eCH-0291: Semantische Interoperabilität für organisationsübergreifendes Identity & Access Management
von Torsten Gruoner, Silvano Fari & Marc Burkhard
Wenn jede Organisation eine andere Sprache spricht
Das Wichtigste auf einen Blick
- Skalierbares organisationsübergreifendes IAM setzt nicht nur gemeinsame Schnittstellen, sondern ein gemeinsames Verständnis der ausgetauschten Informationen voraus.
- eCH-0291 standardisiert die fachliche Grundlage einer Berechtigungsentscheidung. Die konkrete Autorisierung verbleibt bei der empfangenden Institution und ihrem lokalen IAM-System.
- Nicht die Identität allein bestimmt den Zugriff, sondern das Zusammenspiel von Identität, Kontext, Rolle, Funktion, Gültigkeit und lokaler Autorisierung.
- eCH-0291 schafft die gemeinsame fachliche Sprache für natürliche Personen, Kontexte und Funktionen. CoreOne verarbeitet diese Informationen als lokales IAM-System und ergänzt sie um Unternehmensdelegation, natürliche Stellvertretung, Governance und konkrete Serviceberechtigungen.
Eine Identität, viele Hüte
Digitale Geschäfts- und Verwaltungsprozesse überschreiten zunehmend die Grenzen einzelner Organisationen. Behörden arbeiten mit externen Leistungserbringern zusammen, Unternehmen nutzen gemeinsame Fachanwendungen und natürliche Personen handeln im Namen juristischer Personen oder vertreten andere natürliche Personen gegenüber digitalen Dienstleistungen.
Diese Entwicklung verändert die Anforderungen an das Identity & Access Management grundlegend. Innerhalb einer einzelnen Organisation können Zugriffsrechte häufig aus bekannten organisatorischen Strukturen abgeleitet werden. Eine Person ist einer Organisationseinheit zugeordnet, nimmt eine bestimmte Funktion wahr und erhält daraus Rollen und Berechtigungen.
In organisationsübergreifenden Szenarien reicht diese Betrachtung nicht aus. Eine Person muss nicht nur eindeutig identifiziert und sicher authentisiert werden.
Ebenso muss nachvollziehbar sein:
- für welche Organisation oder Person sie handelt,
- in welcher Beziehung sie zu diesem Kontext steht,
- welche fachliche Funktion sie wahrnimmt,
- auf welcher Grundlage sie handeln darf,
- wie lange diese Beziehung gültig ist,
- welche lokalen Zugriffsrechte daraus entstehen.
Eine natürliche Person kann gleichzeitig Mitarbeiterin eines Unternehmens, Administratorin einer Plattform, Vertreterin einer juristischen Person, externe Projektmitarbeiterin und Stellvertreterin einer anderen natürlichen Person sein. Ihre digitale Identität bleibt dabei dieselbe. Was sich verändert, ist der Kontext ihres Handelns und der daraus resultierende Berechtigungsumfang.
eCH-0291 adressiert diese Problemstellung mit einem gemeinsamen Informationsmodell für den Austausch digitaler Identitäten zwischen Institutionen. Der genehmigte Standard definiert die Informationsobjekte Subjekt, Kontext, Kontextzuweisung, Geschäftsfunktion und Geschäftsfunktionszuweisung. Ergänzend beschreibt er den geschäftlichen Rahmen sowie eine Stammdaten- und eine Föderationsschnittstelle. (ech.ch)
Im Zentrum steht nicht die Vereinheitlichung sämtlicher IAM-Systeme oder Berechtigungsmodelle. eCH-0291 schafft vielmehr eine gemeinsame fachliche Sprache, mit der Institutionen Identitäten, organisatorische Zusammenhänge und fachliche Funktionen konsistent beschreiben können.
Organisationsübergreifendes IAM ist mehr als eine technische Integration
Organisationsübergreifende Zusammenarbeit wird häufig zunächst als Schnittstellenproblem betrachtet. Die zentrale Frage lautet dann, wie zwei IAM-Systeme technisch miteinander verbunden werden können.
Technische Schnittstellen sind notwendig. Sie lösen jedoch nur einen Teil der Aufgabe. Eine Schnittstelle kann Daten übertragen, aber nicht automatisch sicherstellen, dass Sender und Empfänger deren fachliche Bedeutung gleich verstehen.
Eine sendende Organisation verwendet beispielsweise die Bezeichnung «externer Administrator». Die empfangende Organisation kennt stattdessen Begriffe wie:
- technischer Dienstleister,
- Applikationsverantwortlicher,
- Supportmitarbeiter,
- privilegierter Benutzer,
- externer Projektmitarbeiter.
Auch wenn damit ähnliche Tätigkeiten gemeint sein können, unterscheiden sich die Begriffe möglicherweise hinsichtlich Verantwortung, Genehmigung, Gültigkeit und Berechtigungsumfang.
In klassischen Integrationsmodellen wird diese Differenz häufig durch individuelle Mappingregeln ausgeglichen. Eine Rolle oder Gruppe des sendenden Systems wird einer lokalen Rolle, Gruppe oder Berechtigung des empfangenden Systems zugeordnet.
Ein solches Mapping kann beispielsweise lauten:
Die Rolle «External Support Level 2» des Dienstleisters entspricht beim Empfänger der lokalen Rolle «Application Support Fachsystem A».
Dieser Ansatz funktioniert grundsätzlich. Er führt jedoch zu einer engen bilateralen Kopplung. Ändert die sendende Organisation ihre Rollenstruktur, müssen möglicherweise mehrere Mappingregeln angepasst werden. Ändert die empfangende Organisation ihr lokales Berechtigungsmodell, müssen die Auswirkungen auf alle angebundenen Partner untersucht werden.
Mit jeder weiteren Organisation und Fachanwendung wächst die Komplexität:
- Datenmodelle müssen bilateral abgestimmt werden.
- Rollen und Attribute werden individuell übersetzt.
- Fachliche Bedeutungen werden in technischen Mappingtabellen verborgen.
- Änderungen wirken sich auf mehrere Integrationen aus.
- Neue Partner verursachen wiederkehrenden Analyse- und Implementierungsaufwand.
- Die fachliche Herkunft einer Berechtigung ist häufig nur eingeschränkt nachvollziehbar.
