buch.ch wurde 1996 als die erste Schweizer Buchhandlung im Internet lanciert. Damals war buch.ch eine Abteilung der Buchhandlung Schneebeli. Seit 2001 ist buch.ch eine Tochtergesellschaft der in Deutschland ansässigen buch.de internetstores AG, die wiederum zu 60 % zur Unternehmensgruppe der Thalia Holding GmbH gehört. Seit vielen Jahren ist buch.ch der führende Schweizer Anbieter im Schweizer Onlinebuchhandel.
Die buch.de internetstores AG betreibt zusammen mit ihrer Tochtergesellschaft der buch.ch AG derzeit 14 Onlineshops unter verschiedenen Markennamen in Deutschland, Österreich und der Schweiz. Für die zur Unternehmensgruppe der Thalia Holding gehörenden 21 stationären Schweizer Buchhandlungen, die unter den Marken Thalia, Meissner, Stauffacher und ZAP auftreten, wickelt buch.ch das Onlinegeschäft ab.
Das Kerngeschäft von buch.ch besteht aus dem Vertrieb von Medien wie Büchern, CDs, DVDs, Software (z.B. Computerspiele) und Spielwaren (z.B. Brettspiele). Mit einem immer umfangreicheren Sortiment, neuen Funktionen und Services begegnet buch.ch dem wachsenden Bedürfnis vieler Kunden, online einzukaufen.
buch.ch legt grossen Wert auf die schnelle Abwicklung der eingegangenen Bestellungen: Digitale Güter wie E-Books können Kunden direkt nach Abschluss der Bestellung auf ihren E-Book Reader herunterladen. Ab Oktober 2010 hat buch.ch auch einen E-Book-Reader-integrierten E-Book Shop im Angebot: Kunden können über ihren E-Book-Reader direkt Bücher kaufen und herunterladen. Physische Artikel werden in der Regel innerhalb eines Tages ab Bestellung versendet. Daneben bietet buch.ch auch Zusatzdienstleistungen an: So kann der Kunde etwa seine bestellten Artikel selbst in den genannten Buchhandlungen abholen oder sich die Ware kostenlos als Geschenk verpacken lassen. Neben den üblichen Zahlungsmitteln können Kunden mit "UBS KeyClub"-Punkten oder "Lufthansa Miles & More"-Prämienmeilen bezahlen.

Vorstellung der Geschäftspartner

Anbieter von Business Software, Implementierungspartner
Der Softwareanbieter freiheit.com entwickelt grosse, individuelle Softwaresysteme für die gesamte Wertschöpfungskette im elektronischen Handel sowie spezielle Unternehmenssoftware auf der Basis von Internettechnologien. In der Buchhandelsbranche verfügt freiheit.com über umfassende Erfahrungen.

Design des Onlineshops
Die Werbeagentur P.AD. in Köln bietet ihren Kunden Leistungen über die ganze Bandbreite des Kommunikationsmixes. P.AD. erstellt integrierte Kommunikationskonzepte auf hohem Niveau und entwickelt Designs für Onlineshops wie die von buch.de internetstores AG.

Für buch.ch ist die laufende Weiterentwicklung ihrer Onlineservices eine Kernkompetenz. In die Entwicklung individueller Funktionen wird gezielt investiert, um sich von Mitwettbewerbern zu differenzieren. Die SuisseID ist für buch.ch ein weiteres Mittel für die Differenzierung im Wettbewerb. buch.ch will bei aktuellen Entwicklungen im elektronischen Geschäftsverkehr vorne mit dabei sein – zu ihnen gehört die Lancierung der SuisseID. Vor dem Entscheid wurden die Kosten abgeschätzt und Rentabilitätsüberlegungen durchgeführt (vgl. Kapitel "Investitionsentscheidung").

In den folgenden Kapiteln wird die Implementierung der SuisseID im Onlineshop von buch.ch aus verschiedenen Sichten betrachtet.

