Login.gov: Identitätssicherheitsansprüche als Kontrollnachweis-Rechenschaftstest

Zusammenfassung

• Der zentrale Befund stammt aus der Bewertung des GSA-Office of Inspector General vom März 2023. Es stellte fest, dass Login.gov nie den physischen oder biometrischen Vergleich durchführte, der für den IAL2-Dienst erforderlich war, den es Kundenbehörden anbot, dass die GSA die bekannte Nichteinhaltung nicht umgehend offenlegte und dass die GSA bis Mai 2022 mehr als 10 Millionen US-Dollar an IAL2-Kunden in Rechnung stellte.
• Das Versagen lag nicht darin, dass Login.gov Gleichberechtigung, Datenschutz oder Alternativen zum automatischen Gesichtsabgleich in Betracht zog. Das sind legitime Grenzen des öffentlichen Dienstes. Das Versagen bestand darin, dass die Entscheidung, eine erforderliche Kontrolle nicht zu implementieren, nicht gleichzeitig eine Änderung der Sicherheitszusage, der behördenübergreifenden Vereinbarungen, der Abrechnungspraxis, der Finanzierungsdarstellungen und der Risikoentscheidungen der Kunden auslöste.
• Die Reparaturnachweise sind erheblich. Die GSA korrigierte öffentliche Beschreibungen, erweiterte die persönliche Identitätsprüfung, erprobte den Einzelabgleich von Gesichtern, erhielt im Oktober 2024 eine unabhängige NIST SP 800-63-3 IAL2-Bewertung, trennte die grundlegende Nicht-IAL2-Überprüfung von der erweiterten IAL2-Überprüfung, erweiterte Überprüfungen maßgeblicher Aufzeichnungen und dokumentierte aktuelle Datenschutzpraktiken. Die Aufsichtsunterlagen zeigen auch, dass die fünf OIG-Empfehlungen von 2023 als erledigt gelten.
• Reparatur ist nicht gleichbedeutend mit vollständiger Rechenschaftspflicht. Die öffentlichen Aufzeichnungen quantifizieren nicht, wie viele Leistungsantragsteller unter einer falschen Sicherheitsannahme zugelassen oder abgelehnt wurden, identifizieren nicht jede Kundenberichtigungsentscheidung, veröffentlichen nicht die kundenbezogenen Ergebnisse der Abrechnungsprüfung, legen keine Rückerstattungen oder Entschädigungen fest und legen keine longitudinalen Erfolgs-, Misserfolgs-, Betrugs- und Abhilfeergebnisse nach Überprüfungsmethode und betroffener Bevölkerung offen.
• Der dauerhafte Test ist, ob jede Sicherheitsbehauptung zum Zeitpunkt ihrer Aufstellung auf eine versionierte Norm, implementierte Kontrollen, unabhängige Nachweise, korrekte Kundenbedingungen, passende Abrechnung, rechtzeitige Ausnahmeoffenlegung, Nutzerergebnis messungen und einen dokumentierten Weg für Normänderungen zurückverfolgt werden kann. Ein späteres Zertifikat beweist einen späteren Dienstzustand; es kann eine frühere Behauptung nicht nachträglich bestätigen.

Ein Sicherheitslabel ist ein operatives Versprechen

In Diskussionen über digitale Identitäten werden oft Authentifizierung, Identitätsprüfung, Berechtigung und Autorisierung zu einer Idee zusammengefasst: dem Einloggen. Login.gov trifft keine Leistungs- oder Berechtigungsentscheidungen, wie die aktuelle öffentliche Erklärung zeigt. Eine Person erstellt ein Konto, authentifiziert sich mit einem Passwort und einem weiteren Faktor und kann dann bei Bedarf die Identitätsüberprüfung abschließen, wenn die Partnerbehörde dies verlangt. Die Partnerbehörde entscheidet, worauf die Person zugreifen darf und ob sie für eine Dienstleistung qualifiziert ist.

Diese Arbeitsteilung ist wichtig, macht aber die Sicherheitsdarstellung von Login.gov nicht nebensächlich.

Eine Identitätssicherheitsstufe (Identity Assurance Level, IAL) beschreibt das Vertrauen, dass ein Antragsteller mit einer realen Identität verbunden ist. Sie unterscheidet sich von einer Authentifizierungssicherheitsstufe (Authentication Assurance Level, AAL), die das Vertrauen betrifft, dass die Person, die einen Authentifikator vorlegt, diesen auch kontrolliert. Ein Dienst kann eine starke Multi-Faktor-Authentifizierung erfordern und dennoch die behauptete reale Identität nicht auf dem versprochenen Niveau nachweisen.

Der OIG-Bericht von 2023 stellte auch ein separates AAL2-Konfigurationsproblem fest, das die GSA später korrigierte, aber das entscheidende Rechenschaftsproblem hier ist IAL2: ob die Identitätsnachweise nicht nur gesammelt und validiert, sondern auch auf die lebende Person in der vom geltenden Standard geforderten Weise bezogen wurden.

Dieses Label hatte mindestens fünf operative Zielgruppen. Personen begegneten den Prüfungsschritten und gaben sensible Daten preis. Partnerbehörden nutzten die resultierenden Aussagen, um Zugangspfade für Leistungen, Aufzeichnungen, Finanztransaktionen und geschützte Informationen zu entwerfen. Beschaffungs- und Programmbeamte nutzten behördenübergreifende Vereinbarungen, um festzulegen, was die GSA liefern würde. Das Technology Modernization Fund Board bewertete einen großen Finanzierungsvorschlag.

Prüfer und Autorisierungsbeamte benötigten eine Nachweiskette, die zeigte, dass der Produktionsdienst seiner angegebenen Kontrollgruppe entsprach.

Für jedes Publikum trug „IAL2" mehr Informationen als „wir führen mehrere Identitätsprüfungen durch". Es implizierte die Übereinstimmung mit einem veröffentlichten Anforderungssatz. Wenn der Dienst stattdessen ein nützliches, aber anderes Bündel aus Dokumentenauthentifizierung, Aufzeichnungsprüfungen, Adressbestätigung und Betrugskontrollen bereitstellte, musste der wahrheitsgemäße Produktname dies aussagen. Login.gov tut dies jetzt genau: Die aktuelle Dienstbeschreibung unterscheidet die grundlegende Identitätsüberprüfung, die nicht IAL2-konform ist, von der erweiterten Identitätsüberprüfung, die IAL2-konform ist.

Diese spätere Trennung veranschaulicht die Governance-Disziplin, die im überprüften Zeitraum fehlte.

Was der geltende Standard zu dieser Zeit erforderte

Historisches Verhalten sollte an dem damals geltenden Standard gemessen werden, nicht rückwirkend an einer späteren Revision. Während des vom OIG bewerteten Zeitraums galten NIST SP 800-63-3 und der zugehörige Band SP 800-63A für die relevante Behauptung. Die Rev.3-Anforderungen an die Identitätsprüfung beschrieben IAL2 als erforderlich, dass Nachweise die reale Existenz der behaupteten Identität stützen und die Überprüfung, dass der Antragsteller angemessen mit dieser Identität verbunden war. Für die stärksten Identitätsnachweise, die bei IAL2 verwendet wurden, musste die Überprüfungsstärke als stark eingestuft werden.

Der akzeptierte Weg war ein physischer Vergleich des Antragstellers mit dem Lichtbild auf dem stärksten Nachweis oder ein biometrischer Vergleich anhand des Nachweises.

NISTs Rev.3-Implementierungsressource zur Identitätsüberprüfung machte die Kontrollgrenze besonders deutlich. Die Identitätsvalidierung fragt, ob Nachweise und Attribute authentisch und korrekt sind. Die Identitätsüberprüfung fragt, ob der gültige Nachweis tatsächlich der Person gehört, die zur Prüfung erscheint. Der Abgleich der Daten eines Ausweises mit maßgeblichen oder kommerziellen Aufzeichnungen kann die Validierung unterstützen. Er allein bindet den Ausweis nicht an die lebende Person, die ihn vorlegt. Der fehlende physische oder biometrische Vergleich war daher kein geringfügiger Dokumentationsfehler.

Es war der Schritt, der den Nachweis mit dem Antragsteller verband.