- Verantwortlichkeiten für Datenqualität und Berechtigungsentscheidungen bleiben teilweise unklar.
Technische Interoperabilität beantwortet die Frage, ob Systeme Informationen austauschen können. Semantische Interoperabilität beantwortet die weitergehende Frage, ob die ausgetauschten Informationen von den beteiligten Institutionen konsistent verstanden und verarbeitet werden können.
Kernaussage
Der Perspektivwechsel von eCH-0291
Klassische IAM-Integrationen übertragen häufig unmittelbar Rollen, Gruppen oder Berechtigungsinformationen. Dadurch entsteht eine enge Abhängigkeit zwischen dem Rollenmodell der sendenden und jenem der empfangenden Institution.
eCH-0291 verfolgt einen anderen Ansatz. Die sendende Institution soll nicht festlegen, welche konkrete Rolle oder Berechtigung eine Person im System des Empfängers erhält. Sie beschreibt stattdessen den fachlichen Sachverhalt:
- Wer ist die Person?
- Welcher Institution oder welchem organisatorischen Gebilde ist sie zugeordnet?
- Welche Stellung nimmt sie innerhalb dieses Kontexts ein?
- Welche Geschäftsfunktion übt sie aus?
- Während welcher Zeit ist die Zuweisung gültig?
Die empfangende Institution interpretiert diese Informationen innerhalb ihres eigenen IAM-Modells. Sie entscheidet anhand ihrer lokalen Rollenmodelle, Policies, Schutzanforderungen und Genehmigungsprozesse, welche Zugriffsrechte daraus entstehen.
Damit wird eine klare Verantwortungsteilung möglich:
- Der Sender verantwortet die Qualität und Aktualität der bereitgestellten Informationen.
- Der Empfänger verantwortet die lokale Autorisierungsentscheidung.
- Die Fachanwendung bestimmt, welche Rechte zur Ausführung bestimmter Geschäftsvorgänge erforderlich sind.
- Das lokale IAM-System verarbeitet die Informationen und setzt die daraus resultierenden Identitäts-, Governance- und Berechtigungsprozesse um.
Der Standard hält ausdrücklich fest, dass die empfangenen Informationsobjekte durch das IAM-System der Empfängerinstitution in eigene digitale Identitäten und IAM-Datenobjekte überführt werden. Diese Transformation liegt in der Verantwortung der empfangenden Institution. (ech.ch)
Kernaussage
Identität, Kontext, Rolle, Geschäftsfunktion und Berechtigung
Identität
Die Identität beschreibt, wer handelt.
Sie dient der eindeutigen Zuordnung einer Person und bildet die Grundlage für Identifikation, Authentisierung, Nachvollziehbarkeit und Auditierung.
Die Identität allein erklärt jedoch nicht, weshalb eine Person auf eine bestimmte Anwendung zugreifen darf. Dieselbe Person kann in unterschiedlichen organisatorischen oder persönlichen Zusammenhängen mit unterschiedlichen Befugnissen handeln.
Kontext
Der Kontext beschreibt den organisatorischen, institutionellen oder geschäftlichen Zusammenhang, in dem eine Person handelt.
Mögliche Kontexte sind beispielsweise:
- eine juristische Person,
- eine Organisationseinheit,
- ein Projekt oder Vorhaben,
- ein Prozess oder Produkt,
- eine Familie.
Der Kontext beantwortet die Frage:
Für welche Organisation oder innerhalb welchen fachlichen Zusammenhangs handelt die Person?
Kontextzuweisung
Die Kontextzuweisung verbindet eine natürliche Person mit einem Kontext.
Sie kann beispielsweise ausdrücken:
- Person A gehört zu Unternehmen B.
- Person A arbeitet in Organisationseinheit C.
- Person A ist Projekt D zugeordnet.
- Person A besitzt innerhalb eines Familienkontexts die Rolle «Eltern».
- Person A ist im Kontext einer juristischen Person zeichnungsberechtigt.
Die Kontextzuweisung umfasst neben der Beziehung auch deren Gültigkeit und konkretisierende Rollen. Zusätzliche Eigenschaften können beispielsweise Einschränkungen einer Handlungsvollmacht beschreiben. (ech.ch)
Konkretisierende Rolle
Die konkretisierende Rolle beschreibt die Stellung oder Aufgabe einer Person innerhalb eines bestimmten Kontexts.
Für den Kontext einer juristischen Person kennt eCH-0291 unter anderem:
- Geschäftsführer oder Amtsdirektor,
- Prokurist oder Zeichnungsberechtigter,
- Vertrauensperson,
- leitender Angestellter,
- Mitglied.
Die Vertrauensperson ist für das Delegationsmodell besonders relevant. Sie bezeichnet eine natürliche Person, welche das Vertrauen der Geschäftsleitung geniesst, um Berechtigungsdelegationen im Namen der juristischen Person in zugänglichen Systemen des Empfängers vorzunehmen. (ech.ch)
Für Organisations- und Vorhabenskontexte definiert der Standard unter anderem die Rolle «stellvertretender Manager». Dabei handelt es sich um eine organisatorische Stellvertretungsfunktion innerhalb eines bestimmten Kontexts. Sie ist nicht mit einer allgemeinen Stellvertretung einer natürlichen Person gegenüber digitalen Dienstleistungen gleichzusetzen. (ech.ch)
Geschäftsfunktion
Eine Geschäftsfunktion beschreibt die fachliche Tätigkeit, welche eine Person innerhalb der sendenden Institution grundsätzlich ausübt.
Beispiele sind:
- Applikationssupport,
- technische Beschaffung,
- Finanzbuchhaltung,
- Personaladministration,
- Mandatsleitung Treuhand,
- Datenschutzkoordination.
Die Geschäftsfunktion ist von der konkretisierenden Rolle einer Kontextzuweisung zu unterscheiden.
Die Rolle beschreibt die Stellung der Person innerhalb eines bestimmten Kontexts. Die Geschäftsfunktion beschreibt dagegen ihre fachliche Tätigkeit. Erst das lokale IAM-System des Empfängers interpretiert diese Informationen und leitet daraus eine konkrete IAM-Wirkung ab. (ech.ch)
Berechtigung
Eine Berechtigung legt fest, welche konkrete Aktion eine Person in einem bestimmten eService oder Zielsystem ausführen darf.
