Serverkapazitäten für die elektronische Identität bzw. europäische digitale Identität

Antwort der Bundesregierung auf die Kleine Anfrage der Fraktion der CDU/CSU – Drucksache 20/9468 – Serverkapazitäten für die elektronische Identität bzw. europäische digitale Identität V o r b e m e r k u n g d e r F r a g e s t e l l e r Laut dem Dashboard Digitale Verwaltung (https://dashboard.ozg-umsetzun g.de/) wurden seit Januar 2020 bis August 2023 rund 22,15 Millionen Nutzer über zwei eID (elektronische Identität)-Server registriert. Den höchsten Ausreißer, neben der sonst eher steten Nutzungszahl, erreichte man im März 2023 mit der Einmalzahlung an Studierende in Höhe von knapp über 2,5 Millionen Abrufen. Laut der Anhörung zum Thema „Digitale Identitäten“ vom Ausschuss für Digitales am 4. Juli 2022 (https://www.bundestag.de/ausschuesse/a23_digitales/ Anhoerungen/899386-899386) wurde noch vom Sachverständigen Kim Nguyen, Geschäftsführer der D-Trust GmbH, einem Tochterunternehmen der Bundesdruckerei, bestätigt, dass die Bundesdruckerei bisher einziger Anbieter des Berechtigungszertifikates für die Bereitstellung der eID Server und Rechenserverinfrastruktur ist. Im Rahmen des Aufbaus für die prototypische Infrastruktur einer deutschen EUDI-Wallet (EU-Brieftasche für europäische digitale Identität (EUDI)) wurde ein Konsultationsprozess des Bundesministeriums des Innern und für Heimat (BMI) zum Aufbau eines Ökosystems für die EUDI initiiert. Nach jetzigem Stand soll die eID in Form des elektronischen Personalausweises in die Infrastruktur des Ökosystems um die EUDI einbezogen werden, während die Frage um die genaue Nutzung der eID noch offen ist. Sollte der elektronische Personalauswies zur Identifizierung von Bürgerinnen und Bürgern im Rahmen der EUDI eingesetzt werden, würde dies enorme Server- und Rechenkapazitäten zur Bewältigung des Datenverkehrs durch die Nutzung der Ausweisapp und/oder der EUDI-Wallet erfordern. 1. Welches zu verarbeitende Datenvolumen ist bisher für die Authentifizierung und Identifizierung der eID im Jahr 2021 und 2022 beansprucht worden (bitte nach Monat und Datenvolumen auflisten)? Das Datenvolumen pro Transaktion hängt von zahlreichen Faktoren ab: Technische Art der electronic Identity (eID)-Server-Anbindung, eID-Server-Produkt, eID-Client-Produkt, Art und Anzahl der angefragten Datengruppen, Inhalt der Datengruppen. Deutscher Bundestag Drucksache 20/9824 20. Wahlperiode 15.12.2023 Die Antwort wurde namens der Bundesregierung mit Schreiben des Bundesministeriums des Innern und für Heimat vom 8. Dezember 2023 übermittelt. Die Drucksache enthält zusätzlich – in kleinerer Schrifttype – den Fragetext. Da ein Großteil dieser Faktoren aufgrund der Dezentralität des eID-Systems nicht erhoben wird, kann das verarbeitete Datenvolumen nur anhand eines Durchschnittswertes für das Datenvolumen und die erfolgreichen eID- Transaktionszahlen inklusive der erfolgreichen Selbstauskünfte in der AusweisApp für einen Teilbereich geschätzt werden. Die Datenmenge einer eID-Transaktion zwischen eID-Server und eID-Client beträgt voraussichtlich zwischen 60KB und 120KB je Transaktion. 2. Welche und wie viele Unternehmen stellen nach Kenntnis der Bundesregierung aktuell eID-Server für die Abwicklung der eID- Authentifizierung und eID-Identifizierung zur Verfügung? Da eID-Server (Hard- und Software) keiner offiziellen Zulassung bedürfen, ist kein Unternehmen verpflichtet, die Bundesregierung über den Betrieb eines eID-Servers zu informieren. Eine zentrale Erfassung erfolgt nicht. 