Geschäftssicht und Prozesse
Neben den Onlineshops der eigenen Marken (buch.ch und bol.ch) betreibt buch.ch die Onlineshops für die in Kapitel "Das Unternehmen buch.ch" erwähnten Buchhandlungen. Die Shops greifen alle auf dieselben Katalogdaten und Systeme zu. Die vertraglich geregelte Zusammenarbeit mit buch.ch ermöglicht es den Buchhandlungen, diese Synergien zu nutzen und eine Mehrkanalstrategie zu verfolgen. Marketingmassnahmen sowie Layout und Inhalt der Shops werden von den Buchhandlungen bestimmt.
Für Bestellungen, die über die Onlineshops der Buchhandlungen eingehen, übernimmt buch.ch die gesamte Auftragsabwicklung (vgl. Abb. 1). Eine Ausnahme bilden Bestellungen, bei denen der Kunde eine Abholung in einer Buchhandlung vermerkt hat. Diese Bestellungen werden im Kundendienst automatisch aussortiert und an die Buchhandlungen weitergeleitet. In die Beschaffung der entsprechenden Artikel und in die weitere Abwicklung der Aufträge ist buch.ch nicht mehr involviert.
Bisher konnten sich Kunden – wie bei Onlineshops üblich – mit Benutzername und Passwort anmelden. Diese Anmeldemöglichkeit wird weiterhin bestehen bleiben, doch neu können sich Kunden alternativ auch mit der SuisseID anmelden. buch.ch gehört damit zu den ersten Onlineshops, die eine Anmeldung mit der SuisseID anbieten.
Verschiedene Ziele bestärkten buch.ch in der Entscheidung, die Anmeldung mit der SuisseID anzubieten. Das erste Ziel ist die Identifikation des Nutzers im Internet. Es gibt zwar verschiedene Methoden, Angaben eines Nutzers zu verifizieren. Z.B. kann eine E-Mail an die vom Nutzer angegebene Adresse gesendet werden, die eine Aufforderung zur Bestätigung des Empfangs enthält. Das Kundenkonto wird erst dann eröffnet, wenn der Empfang der E-Mail bestätigt wurde. Auch die Daten einer zur Zahlung benutzten Kreditkarte können verifiziert werden. Dabei bleibt aber eine Unsicherheit, ob die Karte wirklich von ihrem Besitzer genutzt wird. Die SuisseID schafft hier durch die starke Authentisierung und die Gesetzgebung [vgl. Quade, 2010a: S. 15] mehr Klarheit über die Identität.

Abb. 1: Business-Szenario buch.ch [in Anlehnung an Alioski, 2008]

Das zweite Ziel ist die sichere Altersverifikation des Kunden. Die SuisseID macht diese Überprüfung möglich. Dank ihr kann buch.ch das Sortiment stärker auf Artikel ausweiten, die den Jugendschutzvorschriften unterliegen. Bisher war buch.ch bei der Aufnahme solcher Artikel in ihr Sortiment zurückhaltend, da es im Internet keine zuverlässige und für den Kunden komfortable Altersverifikation gab. Die Angabe des Codes der Identitätskarte, in dem das Geburtsdatum enthalten ist, bietet dem Anbieter nicht die erforderliche Sicherheit: Im Internet werden Tools angeboten, die Codes wie auf der Identitätskarte mit einem beliebigen Geburtsdatum generieren können. Dieser Code wird z.B. an Zigarettenautomaten von der Karte gelesen, um den Kaufvorgang freizugeben. Eine Altersabklärung über die Kreditkarte ist aus Datenschutzgründen nicht möglich, denn der Kunde kann hier nicht bestimmen, ob einem Onlineshop das Alter mitgeteilt werden darf oder nicht. Mit der SuisseID kann der Kunde bestimmen, ob ein Onlineshop das beim Identity Provider/Claim Assertion Service (IdP/CAS) der SuisseID-Anbieter hinterlegte Alter erfahren soll oder nicht.
Als drittes Ziel ist zu nennen, dass die SuisseID im Bereich Debitorenmahnwesen und Inkasso eine Beschleunigung der Prozesse erlaubt. Bei Kunden, die sich mit der SuisseID bei buch.ch authentisiert haben und später nicht bezahlen, kann ein Inkassoprozess schneller und mit höherer Erfolgschance gestartet werden. Selbst wenn die angegebene Adresse nicht korrekt sein sollte, können Inkassounternehmen anhand der eindeutigen Identifikation der Person die korrekte Adresse schneller ausfindig machen und die notwendigen Schritte einleiten.
Weiter möchte buch.ch mit der Unterstützung der SuisseID Mehrfachanmeldungen aufgrund vergessener Nutzernamen reduzieren und damit eine höhere Qualität in der Kommunikation mit dem Kunden sowie in den Kundenauswertungen erreichen.