Der Standard erlaubte es Behörden zwar, in bestimmten Umständen von einem vollständigen Satz normativer Anforderungen abzuweichen, aber diese Flexibilität war mit einer Nachweispflicht verbunden. Der OIG zitierte SP 800-63-3 mit der Forderung nach Vergleichbarkeit einer Alternative, Dokumentation der Abweichung und Details zu kompensierenden Kontrollen. Der OIG stellte fest, dass die GSA keine vergleichbare Alternative, keine kompensierenden Kontrollen und keine dokumentierte Begründung für die fehlende Überprüfungsanforderung hatte.

Er lehnte Beschreibungen wie die Erfüllung des „Geistes" oder des „Geschmacks" von IAL2 als gleichwertig mit der Erfüllung des Standards ab.

Der politische Kontext war ebenfalls wichtig. OMB Memorandum M-19-17, veröffentlicht im Mai 2019, wies Bundesbehörden an, NIST SP 800-63-3 mit der breiteren föderalen Identitätsmanagement-Richtlinienreihe zu implementieren. Eine vertrauende Behörde musste dennoch ihre eigene digitale Identitätsrisikobewertung durchführen und ein geeignetes Sicherheitsniveau für jede Anwendung wählen. Diese Verantwortung setzte jedoch genaue Dienstinformationen voraus. Eine Behörde kann keine fundierte Risikoentscheidung treffen, wenn das Label des Anbieters und die eingesetzte Kontrolle voneinander abweichen.

Diese Unterscheidung verhindert zwei gegensätzliche Fehler. Es wäre falsch zu sagen, dass der alte Dienst keine Identitätsprüfungen durchführte; offizielle Aufzeichnungen beschreiben Dokumentenauthentifizierung, Aufzeichnungsprüfungen, Adressbestätigung und Betrugskontrollen. Es wäre auch falsch zu sagen, dass diese Prüfungen die fehlende Überprüfungskontrolle irrelevant machten. Das bestätigte Problem war nicht, ob Login.gov etwas Nützliches tat. Es war, ob es den definierten Dienst lieferte, den es zu liefern angab.

Die bestätigte Chronologie zeigt eine wiederholte Abweichung zwischen Behauptung und Kontrolle

Login.gov startete 2017 als gemeinsamer Anmeldedienst. Die OIG-Bewertung, die im April 2022 eröffnet wurde, nachdem die GSA-Rechtsabteilung über mögliches Fehlverhalten berichtet hatte, untersuchte die Programmaktivitäten von Mai 2016 bis Dezember 2022. Ihre Chronologie zeigt, dass die Diskrepanz nicht erst durch eine plötzliche Standardänderung entdeckt wurde.

Im September 2018 diskutierten Login.gov-Mitarbeiter intern und mit potenziellen Kunden über IAL2-Dienste. Die Sprache in behördenübergreifenden Vereinbarungen begann zu besagen, dass der IAL2-Dienst NIST 800-63-3 für AAL2 und IAL2 erfüllte und dass TTS diese Dienste auf Erstattungsbasis bereitstellen würde. Der OIG stellte fest, dass 18 von 22 Vereinbarungen, die vom 18. September 2018 bis zum 7. Juli 2021 abgeschlossen wurden, besagten, dass sie IAL2-Dienste umfassten, die die IAL2-Anforderungen erfüllten oder ihnen entsprachen.

Im Juli 2019 erklärte der Chief Information Officer der GSA in der FedRAMP-Betriebsgenehmigung von Login.gov, dass das System die Validierung auf IAL1 oder IAL2 unterstützen könne. Im November 2019 erlaubte der CIO den Kundeneinsatz von IAL2 unter Bedingungen. Doch laut OIG umfasste der den Kunden zur Verfügung stehende Produktionsdienst nie einen physischen oder biometrischen Vergleich. Er nutzte einen Dritten, um Ausweise mit Informationen in kommerziellen Aufzeichnungen zu vergleichen. Dies konnte Nachweise und Attribute validieren, führte aber nicht die erforderliche Eigentumsüberprüfung durch.

Das Wissen um die Lücke bewegte sich durch die Organisation. Der OIG berichtete über Diskussionen über die Unfähigkeit, IAL2 zu erfüllen, mindestens bereits 2019. Es hieß, ein leitender TTS-Berater habe das Team im Januar 2020 darüber informiert, dass eine biometrische Komponente erforderlich sei. Ein Berater gab im August 2020 dieselbe Warnung. Interne Diskussionen erkannten auch Bedenken hinsichtlich Selfie-Technologie, Lebenderkennung und unterschiedlichen Ablehnungsraten aufgrund körperlicher Merkmale wie Hautfarbe und Hautton an. Diese Bedenken waren reale Governance-Inputs; sie machten den Dienst nicht konform.

Am 24. Juni 2021 gaben der TTS-Direktor und der stellvertretende FAS-Kommissar intern bekannt, dass TTS die Bemühungen zur Erfüllung der biometrischen Vergleichsanforderung aussetze, und verwiesen auf Gleichstellungsbedenken bei der Lebenderkennung und Selfie-Technologie. Der OIG stellte fest, dass die Kundenbehörden nicht benachrichtigt wurden, als diese Produktentscheidung getroffen wurde. Dieses Datum ist der klarste Rechenschaftshöhepunkt.

Sobald die Führung beschloss, die damals als notwendig erachtete Kontrolle nicht einzusetzen, hätte sich der Behauptungszustand überall ändern müssen: Produktkatalog, Autorisierungsnachweise, behördenübergreifende Vereinbarung, Abrechnungscode, Verkaufsgespräch, Finanzierungsvorschlag und Kundenmitteilung.

Stattdessen reichte die GSA im September 2021 einen Vorschlag für den Technology Modernization Fund ein, der besagte, dass Login.gov Identitätsdienste in Übereinstimmung mit M-19-17 bereitstellte und NIST 800-63-3 sowohl für AAL2 als auch für IAL2 einhielt. Der Vorschlag sicherte schließlich rund 187 Millionen US-Dollar für die Jahre 2022 bis 2025. Der OIG behandelte die gesamte Auszeichnung nicht als messbaren Verlust; die Mittel hatten breitere Ziele, darunter Einführung, Gleichberechtigung, Cybersicherheit und Betrugsbekämpfung. Er stellte jedoch fest, dass die zur Erlangung der Finanzierung verwendete Compliance-Erklärung ungenau war.

Die Kundenbenachrichtigung erfolgte im Februar 2022. Der OIG dokumentierte Kundenreaktionen, die zeigten, dass die Behörden verstanden hatten, dass sie einen konformen IAL2-Dienst erhielten, und nun feststellen mussten, was die Änderung für ihre Produktionssysteme bedeutete. Einige fragten, ob der Dienst gerade entfernt worden sei. Einer schloss aus der Klarstellung, dass sein Produktionssystem seit dem Start nicht IAL2-konform gewesen sei, da der Gesichtsvergleich nie in Produktion gewesen sei. Diese Reaktionen sind direkte Beweise für Abhängigkeit und Umstellungskosten.

Sie sind kein Beweis dafür, dass eine bestimmte nicht berechtigte Person eine Leistung erhalten hat oder dass ein namentlich genannter Antragsteller abgelehnt wurde.

Die GSA überprüfte auch ihre AAL2-Darstellungen, benachrichtigte 51 Kunden im März 2022 und einen weiteren im April und änderte die Einstellungen, um dieses separate Problem zu beheben. Für IAL2 hatte sie noch nicht die Fähigkeit, eine ähnliche Konfigurationskorrektur vorzunehmen. Die Privacy Impact Assessment von Login.gov vom Januar 2024 verwendete später eine präzise Sprache: Der Identitätsüberprüfungsdienst erfüllte zu diesem Zeitpunkt nicht NIST IAL2, während er die Kontrollen auflistete, die er bereitstellte. Dies war ein wesentlich besseres Offenlegungsmuster.

Die Abrechnungschronologie verlief parallel zur Behauptungschronologie. Ab 2019 berechnete die GSA Behörden für Dienstleistungen, die als IAL2 beschrieben wurden. Der OIG stellte Abrechnungen an 22 Kundenbehörden fest und berechnete 10.060.254 US-Dollar bis Mai 2022: 459.877 US-Dollar im Haushaltsjahr 2020, 4.288.990 US-Dollar im Haushaltsjahr 2021 und 5.311.387 US-Dollar bis Mai des Haushaltsjahres 2022.