3. Welche Voraussetzungen muss ein Unternehmen zur Bereitstellung von eID-Servern erfüllen? Die Fragestellung lässt offen, ob die Entwicklung und Bereitstellung der Softwarekomponente „eID-Server“ gemeint ist oder der Betrieb eines solchen für Dritte („eID-Service“) bzw. durch den Diensteanbieter selbst. Der eingesetzte eID-Server muss aus Sicht des Bundesamtes für Sicherheit in der Informationstechnik (BSI) in beiden Fällen den technischen Spezifikationen genügen, welche in der Technical Guideline (TR)-03130-1 niedergelegt sind. Jenseits des Risikos der Inkompatibilitäten besteht aber keine grundsätzliche Verpflichtung, diese Vorgabe zu befolgen. Für den Betrieb eines eID-Servers ist zu unterscheiden, ob ein Unternehmen einen eID-Server betreiben möchte, um Daten im Wege des elektronischen Identitätsnachweises anzufragen (gemäß § 21 des Personalausweisgesetzes (PAuswG)), oder es diesen betreiben möchte, um Identifizierungsdienstleistungen für Dritte zu erbringen (gemäß § 21b PAuswG). Für beide Fälle wird ein Überblick über die rechtlichen und technischen Voraussetzungen in der BSI TR-03128 gegeben. Für den Betrieb eines eID-Servers finden sich Vorgaben in der BSI TR-03130-2 sowie indirekt in der TR-03129 und der Certificate Policy (CP) für die Country Verifying Certificate Authority (CVCA) eID-Anwendung. Verpflichtend umzusetzen sind hierbei im Wesentlichen nur Vorgaben in Bezug auf das Schlüsselmanagement der Berechtigungszertifikate. 4. Welche und wie viele Unternehmen sind derzeit BSI (Bundesamt für Sicherheit in der Informationstechnik)-zertifizierte eID-Anbieter? Eine Zertifizierung als eID-Diensteanbieter ist nach der BSI TR-03128-1 möglich. Für Identifizierungsdiensteanbieter gemäß § 21b PAuswG ist diese verpflichtend. Die Liste der zertifizierten Anbieter ist abrufbar unter: www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-un d-Zertifizierung/Zertifizierung-und-Anerkennung/Listen/Zertifizierte- Produktenach-TR/eID-Anwendungen/eID-Anwendungen_node.html. Berechtigungen für eID-Diensteanbieter werden durch die Vergabestelle für Berechtigungszertifikate im Bundesverwaltungsamt erteilt. 5. Ist die Bundesregierung der Auffassung, dass – Stand: 19. Oktober 2023 – für die Abwicklung der eID-Authentifizierung und eID-Identifizierung für die bis heute angebotenen Verwaltungsleistungen als auch für alle zukünftigen Verwaltungsleistungen genügend Rechenkapazitäten zur Verfügung stehen? Ja, das deutsche eID-System zeichnet sich konzeptionell durch eine potentiell hohe Skalierbarkeit aus. Richtig ist, dass mit Zunahme der Einbindung des Online-Ausweises und einer stärkeren Nutzung in Diensten die jeweiligen Diensteanbieter das Vorhalten entsprechender Verfügbarkeiten und Kapazitäten bei genutzten eID-Servern bedingt. Perspektivisch ist somit davon auszugehen, dass beispielweise bei der BundID eine höhere Verfügbarkeit durch zusätzliche Kapazitäten von eID- Servern vorzuhalten ist. 6. Ist die Bundesregierung der Auffassung, dass für die Abwicklung der eID-Authentifizierung und eID-Identifizierung für die bis heute angebotenen Verwaltungsleistungen als auch für alle zukünftig digitalisierten Verwaltungsleistungen, als auch für alle privaten und geschäftlichen Authentifizierungs- und Identifizierungs-Usecases genügend eID-Server bzw. Rechenkapazitäten zur Verfügung stehen? Bei privaten und geschäftlichen Anwendungsfällen von Authentifizierung und Identifizierung sind grundsätzlich die jeweiligen Diensteanbieter verantwortlich genügend Kapazitäten und eine entsprechende Verfügbarkeit vorzuhalten. Ähnlich gilt dies auch in Bezug auf Verwaltungsleistungen, bei denen eine eID- Authentifizierung und -Identifizierung unmittelbar eingebunden wird. Bei der BundID ist zentral das Bundesministerium des Innern und für Heimat (BMI) zuständig. Hier ist davon auszugehen, dass die Kapazität bezüglich Last und Verfügbarkeit fortwährend angepasst werden muss. 7. Welche Initiativen plant die Bundesregierung zum Auf- und Ausbau der Rechenkapazitäten für die Abwicklung der Authentifizierung und Identifizierung der eID? Bei Diensten des Bundes, die eine Authentifizierung- und Identifizierung mit dem Online-Ausweis vorsehen, werden dienstespezifisch gegebenenfalls wietere eID-Server-Kapazitäten beauftragt/aufgebaut. Dies ist beispielweise bei der BundID vorgesehen. 