Anwendungssicht
Die wichtigsten Anwendungssysteme sind das Shopsystem, das Katalogsystem TALK und das Warenwirtschaftssystem Storeways. Das Shopsystem und TALK wurden von freiheit.com entwickelt. Storeways ist eine Eigenentwicklung der buch.de internetstores AG. Abb. 2 zeigt die für die Handelsprozesse von buch.ch wichtigsten Systeme.
Neben den dargestellten Systemen ist eine Vielzahl von unterstützenden Systemen im Einsatz, die in erster Linie für die Kundenbindung eingesetzt werden [Alioski, 2008]. Alle Onlineshops von buch.de internetstores AG sowie die Buchhandlungen werden als Mandanten in den genannten Systemen abgebildet.
Für Kunden mit SuisseID bietet buch.ch mehrere Funktionen an:

• Wer noch kein Kundenkonto bei buch.ch hat, kann sich mit der SuisseID registrieren und ein Konto anlegen.
• Kunden mit einem bestehenden Konto, die sich zum ersten Mal mit einer SuisseID bei buch.ch authentisieren, können das Konto mit der SuisseID verknüpfen. Dazu müssen sie einmalig den registrierten Benutzernamen und das Passwort angeben. Alternativ können Kunden auch im Bereich "mein Konto" ihre SuisseID eintragen, nachdem sie sich mit dem Benutzernamen und dem Passwort angemeldet haben. Wenn sie sich dann beim nächsten Besuch mit der SuisseID authentisieren, haben sie Zugriff ohne Benutzername und Passwort.

Abb. 2: Anwendungssicht buch.ch mit SuisseID [in Anlehnung an Alioski, 2008]

Bei der Registrierung oder Anmeldung mit der SuisseID muss der Benutzer zuerst den Anbieter seiner SuisseID wählen. Danach wird der Identity Provider/Claim Assertion Service (IdP/CAS) des ausgewählten SuisseID-Anbieters aufgerufen. Anhand der am Rechner angeschlossenen SuisseID wird der Kunde authentifiziert. Über den Webbrowser des Kunden werden die Informationen an den Onlineshop weitergeleitet.
Beim Authentisieren mit der SuisseID wird zuerst geprüft, ob ein Kunde die verwendete SuisseID bereits registriert hat. Ist die verwendete SuisseID bei buch.ch noch nicht bei einem Kundenkonto registriert, werden vom IdP/CAS identifizierende Merkmale eingefordert; Name und Vorname, das Geburtsdatum und ob die Person über 18 Jahre ist. Das Merkmal "Ist über 18" kann als Merkmal vom CAS bezogen werden [vgl. Quade, 2010a: S. 23].
Der Kunde erhält daraufhin eine vom IdP/CAS generierte Seite im Webbrowser angezeigt (vgl. Abb. 3). Sie enthält die Angaben, welche die Registrierungsfunktion von buch.ch anfordert. Gibt ein Kunde die geforderten Merkmale frei, werden die Daten vom IdP/CAS via Webbrowser des Kunden an buch.ch übermittelt und die Registrierung wird fortgesetzt. Der Kunde sieht in seinem Webbrowser wieder den Onlineshop von buch.ch und kann nun weitere Angaben wie seine Adresse erfassen. Gibt ein Kunde die geforderten Attribute nicht frei, wird die Registrierung mit der SuisseID abgebrochen.
Die vom IdP/CAS des SuisseID-Anbieters empfangenen Daten werden anschliessend im Warenwirtschaftssystem Storeways beim Kundenkonto gespeichert. In Storeways sind die Kundenstammdaten und die Benutzernamen und Passwörter sowie die zugeordnete SuisseID der Kunden gespeichert. Für die Authentisierung und die Übermittlung der geforderten Merkmale wird das in der SuisseID-Spezifikation definierte Verfahren mit SAML (Security Assertion Markup Language) eingesetzt [vgl. Bürge, Zweiacker, 2010].

