Erläuternder Bericht

anzuheben. Dies erleichtert den Einstieg in anerkannte E-ID-Systeme. Mit dem Sicherheitsniveau „niedrig“ wird der Zugang zu anerkannten E-ID einfach gehalten, was einen essentiellen Erfolgsfaktor für die Anbieter von anerkannten E-ID-Systemen im Markt darstellt. Zudem kann eine Person mehrere E-ID von verschiedenen IdP auf unterschiedlichen Sicherheitsniveaus besitzen, wenn sie das möchte.

Sicherheitsniveau „niedrig“

Die E-ID hat im Rahmen eines E-ID-Systems den Zweck, die Gefahr des Identitätsmissbrauchs oder der Identitätsveränderung zu vermindern. Die Registrierung kann online gestützt auf einen staatlichen Ausweis erfolgen. Beim Sicherheitsniveau „niedrig“ werden nur wenige Daten zugeordnet (Name, Vorname, Geburtsdatum und E-ID-Registrierungsnummer; vgl. Art. 7 Abs. 1 VE). Der Einsatz der E-ID verlangt mindestens eine Ein-Faktor-Authentifizierung. Die Handhabung einer solchen E ID ist damit vergleichbar mit einem Zutrittsbadge oder den einer kontaktlosen Bezahllösungen für kleinere Beträge.

Sicherheitsniveau „substanziell“

Das Sicherheitsniveau „substanziell“ bezieht sich auf eine elektronische Identifizierungseinheit, die ein substanzielles Mass an Vertrauen in die beanspruchte oder behauptete Identität einer Person vermittelt. Die E-ID dieses Sicherheitsniveaus hat im Rahmen eines E-ID-Systems den Zweck, die Gefahr des Identitätsmissbrauchs oder der Identitätsveränderung erheblich zu vermindern. Die Registrierung erfolgt mit persönlicher Vorsprache beim IdP oder einer Videoidentifikation gestützt auf einen staatlichen Ausweis. Im Sicherheitsniveau „substanziell“ werden neben dem Namen und dem Geburtsdatum noch weitere Personenidentifizierungsdaten zugeordnet (z. B. Geschlecht, Geburtsort, Zivilstand, vgl. Art. 7 Abs. 2 VE). Der Einsatz der E-ID verlangt mindestens eine 2-Faktor-Authentifizierung. Die Handhabung einer solchen E-ID ist somit zum Beispiel mit im Bankenbereich üblichen Lösungen vergleichbar (Kontokarten, Kreditkarten mit PIN, E-Banking-Lösungen).

Sicherheitsniveau „hoch“

Die E-ID mit dem Sicherheitsniveau „hoch“ hat im Rahmen eines E-ID-Systems den Zweck, die Gefahr des Identitätsmissbrauchs oder der Identitätsveränderung zu verhindern. Die Registrierung erfolgt mit persönlicher Vorsprache beim IdP oder mit Videoidentifikation gestützt auf einen staatlichen Ausweis. Zusätzlich wird die Echtheit des Ausweises und mindestens ein biometrisches Merkmal gestützt auf eine behördliche Quelle überprüft (Ausweisgültigkeit und Gesichtsbild oder anderes biometrisches Erkennungsmerkmal). Beim Sicherheitsniveau „hoch“ werden der E-ID-Registrierungsnummer alle verfügbaren Personenidentifizierungsdaten zugeordnet (vgl. Art. 7 Abs. 2 VE). Das Authentifizierungsmittel der E-ID muss zudem sehr hohe Anforderungen bezüglich technischer Sicherheit erfüllen.

Der Einsatz der E-ID verlangt mindestens eine Zwei-Faktor-Authentifizierung, wobei ein Faktor biometrisch sein muss («inhärenter Faktor» gemäss eIDAS Durchführungsrechtsakte). Die Handhabung einer solchen E-ID ist vergleichbar mit einem Smartphone mit Fingerabdruck-, Gesichts- oder Stimmenerkennung. Die biometrische Authentifizierung bewirkt eine noch engere Bindung zwischen der E-ID und deren Inhaberin oder Inhaber. Bei Verlust des Authentifizierungsmittels der E-ID schützt die biometrische Authentifizierung die Inhaberin oder den Inhaber vor der Tätigung missbräuchlicher Transaktionen in deren Namen. Mit Blick auf den Identitätsmissbrauch müssen Inhaberinnen und Inhaber auch vor Cyberangriffen geschützt werden können. Dies betrifft sowohl Cyberangriffe auf das Authentifizierungsmittel der E-ID selbst als auch Cyberangriffe auf weitere technische Hilfsmittel, die gegebenenfalls für den Einsatz des Authentifizierungsmittels der E-ID erforderlich sind, aber nicht in den Regelungsbereich dieses Gesetzes fallen. Missbräuchliche Transaktionen in fremdem