Öffentliche IT-Projekte haben es schwer

Mein Kollege Peter Mertens aus Erlangen hat mehrfach darauf hingewiesen, dass IT-Projekte im öffentlichen Bereich mit besonderen Risiken behaftet sind. Er hat mehrere große Projekte analysiert, die gescheitert sind. Dass er dennoch dafür plädiert, alle staatlichen Leistungen, die ein Bürger erhält, in einer riesigen Bundes-Datenbank zu erfassen, kann ich nur seinem tiefsitzenden Bestreben zurechnen, überall möglichst effizient zu handeln. Eigentlich müsste ich es als Fall einer kognitiven Dissonanz einordnen. Mit anderen Worten, er fordert es, obwohl er wissen müsste, dass so etwas den öffentlichen Dienst glatt überfordert.

Obwohl sich dieses Thema noch weiter vertiefen ließe, will ich im Folgenden auf zwei Beispiele von Projekten im öffentlichen Bereich eingehen, die in ihrem Ausmaß wesentlich bescheidener sind. Auch sie haben ganz spezifische Probleme, ihre Ziele zu erreichen. In beiden Fällen habe ich sogar die Beteiligten zusätzlich beschäftigt.

Volksverschlüsselung

Nach dem Snowden- oder NSA-Skandal des Jahres 2013 schrien fast alle Fachkollegen nach effektiver Verschlüsselung des gesamten Internetverkehrs. In meinem letzten Beitrag zum Thema Internet-Sicherheit vom August 2016 hatte ich über eine Initiative der Fraunhofer-Gesellschaft berichtet. Sie trägt den etwas anspruchsvollen Namen Volksverschlüsselung. Schon damals lag es mir auf der Zunge, stattdessen von Volksverdummung zu reden. In meinem Nachtrag vom 29.10.2016 schrieb ich:

Leider muss ich gestehen, dass es mir trotz intensiver Bemühungen nicht gelungen ist, selbst fachlich interessierte Kolleginnen und Kollegen für einen Test der Volksverschlüsselung zu gewinnen. Eine nur minimale Unterstützung durch den Anbieter war nicht zu erhalten.

Hannes Federrath, Vizepräsident der Gesellschaft für Informatik und IT-Sicherheitsexperte von der Universität Hamburg, schrieb im Februar 2017: ‚Initiativen wie die vom Fraunhofer SIT entwickelte Volksverschlüsselung sind nach Auffassung der GI wegweisend. Zum einen erzeugen sie Aufmerksamkeit und tragen zur Verbreitung des Themas bei; sie verfolgen [hoffentlich] einen nutzerzentrierten Ansatz, der nicht nur Schlüsselerzeugung und Zertifizierung, sondern auch den Schlüsselaustausch und die Konfiguration der E-Mail-Programme abdeckt.‘‘

Dass kein besonders nutzerorientierter Ansatz verfolgt wurde, wird in der besagten Stellungnahme der GI exakt ausgeführt. Vereinfacht möchte ich das benutzte Verfahren wie folgt beschreiben. Wer in den Orden aufgenommen werden will, muss ins Kloster nach Darmstadt kommen, und sich dort weihen lassen. Ausnahmsweise geht dies auch, wenn er einem der Darmstädter Missionare auf deren Reisen innerhalb Deutschlands begegnet. Man muss aber seinen Personalausweis einem Ordensmitglied vorlegen. Jemandem andern gegenüber sich zu identifizieren reicht nicht. Selbst der Papst kann da nicht helfen.

In einer Ankündigung für eine Fachmesse im Oktober 2017 in Nürnberg (it-sa) heißt es, ‚dass selbst IT-Sicherheitslaien problemlos [mit der Software] zurechtkommen.‘ Dem kann ich nicht zustimmen. Seit Anfang 2016 habe ich (außer dem Entwickler selbst) einen einzigen Kollegen aus meinem Bekanntenkreis angetroffen, der seine Mails explizit und mittels der Darmstädter Software verschlüsselt. Ohne jede Mühe verschlüsseln alle meine Familienangehörigen schon seit langem einen Teil ihres Datenaustauschs per Internet. Mit ihnen verkehre ich nämlich vorwiegend per Chat-Dienst. Ursprünglich hat nur Threema verschlüsselt, inzwischen tut es auch WhatsApp. Beide machen es Ende-zu-Ende, und nutzergerecht. Beide stammen von privaten Unternehmen. Sie mussten sich im Markt behaupten. Würden Google und Facebook so ähnlich arbeiten wie dieser deutsche Anbieter, hätte die Welt in die letzten 10 Jahren mehr Ruhe gehabt.