Beispiele sind:
- Steuerdeklarationen bearbeiten,
- Dokumente einreichen,
- Mitarbeitende einladen,
- Anträge genehmigen,
- Fahrzeugdaten verwalten,
- Benutzerkonten administrieren.
Eine Rolle oder Geschäftsfunktion ist noch keine konkrete Berechtigung. Die Berechtigung entsteht erst durch die lokale Interpretation der vorhandenen Kontext-, Rollen- und Funktionsinformationen.
| Fachlicher Sachverhalt | Mögliche lokale Umsetzung |
|---|---|
| Person ist Vertrauensperson eines Unternehmens | Darf weitere Personen und Delegationen für das Unternehmen verwalten |
| Person ist Treuhänderin für ein Unternehmen | Darf Steuerunterlagen dieses Unternehmens bearbeiten |
| Person ist Mitarbeiterin eines Lehrbetriebs | Darf Ausbildungsdaten des Lehrbetriebs bearbeiten |
| Person ist externer Applikationssupport | Darf auf Supportwerkzeuge und definierte technische Daten zugreifen |
| Person ist Prokurist mit eingeschränkter Vollmacht | Darf nur definierte Geschäftsvorgänge ausführen |
Die konkrete Autorisierung kann je nach Fachanwendung unterschiedlich ausfallen. Eine Treuhänderin kann für eine Steueranwendung berechtigt sein, ohne Zugriff auf die Fahrzeugverwaltung oder Personaladministration desselben Unternehmens zu erhalten.
Natürliche Personen im Standard
eCH-0291 behandelt in der aktuellen Version ausschliesslich natürliche Personen als detailliert beschriebene Subjekte. Maschinen, Geräte, Services oder autonome Systeme sind grundsätzlich vorgesehen, gehören jedoch noch nicht zum detaillierten Umfang der Version 1.0.0. (ech.ch)
Das Subjekt repräsentiert dabei die natürliche Person, die im Namen der sendenden Institution handelt. Juristische Personen sind nach dem Modell keine handelnden Subjekte. Sie werden als Kontexte abgebildet, weil ihre Handlungsfähigkeit letztlich durch zugeordnete natürliche Personen wahrgenommen wird. (ech.ch)
Für natürliche Personen standardisiert eCH-0291 unter anderem:
- subjektidentifizierende Eigenschaften,
- subjektbeschreibende Eigenschaften,
- Vertrauensangaben zur Identitätsabklärung,
- einen Lebenszyklusstatus,
- Gültigkeitszeiträume,
- Kommunikations- und Authentisierungskanäle,
- Beziehungen zu Kontexten,
- Rollen innerhalb dieser Kontexte,
- Geschäftsfunktionen und deren Zuweisungen.
Diese starke Ausrichtung auf natürliche Personen ist auch für das Delegationsmodell wesentlich. Jede handelnde oder vertretende Person muss als eigenständige digitale Identität geführt werden. Gemeinsame Konten oder unpersönliche Unternehmenszugänge widersprechen diesem Grundgedanken, weil damit nicht mehr eindeutig nachvollziehbar ist, welche natürliche Person eine Handlung ausgeführt hat.
Juristische Personen handeln durch natürliche Personen
Ein Unternehmen kann sich nicht selbst an einer Fachanwendung anmelden. Es ist stets eine natürliche Person, die sich authentisiert und anschliessend im Namen des Unternehmens handelt.
Die fachliche Frage lautet deshalb nicht nur:
Wer ist die angemeldete Person?
Ebenso entscheidend ist:
Für welche juristische Person handelt sie, auf welcher Grundlage tut sie dies und welche Handlungen sind innerhalb dieses Kontexts zulässig?
eCH-0291 bietet hierfür eine strukturierte semantische Grundlage:
- Die natürliche Person ist das Subjekt.
- Das Unternehmen ist ein Kontext vom Typ legale Entität.
- Die Beziehung wird durch eine Kontextzuweisung beschrieben.
- Die Stellung der Person wird durch eine konkretisierende Rolle ausgedrückt.
- Fachliche Tätigkeiten können über Geschäftsfunktionen ergänzt werden.
- Gültigkeiten und zusätzliche Eigenschaften begrenzen die Beziehung.
Damit schafft der Standard einen unmittelbaren Bezug zu Unternehmensvertretung und delegierter Administration.
Die sendende Institution kann verlässlich beschreiben:
wer eine Person ist,
mit welcher Organisation sie verbunden ist,
welche Rolle sie innerhalb dieser Organisation einnimmt,
welche Geschäftsfunktion sie ausübt,
wie lange diese Beziehung gültig ist.
Sie sollte jedoch nicht uneingeschränkt bestimmen, welche konkreten Rechte die Person in einem fremden Zielsystem erhält.
Dafür bestehen mehrere Gründe.
Unterschiedliche Schutzbedürfnisse
Eine Geschäftsfunktion kann in einer unkritischen Anwendung weitreichende Rechte rechtfertigen, in einer besonders schützenswerten Fachanwendung jedoch nur eingeschränkten Zugriff.
Unterschiedliche rechtliche Grundlagen
Eine organisatorische Beziehung allein begründet nicht automatisch die Berechtigung zur Verarbeitung sämtlicher Daten. Der Betreiber der Fachanwendung muss beurteilen, ob eine ausreichende gesetzliche, vertragliche oder anderweitige Legitimation besteht.
Unterschiedliche Rollenmodelle
Die beteiligten Institutionen können unterschiedliche Rollen-, Policy- und Ressourcemodelle einsetzen. Ein organisationsübergreifend einheitliches Zielrollenmodell wäre weder realistisch noch zwingend sinnvoll.
Unterschiedliche Genehmigungsanforderungen
Eine Kontext- oder Funktionszuweisung kann eine Voraussetzung für den Zugriff darstellen. Zusätzlich kann eine Freigabe durch einen Fachverantwortlichen, Datenverantwortlichen oder Sicherheitsverantwortlichen erforderlich sein.
Unterschiedliche Sicherheitsanforderungen
Für kritische Zugriffe können zusätzliche Bedingungen gelten:
starke Authentisierung,
erhöhtes Vertrauensniveau,
Vier-Augen-Prinzip,
zeitliche Befristung,
Funktionstrennung,
privilegierte Sitzungskontrolle,
regelmässige Rezertifizierung.
eCH-0291 schafft somit keine automatische gegenseitige Anerkennung beliebiger Rollen. Der Standard ermöglicht eine kontrollierte lokale Interpretation gemeinsamer fachlicher Informationen.
