Digitale Identitäten im Web

19. Mai 2022

Übersetzung des Blogartikel von Autorin DanieKrie – powered by Tangle Labs

Die Spuren, die wir hinterlassen

Nur sehr wenige Menschen verstehen das Konzept der souveränen Identität wirklich. Dies ist kein Wunder: die Technologie steckt noch in den Kinderschuhen und es wird aktuell Pionierarbeit bei der Einführung in die Praxis geleistet. Was man jedoch verstehen sollte ist das Konzept der dezentralen Identifikatoren (DIDs). DIDs stellen unsere digitale Existenz, wie wir sie heute kennen, in Frage und bieten eine neue, private und sichere Möglichkeit, unser Leben im digitalen Zeitalter zu führen. Im Gegensatz zur technologischen Basis und der Grundlagenforschung, die sich darum rankt, sieht eine DID an sich eher unscheinbar aus: Sie ist nur eine Zeichenkette. Ihre kryptografisch erzeugten Schlüssel enthalten jedoch die gesamten Informationen, die erforderlich sind, um alle Aspekte einer digitalen Identität zu sichern.

Um das Problem richtig zu verstehen, welches der Ansatz der DIDs und der Self-Sovereign Identity (SSI) zu lösen versucht, müssen wir zunächst den derzeitigen Umgang mit unseren digitalen Identitäten ansehen.

Die Herausforderungen, mit denen wir konfrontiert sind

Im heutigen Internet, dem so genannten Web 2.0, ist unsere einfachste digitale Repäsentanz das Login: Wir verwenden es ständig im Internet, um uns als Nutzer auf einer Vielzahl von Websites und Plattformen zu identifizieren. Normalerweise verifizieren wir unsere Identität mit einer eMail-Adresse, gelegentlich mit einem optionalen Benutzernamen und dem obligatorischen Passwort. Da inzwischen fast jeder Dienst im Internet eine solche Identitätsprüfung verlangt, bieten große Identitätsanbieter wie Facebook, Google und Apple ihren eigenen Verifizierungsdienst an. Wenn man sich als Benutzer einer dieser großen Plattformen anmeldet, kann man sich die Mühe ersparen, für jeden anderen Webdienst ein weiteres Konto anzulegen.

Aus der Sicht des Nutzers klingt das einfach und praktisch: Man muss sich nicht unzählige Anmeldedaten merken, sichere (oder komplizierte) Passwörter hinzufügen und diese über Passwortmanager verwalten. Noch besser: Einmal angemeldet, können wir uns in der Regel nahtlos und ohne weitere Überprüfung bei anderen Websites anmelden (die ebenfalls diesen Single-Sign-On-Dienst nutzen).

Der stille Preis, der hier gezahlt wird, ist unsere Privatsphäre, also unsere persönlichen Daten, denn in der Welt der zentralisierten (Identitäts-)Anbieter ist tatsächlich nichts umsonst. Die wachsende Zahl von Nutzern, die solche zentralisierten Dienste im Internet verwenden, deutet darauf hin, dass sich viele Menschen der Folgen nicht bewusst sind oder dass es ihnen schlichtweg egal ist – ein direkter Schaden ist nicht zu spüren: Was kann beispielsweise Facebook mit den Daten anfangen? Wir sollten jedoch darüber nachdenken: Wer ein Social-Media-Konto anlegt, erklärt sich auch damit einverstanden, dass die eigenen Nutzerdaten an Dritte weitergegeben, d. h. monetarisiert und an Werbetreibende oder andere Anbieter verkauft werden. Die unglaubliche Konzentration von persönlichen Daten zu allen sozialen, wirtschaftlichen und verhaltensbezogenen Themen macht diesen Informationspool für bestimmte Interessensgruppen unglaublich attraktiv. Autoritäre Regime, einschließlich ihrer Nachrichtendienste und Polizeikräfte, Betrüger aller Couleur und sogar kriminelle oder terroristische Organisationen finden Wert in solchen zentralisierten Datensätzen.