Online-Ausweis

Da mein derzeitiger Personalausweis erneuert werden musste, beantragte ich einen neuen mit Online-Ausweisfunktion. Wer weiß, vielleicht spare ich damit einige Behördengänge. Das Amt kassierte dafür 6 Euro. Nach zwei Wochen erhielt ich den so genannten PIN-Brief. Ich ließ den Ausweis abholen und wollte die Online-Funktion aktivieren. Die mitgelieferte Broschüre beschrieb einen Ablauf, den ich nicht nachvollziehen konnte. Die Software, die mir empfohlen wurde, hieß AusweisApp2. Als Hardware kämen spezielle Kartenleser in Frage oder handelsübliche Smartphones.

In der Broschüre hieß es, ich sollte die 4-stellige Transfort-PIN in eine selbstgewählte 6-stellige PIN umwandeln. Die AusweisApp2 wollte aber einen QR-Code von mir. Als ich im Rathaus nachfragte, von welcher App die Transport-PIN akzeptiert wird und woher ich einen gültigen QR-Code bekommen würde, verwies man mich an den Bundesminister des Innern (BMI) in Berlin.

Die erste Antwort, die ich bekam, lautete: Sie benötigen ein Android-Gerät  ̶  Smartphone oder Tablet-PC  ̶  mit passender NFC-Schnittstelle. Außerdem schickte man mir eine ‚Liste kompatibler Smartphones und Tablet-PCs‘ Im begleitenden Text hieß es:

Wir sind guter Hoffnung, dass mit einer neuen NFC-Spezifikation ab Mitte 2017 nur noch Endgeräte produziert werden, die Extended Length unterstützen und somit die Online-Ausweise lesen können. Die Anzahl der geeigneten Endgeräte wird somit sukzessive ansteigen. Testen Sie und teilen Sie uns Ihre Ergebnisse mit! Ihre Rückmeldungen pflegen wir in die Geräte-Übersicht mit ein. Es ist möglich, dass ggf. durch ein Firmwareupdate bei uns als nicht funktionierend gekennzeichnete Geräte doch einsetzbar sind. Melden Sie uns daher gerne, ob Ihr Gerät funktioniert! Teilen Sie uns dazu die genauen Geräteinformationen (Gerätetyp, Firmwareversion) mit. Dies können Sie auch komfortabel über die Funktion „Melden Sie einen Fehler“ in der App erledigen. Alternative zu NFC: Ein für die Online-Ausweisfunktion geeignetes Kartenlesegerät, das Bluetooth unterstützt und somit mit mobilen Endgeräte nutzbar ist, ist der cyberJack wave vom Hersteller Reiner SCT.

Als ich nachfragte, wie es mit Apple-Geräten und speziell meinem iPhone stünde, antwortete ein anderer Mitarbeiter des BMI. Die Software für Apple (IOS-Version) befinde sich gerade im Feldtest. Ich könnte mich an dem Feldtest beteiligen. Man würde mir dann ein Kartenlesegerät zur Verfügung stellen. Das lehnte ich ab. Ich würde lieber ein halbes Jahr warten. Von der AusweisApp2 sollte ich ihm einen Screenshot schicken, der zeigt, wo ein QR-Code verlangt wird. Ich sagte ihm, er brauche die App nur auf den iPhone aufzurufen. Sie könnte nichts anderes als auf dieses Bild zu laufen.

Allmählich bekam ich das Gefühl, wieder 30 Jahre jünger geworden zu sein. Klaus Küspert, dem ich dies erzählte, meinte ich hätte Glück gehabt. ‚Solange er Sie nicht auffordert, ihm mal Ihr iPhone auszuleihen zum Probieren, geht's ja noch‘, meint er.