Deutscher Personalausweis und Aufenthaltstitel Was kann die CAN?

Anbieter zum Thema

IDnow GmbH

cit GmbH

innobis AG

Governikus GmbH & Co. KG

Die Bekanntheit und Nutzung der Onlineausweisfunktion des deutschen Personalausweises – die eID – wächst langsam, aber stetig. Oft stand in den letzten Jahren vor allem die PIN-Funktion des Ausweises im Fokus, zuletzt wegen der viel kritisierten Aussetzung des PIN-Rücksetzdienstes. Häufig geht eine weniger bekannte Funktion der eID unter: die Vor-Ort-Identifizierung mithilfe der CAN.

22 Prozent der Deutschen haben laut eGovernment Monitor 2024 ihren Onlineausweis schon einmal genutzt. Das sind acht Prozentpunkte mehr als in der Vorjahresbefragung, die Tendenz ist also steigend – ein gutes Zeichen. Beim erstmaligen Aktivieren der eID-Funktion stolpern einige Nutzer über die sogenannte CAN, die Card Access Number, oder Zugangsnummer, die bei der Neusetzung der PIN verlangt wird.

eGovernment-Monitor 2024

Fortschritte beim Online-Ausweis, aber der Durchbruch fehlt

Bei der CAN handelt es sich um eine sechsstellige Zahlenfolge auf der Vorderseite des deutschen Personalausweises bzw. auf elektronischen Aufenthaltstiteln (eAT), die unten rechts neben dem Gültigkeitsdatum aufgedruckt ist. Sie ist nicht zu verwechseln mit der Ausweisnummer, diese ist oben rechts auf dem Dokument abgedruckt, neunstellig und enthält sowohl Ziffern als auch Buchstaben.

Die vielseitige Rolle der CAN

Die meisten Bürgerinnen und Bürger kennen die CAN vermutlich nicht. Sie wird aber in drei Fällen benötigt:

• Wenn die PIN des Onlineausweises zweimal falsch eingegeben wurde. Die CAN ist in dem Fall als Hürde in den Ablauf eingebaut, um eine dritte Fehleingabe, die zur Sperrung der eID führen würde, zu verhindern.

• Sie kommt immer dann zum Einsatz, wenn der Ausweisbesitzer eine neue PIN setzen möchte.

• Die vermutlich am wenigsten bekannte Rolle: die Vor-Ort-Auslesung. Bei diesem Verfahren werden die Ausweisdaten medienbruchfrei in ein elektronisches Formular übertragen. Davor erfolgt ein Abgleich der Personendaten mit dem Lichtbild auf dem Ausweis. Anstelle der PIN kommt die CAN zum Einsatz. Warum? Die PIN muss geheim bleiben und darf von keinem Mitarbeitenden in einer Bank oder einem Hotel zufällig gesehen werden.

Die Vor-Ort-Auslesung der CAN kommt heute vor allem in der Telekommunikationsindustrie, dem Bank- und Versicherungswesen und der Absatzfinanzierung vor. Die Datenauslesung via CAN im privatwirtschaftlichen Kontext ist allerdings erst seit 2017 möglich. Erst mit der Novellierung des Personalausweisgesetzes (PAuswG) wurde die Schnittstelle für die Privatwirtschaft geöffnet.

Organisationen oder Unternehmen, die diese Funktion anbieten, sogenannte „Diensteanbieter“, müssen über ein staatlich genehmigtes Berechtigungszertifikat des Bundesverwaltungsamts verfügen. Der Nachweis zu dieser Berechtigung wird über den im Ausweis integrierten Chip abgefragt, bevor die Daten Ende-zu-Ende-verschlüsselt übertragen werden. Die Zertifikate werden zudem aus Sicherheitsgründen alle zwei Jahre erneuert, um technische Schutzmaßnahmen hochzuhalten.

Höhere Datenqualität und weniger Identitätsdiebstahl

Es stellt sich nun möglicherweise die Frage, warum die Vor-Ort-Datenübertragung via CAN überhaupt notwendig ist. Der Mitarbeitende der Bank, des Mobilfunkanbieters oder des Hotels könnte doch ebenso gut eine Sichtprüfung des Ausweises vornehmen und die benötigten Personendaten manuell übertragen?

Der völlig analoge Weg ist zwar weiterhin möglich, bietet aber einige Fallstricke: Identitätsdiebstahl ist hier das Stichwort. Mit einer reinen Sichtprüfung des Ausweises kann ein möglicher Diebstahl des Personalausweises nicht ausgeschlossen werden. Durch die CAN-Auslesung wird innerhalb des Auslesungsprozesses auch die Datenbank der Bundesdruckerei nach verloren oder gestohlen gemeldeten Dokumenten abgefragt. Trifft eines von beidem für das vorliegende Ausweisdokument zu, ist dies auf einer Sperrliste vermerkt und wird in Echtzeit an den Anbieter vor Ort rückgemeldet. Identitätsdiebstahl kann so effektiv gestoppt werden.