Abb. 3: Freigabe der Ausweisdaten für buch.ch

Investitionsentscheidung
Vor der Investition führte buch.ch eine Rentabilitätsberechnung durch. Auf der Aufwandseite stand eine Offerte von freiheit.com, die für die Implementierung 6.5 Personentage veranschlagten, und ein geschätzter interner Aufwand bei buch.ch in Höhe von 15 bis 25 Personentagen. Die internen Aufwände beinhalten die Inbetriebnahme und die Anwenderschulung für die neuen Funktionen mit der SuisseID. In die Inbetriebnahme sind Test und Rollout der neuen Funktionen eingerechnet. Die Schulung der internen Mitarbeitenden umfasst eine Einführung zur SuisseID, die Funktionen, die den Kunden mit SuisseID zur Verfügung stehen und wie buch.ch Support leisten kann, wenn ein Kunde ein Problem beim Einsatz seiner SuisseID hat.
Auf der Ertragsseite wurden mehrere Szenarien durchgespielt. Je nach Annahme amortisiert sich die Investition bereits bis Ende 2010 oder erst viel später. Die schnelle Amortisation kommt zustande, wenn die Informationen zur Implementierung der SuisseID etwa die gleiche Werbewirkung entfalten wie eingekaufte Marketingmassnahmen mit gleichen Kosten, die buch.ch üblicherweise durchführt. Wenn man aber nur die Einnahmen rechnet, die durch Zusatzverkäufe mit Artikeln generiert werden, die dem Jugendschutz unterliegen, dauert es wesentlich länger. Denn die Umsatzerwartungen bei diesen Artikeln sind nicht gross, wie buch.ch aus den Erfahrungen der Muttergesellschaft weiss. Es gibt aber einen Bedarf und buch.ch positioniert sich grundsätzlich mit einem sehr breiten Sortiment.
Die Unsicherheit bei diesen Annahmen ist mit dem Henne-Ei-Problem verbunden, das die SuisseID im Jahr 2010 noch hat, da es noch wenige Anwendungen für die SuisseID gibt. Sobald eine kritische Masse an SuisseID-Anwendern erreicht ist, wird sich der Nutzen der Investition klarer herausstellen.

Entstehung und Einführung der Lösung
Der Softwarepartner freiheit.com realisierte die Funktionen Registrierung und Authentisierung über die SuisseID für buch.ch. Dazu wurde das Java-SDK (Java-Software-Development-Kit) genutzt, das vom Staatssekretariat für Wirtschaft SECO bereitgestellt worden war [Staatssekretariat für Wirtschaft SECO: 2010].
Für die Implementierung der Funktionen im Onlineshop musste auch an mehreren Stellen das Design durch die Werbeagentur P.AD. angepasst werden. Die Nutzeranmeldung wurde durch die Option "Anmeldung mit Ihrer SuisseID" ergänzt (vgl. Abb. 4).
Für den Einsatz der SuisseID im Onlineshop hat buch.ch eine ausführliche Onlinehilfe für die Kunden bereitgestellt. Auf der Anmeldeseite kann diese Hilfeseite über den Link "Was ist eine SuisseID?" aufgerufen werden. Der Link ist bei der Option zum Anmelden mit der SuisseID platziert (vgl. Abb. 4). Neben einer Erklärung, was die SuisseID ist, wird dem Kunden auch erklärt, wie er sich mit der SuisseID registrieren kann und welche Daten buch.ch bei der Verwendung der SuisseID erhält.

