten und Risiken. Kaspar Etter weist in seinem Beitrag schön darauf hin, dass man sich um die Kosten Gedanken machen muss. Er schlägt eine Art Steuer vor: “Im Gesetz könnte beispielsweise stehen, dass jeder mehrwertsteuerpflichtige Identitätskonsument am Ende jedes Monats einen vom Preisüberwacher festgelegten Betrag pro Login an den jeweiligen Identitätsanbieter überweisen muss.“

Und an dieser Stelle muss man teiefer graben. Warum?

• Ich begrüsse die Diskussion in Punkt 5 des Gastbeitrags “Fachliche Kritik” ein, aber man erkennt, dass man sie nicht abschliessen kann, solange nicht geklärt ist, was Kaspar Etter in seinem Punkt 1 als technische Gesprächsgrundlage annimmt: Dass der IdP bei jedem Anmeldevorgang involviert sei.
• Diese Annahme “darf” man meines Erachtens nicht machen. Ich gehe darauf im Beitrag “Was meint eigentlich ‘Login’?” ein. Der technische Hintergrund ist der: Der IdP wird in den Anmeldevorgang bei der Relying Party nur dann involviert, wenn die Relying Parties dies so will (das muss ich dann eben eben separat begründen). Was ich aber bereits hier postulieren will: Der Einbezug des IdP in den Anmeldevorgang bei der Relying Party ist kein Automatismus. Wer den Einbezug des IdP in eine Vielzahl von Anmeldevorgängen verhindern will, muss der Relying Party Pflichten auferlegen.
• Wohlgemerkt: Kaspar Etter behauptet nicht, dass der IdP in jeden Anmeldevorgang bei der Relying Party involviert sei. Ich verstehe ihn so: Er sagt, man könne nicht antizipieren, wie es sein werde. Und er kritisiert, dass das Gesetz diesen Punkt nicht regelt, ihn aber regeln müsste. Und doch muss man die Annahme in Punkt 1 vertiefen. Was heisst “Login”? Und wie läuft der Login-Vorgang ab? Sodann: Wer kontrolliert den Anmeldevorgang bei der Relying Party?

Kaspar Etter schreibt: “Für eine vermittelte Authentifizierung spricht lediglich, dass sich die Abgeltung einfacher kontrollieren lässt, da der Identitätsanbieter bei jeder Anmeldung involviert ist.” Dazu Folgendes:

• Ich halte diesen Satz gewissermassen für den Schlüsselpunkt der gesamten Volksabstimmung: Wie organisiert man die Schritte, die es braucht, dass möglichst viele möglichst rasch eine E-ID haben können.
• Es geht darum, wie jene, die das unternehmerische Risiko tragen, dafür entschädigt werden können bzw. wie man ihnen einen Anreiz gibt, sich für die Verbreitung der E-ID in der Schweiz einzusetzen.

Diese Diskussion ist spannend. Und sie hat einen Bezug zur oft gehörten Aussage: “Der Staat kann das nicht”:

• Meine Sicht darauf liest man hier: Ich halte es nicht für richtig zu sagen, dass der Staat ein solches Vorhaben nicht organisieren könne. Aber man kann sagen: Der Staat wollte das Risiko des Scheiterns nicht tragen.
• Die E-ID ist ein Infrastrukturprojekt. Die Existenz einer E-ID im Land kann beflügeln. Deswegen bezeichne ich die E-ID als Infrastrukturprojekt, gleich wie eine Strasse oder einen Tunnel. Und ich halte es für nachvollziehbar, wenn jemand die Erwartung an den Staat hat, dass er – im Gegenzug für Steuern – Strassen und eben auch die E-ID baut. Aber ich halte dies nicht für zwingend. Und so sieht es nach meinem Verständnis auch Kaspar Etter.

Dies sind gewissermassen einleitende Gedanken für eine Replik auf Kaspar Etter. An diesem Punkt sind wir uns einig: Man sollte nicht “Staat v. Private” diskutieren, sondern die Machbarkeit des Gesamtvorhabens. Man sollte darüber sprechen, ob das BGEID flexibel genug ist und auch dezentrale Lösungen zulässt. Und man sollte darüber diskutieren, welche Lösungen welche IT-Risiken aufweisen, etc. Ich werde dazu Weiteres schreiben und hoffe auf weitere Kommentare, von Kaspar Etter oder anderen.