8. Hat die Bundesregierung Unternehmen beim Aufbau von Server- und Rechenkapazitäten zur Bewältigung des perspektivischen Datenaufkommens aufgrund der Massenadoption bei der Authentifizierung und Identifizierung bisher unterstützt oder gefördert, oder hat sie dies zukünftig vor? Nein, eine Förderung ist nicht erfolgt und derzeit nicht vorgesehen. 9. Mit welchem Datenvolumen und zu verarbeitenden Rechenkapazitäten rechnet die Bundesregierung bei einer Massenadoption der Nutzung der eID, insbesondere vor dem Hintergrund, dass bisher lediglich 14 Prozent der Bundesbürger die eID nutzen (https://www.behoerden-spiegel.de/nl/n l1207.pdf)? Eine zentrale Abschätzung über alle Anwendungsfälle in Wirtschaft und Verwaltung hinweg ist nicht getroffen worden und kaum möglich. Dies ist auch nicht erforderlich, weil das eID-System konzeptionell eine dezentrale Bereitstellung von eID-Servern vorsieht und im Regelfall durch den jeweiligen Diensteanbieter Maßnahmen zur Sicherstellung von Verfügbarkeit, Last und Perfomance ergriffen werden. 10. Sieht die Bundesregierung Bedarf für den weiteren Auf- und Ausbau von Server- und Rechenkapazitäten für die eID? Ja, ein Bedarf wird bezüglich Verwaltungsleistungen gesehen. Dies insbesondere bei der BundID, weil dort wesentliche Leistungen von Kommunen, Ländern und Bund angebunden werden und der Online-Ausweis dort als eine Identifizierungs- und Authentifizerungskomponente vorgesehen ist. 11. Wie viel Rechenkapazität hat die Bundesregierung bei der Bundesdruckerei im Jahr aufgrund der Abwicklung der eID-Authentifizierung und eID-Identifizierung reserviert? a) Wie viel im Jahr 2021? b) Wie viel im Jahr 2022? c) Wie viel im Jahr 2023? 12. Hat die Bundesregierung Rechenkapazität für die Abwicklung der eID- Authentifizierung und eID-Identifizierung für die Einmalzahlung reserviert, und wenn ja, wie viel? 13. Hat die Bundesregierung Rechenkapazität für die Abwicklung der eID- Authentifizierung und eID-Identifizierung für den Kulturpass reserviert, und wenn ja, wie viel? Die Fragen 11 bis 13 werden gesammelt beantwortet. Die Frage wird so verstanden, dass Kapazitäten von eID-Servern erfragt werden. Eine zentrale Bereitstellung durch die Bundesdruckerei erfolgt nicht. Eine gesonderte Reservierung von Kapazitäten für die Einmalzahlung200 und die KulturPass-App ist nicht erfolgt. 14. Wie viel Rechenkapazität reserviert der Bund für die Authentifizierung und Identifizierung durch die eID für die bisherigen Verwaltungsleistungen, und wie viel plant er zu reservieren für alle zur Verfügung stehenden zukünftigen Verwaltungsleistungen, welche ein hohes Vertrauensniveau vorsehen? a) Wie viel für die Rechenkapazität für Verwaltungsleistungen des Bundes? b) Wie viel für die Rechenkapazität für Verwaltungsleistungen der 16 Bundesländer? c) Wie viel für die Rechenkapazität für Verwaltungsleistungen der knapp 11 000 Kommunen? d) Wie viel für die Rechenkapazität insgesamt? Die Fragen 14 bis 14d werden gebündelt beantwortet. Eine Aussage kann hierbei nur in Bezug auf die Einbindung des Online- Ausweises in die BundID getroffen werden. Aus Sicht der BundID wird keine Unterscheidung der Rechenkapazität für Verwaltungsleistungen des Bundes, der Länder oder der Kommunen