Stammdaten, Authentisierung und Autorisierung
Ein belastbares organisationsübergreifendes IAM-Modell unterscheidet zwischen Identitäts- und Kontextinformationen, Authentisierung und Autorisierung.
Identitäts- und Kontextinformationen
Diese Ebene beschreibt längerfristig relevante Sachverhalte:
Wer ist die Person?
Welcher Institution ist sie zugeordnet?
In welchem Kontext handelt sie?
Welche Rolle besitzt sie innerhalb dieses Kontexts?
Welche Geschäftsfunktion übt sie aus?
Seit wann und bis wann ist die Zuweisung gültig?
Aus welcher Quelle stammt die Information?
Wie verlässlich wurde sie festgestellt?
Diese Informationen werden für Provisionierung, Lifecycle Management, Governance, Rezertifizierung und Audit benötigt.
Authentisierung
Die Authentisierung beantwortet die Frage:
Ist die Person, die sich anmeldet, tatsächlich die behauptete Person?
Dabei spielen Identifikationsqualität, Authentisierungsmittel, Mehrfaktor-Authentisierung, Föderation und Vertrauensniveau eine Rolle.
Eine erfolgreiche Authentisierung bestätigt die Identität. Sie bestätigt jedoch nicht automatisch, dass die Person im Namen eines bestimmten Unternehmens oder einer anderen Person handeln darf.
Autorisierung
Die Autorisierung beantwortet die Frage:
Welche Handlungen darf die authentisierte Person im aktuellen Kontext ausführen?
Die Entscheidung berücksichtigt unter anderem:
Kontextzuweisungen,
Rollen,
Geschäftsfunktionen,
Gültigkeiten,
lokale Policies,
Genehmigungen,
Vollmachten,
Schutzbedarf,
Funktionstrennung,
technische und organisatorische Restriktionen.
Eine Person kann erfolgreich authentisiert sein, ohne eine gültige Beziehung zu einem bestimmten Unternehmen oder einer vertretenen Person zu besitzen. Umgekehrt kann eine fachlich grundsätzlich berechtigte Person den Zugriff verweigert erhalten, wenn die Authentisierung nicht das erforderliche Vertrauensniveau erfüllt.
In der hier beschriebenen Zielarchitektur ist CoreOne das lokale IAM-System der empfangenden Institution.
CoreOne ist nicht Bestandteil von eCH-0291 und wird durch den Standard auch nicht vorgeschrieben. Der Standard bleibt produktneutral. CoreOne übernimmt jedoch auf der Seite der empfangenden Institution die Aufgabe, die übermittelten Informationen zu verarbeiten und in lokale digitale Identitäten, Beziehungen, Rollen, Ressourcen und Berechtigungen zu überführen.
Die Aufgabenteilung lässt sich wie folgt darstellen:
| Ebene | Verantwortung |
|---|---|
| Sendende Institution | Bereitstellung verlässlicher Informationen über Subjekte, Kontexte, Rollen und Geschäftsfunktionen |
| eCH-0291 | Gemeinsames semantisches Informationsmodell und Schnittstellenrahmen |
| CoreOne als lokales IAM-System | Transformation, Governance, Lifecycle Management, Delegation und lokale Berechtigungsableitung |
| Fachanwendungen und eServices | Durchsetzung der lokal definierten Zugriffsrechte |
CoreOne verarbeitet damit nicht nur technische Attribute. Das lokale IAM-System setzt sie in den fachlichen und organisatorischen Zusammenhang der empfangenden Institution.
CoreOne kann insbesondere:
- natürliche Personen als lokale digitale Identitäten aufbauen,
- Identitäten aus unterschiedlichen Quellen abgleichen,
- Unternehmen und organisatorische Kontexte verwalten,
- Personen mit Unternehmen und weiteren Kontexten verknüpfen,
- Rollen und Geschäftsfunktionen interpretieren,
- Gültigkeitszeiträume überwachen,
- Genehmigungs- und Delegationsprozesse steuern,
- lokale Rollen und Serviceberechtigungen ableiten,
- Berechtigungen an Fachanwendungen provisionieren,
- Zuweisungen rezertifizieren,
- Zugriffe bei Wegfall ihrer Grundlage entziehen,
- sämtliche Änderungen revisionssicher protokollieren.
Das CoreOne-Delegationsmodell für Unternehmen setzt auf dem Grundsatz auf, dass eine juristische Person durch natürliche Personen handelt.
Nach der Registrierung und Aktivierung eines Unternehmens wird eine legitimierte natürliche Person mit diesem Unternehmen verknüpft. Abhängig von ihrer Stellung kann sie weitere Personen einladen, administrative Aufgaben übernehmen und für definierte eServices Berechtigungen delegieren.
Die wesentlichen Elemente sind:
- das Unternehmen als organisatorischer Kontext,
- die natürliche Person als handelnde Identität,
- die Beziehung zwischen Person und Unternehmen,
- die Funktion oder Berechtigungsstufe innerhalb des Unternehmens,
- die konkreten Serviceberechtigungen,
- der zeitliche Geltungsbereich,
- die Berechtigung zur Weiterdelegation.
Besonders relevant ist die Trennung zwischen der Funktion innerhalb des Unternehmens und den konkreten Rechten in einem eService.
Eine Unternehmensadministratorin kann beispielsweise berechtigt sein, weitere Personen einzuladen und deren Beziehungen zum Unternehmen zu verwalten. Daraus folgt nicht automatisch, dass sie in sämtlichen Fachanwendungen alle Geschäftsvorgänge ausführen darf.
Ebenso kann ein Treuhänder Zugriff auf eine Steueranwendung erhalten, ohne auf andere Dienstleistungen des Unternehmens zugreifen zu dürfen.
