E-Postident: Neuer Identitätsnachweis der Post eventuell unsicher (Update)
E-Postident: Neuer Identitätsnachweis
der Post eventuell unsicher
Grafik: Deutsche Post, Screenshot: teltarif.de
Für eine zweifelsfreie Feststellung der Identität bei Online-Geschäften diente bislang das Postident-Verfahren, bei dem der Internetnutzer persönlich mit seinem Personalausweis in der Postfiliale erscheinen muss. Über den E-Postbrief bietet die Post dieses Verfahren nun elektronisch an - doch viele Fragen sind noch ungeklärt.
Besonders Nutzer von reinen Online-Banken und Internet-Videotheken mit FSK-18-Angebot kennen das Verfahren: Gesetzliche Vorschriften erfordern eine eindeutige Identifizierung des Nutzers, beispielsweise im Rahmen des Jugendschutzes oder des Geldwäschegesetzes. Denn Minderjährige sollen keine jugendgefährdenden Medien online bestellen können und auch die Eröffnung von Bankkonten unter falschem Namen soll dadurch verhindert werden. Doch genau bei diesen beiden Szenarien muss E-Postident momentan passen.
E-Postident: Nur Erweiterung des E-Postbriefs
E-Postident: Neuer Identitätsnachweis
der Post eventuell unsicher
Grafik: Deutsche Post, Screenshot: teltarif.de
E-Postident ist kein komplett neuer Service der Deutschen Post, sondern kommt als Erweiterung zum bereits bestehenden E-Postbrief für eine sichere Online-Kommunikation. Jeder E-Postbrief-Nutzer hat bei seiner Anmeldung bereits das klassische Postident-Verfahren in einer Postfiliale durchgeführt und damit seine Identität gegenüber der Deutschen Post bestätigt.
Firmen, die am E-Postident-Verfahren teilnehmen möchten, müssen sich als Partner bei der Deutschen Post anmelden. Momentan gibt es mit Miet24.de [Link entfernt] allerdings lediglich einen einzigen Vertragspartner. Das Verfahren funktioniert so, dass der Kunde bei Abschluss des Online-Geschäfts seine E-Postbrief-Zugangsdaten (also E-Post-Mailadresse und Passwort) über eine HTTPS-Verbindung eingibt. Anschließend versendet das System wie beim E-Postbrief eine HandyTAN auf das Mobiltelefon des Anwenders. Nach deren Eingabe bestätigt die Deutsche Post gegenüber dem Online-Shop die Identität des Bestellers.
Einschränkung: Online-Videothek und Kontoeröffnung gehen nicht
Das System hat momentan allerdings noch einen Pferdefuß: Die beiden oben genannten Anwendungen (Online-Videothek und Bankkonto-Eröffnung) werden noch nicht unterstützt. Denn dazu müsste sich die Deutsche Post um mindestens zwei Dinge kümmern. Die Kommission für Jugendmedienschutz der Landesmedienanstalten (KJM) gewährt diversen technischen Mitteln eine Zertifizierung zur Altersverifikation - diese Zertifizierung liegt bei E-Postident momentan nicht vor.
Die Auflagen des Geldwäschegesetzes [Link entfernt] schreiben vor, dass eine Bank den Antragsteller bei einer Kontoeröffnung zweifelsfrei identifizieren muss. Die Deutsche Post weist darauf hin, dass E-Postident diese Vorgaben momentan nicht erfüllt. Nutzer von Online-Videotheken mit FSK-18-Angebot und Interessenten für ein Online-Bankkonto müssen also nach wie vor persönlich in der Postfiliale erscheinen. teltarif.de hat bei der Deutschen Post angefragt, ob und wann mit einer Zertifizierung für diese beiden Anwendungsfälle zu rechnen ist.
Zur Sicherheit der Datenspeicherung bei den Vertragspartnern hat sich die Deutsche Post bislang nur spärlich geäußert. Könnte sich ein Hacker beispielsweise Zugang zum Server eines Vertragspartners mit den gespeicherten E-Post-Zugangsdaten verschaffen, wäre er dazu imstande, unter fremdem Namen E-Postbriefe zu versenden. Die gemeinsame Nutzung derselben Zugangsdaten für E-Postbrief und E-Postident ist also zumindest als problematisch zu betrachten. Auch zu diesem Thema fragt teltarif.de bereits bei der Deutschen Post nach.
Update 12. Juni, 18:10 Uhr: Deutsche Post nimmt Stellung
Die Deutsche Post hat auf unsere Anfrage sehr ausführlich und umfassend geantwortet. Wir werden die Stellungnahme der Deutschen Post morgen in einer separaten Meldung veröffentlichen. Die Deutsche Post wird auf Veranlassung von teltarif.de die teilweise nicht mehr aktuellen Informationen auf www.epost.de/ident [Link entfernt] alsbald aktualisieren.
Update 13. Juni: Stellungnahme ist online
Die Stellungnahme der Deutschen Post können Sie hier lesen: E-Postident: Deutsche Post erläutert Sicherheitskonzept.