Ein weiteres Problem für die Nutzer solcher Dienste ist, dass ihre Spuren im Internet leicht verfolgt und zu vollständigen Bewegungsprofilen rekonstruiert werden können. Da alle Daten mit einem bestimmten Profil verknüpft werden, weiß zum Beispiel Google, wer was in einem Webshop gekauft hat, welche Urlaubsziele die Person interessieren und welche Artikel auf dem Lieblingsnachrichtenportal gelesen wurden. Dass diese Dienste in der Regel kostenlos sind, liegt daran, dass wir sie mit unseren Daten bezahlen. Mit Hilfe der verfügbaren Daten lassen sich konkrete Rückschlüsse auf eine reale Person ziehen. Unsere Entscheidungen, Überzeugungen und unser Verhalten sind nicht mehr privat.

Bestimmte Dienste im Internet erfordern auch eine eindeutige Authentifizierung der realen Person; eine eMail-Adresse allein reicht dafür nicht aus. Dies ist zum Beispiel notwendig, wenn online eine Versicherung beantragt wird oder wenn eine Altersbestätigung erforderlich ist, um das Jugendschutzgesetz einzuhalten. Hierfür müssen wir unsere reale Identität nachweisen, die dann mit unserer digitalen Identität verknüpft wird. Da hier unsere sensiblen und persönlichen Daten verarbeitet werden, möchten wir ein Höchstmaß an Schutz und Sicherheit. Wenn diese Informationen jedoch an ein Unternehmen oder eine Institution übermittelt werden, haben wir keine Kontrolle darüber, wie unsere sensiblen Daten dort gespeichert und gesichert werden. Dennoch können wir es nicht ganz vermeiden, unsere Identität und unsere identifizierbaren Daten online zu teilen. Die digitale Vernetzung der Gesellschaft ist unaufhaltsam und die Nutzung von Online-Diensten wird immer alltäglicher. Wir brauchen eine einfache Möglichkeit, um uns im Web zu identifizieren und gleichzeitig unsere Privatsphäre und die Sicherheit unserer Daten zu wahren.

Was kann SSI also tun, um eine einfache und sichere Identifizierung zu ermöglichen und gleichzeitig die mit den derzeitigen Methoden verbundenen Fallstricke zu vermeiden?

Kein zentraler Speicher für persönliche Daten und keine Verbindung zwischen der eigenen Identität und den Datenspuren, die man hinterlassen hat – das sind die Eckpfeiler des Identitätsmechanismus, der über DIDs möglich ist. Das Konzept einer solchen dezentralisierten Identität bezeichnet man als Self-Sovereign Identity (SSI). Die Idee dahinter steckt schon im Namen. In einem solchen Rahmen erhalte ich als Person die Kontrolle über meine Identität und die mit ihr verbundenen Daten zurück. Dezentrale Identifikatoren (DIDs) entwickeln sich derzeit als plattformunabhängiger Standard für SSI.

Der Inhaber der Identität erstellt DIDs für jeden benötigten Zweck; jede Identität bezieht sich auf das Subjekt, also z.B. auf den Inhaber, gibt aber keine persönlichen Daten preis. Eine DID enthält keine Informationen über eine individuelle Identität, sie ist lediglich ein Identifikator. Sogenannte “verifiable credentials” (VCs) werden verwendet, um zu beweisen, dass bestimmte Informationen über den Inhaber gültig sind. Diese VCs können als Aussagen einer Entität über eine andere gesehen werden, zum Beispiel die Aussage, dass eine Identität zu einem bestimmten Nutzer gehört.