Diese Trennung entspricht dem Grundgedanken von eCH-0291: Kontext und Funktion bilden die fachliche Grundlage. Die konkrete Berechtigung wird im lokalen IAM-System und in der zuständigen Fachanwendung festgelegt.
| eCH-0291 | Lokale Umsetzung in CoreOne |
|---|---|
| Subjekt | Natürliche Person mit lokaler digitaler Identität |
| Kontext einer legalen Entität | Unternehmen oder andere juristische Person |
| Kontextzuweisung | Beziehung der natürlichen Person zum Unternehmen |
| Konkretisierende Rolle | Stellung innerhalb des Unternehmens |
| Vertrauensperson | Delegationsberechtigte Person oder Unternehmensadministrator |
| Geschäftsfunktion | Fachliche Tätigkeit der Person |
| Geschäftsfunktionszuweisung | Zeitlich und fachlich qualifizierte Zuweisung einer Tätigkeit |
| IAM-Wirkung beim Empfänger | Lokale Rolle, Ressourcenzuweisung oder Serviceberechtigung |
| Empfängerinstitution | Betreiber von CoreOne und der angeschlossenen eServices |
Diese Zuordnung ist als konzeptionelles Umsetzungsmodell zu verstehen. Sie stellt keine normative Eins-zu-eins-Abbildung aller CoreOne-Objekte auf eCH-0291 dar.
Praxisbeispiel: Unternehmensadministrator
Ein Unternehmen nutzt mehrere digitale Verwaltungsleistungen.
Eine zeichnungsberechtigte Person wird nach entsprechender Prüfung mit dem Unternehmen verbunden. Sie erhält im CoreOne-Delegationsmodell die Funktion eines Unternehmensadministrators.
Aus Sicht von eCH-0291 können folgende Informationen vorliegen:
- Die natürliche Person wird als Subjekt geführt.
- Das Unternehmen wird als Kontext einer legalen Entität beschrieben.
- Die Beziehung wird durch eine Kontextzuweisung repräsentiert.
- Die Person besitzt eine delegationsberechtigte Rolle.
- Die Gültigkeit dieser Beziehung ist dokumentiert.
CoreOne übernimmt als lokales IAM-System die weitere Verarbeitung. Der Unternehmensadministrator kann innerhalb der dafür freigegebenen Grenzen weitere Personen einladen und ihnen Serviceberechtigungen delegieren.
Eine eingeladene Mitarbeiterin erhält beispielsweise Zugriff auf ein Berufsbildungsportal. Sie darf dort Ausbildungsdaten bearbeiten, jedoch keine weiteren Unternehmensvertreter verwalten.
Der Unternehmensadministrator darf dagegen Personen und Berechtigungen verwalten, ohne zwingend selbst alle fachlichen Daten bearbeiten zu dürfen.
Administrative Delegationsbefugnis und fachliche Nutzung bleiben damit voneinander getrennt.
Praxisbeispiel: Treuhänder mit mehreren Unternehmensmandaten
Ein Mitarbeiter eines Treuhandunternehmens betreut mehrere Kundenunternehmen.
Er verwendet für alle Zugriffe dieselbe persönliche digitale Identität. Seine Berechtigungen unterscheiden sich jedoch abhängig davon, in welchem Unternehmenskontext er handelt.
Für Unternehmen A darf er:
- Steuerdeklarationen bearbeiten,
- Dokumente einreichen,
- den Bearbeitungsstatus einsehen.
Für Unternehmen B darf er zusätzlich:
- Mehrwertsteuerabrechnungen bearbeiten,
- bestimmte Unternehmensinformationen einsehen,
- eine weitere Mitarbeiterin seines Treuhandunternehmens für ausgewählte Aufgaben beiziehen.
Das Mandat für Unternehmen C wurde beendet. CoreOne beendet daraufhin die lokale Unternehmensbeziehung, entzieht die daraus abgeleiteten Serviceberechtigungen und aktualisiert die angeschlossenen eServices.
Die digitale Identität des Treuhänders bleibt in allen Fällen dieselbe. Unterschiedlich sind:
- das vertretene Unternehmen,
- die Rolle im Unternehmenskontext,
- die fachliche Funktion,
- die Gültigkeit des Mandats,
- die zugelassenen eServices,
der konkrete Berechtigungsumfang.
Kernaussage
Neben der Vertretung juristischer Personen unterstützt CoreOne auch die Stellvertretung einer natürlichen Person durch eine andere natürliche Person.
Typische Anwendungsfälle sind:
- Unterstützung bei administrativen Behördenleistungen,
- Vertretung durch einen Treuhänder,
- Beistandschaft oder gesetzliche Vertretung,
- familiäre Unterstützung,
- zeitlich begrenzte Stellvertretung,
- Vertretung während einer Abwesenheit.
Im CoreOne-Modell werden sowohl die vertretene als auch die stellvertretende Person als eigenständige natürliche Personen und damit als eigenständige digitale Identitäten geführt.
Die Stellvertretungsbeziehung beschreibt insbesondere:
- welche natürliche Person vertreten wird,
- welche natürliche Person die Stellvertretung übernimmt,
- auf welcher Grundlage die Vertretung besteht,
- für welche eServices sie gilt,
- welche Handlungen zulässig sind,
- ab wann und bis wann sie gültig ist,
- ob eine weitere Delegation erlaubt ist,
- wie sie bestätigt, widerrufen oder beendet wird.
CoreOne verwaltet diese Beziehung im lokalen IAM-System und leitet daraus die erforderlichen Serviceberechtigungen ab.
Die stellvertretende Person meldet sich weiterhin mit ihrer eigenen digitalen Identität an. Sie übernimmt nicht die Identität der vertretenen Person. Der eService muss erkennen können:
- wer die Handlung tatsächlich ausführt,
- in wessen Namen die Handlung erfolgt,
- auf welcher Stellvertretungsbeziehung sie beruht,
- welche Berechtigungen innerhalb dieser Beziehung gelten.
Damit bleibt die persönliche Verantwortlichkeit jederzeit nachvollziehbar.
Die Stellvertretung natürlicher Personen in CoreOne ist keine durch eCH-0291 vollständig definierte Standardfunktion.
Diese Abgrenzung ist wesentlich.
eCH-0291 stellt natürliche Personen als Subjekte in den Mittelpunkt. Der Standard kann zudem Beziehungen natürlicher Personen zu unterschiedlichen Kontexten beschreiben. Dazu gehört auch ein Familienkontext mit den Rollen «Eltern» und «Kind». (ech.ch)
Aus einer solchen Beziehung folgt jedoch nicht automatisch eine umfassende Stellvertretungs- oder Vertretungsbefugnis.
