Suchen

Modernes Identity and Access Management

Selbstbestimmte Identitäten dank Blockchain

| Autor/ Redakteur: Thomas Maurer / Peter Schmitz

Selbstbestimmte Identitäten sollen den Missbrauch und den Diebstahl von Identitäten erschweren und ihn weniger lukrativ machen. Eine der Infrastrukturelemente hierfür können Distributed-Ledger-Technologien sein. Ihr dezentraler Ansatz ermöglicht deutlich umfassendere, effizientere und sicherere Lösungen gegen Betrug als herkömmliche zentrale Systeme.

Firma zum Thema

Selbstbestimmte Identitäten könnten eine Lösung sein für viele Anforderungen, von der einmaligen Identifizierung für Dienste über höhere Datensicherheit bis zur Einhaltung der DSGVO.
Selbstbestimmte Identitäten könnten eine Lösung sein für viele Anforderungen, von der einmaligen Identifizierung für Dienste über höhere Datensicherheit bis zur Einhaltung der DSGVO.
(Bild: gemeinfrei / Pixabay)

Von neuen blockchainbasierten Identitäten könnten auch Identity- und Access-Management-Lösungen profitieren, denen derzeit – besonders bei der Verwaltung von externen Identitäten – selten valide Datenquellen zur Verfügung stehen. Eventuell kann auch der alte Fokus von „Berechtigt“, der derzeit rein auf das Thema „Befugt“ beschränkt ist, durch die Verwendung von Zertifizierungen, auf „Befugt UND Befähigt“ erweitert werden. Und nebenbei: Stellen sie sich vor sie zögen um und müssten niemanden über ihre neue Adresse und Telefonnummer informieren.

Blockchain ist eigentlich gar keine neue Technologie, sondern eine innovative Kombination bekannter und robuster Techniken. Dazu gehören Hashes und Hashbäume, Signaturen und Peer-2-Peer-Netzwerke. Sie adressiert jedoch alle drei „natürlichen“ Security-Dimensionen: Sie erhöht die Integrität, zum Beispiel durch unverfälschbare Log-Einträge mit Regulierern und Prüfern als Teil des Peer-2-Peer-Netzwerks. Die Verfügbarkeit wird durch verteilte Informationen gesichert, für Vertraulichkeit sorgt der Einsatz kryptographischer Verfahren – Signaturen und Hashes.

Das Problem verschiedener Identitäten

Auf Basis dieser Eigenschaften lässt sich auch ein System für selbstbestimmte Identitäten (Self-Sovereign Identity Management) aufbauen. Dieses löst eines der größten aktuellen Probleme: In der digitalen Welt besitzen die Nutzer nicht nur eine Identität, sondern mehrere und wollen diese auch getrennt verwenden. Durch Metainformationen können diese verschiedenen „Persona“ jedoch aggregiert werden und ergeben so ein umfassendes – vom Nutzer unerwünschtes – Gesamtbild zu einer Identität. Dies ist umso mehr der Fall, je weniger Anbieter einen Identity Provider Service anbieten. Auf der anderen Seite haben Onlinedienste auch ein valides Interesse an der Korrektheit von Informationen. Dies betrifft besonders – aber nicht nur – Behörden. So stellen Anwender in unterschiedlichen Situationen jeweils Behauptungen über sich auf. Dazu gehören vor allem Name und (E-Mail-)Adresse, aber auch je nach Bedarf Alter, Bankverbindung, Schulabschluss, Firmenzugehörigkeit, Zertifizierungen oder Kleidergröße.

Die Prinzipien der selbstbestimmten Identität

Die Ziele des Self-Sovereign Identity Management lauten entsprechend: Keine Vermischung oder Aggregation dieser Identitäten, strikte Einhaltung des Need-To-Know-Prinzips, Wiederverwendung von Überprüfungen durch Vertrauen (Verifieable Claims) sowie volle Datenhoheit ohne Vendor Lock-in. Dies fordern sowohl die Laws of Identity von Kim Cameron als auch die „Ten Principles of Self-Sovereign Identity” von Christopher Allen. Dazu gehören: Existenz, Kontrolle, Zugang, Transparenz, Beständigkeit, Portabilität, Interoperabilität, Einwilligung, Minimierung und Schutz.

Weltweites System nötig

Um ein solches System einzuführen, genügen aber keine Alleingänge wie der nPA oder die deutschen Log-in-Allianzen Verimi und NetID. Diese können vielleicht Puzzlesteine darstellen, aber keine umfassende Basis. Denn im Zuge des Internets ist jede deutsche, sogar europäische Lösung zum Scheitern verurteilt. Nur ein weltweites System kann erfolgreich sein.

Dieses muss dann eine umfassende Lösung für alle Anwendungen bieten und für den Anwender komfortabel und sicher sein. Nehmen wir an, ein Anwender unterhält Beziehungen zu 200 Personen, Firmen oder Internetdiensten, dann müssen auch 200 private Schlüssel verwaltet werden. Eine mögliche Lösung muss diese Schlüssel managen und den Zugriff auf die dahinterliegenden Daten steuern. Dabei wird nur eine Lösung, die dies komfortabel über ein Smartphone ermöglicht, erfolgreich sein können.