Abb. 4: Option "Anmeldung mit Ihrer SuisseID"

Nach dem Rollout der Lösung auf dem produktiven Shopsystem konnten die Funktionen zunächst nicht wie geplant aktiviert werden. Es traten Fehler in der Kommunikation mit den IdP/CAS der SuisseID-Anbieter auf. Fehler, die auf den Testsystemen nicht bestanden. Nach einer Analyse der Serverprotokolle konnte freiheit.com den Fehler jedoch rasch beheben. Der Fehler lag in der "Callback URL", die den IdP/CAS übergeben wurde. Die Callback URL ist die Internetadresse, auf welche die Kunden nach der Authentisierung durch den SuisseID-Herausgeber weitergeleitet werden sollen. Die Adresse zeigte nicht auf die korrekte Seite des produktiven Onlineshops, was dazu führte, dass sich die Kunden zwar mit der SuisseID beim IdP/CAS authentisieren konnten, nicht aber beim Onlineshop angemeldet wurden.
Marketingaktivitäten für die Einsatzmöglichkeit der SuisseID bei buch.ch sind unter anderem im Zusammenhang mit der jugendschutzkonformen Anpassung und der Erweiterung des Angebots geplant.

Laufender Unterhalt und geplante Weiterentwicklung
Zum Zeitpunkt der Einführung der Funktionen im Onlineshop wurde die SuisseID der Anbieter SwissSign und QuoVadis unterstützt. Die beiden anderen Anbieter, Swisscom und das Bundesamt für Information und Technologie (BIT), wurden bei der Einführung noch nicht unterstützt, da sie noch keine IdP/CAS in Betrieb hatten. Sobald diese Anbieter ihren IdP/CAS in Betrieb haben, müssen bei buch.ch Anpassungen an den Informationssystemen vorgenommen werden. Die Anpassungen beinhalten die Auswahl weiterer SuisseID-Anbieter bei der Anmeldung und die Kommunikation mit den IdP/CAS der dazugekommenen Anbieter.
Kunden, die beim Registrieren eine SuisseID verwendet haben, oder die ihr Konto mit der SuisseID verknüpft haben, können die Verknüpfung nicht selbst in ihrem Kundenkonto verändern oder löschen. Änderungen können jedoch über den buch.ch-Kundenservice vorgenommen werden. Kunden haben die Möglichkeit, das Geburtsdatum zu ändern, das als Merkmal vom IdP/CAS empfangen wurde, wenn sie z.B. nicht wollen, dass man ihr wahres Alter kennt. Die Kunden können jedoch nicht ändern, dass sie schon älter als 18 Jahre sind, was als weiteres Merkmal von IdP/CAS empfangen wurde.
In einer nächsten Version werden die Funktionen so geändert, dass der Kunde nicht mehr wählen muss, von welchem Anbieter er seine SuisseID bezogen hat. Dazu werden die Informationen im SuisseID-Zertifikat ausgelesen, das auf der Karte gespeichert ist.

Die Entwicklung der Lösung konnte im Rahmen des geplanten Aufwands umgesetzt werden. Aufseiten buch.ch betrug der Aufwand 15 Personentage, aufseiten freiheit.com 6.5 Personentage.
Die ersten Erfahrungen sind positiv, schon am zweiten Tag nach der Inbetriebnahme registrierten und/oder authentisierten sich die ersten Kunden mit einer SuisseID beim Onlineshop.

Aus Sicht des B2C-Handels wäre es wünschenswert, wenn die Funktionalität der SuisseID noch ausgebaut würde. Interesse besteht insbesondere an Zusatzinformationen, die in einem ergänzenden Verzeichnis zur SuisseID hinterlegt sind werden [vgl. Quade, 2010a: S. 23]. Zu diesen gewünschten Zusatzinformationen gehört die Adresse eines SuisseID-Inhabers. Mit einem Adressverzeichnis könnte Neukunden die Registrierung bei einem Shop erleichtert werden. Aber auch die bestehenden Adressen könnten einfacher aktuell gehalten werden, z.B. nach einem Umzug. buch.ch wäre auch bereit, für die Dienste eines solchen Verzeichnisses zu bezahlen, denn es wäre von Vorteil, wenn Adressdaten bei einer Neuanlage von Anfang an qualitativ einwandfrei wären. Dabei ist es für buch.ch nicht zwingend nötig, dass die Adresse eines Kunden zu 100 % durch den Anbieter eines solchen Verzeichnisses verifiziert ist. Für die Betreibung eines zahlungsunwilligen Kunden ist in erster Linie wichtig, dessen wahre Identität zu kennen. Die richtige Adresse eines Kunden kann aufgrund der Identität ermittelt werden, falls die bei buch.ch vorhandene Adresse falsch sein sollte. Mit dem Adressverzeichnis will man eher den Komfort für die Kunden erhöhen, indem man die Hürde für die Registrierung beim Onlineshop so tief wie möglich hält.
Ein weiterer Erfolgsfaktor für die SuisseID wäre, wenn sie wie eine OpenID [OpenID Schweiz, 2010] genutzt werden könnte [vgl. Quade, 2010b: S. 38]. Dann stünden für die Verwendung der SuisseID schlagartig Hunderte von Diensten weltweit zur Verfügung. Nach Auffassung von buch.ch gehen die Entwicklungen im Internet in Richtung einer zentralen Nutzeranmeldung auf Basis des OpenID-Standards.