In der Fußnote wurde darauf hingewiesen, dass die abgerechneten Gesamtbeträge Gebühren für Identitätsüberprüfung, Plattformgebühren und Authentifizierungsgebühren umfassten und dass Login.gov nicht alle Kosten auf einer Ebene differenzierte, die einen reinen, nicht konformen Kontrollbetrag isoliert. Die Zahl ist daher eine bestätigte Abrechnungssumme, kein gerichtlicher Schadensersatzanspruch und kein Beweis dafür, dass jeder Dollar keinen Wert erbrachte.

Am 7. März 2023 gab der OIG fünf Feststellungen und fünf Empfehlungen heraus. Er kam zu dem Schluss, dass die GSA Kunden irregeführt, für nicht wie dargestellt erbrachte IAL2-Dienste abgerechnet, in ihrem Finanzierungsvorschlag eine ungenaue Compliance-Sprache verwendet und unzureichende Managementkontrollen sowie eine lasche Kultur zugelassen habe. Die GSA-Führung stimmte den Feststellungen und Empfehlungen zu. Der Bericht war eine Inspektion und Bewertung des Generalinspektors, keine strafrechtliche Verurteilung oder zivilrechtliche Entscheidung; seine Schlussfolgerungen sollten in diesen Begriffen beschrieben werden.

Die praktische Kontrolle war verteilt, aber die Verantwortung war nicht verwässert

Die Aufzeichnungen stützen eher eine mehrschichtige Kontrollkarte als eine einzige Schurken-Erzählung.

Die Produkt- und Programmleitung von Login.gov kontrollierte den Dienstzustand.Das Programm kontrollierte, welche Prüfungsschritte eingesetzt wurden, welche Anbieter und Datenquellen verwendet wurden, wie Nachweise an einen Antragsteller gebunden wurden, welche Produktnamen in der Dokumentation erschienen und welche technischen Einschränkungen eskaliert wurden. Die Produktteams waren auch den Beweisen am nächsten, dass die Kontrollgruppe das behauptete Niveau nicht erfüllte.

Der Technology Transformation Services kontrollierte die Kommerzialisierung und Eskalation.Die TTS-Führung kontrollierte die Entscheidung, die biometrische Implementierung auszusetzen, die Kommunikation mit Partnern, Vertragsvorlagen, Geschäftsabläufe und die Schnittstelle zwischen Programmfakten und externen Behauptungen. Sobald die Produktentscheidung und die Sicherheitsbehauptung auseinanderklafften, hatte TTS die praktische Macht, die Diskrepanz zu stoppen.

Der Federal Acquisition Service kontrollierte die institutionelle Aufsicht.FAS beaufsichtigte TTS, unterzeichnete oder überwachte behördenübergreifende Beziehungen und war verantwortlich für Managementkontrollen, Finanzplanung, Beschaffung und Programm-Governance. Der OIG lehnte ausdrücklich die Idee ab, dass die Programmabhängigkeit FAS von der Verantwortung entband. Er stellte fest, dass die unzureichende FAS-Aufsicht die lasche Kultur und die irreführenden Darstellungen ermöglichte.

Der CIO und der Autorisierungsprozess kontrollierten die formelle Risikoakzeptanz.Eine Betriebsgenehmigung ist keine unabhängige Produktzertifizierung, aber sie ist ein formeller Kontrollpunkt. Als die Autorisierung von 2019 besagte, dass das System IAL2 unterstützen könne, wurde diese Aussage Teil der institutionellen Nachweiskette. Die Autorisierungsbeamten benötigten eine Anforderungs-zu-Implementierungs-Matrix, die erkennen konnte, dass Validierung durch Verifizierung ersetzt wurde.

Die Kundenbehörden kontrollierten die anwendungsspezifische Sicherheit und Autorisierung.Jede vertrauende Behörde musste den Schaden durch Identitätsfehler bewerten, ein Sicherheitsniveau wählen, entscheiden, welche Attribute anzufordern sind, und festlegen, was eine erfolgreiche Login.gov-Aussage erlaubte. Diese Pflichten bleiben bestehen. Sie entschuldigen keine ungenauen Anbieterangaben. Gemeinsame Dienste existieren teilweise, damit sich Behörden auf eine gemeinsame Implementierung von Kontrollen verlassen können, anstatt sie neu zu erstellen; wahrheitsgemäße Dienstgrenzen sind daher eine Voraussetzung für die Kundenverantwortung.

Das Technology Modernization Fund Board kontrollierte die Finanzierung, nicht die Wahrheit des Dienstes.Das Board konnte einen Zuschuss bewerten und an Bedingungen knüpfen, war jedoch auf die Richtigkeit des Vorschlags und der unterstützenden Unterlagen angewiesen. Seine Genehmigung machte einen nicht konformen Dienst nicht konform.

Komponentenanbieter kontrollierten die Leistung der Komponenten.Kommerzielle und behördliche Datenquellen konnten Dokumente authentifizieren, Attribute validieren, Gesichtsabgleiche durchführen, Geräte bewerten oder Betrugssignale liefern. Login.gov als der den Behörden präsentierte Credential Service Provider behielt die Verantwortung, diese Komponenten zu einem Dienst zu montieren, der das behauptete Niveau erfüllte, und die resultierenden Datenflüsse und Einschränkungen zu erläutern.

NIST, Kantara, OIG und GAO kontrollierten unterschiedliche Beweisfunktionen.NIST definierte technische und prozessuale Anforderungen; es betrieb Login.gov nicht. Kantara bewertete später einen bestimmten Dienst gegen Rev.3. Der OIG rekonstruierte das historische Versagen von Behauptung und Management. Das GAO bewertete Fähigkeiten, Erfahrungen der Behörden, Pilotprojekte, Datenschutzkontrollen und Folgemaßnahmen. Keine dieser Stellen ersetzte die tägliche Pflicht der GSA, Behauptungen mit eingesetzten Kontrollen in Einklang zu bringen.

Diese Zuordnung ist wichtig, denn Rechenschaftspflicht kann verschwinden, wenn jeder Teilnehmer auf die Rolle eines anderen verweist. Die bessere Regel ist, dass jede Partei für die Entscheidungen geradesteht, die sie tatsächlich ändern konnte. Die GSA kontrollierte die Produktbehauptung und das Beweispaket. Die Kundenbehörden kontrollierten die Auswahl der Anwendungsfälle und die nachgelagerte Autorisierung. Die Prüfer kontrollierten die Integrität und den Umfang ihrer Bewertungen. Die Nutzer kontrollierten fast keine dieser institutionellen Entscheidungen.

Schaden und Kosten beginnen vor einer bestätigten betrügerischen Transaktion

Die öffentliche Aufzeichnung belegt keine Anzahl von betrügerischen Genehmigungen, rechtswidrigen Ablehnungen, gestohlenen Leistungen oder kompromittierten Konten, die durch den fehlenden IAL2-Überprüfungsschritt verursacht wurden. Es wäre Spekulation, eine zu erfinden. Aber das Fehlen eines quantifizierten Transaktionsverlusts macht das Versagen nicht harmlos.

Erstens verloren die Behörden an Entscheidungsqualität. Eine vertrauende Partei, die einen Prüfdienst auswählt, muss die Wahrscheinlichkeit und Art des Identitätsfehlers kennen, den die Kontrollen zu reduzieren geeignet sind. Wenn ein Dienst vorgab, einen Nachweis mit einer lebenden Person zu verknüpfen, aber den erforderlichen Vergleich nicht durchführte, begann die Risikoanalyse der Behörde auf einer falschen Prämisse. Sie könnte bei einer risikoreichen Transaktion zu wenig Schutz auferlegen oder Zeit darauf verwenden, kompensierende Maßnahmen zu entwerfen, erst nach verspäteter Offenlegung.

Zweitens entstanden den Behörden Untersuchungs- und Migrationskosten. Das GAO berichtete später, dass die Small Business Administration die Einführung nach dem OIG-Befund pausierte und zusätzliche Datenabfragen und Überprüfungen zu Kosten und Sicherheit durchführte. Das Finanzministerium teilte dem GAO mit, dass die Verwendung eines nicht konformen Dienstes für Anwendungen, die IAL2 erfordern, es Sicherheitsrisiken aussetzen würde. Solche Auswirkungen sind Betriebskosten, auch wenn sie nicht auf eine öffentliche Rechnung reduziert werden können.