vorgenommen. Da alle den Basisdienst BundID in Anspruch nehmen können, werden diese in ihrer Gesamtheit betrachtet. Im Anbindungsprozess werden die zu erwartenden Fallzahlen bei den jeweiligen Onlinediensten (Bund, Länder, Kommunen) abgefragt, gleichzeitig werden die Fallzahlen der bereits produktiven Onlinedienste gemonitort. Daraus werden die Lastprognosen für die BundID insgesamt und für die eID Zugangsmittel insbesondere erstellt. Diese eID Lastprognosen werden dem derzeit genutzten eID-Server-Anbieter Governikus gespiegelt. Dieser stellt genügend Kapazitäten inklusive Puffer zur Verfügung, derzeit sind bis zu 74.000 Anfragen pro Stunde möglich. Darüber hinaus wurde die BundID bereits ertüchtigt, verschiedene eID-Server anzusprechen. Es ist bei Bedarf kurzfristig möglich, weitere eID-Server zu nutzen, um bspw. die Kapazität kurzfristig für temporäre Lastspitzen zu verdoppeln. Eine georedundante Nutzung mehrerer eID-Server bei verschiedenen Dienstleistern ist derzeit in konkreter Planung. Die Anzahl der eID-Transaktionen sind unter https://dashboard.ozg-umsetzun g.de/ abrufbar. 15. Ist der Bund oder sind die Bundesländer für die Reservierung von Rechenkapazitäten bei eID-Serviceanbietern für die Authentifizierung und Identifizierung durch die eID zuständig, welche als einzige die Anforderung des hohen Vertrauensniveaus im aktuellen Onlinezugangsgesetz (OZG)-Regierungsentwurf erfüllt? Grundsätzlich ist der jeweilige Diensteanbieter für die Reservierung/Vorhalten von entsprechenden Kapazitäten verantwortlich. Bezogen auf die BundID ist die verantwortliche Stelle das BMI. Für die BundID wurden 2023 Kapazitäten bei den eID-Serviceanbietern Governikus GmbH & Co. KG als auch bei der D‑Trust Gmbh beauftragt. 16. Wie tauscht sich der Bund derzeit mit den Ländern und den Kommunen über die Koordinierung bei der Reservierung von Rechenleistung bei eID-Server-Anbietern aus? a) Welche bisherigen Abkommen wurden hier erzielt? b) Wer übernimmt hierfür bisher die Kosten, der Bund oder die Länder? c) Wer übernimmt perspektivisch die Kosten, wenn, wie vorgesehen, die OZG-Gesetzgebung lediglich das hohe Vertrauensniveau für die Beantragung aller Verwaltungsleistungen erlaubt? Die Fragen 16 bis 16c werden gebündelt beantwortet. Grundsätzlich ist der jeweilige Diensteanbieter für die Reservierung/Vorhaltung von entsprechenden Kapazitäten verantwortlich. Bezogen auf die BundID gilt folgendes Verfahren. Jedes Verfahren meldet bei Einbindung der BundID die jeweils eigene erwartete Last für das eigene Verfahren vor produktiver Nutzung der BundID. Dies ist Bestandteil der jeweiligen vertraglichen Basis zwischen Verfahren und der BundID, bspw. durch Kooperationsvereinbarung einer Behörde mit dem BMI. Rechte und Pflichten sind für alle nutzenden Verfahren identisch, ob Bund, Länder oder Kommunen. Auf Basis dieser Prognosen sowie dem tatsächlichen Nutzungsverhalten werden die Kapazitäten gesteuert (inkl. entsprechendem Puffer). Die Kosten der BundID trägt derzeit der Bund. Dies gilt auch für Kosten die im Zusammenhang mit der Reservierung von eID-Server-Kapazitäten entstehen. 17. Anhand welchen Schlüssels berechnet der Bund die Höhe der notwendigen Rechenkapazitäten für die Abwicklung der Authentifizierung und Identifizierung der eID? Die Frage kann nicht beantwortet werden. Es handelt sich bei dem deutschen eID-System nicht um eine Infrastruktur mit zentral beauftragten oder gesteuerten Server- und Rechenkapazitätsinfrastrukturen. Eine Aussage ist nur auf Ebene von Diensten möglich. 