Die Aussage:
Person A ist Elternteil von Person B
ist fachlich nicht gleichbedeutend mit:
Person A darf in allen digitalen Verwaltungsleistungen rechtswirksam im Namen von Person B handeln.
Ob und in welchem Umfang eine Stellvertretung zulässig ist, hängt unter anderem ab von:
- der Handlungsfähigkeit der vertretenen Person,
- gesetzlichen Vertretungsregeln,
- einer Vollmacht oder einem Mandat,
- dem konkreten Verwaltungs- oder Geschäftsprozess,
- den Anforderungen des jeweiligen eServices,
- allfälligen Genehmigungen,
- zeitlichen und sachlichen Einschränkungen.
Auch die im Standard vorgesehene Rolle «stellvertretender Manager» stellt keine allgemeine natürliche Stellvertretung dar. Sie beschreibt eine organisatorische Rolle innerhalb eines Organisations- oder Vorhabenskontexts. (ech.ch)
eCH-0291 definiert insbesondere kein vollständiges Verfahren für:
- Einladung einer stellvertretenden Person,
- Annahme oder Ablehnung der Stellvertretung,
- Prüfung einer Vollmacht,
- servicespezifische Beschränkung,
- Widerruf,
- Weiterdelegation,
- Rezertifizierung,
- Benachrichtigung,
- lokale Durchsetzung der Stellvertretungsrechte.
Diese Funktionen werden durch CoreOne als lokales IAM-System bereitgestellt.
Obwohl die natürliche Stellvertretung nicht vollständig durch eCH-0291 standardisiert wird, bestehen klare konzeptionelle Anknüpfungspunkte.
Natürliche Personen als Subjekte.
Sowohl die vertretene als auch die stellvertretende Person sind natürliche Personen. Sie werden in CoreOne als separate digitale Identitäten geführt.
Dies entspricht der Grundausrichtung von eCH-0291, wonach natürliche Personen die handelnden Subjekte darstellen.
Eindeutige Identifikation.
Für beide Personen müssen eindeutige und ausreichend verlässliche Identitätsinformationen vorliegen. Die stellvertretende Person darf nicht unter dem Konto oder der Identität der vertretenen Person handeln.
Kontextabhängiges Handeln.
Die Stellvertretung verändert nicht die Identität der handelnden Person. Sie schafft einen zusätzlichen Kontext, innerhalb dessen die Person für eine andere natürliche Person handeln darf.
Lokale IAM-Wirkung.
CoreOne interpretiert die vorhandenen Identitäts- und Beziehungsinformationen und erzeugt daraus lokale Berechtigungen. Damit folgt CoreOne dem Prinzip des Standards, wonach die konkrete IAM-Wirkung beim Empfänger entsteht.
Trennung von Beziehung und Berechtigung.
Eine persönliche oder familiäre Beziehung ist nicht automatisch eine Berechtigung. CoreOne führt deshalb eine separate, kontrollierte Stellvertretungsbeziehung mit definiertem Berechtigungsumfang.
Gültigkeit und Lifecycle.
Eine Stellvertretung besitzt einen Beginn, gegebenenfalls ein Ende und einen Status. Bei Ablauf oder Widerruf werden die daraus abgeleiteten Zugriffsrechte entzogen.
| Element | Bedeutung im lokalen CoreOne-Modell |
|---|---|
| Vertretene natürliche Person | Person, in deren Namen gehandelt wird |
| Stellvertretende natürliche Person | Person, die sich mit ihrer eigenen Identität authentisiert |
| Stellvertretungsbeziehung | Lokales CoreOne-Objekt zur Beschreibung der Vertretung |
| Legitimation | Vollmacht, gesetzliche Grundlage, Beistandschaft oder andere bestätigte Grundlage |
| Serviceumfang | eServices, für welche die Stellvertretung gilt |
| Berechtigungsumfang | Innerhalb der eServices erlaubte Handlungen |
| Gültigkeit | Beginn und Ende der Stellvertretung |
| Status | Eingeladen, bestätigt, aktiv, widerrufen, abgelaufen oder beendet |
| Lokale Autorisierung | Durch CoreOne abgeleitete Serviceberechtigungen |
| Audit | Nachvollziehbarkeit der Einrichtung, Nutzung, Änderung und Beendigung |
Das Stellvertretungsobjekt ist dabei eine lokale Erweiterung des CoreOne-IAM-Modells. Es darf nicht als standardisiertes Informationsobjekt von eCH-0291 bezeichnet werden.
Praxisbeispiel: Stellvertretung einer natürlichen Person
Eine natürliche Person möchte, dass ihr Treuhänder eine bestimmte digitale Verwaltungsleistung in ihrem Namen bearbeitet.
Die vertretene Person oder eine legitimierte Stelle initiiert die Stellvertretung in CoreOne. Dabei werden festgelegt:
- die stellvertretende Person,
- der betroffene eService,
- die zulässigen Handlungen,
- die zeitliche Gültigkeit,
- die Grundlage der Vertretung.
Der Treuhänder erhält eine Einladung und bestätigt die Stellvertretung mit seiner eigenen digitalen Identität.
Bei der späteren Anmeldung erkennt CoreOne:
- die tatsächliche Identität des Treuhänders,
- die aktive Stellvertretungsbeziehung,
- die vertretene Person,
- den zulässigen eService,
- den festgelegten Berechtigungsumfang.
Der eService erhält damit nicht nur die Information, wer sich authentisiert hat. Er kann zusätzlich erkennen, dass diese Person innerhalb einer gültigen Stellvertretung für eine andere natürliche Person handelt.
Die vorgenommenen Handlungen bleiben eindeutig dem Treuhänder als ausführender Person zugeordnet. Gleichzeitig ist nachvollziehbar, für welche Person und auf welcher Grundlage gehandelt wurde.
Endet die Vollmacht oder widerruft die vertretene Person die Stellvertretung, entzieht CoreOne die daraus abgeleiteten Berechtigungen.
Keine automatische Ableitung aus Familienbeziehungen
Der in eCH-0291 vorgesehene Familienkontext kann Informationen über familiäre Beziehungen ausdrücken. Solche Beziehungen können in bestimmten Anwendungsfällen ein relevanter fachlicher Hinweis sein.
