Frage 1

Wie viele Anbieter bewarben sich bei der Ausschreibung zur Entwicklung der Smartphone App “ID-Wallet” und aufgrund welcher Kriterien ging der Zuschlag an die Digital Enabling GmbH (bzw. esatus AG)? (BT Drucksache 19/32661, Frage 1)

Antwort der Staatsministerin Dorothee Bär vom 7. Oktober 2021

Die Bundesregierung hat sich im Teilprojekt „Ökosystem digitale Identitäten“ innerhalb des interministeriellen Projektes „Digitale Identität“ für die Nutzung eines bestehenden Rahmenvertrages mit der System Vertrieb Alexander GmbH (SVA) entschieden, in dem die IBM Deutschland GmbH sowie die Esatus AG als Unterauftragnehmer im Projekt tätig sind. Die Digital Enabling GmbH ist als Tochterunternehmen der Esatus AG Herausgeberin der von der Esatus AG entwickelten ID Wallet.

Frage 2

Wer zeichnete verantwortlich für die Vergabe und für die Freigabe, also den Start der ID- Wallet App? (bitte Name(n), Position(en), Abteilung(en)/Organisationseinheit(en), Bundesbehörde(n) (Ministerium oder nachgeordnete Behörde(n) angeben, ggf. getrennt für Vergabe und Freigabe). (BT Drucksache 19/32661, Frage 2)

Antwort der Staatsministerin Dorothee Bär vom 7. Oktober 2021

Die ID Wallet App ist nicht erst zum Start des Digitalen Führerscheinnachweises am 23.09.2021, sondern bereits seit 05.05.2021 durch die Digital Enabling GmbH in den App Stores von Google und Apple verfügbar gemacht worden. Die esatus Wallet, auf deren Source Code die ID Wallet aufbaut, steht in Herausgeberschaft der esatus AG sogar bereits seit 14.02.2020 in den App Stores.

Die Freigabe des Updates 1.6, das erstmals die Einbindung des digitalen Führerscheinnachweises sowie ein Ausstellen der „Basis-ID“ nicht nur mit Testausweisen ermöglichte, fiel in einer gemeinsamen Abstimmung aller für diesen Anwendungsfall verantwortlichen Stakeholder.

Derzeit laufen Gespräche zwischen BReg und den am Gesamtprojekt beteiligten Unternehmen über eine dauerhafte Governance für das Gesamtökosystem Digitale Identitäten. In diesem Zusammenhang wird die Gründung eines öffentlich-privaten Joint Ventures angedacht, das zu je 50%igem im Eigentum der öffentlichen Hand einerseits und der Wirtschaft andererseits stehen und die Betriebsverantwortung für das Ökosystem übernehmen soll. In diesem Zusammenhang ist auch die dauerhafte Herausgeberschaft der ID Wallet Thema weiterer Gespräche innerhalb der Bundesregierung.

Frage 3

Wurde im Vorfeld der Veröffentlichung der Smartphone App “ID-Wallet” im Rahmen eines Penetrationstests (Pentest) auf die spezifische Schwachstelle von sog. MitM- Angriffen (Man-in-the-Middle) hingewiesen (s. dazu https://lilithwittmann.medium.com/mit-der-id-wallet-kannst-dualles- und-jeder-sein- au%C3%9Fer-du-musst-dich-ausweisen-829293739fa0) und falls ja, warum wurden diese Hinweise vor dem Start der App nicht berücksichtigt? (BT Drucksache 19/32661, Frage 3)