18. Wie hoch ist die maximale Anzahl von möglichen Anfragen für eine eID-Authentifizierung anhand der vorhandenen Server- und Rechenkapazitätsinfrastruktur? Es handelt sich bei dem deutschen eID-System nicht um eine Infrastruktur mit zentral beauftragten oder gesteuerten Server- und Rechenkapazitätsinfrastrukturen. Eine entsprechende Anzahl kann somit nicht genannt werden. Es ist auch der jeweilige Einzelfall zu betrachten und dieser hängt von verschiedenen Faktoren ab, beispielsweise Menge an angebundenen eID-Servern und deren jeweiligen Grenzen bezüglich Verfügbarkeit und Last. 19. Wie hoch sind nach Kenntnis der Bundesregierung die Kosten für eine Installation der Hardware und des Betriebs der Software für die AusweisApp und die direkte Integration wie beispielsweise bei Bankinstituten? Die AusweisApp selber wird auf einem Gerät des Endnutzers installiert und verursacht keine Kosten auf Seiten eines Diensteanbieters. Dies gilt auch bei Integration der AusweisApp in die Anwendung eines Drittanbieters (SDK). Beim Betrieb eines eID-Servers (siehe auch Frage 3) durch beziehungsweise im Auftrag eines Diensteanbieters fallen folgende Kosten an: Für die Erteilung einer Berechtigung bei der Vergabestelle für Berechtigungszertifikate wird eine Gebühr von 102 Euro erhoben. Für den Bezug des technischen Berechtigungszertifikats und der Sperrinformationen ist eine Anbindung an einen Anbieter für Berechtigungszertifikate notwendig. Die dabei entstehenden Kosten ergeben sich aus der Vertragsbeziehung mit dem entsprechenden Anbieter. Der Bundesregierung liegen keine öffentlich verfügbaren Zahlen hierzu vor. Die Kosten für den Betrieb des eigentlichen eID-Servers hängen von der Wahl des Betriebsmodells und der gewünschten Kapazität und Verfügbarkeit ab und variieren daher entsprechend. Ein Diensteanbieter kann hierbei den eID-Server als Software selbst betreiben oder als Dienstleistung durch einen oder mehrere Dritte bereitstellen lassen. 20. Welche Gesamtkapazität besitzt die aktuelle eID-Infrastruktur (in Abfragen pro Sekunde und pro Minute)? Es handelt sich bei dem deutschen eID-System nicht um eine Infrastruktur mit zentral beauftragten oder gesteuerten Server- und Rechenkapazitätsinfrastrukturen. Eine entsprechende Anzahl kann somit nicht genannt werden. 21. Welche Maßnahmen plant die Bundesregierung aktuell, um die Gesamtkapazität der eID-Infrastruktur auszubauen? Sofern es eigene Dienste betrifft, beispielweise eID-Anbindung an der BundID, werden entsprechende Bedarfe fortwährend überprüft und bei Bedarf zusätzliche Serverkapazitäten beauftragt. 22. Plant die Bundesregierung die Förderung des Aufbaus einer privaten eID-Infrastruktur, um das große Nutzungsaufkommen der eID zukünftig bewältigen zu können? Eine Förderung ist nicht vorgesehen. 23. Plant die Bundesregierung die Verteilung der Server auf mehr als die bisher beauftragten Unternehmen? Die Frage kann nicht pauschal beantwortet werden. Die Bundesregierung beauftragt/stellt nicht zentral eID-Server der gesamten eID-Infrastruktur für Anwendungen in Wirtschaft und Verwaltung. Ein Diensteanbieter kann den im Dienst eingesetzten eID-Server als Software selbst betreiben oder als Dienstleistung durch einen oder mehrere Dritte bereitstellen lassen. Das deutsche eID-System ist grundsätzlich offen gestaltet. Es steht somit Unternehmen frei, eigenständig am Markt Leistungen entsprechend anzubieten. 