Sei es beim Wohnsitz ummelden, Baugenehmigung einholen oder einfach nur online einkaufen. Jedes Mal müssen wir uns identifizieren. Dabei geben wir oft Daten an, die gar nicht offenbart werden müssen. Die Bestimmung über diese Informationen wird uns im Moment der Übergabe entzogen. Eine Lösung für dieses Problem bietet die selbstbestimmte Identität (englisch: Self-Sovereign Identity, SSI). Insbesondere für Behörden werden SSI mit der Umsetzung des Online-Zugangsgesetz (OZG) bis Ende 2022 hilfreich sein. Zusammen mit der stetig steigenden Nachfrage für Datenschutz sind das gute Gründe, das Thema der selbstbestimmten Identität genauer zu betrachten.
Was bedeutet „selbstbestimmt“ und wieso ist es wichtig?
Grundlegend verlieren Nutzer*innen bei der Angabe persönlicher Daten die Kontrolle über diese. Name, Anschrift, Geburtsdatum – alles wird auf den Servern der Behörden oder des Onlinehändlers gespeichert. Sie besitzen somit diese Daten und können sie einsehen, verbreiten oder sogar verkaufen. Das mag vielleicht nicht mit einer Datenschutzerklärung vereinbar sein, aber faktisch verlieren die Nutzer*innen die Gewalt über ihre Daten und können die Weiterverwendung nicht nachvollziehen.
Das Konzept der Self-Sovereign-Identity (SSI) stellt die herkömmliche Verteilung der Daten auf den Kopf. Die Kontrolle über die Daten bleibt beim Individuum bestehen. Mittels eines digitalen Ausweises kann das Individuum selbst entscheiden, wem welche Daten preisgegeben werden. Ziel ist es, die Kontrolle über die eigenen Daten zu behalten und nur die notwendigen Angaben vorzeigen zu müssen.
Was ist eine „Wallet“?
Das System wird ähnlich den Kryptowährung-Wallets realisiert. Dabei handelt es sich also um eine digitale Brieftasche, welche statt Kryptowährungen elektronisch personenbezogene Datennachweise enthält. Der Aufbau der Mobile Wallet entspricht dabei ungefähr dem der Apple-Wallet. Dementsprechend sind die in der Wallet enthaltenen Daten durch den sogenannten privaten Schlüssel kryptografisch abgesichert.
Personenbezogene Daten werden lediglich in der Wallet des Eigentümers gespeichert. Es gibt somit keine zentrale Datenbank über viele Benutzerdaten. Die Nutzer*innen können nur diejenigen fälschungssicheren Datenbeweise an Dritte herausgeben, die auch wirklich benötigt werden.
Aufbau der SSI
Insgesamt existieren in der SSI-Umgebung drei primäre Rollen: Issuer, Holder und Verifier. Bei dem Issuer handelt es sich um den Herausgeber der digitalen Identität, wie z. B. der Bundesdruckerei. Diese beglaubigt mit der Herausgabe der digitalen Identität die Echtheit der Holder-Daten. Der Holder ist der Halter der Daten, auch Dateneigner, welcher wiederum seine Identität dem Verifier, also z. B. dem Onlinehändler, beweisen muss. Hinter allen Rollen stehen auf einer tieferen technischen Ebene jeweils sogenannte Agenten. Das sind Programme, die eine Identität verwalten und verschiedene Funktionen der drei Rollen bereitstellen.
Sogenannte DIDs verbinden diese Identitäten miteinander. Diese sind von der Funktionsweise wie IPs im Internet zu betrachten. Allerdings werden hier nicht zwei oder mehrere Geräte mit bestimmten Adressen verbunden, sondern eindeutige Identitäten.
Anhand eines fiktiven Beispiels soll erläutert werden, wie SSO in der Praxis funktioniert und genutzt werden kann:
Eine Person namens Alice besitzt einen digitalen Ausweis (Master ID) in ihrer Wallet App. Diese Master ID hat die Bundesdruckerei ausgestellt, wodurch dessen Echtheit kryptografisch abgesichert ist. Dazu wird auf der zugrunde liegenden Blockchain, der Übermittlungs-Hashwert abgelegt. Auf der Blockchain werden somit niemals personenbezogene Daten gespeichert. Lediglich die Transaktionen zwischen Identitäten werden verkettet. Es gibt bereits zahlreiche dieser Blockchains. Besonders erwähnenswert ist hier IDunion. Bei diesem Ledger haben sich zahlreiche Partner aus Wirtschaft und öffentlichen Dienst zusammengefunden, um im deutschen Raum einen SSI Grundstein zu legen. Hier kollaborieren neben der Telekom & Co. auch die Stadt Köln und die Bundesdruckerei.
Der Use-Case beginnt mit Alice‘s erstem Arbeitstag bei der deutschen Telekom AG. Über eine QR-Code-Einladung und einer Wallet App ihrer Wahl verbindet sie sich mit dem SSI Agenten des Telekom HR-Managements. Um ihr einen Mitarbeiterausweis ausstellen zu können, fragt das HR-Teambestimmte Daten über Alice an. Sie kann nun in der Wallet frei wählen, welche Daten wie bewiesen werden sollen. Ein Schema für dieses Credential kann zum Beispiel wie folgt aufgebaut sein:
Attribute sind hier der Key, die Organisation, die Go Number sowie Vor- und Nachname. Der Key kann mit der Personalnummer verglichen werden. Die Go Number ist eine einzigartige Nummer für den Zugang in Büroflächen der Telekom. Dieses Schema ist, wie viele andere, öffentlich einsehbar im IDunion Blockchain Explorer unter idunion.esatus.com.