Antwort der Staatsministerin Dorothee Bär vom 7. Oktober 2021

Ein Abfangen der Daten benötigt bei Verbindungsaufbau über QR-Code (bzw. Synonym Deeplink) den Austausch des QR-Codes, dies ist bei einem gedruckten QR- Code nur durch physische Anwesenheit und Austausch, oder bei einer Einbindung auf einer Website durch Zugriff auf interne Systeme (Webserver) der Verifizierenden möglich.
Nach Informationen durch die Entwickler IBM und Esatus ist dies konkret beim ersten Anwendungsfall „Hotel-Check-In“, welcher in einem kontrollierten und begrenzten Rahmen stattfindet, nur durch physische Anwesenheit oder Zugriff auf interne Systeme der Verifizierenden (hier des Hotels) möglich. Für den Hotel Check-In wurden in Abstimmung mit dem BSI daher zusätzliche organisatorische Maßnahmen ergriffen, um das Risiko für diese Art von Missbrauch zu vermeiden bzw. auf ein sehr geringes Maß zu reduzieren. Bei der Ausstellung des Führerscheinnachweises erfolgt die Identifizierung ohne QR-Code und mittels Onlineausweisfunktion. Das beschriebene Angriffsszenario ist dabei nicht einschlägig. Vor der Freischaltung weiterer Anwendungsfälle und dem Re-launch der ID Wallet werden weitere zusätzliche Sicherungsmechanismen implementiert: Dazu gehört die Vermeidung von sogenannten „connection-less Proof Requests“ und stattdessen die Anwendung von dynamischen QR-Codes. Weitere Maßnahmen zur Verhinderung von Phishing- Versuchen werden geprüft.

Bei den sensiblen Nachweisen Basis-ID und Digitaler Führerscheinnachweis sind mit der Gerätebindung zudem weitere Sicherheitsmechanismen implementiert, welche sicherstellen, dass diese Nachweise nur auf dem Gerät verwendet werden können, auf dem sie ausgestellt wurden.

Frage 4

Inwiefern (inkl. genauen Zeitpunkt sowie Art und Weise) wurde das Bundesamt für Sicherheit in der Informationstechnik (BSI) in die Prüfung der App “ID-Wallet” vor deren Veröffentlichung einbezogen (falls nicht, bitte begründen) und zu welcher Bewertung kam das BSI? (BT Drucksache 19/32661, Frage 4)

Antwort der Staatsministerin Dorothee Bär vom 7. Oktober 2021

Beim Anwendungsfall digitaler Hotel Check-in ist gemäß § 29 Absatz 5 Satz 2 Nummer 3 des Bundesmeldegesetzes erforderlich, dass das BSI bei einer vorherigen Prüfung des Verfahrens ein vergleichbares Sicherheitsniveau zu den anderen in der Norm genannten Verfahren festgestellt hat. Für den Anwendungsfall digitaler Hotel- Check-in hat das BSI daher die vorgelegte Konzeption geprüft. In diesem Zusammenhang wurden zahlreiche Verbesserungen implementiert. Es wurde darüber hinaus notwendiger Weiterentwicklungsbedarf am System-Konzept festgestellt, bevor die Pilotanwendung in einen offenen Wirkbetrieb übergeht. Daran wird gearbeitet.

Dem BSI wurde zudem die Dokumentation „IT-Systemkonzept SSI-basierter Führerscheinnachweis“ zur Verfügung gestellt, in mehreren Fragerunden erläutert und das Dokument basierend auf den Rückmeldungen des BSI fortgeschrieben. Das BSI hat keine Betrachtung oder Prüfung der konkreten Implementierung durchgeführt, da es aufgrund seiner Zuständigkeit hierzu nicht aufgefordert war.

Frage 5

Inwiefern (inkl. genauen Zeitpunkt sowie Art und Weise) wurde der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) in die Prüfung der App “ID- Wallet” vor deren Veröffentlichung einbezogen (falls nicht, bitte begründen) und zu welcher Bewertung kam der BfDI? (BT Drucksache 19/32661, Frage 5)

Antwort der Staatsministerin Dorothee Bär vom 7. Oktober 2021

Es gibt mit dem BfDI regelmäßig Austausche zu dem Ökosystem Digitaler Identitäten und der Funktionsweise aller Komponenten (einschließlich der ID Wallet) im Zusammenspiel, an denen in wechselnder Besetzung Mitarbeitende aus BKAmt, BMF und IBM teilgenommen haben. Dabei ist im Rahmen des übergeordneten Projekts „sichere digitale Identitäten“ der BfDI mit dem Ökosystem einschließlich der ID Wallet befasst; dies ist ein fortlaufender Prozess, bei dem der BfDI die projektverantwortliche Bundesregierung auf ihren Wunsch berät. Der BfDI als oberste Bundesbehörde bietet keine Prüfung oder Zertifizierung isolierter Apps an, insbesondere nicht von privaten Herausgebern.