Spezialitäten der Lösung
Die Spezialität bei dieser Lösung von buch.ch ist die Angebotserweiterung, die mit der SuisseID möglich wird. Durch die Altersverifikation kann buch.ch neu mehr Artikel ins Sortiment aufnehmen, die bisher aufgrund unzuverlässiger und aufwendiger Verfahren betreffend Altersverifikation nicht geführt wurden. Das sind in erster Linie Artikel, die Jugendschutzvorschriften unterliegen, und nur an Personen ab einem bestimmten Alter verkauft werden dürfen.
?
Lessons Learned
Dass der Kunde seinen SuisseID-Anbieter auswählen muss, ist eine Hürde, die mit einer nächsten Version der Funktionen behoben werden soll. Um diese Hürde etwas zu entschärfen, wird mit der aktuellen Version im Webbrowser des Kunden ein Cookie gespeichert, das den einmal gewählten SuisseID-Anbieter enthält. Die Auswahl des SuisseID-Anbieters wird erst wieder angezeigt, wenn das Cookie gelöscht wurde.
Der SuisseID-Anbieter wird künftig über das Auslesen des Zertifikats der verwendeten SuisseID bestimmt werden. Bei der ersten Implementierung war dieses Verfahren noch nicht bekannt. Die Möglichkeit, das Zertifikat der SuisseID auszulesen, wurde im Austausch mit anderen Personen entdeckt, die sich ebenfalls mit der SuisseID beschäftigten. Leider erst zu einem Zeitpunkt, als die Funktionen schon fast fertig entwickelt waren, und eine Änderung im laufenden Projekt das Budget überzogen hätte.

Literatur

Alioski, Adrian (2008): "buch.ch: Kundenbindung im Internetbuchhandel". In: Schubert, Petra; Wölfle, Ralf (Hrsg.): Wettbewerbsvorteile in der Kundenbeziehung durch Business Software. München, Wien: Hanser Verlag. S. 201-216.

Bürge, Urs; Zweiacker, Marc (2010): SuisseID Specification V1.3. Bern: Staatssekretariat für Wirtschaft SECO.

OpenID Schweiz (2010): "Was ist OpenID?". Abgerufen am 26.10.2010 von http://www.openid.ch/what-is-openid/.

Quade, Michael (2010a): Fachbeitrag "Was ist die SuisseID?", in: Quade, Michael; Wölfle, Ralf; (2010): SuisseID in der Praxis - Grundlagen und Fallstudien zum elektronischen Identitätsnachweis der Schweiz, Basel: edition gesowip, 2010. S. 13-34.

Quade, Michael (2010b): Fachbeitrag "Einsatz der SuisseID", in: Quade, Michael; Wölfle, Ralf; (2010): SuisseID in der Praxis - Grundlagen und Fallstudien zum elektronischen Identitätsnachweis der Schweiz, Basel: edition gesowip, 2010. S. 35-40.

Staatssekretariat für Wirtschaft SECO (2010): "SuisseID - Die technischen Details". Abgerufen am 16.11.2010 von http://www.suisseid.ch/unternehmen/technik/index.html?lang=de.