Sie dürfen jedoch nicht pauschal als Stellvertretungsberechtigung interpretiert werden.
Ein Eltern-Kind-Verhältnis kann je nach Alter, Handlungsfähigkeit, rechtlichem Sachverhalt und eService unterschiedliche Auswirkungen haben. Ebenso begründet eine andere familiäre Beziehung nicht automatisch eine Vollmacht.
CoreOne sollte eine über eCH-0291 oder eine andere autoritative Quelle erhaltene Familienbeziehung daher höchstens als Eingangsinformation verwenden. Die eigentliche Stellvertretung muss als eigenständige, lokal geprüfte und servicespezifische Beziehung eingerichtet werden.
Damit wird verhindert, dass aus einem beschreibenden Personenverhältnis unzulässigerweise weitreichende Berechtigungen entstehen.
Die erstmalige Einrichtung einer Unternehmensdelegation oder natürlichen Stellvertretung ist nur ein Teil des IAM-Prozesses.
Mindestens ebenso wichtig ist die Frage, was geschieht, wenn deren fachliche oder rechtliche Grundlage entfällt.
Mögliche Ereignisse sind:
- Austritt aus einem Unternehmen,
- Ende eines Mandats,
- Widerruf einer Vollmacht,
- Änderung einer Rolle,
- Ablauf einer Funktionszuweisung,
- Deaktivierung eines Unternehmens,
- Wegfall der Vertretungsgrundlage,
- negative Rezertifizierung,
CoreOne verarbeitet solche Ereignisse im lokalen IAM-System und leitet daraus die erforderlichen Änderungen ab.
Bei einer Unternehmensdelegation können beispielsweise:
- die Beziehung zum Unternehmen beendet,
- die Rollen innerhalb des Unternehmens entfernt,
- Geschäftsfunktionen deaktiviert,
- Serviceberechtigungen entzogen,
- weitere Delegationen überprüft,
- Fachanwendungen aktualisiert werden.
Bei der Stellvertretung einer natürlichen Person können:
- die Stellvertretungsbeziehung beendet,
- servicespezifische Berechtigungen entzogen,
- aktive Vertretungskontexte deaktiviert,
- die beteiligten Personen benachrichtigt,
- sämtliche Änderungen protokolliert werden.
Auch formal gültige Beziehungen und Berechtigungen können fachlich überholt sein.
Deshalb sollten Unternehmenszuweisungen, Delegationen und Stellvertretungen regelmässig überprüft werden.
Eine Rezertifizierung kann unter anderem folgende Fragen stellen:
- Besteht die Beziehung weiterhin?
- Ist die zugrunde liegende Vollmacht oder das Mandat noch gültig?
- Nimmt die Person ihre Funktion noch wahr?
- Ist der Berechtigungsumfang weiterhin angemessen?
- Werden alle freigegebenen eServices noch benötigt?
- Ist eine Weiterdelegation weiterhin zulässig?
- Bestehen unzulässige Kombinationen von Funktionen?
- Muss die Zuweisung eingeschränkt oder beendet werden?
Die verantwortliche Person kann eine Zuweisung:
- bestätigen,
- einschränken,
- befristen,
- entziehen,
- zur weiteren Prüfung eskalieren.
Damit verbindet CoreOne das Delegationsmodell mit Identity Governance.
Organisationsübergreifende Delegationen und persönliche Stellvertretungen müssen besonders gut nachvollziehbar sein.
Für jede relevante Änderung sollten mindestens dokumentiert werden:
- handelnde Person,
- vertretene Person oder Organisation,
- betroffener Kontext,
- Rolle oder Funktion,
- betroffener eService,
- Berechtigungsumfang,
- ausgeführte Aktion,
- Zeitpunkt,
- vorheriger Zustand,
- neuer Zustand,
- fachliche oder rechtliche Grundlage,
- technischer Verarbeitungsstatus.
Dadurch lässt sich später nachvollziehen:
- wer eine Person eingeladen hat,
- wer eine Unternehmensbeziehung bestätigt hat,
- wer eine Stellvertretung eingerichtet hat,
- wer eine Serviceberechtigung delegiert hat,
- wann eine Zuweisung abgelaufen ist,
- weshalb ein Zugriff entzogen wurde,
- ob die Änderung erfolgreich an die Fachanwendung übertragen wurde,
- wer im Namen welcher Person oder Organisation gehandelt hat.
Fachanwendungen profitieren davon, dass sie nicht sämtliche Unternehmens-, Delegations- und Stellvertretungsprozesse selbst implementieren müssen.
CoreOne übernimmt als lokales IAM-System:
- die Verwaltung der digitalen Identitäten,
- die Verwaltung von Unternehmen und Vertretungskontexten,
- die Prüfung und Steuerung von Beziehungen,
- die Delegations- und Genehmigungsprozesse,
- das Lifecycle Management,
- die Rezertifizierung,
- den Berechtigungsentzug,
- die zentrale Auditierung.
Die Fachanwendung kann sich auf ihre fachliche Aufgabe und die Durchsetzung der für sie definierten Rechte konzentrieren.
Sie bleibt dennoch für ihre konkrete Autorisierungslogik verantwortlich. CoreOne stellt die verlässlichen lokalen Identitäts-, Kontext- und Berechtigungsinformationen bereit.
Die Verbindung zwischen eCH-0291 und CoreOne lässt sich in vier Ebenen darstellen.
Semantische Beschreibung
eCH-0291 beschreibt:
natürliche Personen als Subjekte,
organisatorische Kontexte,
Beziehungen zwischen Personen und Kontexten,
Rollen innerhalb dieser Beziehungen,
Geschäftsfunktionen,
Gültigkeiten und Bedingungen.
Lokale Modellierung
CoreOne übernimmt als lokales IAM-System:
den Aufbau der digitalen Identitäten,
die Transformation der empfangenen Informationsobjekte,
die lokale Abbildung von Unternehmen,
die lokale Modellierung von Delegationen,
die ergänzende Modellierung der Stellvertretung natürlicher Personen.
Governance und Autorisierung
CoreOne steuert:
Registrierung,
Prüfung,
Einladung,
Bestätigung,
Delegation,
Befristung,
Rezertifizierung,
Widerruf,
lokale Berechtigungsableitung.