Im Falle eines Attributes, wie dem Geburtsdatum, können hier auch nur Beweise anstatt des Datensatzes übermittelt werden. Die Telekom würde im Fall von Alice den Beweis erhalten, dass sie beispielsweise älter als 18 Jahre ist, nicht aber das genaue Geburtsdatum.
Personenbezogene Daten müssen so teilweise nicht übermittelt werden und bleiben unter der Kontrolle von Alice. Nach der erfolgreichen Datenübermittlung wird nun ein zusätzliches Credential, in diesem Fall die Telekom Mitarbeiter ID, ausgestellt. Nach der Annahme seitens Alice erscheint dieses in ihrer Wallet-App. Durch den digitalen Telekomausweis hat sie ab sofort die Möglichkeit, sich als Mitarbeiterin auszuweisen, um z. B. Zutritt zum Gebäude zu erlangen. Eine aktive Annahme ist für Alice notwendig, um die Hoheit darüber zu haben, welche Informationen ihrer Identität angehaftet werden.
SSI as a Service – Sichere Daten in der Cloud mit Hilfe von Confidential Computing
Nicht jedes Unternehmen hat die Kapazitäten, SSI-Infrastruktur auf eigener Hardware sicher und effizient zu implementieren. Wie viele andere digitale Services können auch die SSI-Agenten in einer Cloud-Umgebung betrieben werden. Allerdings entstehen dadurch in der Kommunikation, Herausgabe und Überprüfung von Credentials mögliche Angriffspunkte. Zum Beispiel stellt sich die Vertrauensfrage gegenüber den System-Admins und anderen Nutzer*innen der gleichen Hardwarebereiche.
Unter Confidential Computing versteht man das Abschirmen von bestimmter Hardware nach außen. Das bedeutet, kein Dritter kann im Rechenprozess, Arbeits- und Festplattenspeicher Daten einsehen. Besonders in der Cloud ist diese Technologie von hoher Wichtigkeit. Oft teilen sich hier verschiedene Personen die gleiche Hardware über virtuelle Maschinen. Vertrauen in Dritte und die Betreiber der Cloud-Umgebung muss daher enorm hoch sein, damit personenbezogene Daten verarbeitet werden können.
Confidential Computing bietet die optimale Lösung zum Betreiben von SSI-Komponenten in der Cloud. Der abgeschirmte Bereich – auch Enklave genannt – schafft in der Cloud einen gesicherten Bereich. Dabei fungiert er wie eine Botschaft im Ausland und stellt die Verlängerung der Sicherheitsdomäne dar. Der Nutzer mit Zugriff ist in diesem Fall der Botschafter. Der Cloud-Anbieter hat keinen Zugriff auf Daten während diese im Speicher verarbeitet werden.
Durch die Zusammenführung von Confidential Cloud Computing und Self-Sovereign-Identity können Kunden kostensparender und effizienter am SSI-Ökosystems teilhaben.
Anwendung von Self-Sovereign Identity (SSI) im Öffentlichen Sektor und in Unternehmen
Mit der Digitalisierung im Öffentlichen Sektor und in Unternehmen rückt auch die Privatspähre und Sicherheit bzw. der nachhaltige Umgang mit digitalen Identitäten in den Vordergrund. Diese Digital Hour vom 08.10.2021 zeigt Ihnen, wie mit Hilfe von Self-Sovereign Identity (SSI) nutzerfreundliche Lösungen und Anwendungen geschaffen werden können.
Mit dem Laden des Videos akzeptieren Sie die Datenschutzerklärung von YouTube.
Mehr erfahren
Ausblick
Wie schon zu Beginn erläutert, legt in Deutschland das OZG den Grundstein, die öffentliche Verwaltung zu digitalisieren. Insbesondere Self-Sovereign Identity wird in zahlreichen weiteren Proof of Concepts national und europaweit erprobt. So verwaltet in Deutschland das Bundeskanzleramt verschiedene Anwendungsfälle für das Jahr 2021.
Der erste dieser Art war der Hotel Check-In-Fall. Dabei war das Ziel, dass sich Angestellte auf Dienstreisen eindeutig mittels SSI identifizieren können. Aus diesem geht nun eine Open-Source Wallet hervor, welche die Bundesregierung zur Verfügung stellt. Es ist eindeutig, dass in Deutschland alle Bemühungen auf die Etablierung von SSI deuten.
Auch auf der europäischen Ebene wird intensiv in SSI investiert. Mit ESSIF, dem European Self Sovereign Identity Framework, wird ein besonderer Fokus auf die Interoperabilität zwischen den verschiedenen Mitgliedsstaaten der EU gelegt. Die Verknüpfung der unterschiedlichen Identitäts-Blockchains soll es ermöglichen, dass die digitalen Ausweise auch im Ausland eindeutige Beweise bleiben.
„Credentials as a Service“ – Der Weg in Richtung Selbstbestimmung
Hira Siddiqui hat mit ihrer Abschlussarbeit an der TU Dresden im Studiengang „Distributed Systems Engineering“ einen echten Durchbruch erzielt und wurde dafür mit dem begehrten Frauen-MINT-Award der Telekom 2021 ausgezeichnet. MINT steht dabei für Mathematik, Informatik, Naturwissenschaft und Technik – Bereiche, in denen Frauen bisher nur verhalten sichtbar waren. Ein Umstand, der dringend nach einer Trendwende verlangt. Dafür braucht es Frauen, die mit gutem Beispiel voran gehen. Hira Siddiqui macht es mit ihrer Arbeit zu dem Thema „Credentials as a Service“ vor. Im Interview gibt sie Einblick in ihr Thema, was dahintersteht, welche Vorteile es bietet und welcher Intention sie dabei folgte.
Ist digitales Geschäft eigentlich zuverlässig, sicher, vertrauensvoll, ausfallsicher? Wie und warum – darüber schreibe ich in diesem Blog.