Drittens schuf die Abrechnung ein prüfbares Steuerzahlerinteresse. Die bestätigten 10.060.254 US-Dollar waren kein sauberes Maß für Überzahlung, da die Rechnungspakete auch erbrachte Dienstleistungen umfassten. Es war dennoch Geld, das Kunden unter einer IAL2-Dienstbeziehung in Rechnung gestellt wurde, von der der OIG feststellte, dass sie IAL2 nicht erfüllte. Eine umfassende Abrechnungsprüfung war daher notwendig, um festzustellen, welche Gebühren der erbrachten Fähigkeit entsprachen, welche Bedingungen korrigiert werden mussten und ob eine finanzielle Anpassung fällig war.

Viertens können Fähigkeitslücken Behörden zu parallelen Systemen treiben. Der Vergleich des GAO vom Juni 2025 ergab, dass CFO Act-Behörden von 2020 bis 2023 etwa 32,5 Millionen US-Dollar für Login.gov und 209 Millionen US-Dollar für kommerzielle Lösungen ausgaben. Das GAO warnte, dass proprietäre Preisgestaltung einen direkten Vergleich verhinderte. Es berichtete auch, dass ein Großteil der kommerziellen Ausgaben Fähigkeiten wie IAL2 und Biometrie widerspiegelte, die Login.gov in diesem Zeitraum nicht anbot. Diese Zahlen zeigen das wirtschaftliche Ausmaß der fragmentierten Identitätsprüfung;

sie beweisen nicht, dass die Falschdarstellung von Login.gov die gesamten kommerziellen Ausgaben verursachte.

Fünftens tragen die Menschen Zugangs- und Datenschutzkosten. Ein fehlgeschlagener Prüfversuch kann den Zugang zu Aufzeichnungen, Anträgen oder Leistungen verzögern. Eine invasivere Kontrolle kann ein Bild des Gesichts, des Ausweises, der Sozialversicherungsnummer, Gerätesignale und maßgebliche Aufzeichnungsprüfungen erfordern. Eine weniger wirksame Kontrolle kann öffentliche Gelder oder persönliche Konten dem Identitätsdiebstahl aussetzen.

Das Rechenschaftsproblem ist daher zweiseitig: Betrug zu verhindern, ohne Prüfungsfehler, Verzerrungen bei biometrischen Daten, Dokumentationshürden oder undurchsichtige Datenweitergabe zu einem Verweigerungsmechanismus zu machen.

Der Bericht des GAO vom Oktober 2024 erfasste sowohl Wert als auch Belastung. Von 21 CFO Act-Behörden, die die Nutzung von Login.gov meldeten, nannten 16 verbesserte Abläufe, 11 eine verbesserte Benutzererfahrung und sieben Kosteneinsparungen. Zwölf nannten die IAL2-Abweichung, neun technische Probleme und acht Kostenunsicherheit. Eine Behörde meldete Kontoeinrichtungsfehlerraten von 30 bis 40 Prozent für ihre Nutzer; das GAO führte nicht jeden Fehler auf die Identitätsprüfung oder die historische IAL2-Behauptung zurück. Diese gemischten Belege sind nützlicher als ein einfaches Erfolgs- oder Misserfolgs-Label.

Eine gemeinsame Identität kann doppelte Arbeit reduzieren und dennoch ernsthafte Kontroll- und Zugangskosten verursachen, wenn ihre Nachweise schwach sind oder ihr Arbeitsablauf versagt.

Schließlich ist Glaubwürdigkeit selbst Infrastruktur. Login.gov bittet Behörden, eine sensible Vertrauensfunktion zu zentralisieren, und bittet die Menschen, ein Konto behördenübergreifend zu verwenden. Dieses Modell kann die Komplexität reduzieren, konzentriert aber das Vertrauen auf die Aussagen des gemeinsamen Anbieters. Wenn sich die Sicherheitssprache als unzuverlässig erweist, können Behörden die Überprüfung duplizieren, die Einführung verzögern oder parallele Dienste kaufen. Die daraus resultierenden Kosten sind nicht nur reputationsbezogen; sie können die Skaleneffekte untergraben, die der Dienst erbringen sollte.

Gleichstellungsbedenken waren legitime Einschränkungen, keine Erlaubnis, den Dienst falsch zu etikettieren

Die OIG-Aufzeichnung sollte nicht als Beweis dafür gelesen werden, dass die GSA unterschiedliche Fehlerraten hätte ignorieren oder jede verfügbare Gesichtserkennungstechnologie sofort hätte einsetzen sollen. NISTs kontinuierliche Face Recognition Technology Evaluation, aktualisiert bis Juni 2026, berichtet über demografische Variationen bei Falschübereinstimmungen und Falschnichtübereinstimmungen zwischen Algorithmen. Sie erklärt auch, dass Bildqualität, Beleuchtung, Belichtung und Kamerageometrie die Falsch-negativ-Leistung beeinflussen können.

Diese Fakten unterstützen sorgfältige Tests, zugängliche Aufnahmebedingungen, alternative Wege und kontinuierliche Ergebnismessung.

Der Governance-Fehler war die Kopplung eines vertretbaren Produktbedenkens mit einer unvertretbaren Behauptungspraxis. Wenn die Führung im Juni 2021 zu dem Schluss kam, dass das Gleichstellungsrisiko des geplanten Selfie- und Lebendigkeitsansatzes seinen Nutzen überwog, blieben vier wahrheitsgemäße Optionen. Die GSA hätte den Dienst als nicht-IAL2 kennzeichnen können. Sie hätte einen betreuten Fern- oder persönlichen physischen Vergleich entwickeln können. Sie hätte einen konformen externen Dienst für Anwendungen, die IAL2 erfordern, nutzen können, während sie ihr eigenes Produkt mit geringerer Sicherheit behält.

Oder sie hätte eine wirklich vergleichbare Alternative mit kompensierenden Kontrollen dokumentieren und vor der Behauptung der Konformität eine maßgebliche Überprüfung einholen können. Was sie nicht tun konnte, war, das IAL2-Label unverändert zu lassen, während die erforderliche Kontrolle fehlte.

Die spätere Architektur zeigt den Wert mehrerer Wege. Die Ankündigung des Pilotprojekts der GSA vom April 2024 kombinierte den Fernabgleich von Gesichtern mit einer persönlichen Option an über 18.000 teilnehmenden Poststellen. Das GAO berichtete, dass in einem persönlichen Piloten mit 1.000 Teilnehmern von Januar bis März 2024 57 Prozent derjenigen, die sich erfolgreich verifizierten, den persönlichen Weg wählten, wenn er zu Beginn angeboten wurde. Die GSA machte die persönliche Option im April dauerhaft.

Dies ist ein Beweis dafür, dass ein alternativer Kanal ein zentraler Dienstpfad sein kann, keine Ausnahme, die nach einem Online-Fehler versteckt ist.

Die Wahl muss jedoch gemessen und nicht angenommen werden. Die Nähe zu einer Postfiliale beweist nicht, dass eine Person während der Öffnungszeiten dorthin reisen kann, akzeptable Dokumente hat, Zeit von der Arbeit oder Betreuung nehmen kann oder den Behördenprozess nach der Verifizierung abschließen kann. Ein Fern-Gesichtsabgleich beweist keine gleiche Betriebsleistung über Geräte und Bevölkerungsgruppen hinweg. Ein persönlicher Kanal beweist nicht, dass das Personal Vergleichs- und Ausnahmeregeln konsequent anwendet.

Die korrekte Kontrollaufzeichnung umfasst Erfolgs- und angepasste Fehlerraten nach Verifizierungsart, Abbruchpunkte, Anpassung bei Betrugsverdacht, Wartezeit, Bearbeitungszeit, Barrierefreiheitsergebnisse und demografische Analysen, die mit rechtsgültigen Datenschutzsicherungen durchgeführt werden.