Tatsächlich arbeiten schon diverse Organisationen wie das W3C, IETF, OASIS oder DIF an einer Standardisierung von verifizierbaren Zugangsdaten, Authentifizierung oder dezentralisiertem Schlüssel-Management. Damit sollen die bisherigen diversen Lösungen mit unterschiedlichen Zugangsdaten, Passwörtern und Informationen über ein einheitliches System miteinander vernetzt werden.

Die Idee dahinter lautet, dass sich der Nutzer nur noch einmal an diesem zentralen System identifiziert und die verschiedenen Lösungen dann die jeweils benötigten Daten daraus ziehen. Wie soll das funktionieren? Bislang erstellt ein Herausgeber ein Dokument über den Nutzer, etwa den Personalausweis. Mit Hilfe dieses Dokuments weist sich der Besitzer gegenüber einem Unternehmen aus. Dieses überprüft den Ausweis, zum Beispiel über die Unterschrift und das Lichtbild. Im Zweifel kann auch ein PostIdent-Verfahren genutzt werden.

Digitalisierung der Prüfprozesse

Anders als in der physischen Welt können Behauptungen hier nicht durch das Vorzeigen eines Dokumentes nachgewiesen werden. Stattdessen müssen diese Behauptungen – so genannte Claims – auf unterschiedliche Weise bestätigt werden. Je nach Bedarf kann diese Bestätigung von der Identität selbst erfolgen, von einer dritten Identität bestätigt oder von einer autoritativen Quelle durchgeführt werden. Beispiele für autoritative Quellen können Banken, Versicherungen aber auch Firmen für die Firmenzugehörigkeit oder Hersteller für gültige Zertifizierungen sein. Die Bestätigung dieser Claims erfolgt klassisch über Signaturen.

Eine weitere Frage lautet , wo diese Daten gespeichert sind. Dies kann sowohl auf Endgeräten als auch in der Cloud geschehen. Dass die eigentlichen Daten nicht auf der Blockchain gespeichert werden dürfen, versteht sich von selbst. Aber auch die Hashes sollten nicht auf der Blockchain gespeichert werden. Hashes sind sehr schnell zu errechnen und bei einer geringen Menge an Daten – beispielsweise alle möglichen Adressen in Deutschland – kann eine Rückwärtssuche sehr schnell zu einem ungewollten Offenlegen von Informationen führen und die Vertraulichkeit gefährden. Die Blockchain selbst ist nur ein kleines aber wichtiges Puzzelteil dieser Technologie. Sie stellt die Infrastruktur für die Darstellung der Beziehungen dar und speichert fälschungssicher das kryptographische Material und die zugehörigen Service-Endpunkte.

Dazu dient zum Beispiel das DID-Schema des W3C. Ein Decentralized Identifier (DID) bildet dabei eine Komponente des Draft-Standards und stellt eine einzigartige Kennung dar. Sie wird als URI (Uniform Resource Identifier) ausgedrückt, der einen Namen oder eine Ressource eindeutig identifiziert.

Jeder einzelne Kontakt zwischen zwei Beteiligten ist hierbei zwar ein DID-Eintrag aber die Bestätigung einer Behauptung kann über Signaturen wiederverwendet werden. So kann beispielsweise in Kanada eine Bank auf eine KYC (Know-Your-Customer) Prüfung verzichten, wenn eine andere Bank diese bereits vorgenommen und auf dem DLT bestätigt hat.

Zahlreiche Vorteile

Die Vorteile liegen im höheren Komfort für den Nutzer, der einheitlichen Datenbasis und der höheren Transparenz. Zudem wird das Minimalprinzip eingehalten, bei Kontrolle und Einverständnis des Nutzers. Die Behauptungen sind überprüfbar und die Überprüfungen wiederverwertbar. Dabei ist keine Datenaggregation und keine Nachverfolgung möglich. Es gibt auch keine Zentralisierung, keinen zentralen Angriffspunkt und keine Festlegung auf eine Technologie.

Damit eignet sich das Prinzip der selbstbestimmten Identitäten auch ideal für die Compliance mit der EU-DSGVO. Denn der Nutzer behält die vollständige Hoheit über seine persönlichen Daten. Er muss sein aktives Einverständnis für die Nutzung dieser Daten geben und kann es jederzeit widerrufen. Auch das Thema Consent – also die Einwilligung Daten zu einem bestimmten Zweck auszutauschen – lässt sich durch SSI unterstützen, da diese Information ebenfalls erfasst werden kann und jeder Benutzer zu jeder Zeit überprüfen kann, welche Daten er wem zu welchem Zweck zur Verfügung stellt. Dabei liegen jedoch keine persönlich identifizierbaren Daten in der Blockchain, noch nicht einmal Hashes davon, sondern nur Hinweise auf deren Nutzung.

Selbstbestimmte Identitäten bieten damit eine Lösung für viele Anforderungen – von der einmaligen Identifizierung für verschiedene Dienste über höhere Datensicherheit bis zur Einhaltung der DSGVO. Doch dabei wird sich nur ein weltweiter Standard durchsetzen. Denn schließlich wollen die Nutzer nur einen zentralen Service nutzen. Dann reicht auch die einmalige Aktualisierung der persönlichen Daten wie Telefonnummer oder Wohnort, damit alle Beteiligten diese erhalten.

Über den Autor: Thomas Maurer ist Solution Manager bei Computacenter.

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Kontaktieren Sie uns über: support.vogel.de (ID: 46037588)