Sicherung des digitalen Portemonaies Mehr Datenschutz dank digitaler Identitäten?

Anbieter zum Thema

Utimaco Safeware AG

Fsas Technologies GmbH

Insider Research

Hyland Software Germany GmbH

Digitalisierung und Datenschutz werden heute häufig als Widerspruch wahrgenommen. Im Falle einer „wilden“ Digitalisierung mag dies auch zutreffend sein. Richtig organsiert bietet andererseits gerade die Digitalisierung selbst die Werkzeuge, um sorgsamer mit persönlichen Daten umzugehen. Wie das aussehen soll?

Käme erst heute jemand auf die Idee, ein Buch mit Namen, Adressen und Telefonnummern alle Bewohner einer Stadt zu veröffentlichen, wäre der Aufschrei sicher groß. Dennoch hat das Telefonbuch bis heute überlebt. In der analogen Welt – so muss man fairerweise sagen – gab es auch viel weniger Potenzial für Datenmissbrauch.

Daher ist es richtig und wichtig, dass wir heute verstärkt über Datenschutz im Netz diskutieren. Dennoch darf man nicht den Fehler machen, Digitalisierung automatisch mit Begriffen wie „Datensammelwut“ gleichzusetzen.

Angebote eilen Regulierungen voraus

Im Internet von heute herrscht immer noch häufig eine Wild-West-Atmosphäre: Das will heißen: Die Angebote entwickeln sich immer ein Stück schneller, als die rechtlichen Rahmenbedingungen, die letztlich reaktiv sind. Um das zu verstehen, muss man sich den Wandel des Internets von einem Informationsmedium in seinen Anfangstagen zu dem, was wir heute haben, bewusst machen.

Da ist zum einen die Kommerzialisierung und zum anderen die Verlagerung behördlicher Dienstleistungen in den virtuellen Raum. Diese beiden Entwicklungen bedingen eine klare Verknüpfung von realer und virtueller Identität. Das Internet der Pseudonyme und Nicknames existiert natürlich weiterhin, doch sobald es um Geld oder eine Interaktion mit dem Staat geht, wird die Identifikation einer realen Person zur Pflicht.

Dabei kommt es oft zu improvisierten Lösungen. Das beste Beispiel dafür ist Online Banking. Das Geldwäschegesetz schreibt die eindeutige Identifikation einer Person vor, damit diese ein Konto eröffnen kann. Die Direktbanken haben darauf mit der Identifikation per Video Call oder am Postschalter reagiert.

Prinzipiell sind diese Verfahren nicht schlecht, allerdings sind sie jedes Mal von Neuem nötig. Nun eröffnet man nicht jeden Tag ein Bankkonto, es ist für Kunden also durchaus zu verkraften, hin und wieder ein Identifikationsverfahren zu durchlaufen. Was das massenhafte Datensammeln anbelangt, liegt in diesen hochregulierten Bereichen auch eher weniger das Problem, dieses findet sich eher bei niederschwelligen, alltäglichen Angeboten. Bei jedem Online Shop, Forum, sozialem Netzwerk oder sonstigem Online-Angebot, wo sich Nutzer registrieren, wird eine neue digitale Identität erzeugt, die über die Zeit mit allerlei Nutzerdaten angereichert wird – oft unbemerkt.

ID-Wallets statt „halbdigitaler Verfahren“

Einscannen von Ausweisdokumenten oder deren Vorzeigen in Calls kann man als halbdigitale Verfahren bezeichnen. Sie finden zwar über digitale Kanäle statt, dennoch gibt es einen Bruch in der eigentlich Customer Journey, um im Jargon des E-Commerce zu sprechen. Mit einer echten digitalen Identität ließe sich dieser Zwischenschritt beseitigen. Eine zentrale Identität hätte aber auch den Vorteil, dass sich Nutzer nicht mehr bei jedem Online-Angebot separat registrieren müssten, wodurch sie eine wesentliche bessere Kontrolle über ihre persönlichen Daten hätten.

Der nächste sinnvolle Schritt wäre, die Identitätsprüfung möglichst nahtlos in bestehende digitale Prozesse zu integrieren und nur die für den jeweiligen Anwendungsfall benötigten Informationen abzufragen. Hier kommt das Prinzip der ID-Wallets ins Spiel. Diese kann man sich durchaus als Analogie zur echten Geldbörse vorstellen.