NISTs 2025 Revision 4 verstärkt diesen Ansatz. Sie erlaubt biometrische, nicht-biometrische und digitale Nachweiswege für IAL2, erfordert vergleichbare aggregierte Sicherheit und fügt stärkere Erwartungen an Optionen, Datenschutz, Kundenerfahrung und Abhilfe hinzu. Sie besagt auch, dass Anbieter, die einen nicht-biometrischen IAL2-Weg anbieten, dessen Nutzung den vertrauenden Parteien mitteilen müssen. Die Lektion ist nicht „Biometrie ist immer erforderlich" oder „Gleichstellung hebt Standards auf".

Es ist, dass der Anbieter den Weg benennen, die geltenden Anforderungen erfüllen, seine Leistung messen und den Kunden genau mitteilen muss, welche Aussage sie erhalten.

Bestätigte Fakten, gestützte Schlussfolgerungen und Unbekanntes

Bestätigte Faktenin der öffentlichen Aufzeichnung sind ungewöhnlich stark. Der GSA-OIG stellte fest, dass der den Kundenbehörden angebotene Produktionsdienst den physischen oder biometrischen Vergleich vermissen ließ, der für den beanspruchten Rev.3 IAL2-Dienst erforderlich war.

Er stellte fest, dass leitende Mitarbeiter mehrfach von der Lücke erfuhren, dass TTS die Bemühungen zur Implementierung der biometrischen Kontrolle im Juni 2021 aussetzte, ohne die Kunden gleichzeitig zu benachrichtigen, dass 18 von 22 überprüften behördenübergreifenden Vereinbarungen irreführende IAL2-Sprache enthielten, dass der Finanzierungsvorschlag vom September 2021 eine ungenaue Compliance-Erklärung enthielt und dass die GSA bis Mai 2022 mehr als 10 Millionen US-Dollar an IAL2-Kunden in Rechnung stellte. Die GSA-Führung stimmte den Feststellungen und Empfehlungen des Berichts zu.

Es ist auch bestätigt, dass die GSA die Kundenbehörden im Februar 2022 benachrichtigte, öffentliche Beschreibungen korrigierte und später neue Prüfwege aufbaute. Die GSA kündigte im April 2024 einen Pilotversuch zum Fern-Gesichtsabgleich und erweiterte die persönliche Prüfung an. Im Oktober 2024 gab die GSA bekannt, dass ein unabhängig bewerteter Rev.3 IAL2-Dienst allgemein verfügbar sei. Die Kantara Trust Status List identifiziert Login.gov als Rev.3-Vollservice, der für IAL2 und AAL2 zugelassen ist. Aktuelle Login.gov-Materialien unterscheiden die grundlegende Nicht-IAL2-Überprüfung von der erweiterten IAL2-Überprüfung.

Es ist bestätigt, dass die Aufsicht nach dem Zertifikat fortgesetzt wurde. Die aktuelle Empfehlungsseite des GAO besagt, dass es im März 2025 überprüft hat, dass der Fernpilot abgeschlossen war und ein externer Prüfer bestätigte, dass die Funktionalität wie beabsichtigt funktionierte. Es markiert die Empfehlungen zum Pilotabschluss und zu den gewonnenen Erkenntnissen als abgeschlossen. Es listet immer noch die Empfehlung auf, die von den Behörden gemeldeten technischen Herausforderungen mit gegenseitig vereinbarten Fristen anzugehen, als offen und teilweise umgesetzt.

Separat zeigt die GAO-Empfehlung zur Sicherungskontrolle von 2025 jetzt als abgeschlossen, nachdem das GAO jährliche Tests mit Nachweisen vom Juni 2025 und Juni 2026 überprüft hat.

Gestützte Schlussfolgerungbeginnt dort, wo die Dokumente die Prämissen, aber kein direktes gemessenes Ergebnis liefern. Es ist vernünftig zu schließen, dass die ungenaue Behauptung die Risikoentscheidungen der Kunden beeinträchtigte, da die Behörden für einen definierten Sicherheitsdienst vertraglich gebunden waren und Überraschung ausdrückten, als ihnen mitgeteilt wurde, dass er nicht verfügbar sei.

Es ist vernünftig zu schließen, dass einige Behörden Kosten für Überprüfungen, Verzögerungen, Integration oder Ersatz hatten, da das GAO pausierte Einführungen und die Nutzung kommerzieller Produkte für Fähigkeiten dokumentierte, die Login.gov nicht hatte. Es ist vernünftig zu schließen, dass eine Anforderungs-Kontroll-Gate, die den Produktzustand mit Vereinbarungen und Abrechnung verknüpft, die Diskrepanz früher hätte aufdecken können.

Es ist auch vernünftig zu schließen, dass die aktuelle Zertifizierung, Diensttrennung, persönliche Wahlmöglichkeit, Passvalidierung, Datenschutzdokumentation und regelmäßige Aufsicht das historische Risiko der Abweichung zwischen Behauptung und Kontrolle wesentlich reduzieren. Dies sind beobachtbare Änderungen in Fähigkeit und Nachweisen, nicht nur neue Sprache. Aber es würde über die Beweise hinausgehen, zu schließen, dass jeder historische Kunde zufriedengestellt wurde, jede betroffene Anwendung einer erneuten Risikobewertung unterzogen wurde oder jeder aktuelle Prüfpfad in der Produktion fair funktioniert.

Unbekanntebleiben material. Die hier überprüften öffentlichen Quellen identifizieren nicht jede Person, die jede historische Darstellung genehmigt hat, geben nicht jede behördenübergreifende Vereinbarung wieder, legen nicht alle internen Rechtsberatungen offen oder liefern die vollständigen Arbeitsunterlagen zur Abrechnungsprüfung. Sie belegen nicht, ob die GSA bestimmte Kunden entschädigt oder gutgeschrieben hat, welche Methodik sie zur Aufteilung der Pauschalgebühren verwendete oder ob die Kundenbehörden die Autorisierungsregeln nach der Benachrichtigung änderten.

Die öffentliche Aufzeichnung quantifiziert auch nicht den Identitätsbetrug, den unrechtmäßigen Zugriff, den Leistungsverlust, die Kontogefährdung, die falsche Ablehnung, die Aufgabe des Dienstes oder die Verzögerung des Leistungsbezugs, die spezifisch durch den fehlenden Vergleich verursacht wurden. Sie veröffentlicht keine kundenbezogenen Abhängigkeitsergebnisse. Sie belegt keine kriminelle Absicht, kein Urteil nach dem False Claims Act oder keine individuelle zivilrechtliche Haftung. Personalabgänge, die in der OIG-Chronologie berichtet werden, sind ohne zusätzliche Beweise kein Beweis für Disziplin oder Schuld für eine bestimmte Handlung.

Für den reparierten Dienst liefert die öffentliche Aufzeichnung nicht den vollständigen unabhängigen Bewertungsbericht, alle Testfälle, anbieterspezifische Betriebsschwellen, Produktionsfehlerraten, demografische Ergebnistabellen, Abhilfemaßnahmen oder jährliche Neubewertungsergebnisse. Das Privacy Impact Assessment von Login.gov vom März 2026 nennt Datenkategorien, Dritte, Aufbewahrungsgrenzen und Kontrollen, aber ein PIA ist kein öffentliches Leistungsaudit. Ein Trust Mark ist ein starker Konformitätsnachweis für seinen bewerteten Umfang und sein Datum;

er ist keine dauerhafte Garantie gegen Konfigurationsabweichungen und kein Ersatz für Benutzerergebnismessungen.

Die Aufsichts- und Rechtslage ist umfassender als ein einzelner Bericht

Die OIG-Bewertung von 2023 ergab fünf Empfehlungen: Einrichtung angemessener TTS-Managementkontrollen; Dokumentation von Richtlinien, Entscheidungen, Verfahren, wesentlichen Transaktionen und Aufzeichnungen; umfassende Überprüfung der IAL2-Abrechnungen; Einrichtung interner Compliance-Überprüfungen; und Annahme einer Richtlinie, die jedem Kunden klar mitteilt, ob Login.gov die geltenden NIST-Standards und die in der Vereinbarung festgelegten Dienste erfüllt.

Oversight.gov markiert derzeit alle fünf als abgeschlossen: Managementkontrollen, Dokumentation und Aufzeichnungen, Abrechnungsprüfung, interne Compliance-Überprüfung und Kundenmitteilung.

