Ich habe euch heute beim Clubabend ja erzählt, dass ich mit dem Innenministerium in Kontakt war, wie FIDO2 Sticks als ID Austria kompatibel eingestuft werden. Die Anfrage wurde an das Bundeskanzleramt weitergeleitet. Ich möchte euch die Antwort nicht vorenthalten. Die Antwort ist vom 17.04.2025. In der Zwischenzeit ist der Token2 inoffiziell mit ID Austria kompatibel geworden.
Sehr geehrter Herr Korecky,
Ihre Anfrage wurde an mich weitergeleitet, ich habe die Antworten, die Sie in kursiver Schrift unter Ihren Fragen finden, mit unserem technischen Partner erhoben und abgestimmt.
- Nach welchen Kriterien wird die Kompatibilität der FIDO Sicherheitsschlüssel geprüft und wie kommen diese in die unter https://www.oesterreich.gv.at/id-austria/haeufige-fragen/allgemeines-zu-id-austria.html#fido-compatibleveröffentlichte Liste?
Grundsätzliche Anforderungen an FIDO-Token sind folgende:
- FIDO2 Level2
- Aufnahme in die FIDO Metadata Liste: https://fidoalliance.org/metadata/
- Private Key Protection in Hardware – Prüfbar in der Metadata Liste
- Schutz des Private Keys via PIN oder Biometrie muss möglich sein.
In der Liste werden jene FIDO-Token angeführt, welche von uns getestet wurden und von denen wir wissen, dass diese funktionieren.
- Laut der o. a. Website müssen kompatible Sicherheitsschlüssel die Standards FIDO2 Level 2 mit WebAuthn unterstützen. Es wird auf der o. a. Website außerdem auf die FIDO2 Alliance verwiesen. Unter https://fidoalliance.org/certification/fido-certified-products/ finden sich allerdings wesentlich mehr Produkte, die die geforderten Standards unterstützen. Warum werden diese nicht als kompatibel mit der ID Austria gelistet und akzeptiert?
Einige der Produkte in der Liste konnten nicht bzw. nicht mehr erworben werden.
Einige Produkte konnten bei Tests nicht erfolgreich verwendet werden.
Einige Produkte funktionieren vermutlich mit der ID Austria, wurden aber nicht explizit von uns getestet und stehen daher nicht auf der Liste.
- Konkret werden auf der o. a. Website auch die Sicherheitsschlüssel TOKEN2 PIN+ Series gelistet. Vor allem der Token2 T2F2-Dual PIN+Octo FIDO2.1 Security Key (https://www.token2.com/shop/product/token2-t2f2-dual-pin-octo-fido2-1-security-key-nonbranded) stellt eine technisch hochwertige und preisgünstige Alternative dar. Warum wird dieses Produkt nicht als kompatibel gelistet?
Wurde bisher nicht getestet, das Produkt ist erst seit 30.12.2024 auf der FIDO Metadata Liste als Level 2 gelistet.
Wir überwachen die Metadata Listen nicht aktiv auf neue FIDO-Token, daher werden diese nicht automatisch gelistet.
- Welcher Prozess wird verwendet, um kompatible Produkte in die Liste aufzunehmen?
Wenn ein Token erfolgreich getestet wird, kann dieser in die Liste aufgenommen werden.
- Wie kann man die Aufnahme neuer Produkte in die Liste beantragen?
Dazu ist zurzeit kein Prozess definiert.
Ich hoffe diese Antworten adressieren Ihre Fragen
Mit besten Grüßen
Johannes Rund
Bundeskanzleramt
Sektion VII - Digitalisierung und E-Government
Abteilung VII/4 E-GOVERNMENT BÜRGER
Mag. Johannes Rund