Zum anderen bietet die CAN-Auslesung eine höhere Datensicherheit als die manuelle Ein- oder Übertragung. Dazu gehören sowohl menschliche Flüchtigkeitsfehler wie z. B. Zahlendreher in Geburtsdaten oder vergessene Umlaute in Namen. Aber auch die absichtliche Täuschung, beispielsweise von Adressdaten, wird so erschwert. Ein Beispiel hierfür ist der Adressaufkleber auf der Rückseite des Ausweisdokumentes, der nach Meldung beim zuständigen Amt angebracht wird. Dieser kann leicht händisch entfernt werden, was dem Besitzer Spielraum für Aktivitäten unter der alten Meldeadresse gibt.

Kurz gesagt, im Vergleich zu einer manuellen oder OCR (Optical Character Recognition)-Lesung eines Ausweisdokuments, ist die CAN-Auslesung zuverlässiger und garantiert eine hohe Datenqualität. Im Gegensatz zur Onlineausweisfunktion mit PIN ist sie zudem für alle Personen nutzbar – die CAN kann nicht vergessen werden, denn sie ist zu jedem Zeitpunkt auf dem Ausweisdokument ersichtlich. Außerdem sind 100 Prozent der deutschen Personalausweise und eATs mit der CAN ausgestattet, während noch lange nicht alle Personen ihre eigene PIN gesetzt haben und die Onlineausweisfunktion deshalb noch nicht verwenden können.

Von Sicherheitsbedenken zu vertrauten Mechanismen

Die CAN-Auslesung ist ein unterstützendes Vor-Ort-Verfahren. Das PAuswG §18a (Vor-Ort-Auslesung) regelt, dass der Ausweis-Besitzer einer Auslesung wissentlich und willentlich zustimmen muss. Die Identifikation über einen qualifizierten Mitarbeitenden ist in diesem Fall – wie bei der reinen Sichtprüfung – verpflichtend. Der Mitarbeitende am Point-of-Sale (POS) bei der Bank oder beim Mobilfunkanbieter muss immer bestätigen, dass das Lichtbild mit der Person, die vor Ort ist, übereinstimmt. Nur für diese qualifizierten Mitarbeitenden gibt es entsprechende Berechtigungen, die diese Rolle festlegen und für die regelmäßig Schulungen stattfinden.

Als Problem wird ebenfalls häufig diskutiert, dass die CAN für jeden sichtbar auf dem Personalausweis aufgedruckt ist. Dies könnte zu Missbrauch führen, so Kritiker. Die Onlineausweisfunktion ist jedoch generell durch ein Berechtigungszertifikatsmanagement des Bundesverwaltungsamts geschützt.

Online-Ausweis

Die PIN to go

Um die Berechtigung zu erhalten, muss unter anderem das dem Antrag zugrundeliegende Interesse an einer organisationsbezogenen Nutzung des Onlineausweises dargelegt werden. Hinzu kommt, dass die Organisation, die das Ergebnis verwenden will, berechtigt sein muss auf Basis einer gesetzlichen Anforderung (wie z. B. dem Telekommunikationsgesetz, eIDAS/Vertrauensdienstegesetz oder dem Geldwäschegesetz), Identitäten zu prüfen. Die Berechtigung zur Auslesung wird mit einem technischen Zwilling hinterlegt. Jede Abfrage und jeder Vorgang, egal ob über PIN oder CAN, wird über dieses rein technische Zertifikat mitgeloggt. Das schließt Missbrauch aus. Werden Verstöße gegen das Berechtigungszertifikat festgestellt, kann es der Organisation entzogen werden.

Einige Nutzer glauben zudem, dass ihre Personendaten über die NFC-Funktion (Near Field Communication) der eID aus der Ferne ausgelesen werden können, beispielsweise über versteckte NFC-Reader in einer vollen Straßenbahn, die von Kriminellen unbemerkt an Geldbörsen gehalten werden. Auch hier ist die Sorge unberechtigt, die CAN (oder die PIN) sichert solch einen unberechtigten Zugriff ab.

Effizientes, sicheres Auslesen ohne Medienbruch

Durch das elektronische Auslesen via CAN können sämtliche Daten aus dem Ausweis oder dem eAT schnell, ohne sie abzuschreiben oder abzutippen und ohne Fehler übernommen werden. Die Datenqualität steigt, Identitätsdiebstahl kann verhindert werden und das Verfahren ist barrierefrei am POS für alle Besitzer eines deutschen Personalausweises oder eines eAT nutzbar.

(ID:50342672)