Der Abschluss ist wichtig, aber seine Beweiskraft ist begrenzt. Er zeigt, dass der verantwortliche Aufsichtsprozess die behördlichen Maßnahmen als ausreichend akzeptiert hat, um jede Empfehlung abzuschließen. Die öffentlichen Statusseiten veröffentlichen nicht die Abrechnungsprüfung selbst, kundenbezogene Anpassungen, Testbeispiele für interne Überprüfungen oder alle neuen Managementkontrollartefakte. Eine dauerhafte Rechenschaftsakte sollte beide Fakten bewahren: Die Empfehlungen sind nicht offen, und einige zugrunde liegende Ergebnisnachweise bleiben nicht öffentlich.

Der rechtliche und politische Rahmen umfasst mehr als die NIST-Konformität. Die aktuelle PIA identifiziert gesetzliche Grundlagen, darunter föderale Cybersicherheitsanforderungen, den E-Government Act, das Bundesinformationspolitikgesetz und die Befugnis der GSA, Exekutivbehörden Dienste bereitzustellen. Sie ordnet das Login.gov-System einer System-of-Records-Benachrichtigung nach dem Privacy Act zu.

Sie besagt, dass die aktuelle Identitätsüberprüfung Name, Geburtsdatum, Adresse, Sozialversicherungsnummer, staatliche ID- oder Passdaten und -bilder, ein Selbstporträt bei Bedarf und Geräte- oder Verhaltenssignale zur Betrugsbekämpfung erfassen kann. Sie identifiziert auch AAMVA, das US-Außenministerium, LexisNexis und Socure als aktuelle Identitätsverifizierungsdienste oder -quellen.

Diese Offenlegungen machen die Daten-Governance zu einem Teil der Rechenschaftspflicht für die Sicherheit. Ein stärkerer Prüfpfad kann das Identitätsdiebstahlrisiko reduzieren und gleichzeitig die Erfassung und Verarbeitung durch Dritte erweitern. Die aktuelle PIA besagt, dass Login.gov keine staatlichen ID-Bilder nach der Authentizitätsverarbeitung speichert und dass bestimmte Daten von Dritten und zur Betrugsbekämpfung für begrenzte Zeiträume aufbewahrt werden, in der Regel nicht länger als ein Jahr, es sei denn, eine Untersuchung erfordert eine längere Aufbewahrung. Dies sind offizielle Beschreibungen der aktuellen Praxis.

Ein dauerhafter Nachweis erfordert Prüfbelege, dass die beschriebenen Maßnahmen zur Löschung, zum Zugriff, zur Zweckbindung, zu Anbieterbeschränkungen und zur Vorfallkontrolle wie angegeben funktionieren.

Das GAO fügt eine kontinuierliche Kontrollaufzeichnung hinzu. Seine Überprüfung von 2024 identifizierte behördliche Vorteile und technische Herausforderungen und empfahl, datierte Maßnahmen zu gemeldeten Problemen, den Abschluss des Fernpiloten und dokumentierte gewonnene Erkenntnisse. Zum 15. Juli 2026 sind zwei abgeschlossen, und die Empfehlung zu technischen Herausforderungen bleibt teilweise umgesetzt. Seine Überprüfung von 2025 ergab, dass Login.gov ausgewählte Datenschutzpraktiken weitgehend implementiert, aber die jährliche Sicherungskontrolle nicht nachgewiesen hatte.

Die aktuelle GAO-Seite verzeichnet den Abschluss nach Nachweisen von Tests im Juni 2025 und Juni 2026. Dies ist ein nützliches Modell für Reparaturnachweise: Richtlinie, Testergebnis, Wiederholung und unabhängige Überprüfung.

Reparaturnachweise sind real, müssen aber nach Datum und Umfang gelesen werden

Die Reparatchronologie beginnt vor der Zertifizierung. Die GSA korrigierte Websites und Kundenkommunikation nach der Offenlegung von 2022. Ihr PIA vom Januar 2024 sagte ausdrücklich, dass der Dienst zu diesem Zeitpunkt nicht IAL2 sei. Die GSA schloss im März 2024 einen persönlichen Prüfpilot ab und machte diesen Weg im April allgemein verfügbar. Ihre Ankündigung vom April 2024 beschrieb einen separaten Fern-Gesichtsabgleichspiloten, der im Mai beginnen sollte, und sagte, dass die GSA eine unabhängige Bewertung anstreben werde.

Am 9. Oktober 2024 kündigte die GSA die allgemeine Verfügbarkeit einer unabhängig zertifizierten IAL2-Option an. Der entfernte Arbeitsablauf fügte den Einzelabgleich eines Live-Selfies mit dem Lichtbild auf einem vom Benutzer bereitgestellten Ausweis hinzu. Die GSA sagte, sie verwende keine Eins-zu-viele-Identifikation und verwende die Bilder nicht für andere Zwecke. Die Zertifizierung umfasste auch eine persönliche Option. Dies ist wichtig, weil es eine neue Behauptung mit einer eingesetzten Kontrolle und einer externen Bewertung vor der breiten Verfügbarkeit verknüpfte.

Die Daten gleichen einen scheinbaren Widerspruch in den Aufzeichnungen aus. Der GAO-Bericht vom 16. Oktober 2024 sagte, Login.gov sei bis Juli 2024 noch nicht IAL2-konform gewesen, und beschrieb den Fernpiloten als unvollständig, basierend auf Beweisen, die vor der Oktober-Zertifizierung gesammelt wurden. Die Ankündigung der GSA betrifft den späteren Dienstzustand. Die Quellen sind sequenziell, nicht widersprüchlich. Dies ist genau der Grund, warum Sicherheitsaussagen Wirksamkeitsdaten und Dienstversionen benötigen.

Die aktuelle Produkttrennung ist eine weitere Reparatur. Die Partnerseite beschreibt drei Dienste: Authentifizierung, grundlegende Identitätsüberprüfung, die IAL2 nicht erfüllt, und erweiterte Identitätsüberprüfung, die IAL2-konform ist. Die Sicherheitsstufen-Anleitung für Behörden sagt den Partnern, sie sollten eine digitale Identitätsrisikobewertung durchführen, und identifiziert risikoreichere Anwendungsfälle, die IAL2 rechtfertigen können. Sie sagt auch, dass die GSA die Stufe nicht für den Partner wählt. Dies macht die Entscheidungsgrenze des Kunden sichtbarer als in der historischen Vereinbarungssprache.

Die aktuellen benutzerorientierten Dokumentationen zeigen auch mehrere Wege. Die Hilfeseite zur Identitätsüberprüfung sagt, dass Benutzer einen Führerschein, einen staatlichen Ausweis oder Reisepass, eine Sozialversicherungsnummer und eine US-Telefonnummer oder Postanschrift angeben können; einige Benutzer werden um ein Selfie gebeten, und ein persönlicher Postweg kann verfügbar sein. Die Ankündigung der GSA vom August 2025 zur passbasierten Identitätsüberprüfung beschreibt die Überprüfung von Passattributen über eine datenschutzschonende Schnittstelle des Außenministeriums.

Dies sind Verbesserungen der Fähigkeiten und des Zugangs, obwohl jede ihre eigenen Verfügbarkeits-, Datenschutz- und Fehlerfragen mit sich bringt.

Der Maßstab macht die Haltbarkeit der Kontrolle folgenreicher. Die Roadmap der GSA vom Dezember 2025 berichtete von über 100 Millionen Konten, über 500 Millionen jährlichen Anmeldungen, über 700 live Sites und Diensten und 54 Behörden- und Staatspartnern. Dies sind programmgemeldete Kennzahlen, keine unabhängig geprüften Zählungen in diesem Artikel. Bei diesem Maßstab kann selbst eine niedrige Fehler- oder Falschakzeptanzrate viele Menschen betreffen, während eine gemeinsame Korrekturmaßnahme vielen Behörden zugutekommen kann.

Die Roadmap vom Dezember 2025 sagt auch, dass Login.gov die unabhängige Rev.3-Bewertung abgeschlossen hat und auf den neu veröffentlichten NIST SP 800-63-4 hinarbeitet. Dies ist eine angemessen begrenzte Aussage: Die Arbeit an einem neueren Standard ist nicht dasselbe wie die bereits erfolgte Zertifizierung. Die Roadmap ist zukunftsorientiert und kennzeichnet Schätzungen als änderbar.

