Für die 2FA: die Mobile ID

Im Gegensatz zur E-ID ist die Mobile ID längst in der Realität angekommen. Sie wird von den Schweizer Mobilfunkanbietern als gemeinsame Basis für ein einfaches und trotzdem sicheres Anmelden im Internet angepriesen. Sie übernimmt jedoch nicht die Funktion eines Ausweises.

Die Technologie mit der Bezeichnung Mobile Signature wurde nicht in Helvetien entwickelt, sondern vom Mobile Electronic Signature Consortium. In der Schweiz können Banken, Shopbetreiber oder Steuerverwaltungen das Identifizierungsverfahren bei der Swisscom mieten.

Bei der Mobile ID wird die SIM-Karte zum zusätzlichen Sicherheitsmerkmal, um sich auf Websites mit dem Smartphone anzumelden. Sie übernimmt also den Part der Zwei-Faktor-Authentifizierung. Dabei wird auf dem Smartphone der vom Benutzer selbst definierte Zahlencode eingetippt, um die Anmeldung abzuschliessen. Dazu ist eine spezielle SIM-Karte notwendig.

Die 2FA gilt heute als die sicherste Methode, um sich gegen Betrug durch gestohlene Zugangsdaten zu wappnen: Selbst wenn der Dieb zum Beispiel durch eine Phishing-E-Mail in den Besitz von Namen und Kennwort gelangt, sind diese Informationen ohne das weitere Element der 2FA nutzlos. Das waren früher bei den Banken die Streichlisten; heute kommt vornehmlich die SMS zum Einsatz, eine Zugangskarte mit Lesegerät, eine spezialisierte App wie PhotoTAN oder vertrauenswürdige Geräte, Bild 2. Gerade die Banken kochen zurzeit viele eigene Süppchen, indem sie die 2FA in ihren spezifischen Apps integrieren.

Weil so viele Methoden zur 2FA im Umlauf sind, möchte die Mobile ID dazu beitragen, diesen Wildwuchs einzudämmen. Dazu bietet sie sich als universelle, sichere Methode an: Wer sich zum Beispiel bei der PostFinance mit der Mobile ID anmelden will, benötigt neben der Vertragsnummer und dem Kennwort auch die SIM-Karte und die zugehörige PIN. Es braucht also sehr widrige Umstände und viel kriminelle Energie, um diese Schutzmassnahme zu Fall zu bringen. Trotzdem ist das Verfahren in seiner Anwendung angenehm leichtfüssig, wie wir noch sehen werden.

So gut die Absicht hinter der Mobile ID auch ist: Ihre Vorzüge bleiben so lange theoretischer Natur, bis sich das Verfahren auf breiter Front durchgesetzt hat. Auf der Website von Mobile ID werden neben Swisscom und PostFinance auch die beiden Firmen Digital Deals und Daura genannt, die der Masse vermutlich unbekannt sind. Auch der Kanton Zürich ist dabei, der die Mobile ID zum Beispiel für das Einreichen der Onlinesteuererklärung erlaubt. Weitere Zugpferde weist die Seite nicht aus.

Die Nutzung der Mobile ID ist kostenlos, doch Sie benötigen eine qualifizierte SIM-Karte der neusten Generation. Auf ihr ist eine kleine Anwendung untergebracht: Sie kann verschlüsselte Nachrichten als «stille SMS» empfangen, ver- und entschlüsseln sowie versenden. Das ermöglicht die Kommunikation zwischen dem Server und der Mobile ID auf einem eigenen Kanal, um das Login zu verifizieren. Besonders praktisch: Ab dem iPhone 6 und iOS 12 ist es ausserdem möglich, die Mobile ID auch über WLAN zu verwenden. Sei es im Keller ohne Empfang oder im Ausland, wenn kein mobiles Netz zur Verfügung steht, aber das WLAN des Hotels.

Das kleine Programm auf der SIM-Karte kommt mit dem Betriebssystem des Geräts kaum in Berührung. Deshalb funktioniert das Verfahren nicht nur mit Android- und iOS-Smartphones, sondern auch mit ziemlich toten Mobilsystemen wie BlackBerry, Windows Phone oder Symbian. Entsprechend ist die Nutzeroberfläche fast schon primitiv einfach, Bild 3. Ausserdem ist es ein Leichtes, das Gerät zu tauschen, weil einfach die SIM-Karte übernommen wird. Doch jede Medaille hat zwei Seiten: Wenn eben diese SIM-Karte abhandenkommt, bleiben die Webportale unnahbar, bis eine neue Karte da ist.

Die Chancen stehen leider gut, dass Ihre bestehende SIM-Karte nicht mit der Mobile ID funktioniert. Doch der Umtausch ist weit weniger schmerzhaft, als man vermuten könnte. Zudem können Sie sehr einfach feststellen, ob Ihre SIM-Karte geeignet ist.

Rufen Sie dazu die Website mobileid.ch auf und klicken Sie für die Anmeldung auf die Schaltfläche Jetzt aktivieren. Geben Sie Ihre Mobilnummer ein, Bild 4. Wenn Sie durch den Hinweis ausgebremst werden, dass Ihre Karte nicht kompatibel ist, klicken Sie auf die Schaltfläche SIM bestellen, Bild 5. Nun wählen Sie Ihren Provider aus.

Der Austausch ist bei folgenden Providern kostenlos: Coop Mobile, M-Budget, Swisscom, UPC und Wingo. Bei Sunrise ist sie nur für Kunden von PostFinance kostenlos, indem bei der Bestellung ein Gutscheincode eingegeben wird. Bei Salt kostet eine neue Karte happige 49 Franken. Andere Provider unterstützen die Mobile ID noch nicht, aber das kann sich jederzeit ändern.

So getan, rufen Sie die Seite mobileid.ch erneut auf und geben Ihre technisch aufgefrischte Telefonnummer ein. Sie erhalten am Smartphone eine Aufforderung, Bild 6, einen sechsstelligen Code zu definieren – und das wars auch schon. Es braucht auch in Zukunft keine App oder andere Krücken, um die Mobile ID zu nutzen, weil sich die Software auf der SIM-Karte befindet. Sie erhalten aber einen Schlüssel zur Wiederherstellung; diesen Code brauchen Sie, wenn Sie das Smartphone oder die SIM-Karte wechseln, Bild 7.

Jetzt ist Ihr Smartphone respektive die SIM-Karte das sichere Element bei der 2FA. Nun müssen Sie sich nur noch beim jeweiligen Dienst für die Anmeldung via Mobile ID registrieren. Bei der PostFinance melden Sie sich mit Ihrem Konto an und klicken rechts oben auf Ihren Namen, Bild 8 A. Wählen Sie im Einblendmenü den Punkt Login und Sicherheit B. Jetzt sehen Sie verschiedene Einstellungen. Klicken Sie unter Mobile ID auf die Schaltfläche Registrieren und melden Sie sich mit Ihrer Telefonnummer an. Das war schon alles. Leider funktioniert die Mobile ID nur mit einer einzigen Telefonnummer, was die Sache für den zugangsberechtigten Partner kein bisschen einfacher macht.