Unsere Entscheider-Checkliste für e-ID, Passkeys und souveräne Applikationslandschaften

Entscheidungen jetzt treffen Warum die Checkliste? Kontakt

Vom Fachbeitrag zur Umsetzung: Unsere Entscheider‑Checkliste für e‑ID, Passkeys und souveräne Applikationslandschaften

In unserem Fachbeitrag im ITforGOV haben wir eine zentrale Trennlinie hervorgehoben: Die e‑ID ist primär ein staatlich attestierter Identitätsnachweis (Identification/Proofing), während Passkeys einen modernen Authentisierungsmechanismus darstellen. Das ist keine akademische Debatte. Diese Unterscheidung entscheidet darüber, ob die öffentliche Verwaltung eine skalierbare, sichere und politisch tragfähige Identitäts‑ und Servicearchitektur aufbaut – oder ob neue Login‑Silos, Medienbrüche und spätere Korrekturen programmiert werden. Gerade jetzt ist das relevant, weil die Debatte oft in zwei Extreme kippt:

Wir warten, bis alles «fertig» ist.

Wir integrieren die e-ID überall und lösen damit das IAM-Thema.

Beides ist riskant. Warten verschiebt Risiken und Kosten nach hinten. Und «E-ID überall» vermischt Rollen im Tech-Stack und verlagert Risiken dorthin, wo Vorfälle in der Praxis entstehen: Recovery, Delegationen, Rollenmodelle, Governance.

Entscheidungen jetzt treffen

Was wir als Entscheider wirklich klären müssen

Die entscheidende Frage lautet nicht: Welche Technologie ist die beste? Sondern: Welche Entscheidungen sind nicht delegierbar und welche müssen wir jetzt treffen, damit wir in zwei Jahren nicht in der Sackgasse stehen?

Drei Leitgedanken aus dem Artikel sind dafür besonders handlungsleitend:

Identität ist der neue Sicherheitsperimeter. In föderalen Landschaften steuern wir Sicherheit nicht mehr über Netzgrenzen, sondern über Identität, Kontext und Policies.

Wir trennen konsequent Identification, Authentication und Authorization.

e-ID für Identifikation, Attributnachweise und Step-up bei sensiblen Mutationen

Passkeys für phishingsichere Authentisierung im Alltag

IAM/Policies für Autorisierung, Delegation und Auditierbarkeit

Souveränität bedeutet Handlungsfähigkeit nicht maximale Kontrolle.
Abhängigkeiten sind normal. Entscheidend ist, ob wir sie bewusst wählen, governen und reversibel gestalten.

Warum die Checkliste?

Warum haben wir eine Checkliste erstellt?

Weil viele Organisationen selten an fehlenden Konzepten scheitern sondern an fehlender Operationalisierung: Wer entscheidet? Was gilt als Minimum? Wie messen wir Fortschritt? Wie verhindern wir, dass einzelne Projekte wieder Sondersilos bauen? Unsere Entscheider-Checkliste übersetzt die Argumentation aus dem Artikel in einen pragmatischen Prüfkatalog für Amtsleitungen, CIO/CDO/CISO sowie Programmverantwortliche. Sie hilft insbesondere bei:

Use-Case-Clustering statt Einheitslösung (Bürger, Mitarbeitende, Admins, Unternehmen)
Step-up-Matrix statt Bauchgefühl (wann Passkey, wann e-ID, wann zusätzliche Kontrollen)
Recovery-by-Design (seltene Nutzung macht Recovery zum Erfolgsfaktor)
Governance & Betrieb (Zuständigkeiten, Logging, Support- und Incident-Prozesse)

Checkliste

Jetzt die Checkliste herunterladen

Wenn nach unserem Fachbeitrag die Frage beantwortet werden soll: «Was bedeutet das für unsere Organisation konkret?», dann ist die Checkliste der beste Einstieg. Sie ist so strukturiert, dass man sie im Steering Committee durchgehen kann und danach klar priorisierte nächste Schritte hat.