24. Worin sieht die Bundesregierung die Ursachen für die Überlastung der eID-Services im Zuge der Einmalzahlung für Studierende, und welche Maßnahmen hat die Bundesregierung seitdem unternommen, um zukünftig nicht ähnliche Probleme bewältigen zu müssen (https://www.heise.de/ news/Energiepreispauschale-Holpriger-Start-der-Einmalzahlung-fuer-Stu denten-7549625.html)? a) Welche Komponenten der Infrastruktur für die eID waren konkret überlastet? b) Wie konnte die Überlastung konkret behoben werden? c) Welche konkreten Ausweichserverkapazitäten wurden genutzt, um der Überlastung zu entgegnen? Die Fragen 24 bis 24c werden gesammelt beantwortet. Bei der Einmalzahlung200 wurde die BundID als Authentifizierungskomponente eingesetzt. Durch den Onlinedienst „Einmalzahlung200“ wurde die Online-Ausweisfunktion neben PIN in Verbindung mit Benutzername/Passwort sowie ELSTER innerhalb der BundID als zulässig definiert. Eine Überlast bestand nur bei der eID, alle Anfragen mit dem Authentifikationsmittel ELSTER sowie PIN in Verbindung mit Benutzername/Passwort konnten ohne Überlast bearbeitet werden. Einschränkungen bei der Nutzung mit den anderen Authentifikationsmitteln ergaben sich ausschließlich durch die Versuche die Kapazität des eID-Servers zu erhöhen. Im Zuge der hohen Nachfrage der eID als Authentifikationsmittel der BundID zum Start der Einmalzahlung kam es zu einer Überlast des damals angebundenen eID-Servers beim Dienstleister D-TRUST GmbH. Durch kurzfristige Bereitstellung eines eID-Servers beim Dienstleister Governikus konnte durch höhere Kapazität Abhilfe geschaffen werden. Durch den neuen eID-Server stand die dreifache Kapazität zur Verfügung, welche innerhalb weniger Stunden durch den Dienstleister Governikus noch einmal auf das insgesamt 4,5-fache erhöht werden konnte. Die eID-Nachfrage konnte ab diesem Zeitpunkt ohne weitere Probleme im Rahmen der Einmalzahlung200 abgewickelt werden. 25. Ab welcher Nutzerzahl pro Sekunde und pro Minute ist die aktuelle eID- Infrastruktur überlastet? 26. Hält die Bundesregierung redundante Rechenkapazitäten bei der aktuellen eID-Infrastruktur vor, und welche Gesamtkapazität hat diese? 27. Wie-viel Rechenleistung hält die Bundesregierung aktuell für die Nutzung der eID bei den eID-Infrastrukturanbieter vor? Die Fragen 25 bis 27 werden gesammelt beantwortet. Es handelt sich bei dem deutschen eID-System nicht um eine Infrastruktur mit zentral beauftragten oder gesteuerten Server- und Rechenkapazitätsinfrastrukturen. Eine Aussage ist nur auf Ebene von einzelnen Diensten möglich. 28. Meldet die Bundesregierung konkrete mögliche Spitzenauslastungen beim Infrastrukturanbieter vorher an? In Bezug auf die Einbindung des Online-Ausweis in die BundID lässt sich sagen, dass Lastspitzen angekündigt werden, sofern diese bekannt und absehbar sind. Grundsätzlich liegt es am Diensteanbieter selbst, entsprechende Ankündigungen vorzunehmen und Verfügbarkeit und Lastspitzen zu prognostizieren. 29. Welche Maßnahmen hat die Bundesregierung bei der eID-Identifizierung beim Ausrollen des Kulturpasses besser gemacht, sodass es zu keiner Serverüberlastung bei der Beantragung des Kulturpasses kam? Zur Vermeidung von Server-Engpässen zum Start des KulturPasses im Juni 2023 haben der von der Beauftragten der Bundesregierung für Kultur und Medien beauftragte IT-Dienstleister und die D-Trust GmbH im Vorfeld gemeinsam umfangreiche Last- und Performancetests durchgeführt. Dabei wurden die Server unter Höchstlast getestet und die IT-Infrastruktur entsprechend optimiert. In der Folge hat die D-Trust GmbH für die Startphase des KulturPasses eine zweite Verarbeitungsstrecke zur Verfügung gestellt. Auf diese Weise konnte die Anfragelast gut bewältigt werden, sodass es nicht zu Serverüberlastungen kam. 30. Welche und wie viele Unternehmen nutzen derzeit nach Kenntnis der Bundesregierung bereits zertifizierte eID-Server für ihre Leistungen? Die Bereitstellung und/oder Nutzung von eID-Servern bei privatwirtschaftlichen Anwendungsfällen liegt in der Zuständigkeit des jeweiligen Diensteanbieters. Entsprechende Daten werden daher nicht zentral erhoben und liegen nicht vor. 31. Wie lautet