Der wichtigste Aspekt einer dezentralen Identität ist die Trennung der verschiedenen Komponenten eines Identitäts- und Zugangsmanagements (IAM). Auf diese Weise können kritische Daten während des Zugriffs abgesichert werden und die Identität des Benutzers kann dennoch überprüft werden. Hierfür kann eine spezielle Form der Datenspeicherung, die sogenannte Distributed Ledger Technology (DLT), verwendet werden. Im Gegensatz zu zentral gesteuerten Datenbanken, die über einen bestimmten Server laufen und von diesem abhängig sind, werden die Daten in der DLT verteilt gespeichert. Ein Distributed Ledger bringt auch von Haus aus ein Höchstmaß an Sicherheit mit sich, da es auf Kryptographie basiert. Jede neue Information wird mit dem eigenen, kontrollierbaren privaten Schlüssel kryptografisch signiert, um die Integrität der Daten zu gewährleisten.

Ein DLT scheint die ideale Infrastruktur für ein verteiltes und sicheres Identitäts- und Zugangsmanagementsystem zu sein, dessen Hauptkomponenten Benutzerkonten und deren Zugangsrechte sind. Die Komponenten können verschiedenen Akteuren zugewiesen werden. Der Eigentümer der Daten (Holder) kann seine Daten kontrollieren und entscheiden, wie viel davon er zu welchem Zweck preisgeben möchte. Eine vertrauenswürdige Stelle (Issuer) kann einzelne Dokumente oder Zertifikate (z. B. Universitätsdiplome) überprüfen und Berechtigungen für sie ausstellen und sie an den Eigentümer übermitteln, wobei die eigentlichen personenbezogenen Daten nie im Ledger gespeichert werden. Eine dritte Partei (Überprüfer) wiederum verifiziert den Inhaber dieser Berechtigungsnachweise als die Person, die er vorgibt zu sein.

_{The shift in control of moving from a centralised identity model to a Self-Sovereign Model.}

1. Federated Identity Model (Föderales Identitätsmodell): Die Identitätsinhaber (z. B. Nutzer) können ihre Daten nicht selbst bereitstellen. Die Identifizierung wird in der Regel von einer dritten Partei durchgeführt. Ein Aussteller (z. B. eine Regierung) muss die Identität gegenüber dem Überprüfer (z. B. einem Dienstanbieter) direkt oder über einen Identitätsüberprüfungsdienst (bsw. Post-Ident) bestätigen.

2. Self-Sovereign Identity Model (Selbstverwaltetes Identitätsmodell): Der Aussteller (z. B. die Regierung) stellt Berechtigungsnachweise gegenüber der eigenen DID und Verifizierern aus, indem er eine “Challenge” (Herausforderung) kreiert, die der DID-Inhaber beweisen muss. Die Wallet des Inhabers speichert sicher einen Schlüssel, der das Eigentum an der DID beweisen kann und der zusammen mit dem DID-Dokument im Ledger gespeichert wird. Der Inhaber (z. B. der Benutzer) sendet die erforderlichen Identitätsinformationen an den Dienstanbieter und weist diese durch die Kontrolle über den privaten Schlüssel nach. Der Dienstanbieter validiert die kryptografischen Signaturen des Benutzers und des Ausstellers über den Ledger. Nach dem Validierungsprozess wird dem Benutzer vom Dienstanbieter der Zugang gewährt.

Das SSI-System ist ausbaufähig, so dass man in Zukunft bestimmte Informationen durch selektive Offenlegung bereitstellen kann, ohne gleich alles über sich preisgeben zu müssen. Es ist möglich, einen Berechtigungsnachweis zu verwenden, der die Volljährigkeit beweist, ohne sich jedes Mal erneut einer vollständigen Überprüfung der eigenen Person einschließlich Wohnort, Staatsangehörigkeit oder anderer persönlicher Daten unterziehen zu müssen. Wenn eine wiederkehrende Identifikation für Webdienste anonymisiert werden soll, kann man für jeden Login-Vorgang ein neues Credential erstellen. Auf diese Weise können die einzelnen Logins nicht miteinander in Verbindung gebracht werden und es können keine Rückschlüsse auf die Person gezogen werden.