Ihre Pläne für mobile Führerscheine, übernommene Prüfungen, alternative Wege, zusätzliche Anbieter und den Austausch von Betrugssignalen sind kein Beweis dafür, dass diese Fähigkeiten abgeschlossen sind, bis sie veröffentlicht werden und Betriebsnachweise vorliegen.

Die Reparaturaufzeichnung hat daher mehrere Stärken. Die stärksten sind korrigierte Behauptungssprache, eingesetzte Diensttrennung, ein abgeschlossener Pilot, unabhängige Rev.3-Bewertung, öffentliche Datenschutzdokumentation, abgeschlossene OIG-Empfehlungen und GAO-verifizierte wiederkehrende Sicherungstests. Schwächere, aber nützliche Beweise umfassen Roadmaps, Pressemitteilungen der Behörden und geplante Fähigkeiten.

Fehlende Beweise umfassen detaillierte kundenbezogene Abrechnungsergebnisse, die vollständige Zertifizierungsbewertung, longitudinale Produktionsmessungen, demografische Ergebnisse für den tatsächlichen Dienst, Wirksamkeit von Abhilfemaßnahmen und eine abgeschlossene Rev.4-Konformitätsaufzeichnung.

Die kontrafaktische Annahme war Offenlegung plus Diensttrennung

Eine glaubwürdige kontrafaktische Annahme geht nicht davon aus, dass die GSA über Nacht einen perfekten, gerechten biometrischen Dienst hätte hervorbringen können. Sie fragt, welche Kontrollen verfügbar waren, als die Führung wusste, dass der bestehende Dienst nicht der Behauptung entsprach.

Spätestens die Entscheidung vom 24. Juni 2021, die geplante biometrische Anforderung auszusetzen, hätte einen Behauptungs-Kontroll-Vorfall auslösen müssen. Der Dienstbesitzer hätte neue IAL2-Darstellungen einfrieren, den Katalog in „Identitätsüberprüfung, nicht IAL2" ändern, bestehende Behörden benachrichtigen, behördenübergreifende Vereinbarungen ändern, die Autorisierungssprache überprüfen, die IAL2-Abrechnung stoppen oder trennen, den anhängigen Finanzierungsvorschlag korrigieren und jeder vertrauenden Behörde ein Übergangspaket geben können.

Dieses Paket hätte die fortgesetzte Nutzung für Transaktionen mit geringerem Risiko, einen externen IAL2-Dienst für risikoreichere Transaktionen, eine betreute oder persönliche Alternative in Entwicklung und einen dokumentierten Zeitplan für die Neubewertung anbieten können.

Eine unabhängige Konformitätsschranke vor dem ersten Einsatz von IAL2-Kunden wäre noch stärker gewesen. Der Prüfer hätte jede Rev.3-Anforderung zu einer Produktionskontrolle, Implementierungsnachweisen, Testergebnissen, Ausnahmen und einer Analyse kompensierender Kontrollen zurückverfolgen können. Der fehlende Antragsteller-Nachweis-Vergleich wäre als ungelöste obligatorische Kontrolle erschienen, anstatt durch eine lange Liste anderer Identitätsprüfungen verdeckt zu werden.

Die Kosten dieser kontrafaktischen Annahme wären nicht null gewesen. Die GSA hätte Kunden verlieren oder verzögern, Änderungs- und Überprüfungskosten tragen, einen persönlichen Kanal beschleunigen oder kommerzielle Kapazitäten finanzieren können. Behörden hätten möglicherweise Integrationen ändern müssen. Aber das sind die Kosten der genauen Allokation eines bekannten Risikos. Der tatsächliche Weg verlagerte einige dieser Kosten später auf die Behörden, nachdem sie unter dem stärkeren Label Pläne gemacht und Verträge abgeschlossen hatten.

Die aktuelle Diensttaxonomie bestätigt die zentrale Designidee. Die GSA bietet jetzt ein grundlegendes Nicht-IAL2-Produkt und ein separates erweitertes IAL2-Produkt an. Sie bietet jetzt persönliche und entfernte Optionen an. Das beweist nicht, dass die genaue aktuelle Architektur im Jahr 2021 machbar war, aber es zeigt, dass Nützlichkeit nicht erforderte, jeden Dienst in eine einzige Sicherheitsbehauptung zusammenzufassen. Ein wahrheitsgemäßer Dienst mit geringerer Sicherheit kann neben einem separat nachgewiesenen Dienst mit höherer Sicherheit existieren.

Der breitere Vergleich ist nicht ein bestimmter privater Anbieter. Kommerzielle Alternativen haben unterschiedliche Preise, Datenschutzmodelle, Bevölkerungsgruppen, Datenquellen und Transparenz. Der nützliche Vergleich ist verfahrenstechnisch: Ein Anbieter, der Behauptungen von unabhängigen Nachweisen abhängig macht und eine wesentliche Kontrollabweichung sofort offenlegt, gibt den Kunden eine Wahl. Ein Anbieter, der die Behauptung beibehält, während er die Kontrolle ändert, trifft die Wahl für sie.

Ein dauerhafter Kontroll-Nachweis-Rechenschaftstest

Login.gov sollte weder allein an dem historischen Versagen noch allein an dem neuesten Zertifikat gemessen werden. Ein dauerhafter Rechenschaftstest fragt, ob das Sicherheitssystem Behauptungen, Kontrollen, Kundenentscheidungen und Benutzerergebnisse im Laufe der Zeit aufeinander abgestimmt hält.

1. Versionierter Behauptungstest.Jede Sicherheitsbehauptung sollte die Normrevision, Dienstvariante, Prüfpfad, Wirksamkeitsdatum und wesentliche Ausschlüsse identifizieren. „IAL2" ohne „Rev.3 Enhanced Remote" oder einen gleichwertigen Dienstbezeichner ist zu grob, sobald mehrere Normen und Pfade nebeneinander existieren. NIST veröffentlichte SP 800-63-4 im August 2025 und ersetzt Rev.3. Ein Rev.3 Trust Mark bleibt ein Nachweis dafür, was bewertet wurde; es sollte nicht als stillschweigender Beweis für die Rev.4-Konformität präsentiert werden.

2. Anforderungs-Kontroll-Test.Eine gepflegte Matrix sollte jede normative Anforderung auf eingesetzten Code, Prozess, Anbieterkomponente, verantwortlichen Eigentümer, Test, Nachweisspeicherort, Ausnahme und letztes Validierungsdatum abbilden. Validierung und Verifizierung müssen separate Zeilen belegen, damit eine Aufzeichnungsprüfung nicht mit einer Antragstellerbindung verwechselt werden kann. Änderungen an einer abgebildeten Komponente sollten eine Folgenabschätzung auslösen.

3. Pre-Claim-Gate-Test.Keine öffentliche Seite, Vertragsvorlage, Autorisierungsaussage, Finanzierungsvorschlag, Verkaufsartefakt oder Protokollwert sollte ein Sicherheitsniveau behaupten, bis ein verantwortlicher Beamter und ein unabhängiger Prüfer das Nachweispaket für die Produktionskonfiguration genehmigt haben. Das Gate sollte bei Aussetzung einer obligatorischen Kontrolle geschlossen fehlschlagen.

4. Vertrags- und Abrechnungsparitätstest.Produktkennungen in der technischen Anforderung, der behördenübergreifenden Vereinbarung, dem Dienstkatalog, der Rechnung und dem Kundenbericht sollten zur gleichen Sicherheitsdefinition aufgelöst werden. Abrechnungssysteme sollten Authentifizierung, grundlegende Überprüfung, erweiterte Prüfung, Plattform- und Supportgebühren ausreichend trennen, um Überprüfungen und Korrekturen zu unterstützen. Eine Herabstufung der Kontrolle sollte automatisch die Abrechnung für höhere Sicherheitsstufen stoppen, bis Kunden geänderte Bedingungen akzeptieren.