die Strategie der Bundesregierung bezüglich externer Anwendungen neben der AusweisApp, die ebenfalls die eID-Transaktionen in die Höhe schnellen lassen können, speziell im privatwirtschaftlichen Bereich (z. B. Banken, Versicherungen, Krankenkassen)? Sind die eID-Server und eID-Infrastrukturen darauf ausgelegt, gibt es (relative und absolute) „Freikapazitäten“ für eID-Transaktionen aus der Privatwirtschaft? Die Bereitstellung und/oder Nutzung von zertifizierten eID-Servern bei privatwirtschaftlichen Anwendungsfällen liegt in der Zuständigkeit des jeweiligen Diensteanbieters. Banken, Versicherungen und Krankenkassen sind somit selbst zuständig sicherzustellen, dass ausreichende Kapazitäten für bereitgestellte Dienste vorgehalten werden. 32. Soll es eine einheitliche und transparente Zertifizierung für Anwendungen geben, die die eID integrieren, um sie der Verwaltung und/oder Wirtschaft zur Verfügung zu stellen, und wenn ja, wie soll diese aussehen, und wer darf diese durchführen – akkreditierte Konformitätsbewertungstellen? Die Fragestellung lässt offen, auf welchen Zertifizierungsgegenstand sie sich bezieht, da sich eine Zertifizierung ja nach Schema und Anforderungen von einzelnen Komponenten bis hin zu allen technischen und organisatorischen Maßnahmen einer Organisation erstrecken kann. Für Fachverfahrenssoftware, die auf Anbieterseite zum Einsatz kommt und Anbindung an einen eID-Server besitzt, gibt es aktuell keine Planungen zum Angebot einer Zertifizierung. Nutzerseitig ausgeführte Anwendungssoftware mit Integration der eID über Einbindung eines eID-Kernels (beispielsweise AusweisApp software develepment kit (SDK)) kann gemäß BSI TR-03124-1 zertifiziert werden. Anwendungen, bei denen die Identifizierung mittels eID als integrierte Dienstleistung selbst erfolgt, sind Identifizierungsdiensteanbieter gemäß § 21b PAuswG und benötigen eine Zertifizierung nach BSI TR-03128-1. 33. Wie wirkt die Bundesregierung einer „Überidentifizierung“ entgegen, die im Zuge einer EUDI-Wallet – speziell bei einer Identifizierung gegenüber Hyperscalern (sog. Very Large Online Platforms) – auftreten kann? Für eine vertrauensvolle digitale Kommunikation ist es wichtig, dass sich beide Seiten gegenseitig authentifizieren können, wofür der sichere Einsatz digitaler Identitäten notwendig ist. Um die Überidentifizierung von Nutzern zu vermeiden, muss die Preisgabe von persönlichen Daten auf das für den jeweiligen Anwendungsfall notwendige Minimum beschränkt werden. Bei der Online- Ausweisfunktion muss der Diensteanbieter hierfür dem Nutzer ein Berechtigungszertifikat übermitteln, welches die Identität des Anbieters nachweist und über die angefragten Daten aufklärt. Um solch ein Zertifikat zu beantragen, muss der Anbieter gegenüber der Vergabestelle für Berechtigungszertifikate erläutern, zu welchem Zweck er die personenbezogenen Daten verarbeiten muss. Zusätzlich wird bei der Online-Ausweisfunktion die Authentizität der übermittelten Daten garantiert, ohne dass diese mit einer digitalen Signatur versehen sein müssen. Im Rahmen der Diskussion zur Novellierung der Verordnung über elektronische Identifizierung und Vertrauensdienste (eIDAS-Verordnung) werden gegenwärtig mehrere Lösungsoptionen diskutiert. 34. Wie viele Anmeldungen fanden bei der „Einmalzahlung200“ und dem Kulturpass per Onlineausweisfunktion (eID), ELSTER und PIN in absoluten Zahlen statt? In Bezug auf die Einmalzahlung200 ergeben sich folgende Werte: PIN 1.835.270; Online-Ausweisfunktion 670.470; Elster-Zertifikat 335.235. Für den KulturPass gab es zum Stand 27.11.2023 rd. 245.000 Anmeldungen über eID (Identifizierung der 18-Jährigen) und 4.343 Anmeldungen über ELSTER (Verifizierung der Kulturanbietenden). 