Die Vorteile dieser dezentralen und sicheren Lösung liegen auf der Hand, und dieser Ansatz könnte nicht nur uns als Nutzer, sondern auch Unternehmen und Institutionen zugute kommen.

Wie hilft mir die Self-Sovereign Identity?

• Mehr Datenschutz durch höhere Sicherheit: Die Daten werden verschlüsselt und in einem dezentralen Speichersystem abgelegt, wo sie vor dem Zugriff Dritter geschützt sind.

• Mehr Kontrolle über die eigenen Daten: Als Nutzer gibt man nur die Daten frei, die notwendig sind. Die Identität kann z.B. auf dem eigenen Smartphone gespeichert werden.

• Privatsphäre im Web: Durch den Einsatz von Zero-Knowledge Proofs (ZPKs) und selektiven Offenlegungsmechanismen werden nur begrenzt Datenspuren erzeugt, die Rückschlüsse auf die Identität eines Nutzers zulassen.

• Vereinfachte Anmeldeverfahren: Der Nutzer wird über seine eigene dezentrale digitale Identität zu seinem eigenen Identitätsgeber. In Zukunft kann in vielen Bereichen auf die Erstellung von Benutzernamen und Passwörtern verzichtet werden.

• Mehr Unabhängigkeit: Da die Plattformen oder Webdienste weniger über einen Nutzer wissen, ist es schwieriger diesen zu manipulieren und zum Kauf eigener Dienste oder Produkte zu bewegen.

Warum sollte ein großes Unternehmen oder eine Regierungsbehörde Self-Sovereign Identity nutzen?

• Transparenz und Vertrauen: Unternehmen und Institutionen, die die Privatsphäre ihrer Nutzer aktiv schützen, gelten als vertrauenswürdig und erhöhen so ihre Kundenbindung oder das Vertrauensverhältnis zu den Bürgern.

• Stärkung der demokratischen Prozesse: Kleine Unternehmen, aber auch Regierungen können sich besser der Marktmacht der aktuellen Tech-Giganten entziehen und ihre Prozesse an den Bedürfnissen der Nutzer ausrichten.

• Kosteneinsparungen durch Reduzierung der Datenspeicherung: Die dauerhafte und sichere Speicherung von personenbezogenen Daten ist aufwendig und teuer. Dies ist nicht mehr der Fall, wenn die Daten nicht mehr im Unternehmen selbst gespeichert werden, sondern nur noch für die Geschäftsbeziehung relevante Daten abgerufen werden.

• Datenschutz und Sicherheit: Durch die Auslagerung personenbezogener Daten in ein externes, verschlüsseltes System müssen Unternehmen kein eigenes rechtssicheres Know-how in diesem Bereich aufbauen und dauerhaft finanzieren.

Mit Hilfe von DIDs und VCs wird das Konzept der Self-Sovereign Identity zu einer greifbaren Realität. Es kann die Digitalisierung vorantreiben und uns in die Lage versetzen, das Potenzial der digitalen Welt auf datenschutzkonforme Weise voll auszuschöpfen. Die Sicherheitskonzepte, die es unterstützt, werden auch eine solide Grundlage für die Akzeptanz durch kritische Nutzer bieten und dazu beitragen, die Risiken von Betrug und Identitätsdiebstahl, die in den derzeitigen Web 2.0-Systemen vorherrschen, drastisch zu minimieren. Die Fallstricke der heutigen Infrastruktur, die unsere digitalen Identitäten verwaltet, können wir derzeit beobachten. Es ist wichtig, dass wir beginnen, uns von dieser Abhängigkeit einer digitalen Identität, die nur von einer Handvoll einzelner Unternehmen bereitgestellt wird, zu lösen. Ziel sollte es sein, Fachwissen aufzubauen und gemeinsam in allen Schlüsselsektoren an Lösungen zu arbeiten, die dazu beitragen können, den Weg für die Zukunft der selbstsouveränen Identität zu ebnen, für jeden und überall.

Quellen

The Traces We Leave Behind