Technische Durchsetzung
CoreOne sorgt dafür, dass Berechtigungen:
an Fachanwendungen provisioniert,
bei der Anmeldung berücksichtigt,
bei Änderungen aktualisiert,
bei Wegfall der Grundlage entzogen,
revisionssicher protokolliert werden.
Zusammenfassung für Entscheider
- eCH-0291 schafft eine gemeinsame fachliche Sprache für Identität, Kontext, Rolle und Geschäftsfunktion zwischen Organisationen.
- Die konkrete Autorisierung bleibt bewusst bei der empfangenden Institution und ihrem lokalen IAM-System.
- CoreOne übernimmt als lokales IAM-System Transformation, Governance, Lifecycle Management und Berechtigungsableitung.
- Unternehmensdelegation ist über eCH-0291 direkt abbildbar; die Stellvertretung natürlicher Personen ergänzt CoreOne lokal.
- Rezertifizierung, Audit und Lifecycle Management sind keine Kür, sondern Voraussetzung für nachvollziehbare Delegationen.
Praxisimpuls
Bevor über neue Tools gesprochen wird, drei Fragen klären:
- Wissen wir für jede organisationsübergreifende Beziehung, wer handelt, in welchem Kontext und auf welcher Grundlage?
- Ist die lokale Autorisierungsentscheidung klar von der fachlichen Beschreibung des Standards getrennt?
- Werden Unternehmensdelegationen und Stellvertretungen regelmässig rezertifiziert und bei Wegfall der Grundlage entzogen?
eCH-0291 schafft ein semantisches Fundament für organisationsübergreifendes Identity & Access Management.
Der Standard beschreibt, wie natürliche Personen, organisatorische Kontexte, Rollen, Geschäftsfunktionen und deren Zuweisungen konsistent zwischen Institutionen ausgetauscht werden können. Die konkrete Umsetzung in digitale Identitäten, lokale Rollen und Berechtigungen verbleibt bewusst beim IAM-System der empfangenden Institution.
In der beschriebenen Zielarchitektur übernimmt CoreOne diese Rolle als lokales IAM-System.
Für die Vertretung juristischer Personen besteht ein unmittelbarer Bezug zum Standard: Die natürliche Person ist das handelnde Subjekt, das Unternehmen bildet den Kontext und die Beziehung wird durch Rollen, Funktionen und Gültigkeiten qualifiziert. CoreOne führt diese Informationen in ein operatives Delegationsmodell über und steuert daraus konkrete Serviceberechtigungen.
Die Stellvertretung natürlicher Personen wird dagegen nicht vollständig durch eCH-0291 standardisiert. Der Standard beschreibt natürliche Personen als Subjekte und kann bestimmte Beziehungen, beispielsweise innerhalb eines Familienkontexts, ausdrücken. Er definiert jedoch kein umfassendes Modell für Vollmachten, Einladungen, Bestätigungen, servicespezifische Stellvertretungsrechte, Widerrufe und Rezertifizierungen.
CoreOne ergänzt den Standard deshalb um ein lokales Stellvertretungsmodell. Die vertretene und die stellvertretende Person bleiben eigenständige digitale Identitäten. CoreOne verwaltet die Beziehung, deren Legitimation, Gültigkeit und Berechtigungsumfang und stellt sicher, dass jede Handlung der tatsächlich ausführenden Person zugeordnet werden kann.
Kernaussage
Häufig gestellte Fragen
Nein. eCH-0291 ist produktneutral und definiert keine konkrete IAM-Lösung. Die empfangende Institution muss die ausgetauschten Informationen in ihr eigenes IAM-Modell überführen und daraus lokale digitale Identitäten, Rollen, Ressourcen und Berechtigungen ableiten. In diesem Ratgeber übernimmt die Lösung CoreOne die Rolle des lokalen IAM-Systems und zeigt beispielhaft, wie diese Informationen operativ verarbeitet und für Lifecycle Management, Governance und Autorisierung genutzt werden können.
Der Kontext beschreibt den organisatorischen oder fachlichen Bezugsrahmen, in dem eine Person handelt, beispielsweise ein Unternehmen, eine Organisationseinheit oder ein Vorhaben. Die konkretisierende Rolle beschreibt dagegen die Stellung oder Aufgabe der Person innerhalb dieses Kontexts. Im Kontext eines Unternehmens kann eine Person beispielsweise Geschäftsführerin, Prokuristin, Vertrauensperson oder Mitglied sein.
Nein. eCH-0291 beschreibt natürliche Personen als handelnde Subjekte und kann Beziehungen zwischen Personen und verschiedenen Kontexten ausdrücken. Der Standard kennt beispielsweise auch einen Familienkontext. Daraus entsteht jedoch kein allgemeines, vollständiges Modell für die Stellvertretung einer natürlichen Person durch eine andere natürliche Person.
Insbesondere definiert eCH-0291 keinen vollständigen Prozess für die Begründung und Annahme einer Stellvertretung, deren servicespezifischen Berechtigungsumfang, Widerruf, Weiterdelegation oder Rezertifizierung. CoreOne ergänzt diese Aspekte als lokales IAM-System durch ein eigenes Stellvertretungs- und Delegationsmodell.
Kontext-, Rollen- und Funktionszuweisungen besitzen einen Lebenszyklus und können zeitlich begrenzt sein. eCH-0291 sieht Gültigkeiten ausdrücklich vor; bei ungültig gewordenen Kontexten sollen darauf beruhende Berechtigungen beim Empfänger entsprechend deaktiviert werden.
Rezertifizierung und Audit sind darüber hinaus wichtige Governance-Funktionen des lokalen IAM-Systems wie die der CoreOne. Sie stellen sicher, dass auch zeitlich noch gültige Zuweisungen regelmässig auf ihre fachliche Berechtigung überprüft werden und nachvollziehbar bleibt, wer eine Delegation oder Berechtigung eingerichtet, verändert, bestätigt oder entzogen hat. CoreOne ergänzt damit die standardisierten Gültigkeits- und Lifecycle-Informationen von eCH-0291 um operative Governance und Nachvollziehbarkeit.
Inhaltsverzeichnis
Autoren
Fachexperte IAM
Steuerung IAM Bund Bundeskanzlei
IAM Experte ITSENSE AG
Weitere Ratgeber-Beiträge