35. Wieso werden nach Ansicht der Fragesteller nutzerfreundliche und sichere Identifizierungs- sowie Signaturlösungen, die hohe Nutzungsraten in der Privatwirtschaft genießen, durch den bisherigen OZG-2.0- Gesetzentwurf ausgeschlossen (https://dserver.bundestag.de/btd/20/080/200809 3.pdf)? Der Gesetzentwurf zur Änderung des Onlinezugangsgesetzes (OZGÄndG) sieht in § 3 Absatz 4 Nummer 1 und 2 des Onlinezugangsgesetzesentwurfs (OZG-E) vor, dass die Identifizierung im Nutzerkonto auf lange Sicht nur durch Identifizierungsmittel auf dem Sicherheitsniveau „hoch“ im Sinne der eIDAS-Verordnung erfolgen soll. Hierdurch soll gewährleistet werden, dass der elektronische Identitätsnachweis für sämtliche Verwaltungsleistungen einheitlich und mittels eines gleichförmig wiederkehrenden Verfahrens erfolgt. Bis sich die Verwendung von Identifizierungsmitteln auf dem Sicherheitsniveau „hoch“ bei natürlichen Personen flächendeckend etabliert hat und bis auch für juristische Personen ein Identifizierungsmittel auf dem Sicherheitsniveau „hoch“ zur Verfügung steht, kann der Identitätsnachweis zudem für einen begrenzten Zeitraum (drei Jahre im Bürgerkonto und fünf Jahre im Organisationskonto) durch ELSTER-Softwarezertifikate oder andere Identifizierungsmittel auf dem Sicherheitsniveau „substantiell“ im Sinne der eIDAS- Verordnung erbracht werden. 36. Gibt es nach Auffassung der Bundesregierung Verwaltungsleistungen, für deren Nutzung das Sicherheitsniveau „substanziell“ ausreichend ist? a) Wenn ja, um welche Verwaltungsleistungen handelt es sich dabei? b) Wie groß stellt sich der prozentuale Anteil dieser gegenüber dem Vertrauensniveau „hoch“ dar? c) Nach welchen Kriterien wurde dies entschieden? d) Gibt es Verwaltungsleistungen, für deren Nutzung das Sicherheitsniveau „normal” oder „Basisregistrierung” gemäß der BSI-TR (BSI – Technische Richtlinie) 03160 ausreichend sind, und wenn ja, welche? Die Fragen 36 bis 36d werden zusammenhängend beantwortet. Das für die Erbringung einer elektronischen Verwaltungsleistung erforderliche Vertrauensniveau wird jeweils durch die für das konkrete Verfahren zuständige Stelle ermittelt. Eine pauschale Zuordnung von Vertrauensniveaus zu sämtlichen Verwaltungsleistungen im Sinne des Onlinezugangsgesetzes (OZG) ist damit ebenso wie eine umfassende Darstellung der prozentualen Anteile der Verwaltungsleistungen auf den Vertrauensniveaus „normal“, „substantiell“ und „hoch“ nicht möglich. In die Ermittlung des Vertrauensniveaus einer Verwaltungsleistung fließen verschiedene Bewertungsfaktoren ein, die anhand der Besonderheiten des konkreten Verfahrens zu beurteilen sind (z. B. Schadensauswirkungen, Sensibilität der zu verarbeitenden Daten). Das BMI stellt im Rahmen des OZG-Leitfadens ein Praxistool zur Einschätzung des Vertrauensniveaus einer Verwaltungsleistung bereit. 37. Wie viel Datenverkehr soll nach Kenntnis der Bundesregierung über den von Adesso (https://www.kommune21.de/meldung_42522_Neue+eID-L %C3%B6sung+angek%C3%BCndigt.html) ab 2024 geplanten eID- Server abgewickelt werden können (bitte auch nach Abfragen pro Sekunde und pro Minute auflisten)? Es handelt sich um eine privatwirtschaftliche Leistung des Unternehmens Adesso und nicht um ein staatliches Angebot oder eine staatlich beauftragte Leistung. Insoweit liegen der Bundesregierung keine Informationen über entsprechende Produkteigenschaften vor. Gesamtherstellung: H. Heenemann GmbH & Co. KG, Buch- und Offsetdruckerei, Bessemerstraße 83–91, 12103 Berlin, www.heenemann-druck.de Vertrieb: Bundesanzeiger Verlag GmbH, Postfach 10 05 34, 50445 Köln, Telefon (02 21) 97 66 83 40, Fax (02 21) 97 66 83 44, www.bundesanzeiger-verlag.de ISSN 0722-8333