5. Offenlegungs- und Eskalationstest.Eine wesentliche Kontrollabweichung sollte eine Benachrichtigungsuhr, benannte Empfänger, Schweregradregeln und eine aufbewahrte Entscheidungsaufzeichnung haben. Die Benachrichtigung sollte angeben, was sich geändert hat, wann, welche Behauptungen betroffen sein können, welche Zwischenkontrollen existieren, was Kunden neu bewerten müssen und wie mit der Abrechnung umgegangen wird. Gleichstellungs- oder Datenschutzbedenken sollten als Gründe für eine Designentscheidung dokumentiert werden, nicht verwendet werden, um den resultierenden Sicherheitszustand zu verschleiern.

6. Unabhängiger und kontinuierlicher Nachweistest.Die Zertifizierung sollte bereichsbezogen, datiert, erneuerbar und durch Konfigurationsüberwachung ergänzt sein. Sie sollte Richtlinien und Implementierung abdecken, nicht nur einen Demonstrationsablauf. Jährliche Neubewertung, Überprüfung wesentlicher Änderungen, Kontrollstichproben und öffentlicher Status des Trust Mark sollten Abweichungen sichtbar machen. Die Schließung der Backup-Empfehlung durch das GAO nach Beobachtung von Nachweisen aus zwei jährlichen Testzyklen veranschaulicht den Unterschied zwischen einer schriftlichen Richtlinie und einem Betriebsnachweis.

7. Entscheidungstest der vertrauenden Partei.Behörden sollten genügend Nachweise erhalten, um ihre eigene Risikobewertung durchzuführen: Sicherheitsniveau, Pfad, Attribute, bekannte Grenzen, Betrugsmodell, Datenschutzzuordnung, Abhilfeweg, Leistungskennzahlen und Änderungshistorie. Der Anbieter sollte eine ausdrückliche Kundenbestätigung einholen, wenn sich eine Dienstgrenze ändert. Die Kundenverantwortung ist nur dann sinnvoll, wenn der Kunde korrekte Fakten erhält.

8. Benutzerergebnis- und Gleichstellungstest.NIST SP 800-63A-4 fordert Optionen, vergleichbare Sicherheit, Hinweise, Abhilfe und Kontrollen der Kundenerfahrung. Die breitere Rev.4-Suite identifiziert Messgrößen, darunter Gesamt- und pfadspezifische Erfolgsraten, Fehlerraten und betrugsbereinigte Fehlerraten. Login.gov sollte aggregierte Werte für Abschluss, Abbruch, Falschakzeptanz, Falschablehnung, manuelle Überprüfung, Wartezeit, Barrierefreiheit und Abhilfe mit sorgfältiger demografischer Analyse und Datenschutz veröffentlichen oder einer unabhängigen Überprüfung zugänglich machen.

Laborergebnisse von Anbietern allein begründen keine End-to-End-Ergebnisse des öffentlichen Dienstes.

9. Daten-Governance-Test.Jedes gesammelte Attribut, Dokumentbild, biometrische Probe, Gerätesignal und Verhaltensmerkmal sollte einen Zweck, eine Rechtsgrundlage, eine Weitergabekarte, eine Aufbewahrungsfrist, einen Löschungsnachweis, ein Zugriffsprotokoll und eine Anbieterbeschränkung haben. Änderungen an Betrugsmodellen oder Datenquellen sollten eine Datenschutz- und Verzerrungsüberprüfung auslösen. Benutzer und Behörden sollten verstehen können, welche Partei welche Daten hat und welche Rechtsbehelfe bestehen, wenn sie falsch sind.

10. Rückwirkender Korrekturtest.Wenn eine Sicherheitsbehauptung als ungenau befunden wird, sollte die Reparatur sowohl rückwärts als auch vorwärts schauen. Der Anbieter sollte betroffene Vereinbarungen, Behauptungen, Anwendungen, Rechnungen, Finanzierungsaussagen und Benutzer identifizieren; die richtigen Parteien benachrichtigen; die Risikoneubewertung unterstützen; Gebühren korrigieren, wo gerechtfertigt; Aufzeichnungen aufbewahren; und einen angemessen aggregierten Abschluss veröffentlichen. Ein neues konformes Produkt ist eine Vorwärtsreparatur. Es beantwortet nicht alle Fragen zum alten Produkt.

11. Normenübergangstest.Ein gemeinsamer Identitätsanbieter benötigt einen öffentlichen Übergangsplan, sobald NIST eine neue Revision veröffentlicht: Anwendbarkeitsdatum, Lückenanalyse, vorübergehender Status alter Zertifizierungen, Kundenmigrationsregeln, Protokolländerungen, Schulung, Neubewertung und endgültiger Konformitätsnachweis. Die Roadmap von Login.gov sagt, dass die Rev.4-Arbeit im Gange ist. Das dauerhafte Tor bleibt offen, bis aktuelle Behauptungen und unabhängige Nachweise explizit der ersetzenden Revision zugeordnet sind.

12. Governance-Überlebenstest.Kontrollen müssen Personalwechsel, Dringlichkeit, Finanzierungszyklen und Produktkultur überleben. Entscheidungsaufzeichnungen, interne Compliance-Überprüfung, Prüfzugriff, Aufzeichnungsmanagement und klare FAS-TTS-Programmverantwortung sollten verhindern, dass sich eine lasche Struktur wiederholt. Ein System ist nicht dauerhaft, wenn die Wahrheit davon abhängt, dass ein Mitarbeiter sich daran erinnert, ein Label in Frage zu stellen.

Angewandt auf den 15. Juli 2026 ist das Ergebnis gemischt, aber nicht eindeutig. Der historische Behauptungs-Kontroll-Test ist fehlgeschlagen. Der spätere Rev.3-Fähigkeits- und unabhängige Bewertungstest wurde für den bereichsbezogenen erweiterten Dienst bestanden. Die Produktkennzeichnung und die Kanalauswahl verbesserten sich. Die OIG-Empfehlungen sind abgeschlossen, und mehrere GAO-Folgeaktivitäten haben Betriebsnachweise.

Aber die aktuelle GAO-Empfehlung zu technischen Herausforderungen bleibt teilweise umgesetzt, der Rev.4-Übergang wird noch als in Arbeit befindlich beschrieben, und öffentliche Nachweise für rückwirkende Abrechnungsergebnisse und End-to-End-Benutzerleistung bleiben unvollständig.

Rechenschaftspflicht folgt der Fähigkeit, die Behauptung wahr zu halten

Die dauerhafteste Lektion von Login.gov ist nicht, dass öffentliche Behörden ehrgeizige gemeinsame Dienste vermeiden sollten oder dass Gesichtsabgleich der einzige Weg zu einer vertrauenswürdigen Identität ist. Es ist, dass eine Sicherheitsbehauptung ein kontrollierter Output ist. Sie muss sich ändern, wenn sich die zugrunde liegende Kontrolle ändert, und sie muss durch Nachweise gestützt werden, bevor Behörden, Geldgeber oder Benutzer aufgefordert werden, sich darauf zu verlassen.

Der spätere Reparaturnachweis der GSA verdient Gewicht. Der Dienst unterscheidet jetzt Nicht-IAL2- und IAL2-Angebote, unterstützt Fern- und Vor-Ort-Wege, hat ein unabhängiges Rev.3 Trust Mark, veröffentlicht eine detailliertere Datenschutzaufzeichnung und bewegt sich auf Rev.4 zu. Diese Schritte zeigen, dass Sicherheit, Zugang, Datenschutz und ehrliche Produktgrenzen gemeinsam verfolgt werden können.

Die verbleibende Rechenschaftsfrage ist, ob diese Disziplin dauerhaft und rückwirkend ist. Behörden und Öffentlichkeit benötigen Nachweise nicht nur dafür, dass der heutige erweiterte Ablauf den fehlenden Vergleich enthält, sondern auch dafür, dass Behauptungen versioniert sind, Kundenbedingungen und Rechnungen der Produktion entsprechen, Ausnahmen sofortige Offenlegung auslösen, alte Fehler bereinigt werden und echte Nutzer den Prozess ohne versteckte Ausschlüsse abschließen oder anfechten können. Das ist der Kontroll-Nachweis-Test.

Login.gov besteht ihn nur, wenn die Behauptung, der eingesetzte Dienst, der Vertrag, die Rechnung, die unabhängige Bewertung und das gelebte Ergebnis alle dasselbe System beschreiben.