Dort sind in der Regel auch verschiedene Karten enthalten: EC- und Kreditkarten, Personalausweis, Führerschein.... Je nach Einkauf, Alter und Aussehen kann es vorkommen, dass man an der Ladenkasse sein Alter nachweisen muss. Dazu holt der Kunde neben Bargeld oder Karte den Ausweis aus dem Portemonnaie – eine Sache von Sekunden.

Das ID-Wallet

Ein digitales ID-Wallet soll ebenfalls eine solche Sammlung von Dokumenten sein, aus der aber immer nur die jeweils benötigten Informationen entnommen werden. Diese können sich je nach Use Case unterscheiden: Bei den meisten Einkäufen im Netz sind eigentlich nur Adresse und Zahlungsdaten relevant. Bei bestimmten Artikeln kommt noch ein Altersnachweis dazu. Möchte man online ein Auto mieten, muss man eine Fahrerlaubnis besitzen. Aktuell müssen Reisende teilweise auch ihren Impfstatus nachweisen. Dieser geht aber wiederum einen Online-Händler nichts an.

Hier setzen nun so genannte Self Sovereign Identities (SSI) an, der Nutzer soll selbst entscheiden können, welche Informationen oder sogar Dokumente er wem zugänglich machen möchte. Das Konzept der ID-Wallets ist soweit gefasst, dass dort auch Dinge Platz finden, die man normalerweise nicht immer in der Geldbörse hat, wie Zeugnisse oder andere berufliche Nachweise. Bei einer Online-Bewerbung könnten Arbeitnehmer diese, oder auch nur einzelne Informationen daraus, direkt an Unternehmen übermitteln.

Sicherung der Identitäten

Bei all den Möglichkeiten, die eine solche zentrale digitale Identität bietet, will man sich gar nicht vorstellen, was passieren könnte, wenn diese korrumpiert werden würde – der Datenschutz-Super-GAU sozusagen. Daher ist es die oberste Priorität, entsprechende Absicherungen für digitale Identitäten zu ergreifen und das auf mehreren Ebenen. Dabei müssen alle Absicherungsverfahren zum Einsatz kommen, die die digitale Welt bietet, wie Verschlüsselung, Authentifizierung, None-Repudiation und Sicherstellung der Integrität von Daten und Nachrichten.

Es beginnt bei der Ausstellung, beziehungsweise Erzeugung digitaler Nachweise. Hier gab es kürzlich Vorfälle mit digitalen Impfzertifikaten, die einige Ärzte auch für ungeimpfte Personen ausgestellt haben oder sogar Schlüssel weitergegeben haben. Da es sich um eine Public Key Infrastructure (PKI) handelt, ist zur Erstellung der Zertifikate ein privater Schlüssel notwendig. Solche Schlüssel wurden massenhaft an Praxen und Apotheken ausgegeben, so ließ sich leider nicht ausschließen, dass sich darunter auch schwarze Schafe befanden.

Eine Möglichkeit, dieses Risiko erheblich zu senken, wäre eine doppelte Autorisierung, so dass es nicht mehr nur eines sogenannten „Key Custodians“ bedarf, um ein Zertifikat zu erzeugen, sondern zwei Personen zustimmen müssen. Außerdem könnte noch eine automatisierte Plausibilitätsprüfung eingeführt werden, zum Beispiel was die Anzahl an ausgestellten Zertifikaten betrifft: Eine einzelne Arztpraxis, die hunderte Nachweise an einem Tag ausgibt, könnte beispielsweise ein Hinweis auf Betrug sein.

In Self-Sovereign-Identity-Infrastrukturen gibt es noch eine zusätzliche Schicht in Form eines DLT-Netzwerks (Distributed Ledger Technology-Netzwerk, beispielsweise Blockchain). Darin werden vom Aussteller (Issuer) von Zertifikaten zusätzliche Informationen gespeichert, mit deren Hilfe eine dritte Instanz, der so genannte Verifier, die Gültigkeit eines Zertifikats, das der Besitzer (Holder) vorlegt, prüfen kann. Ein Zertifikat ist nur dann original, wenn es auch einen entsprechenden Eintrag im DLT-Netzwerk gibt.

Essentiell für Verfahren wie PKI oder Blockchain ist in jedem Fall, dass private Schlüssel, die für die asymmetrische Kryptografie benötigt werden, auch geheim bleiben. Daher sollten diese in einem Hardware-Sicherheitsmodul (HSM) verwahrt werden.

Da dieses Gerät nicht mit dem Hauptspeicher eines Rechners verbunden wird, ist es aus der Ferne praktisch nicht angreifbar, bietet also aktuell das höchste Sicherheitsniveau. Fortschrittliche HSM sind zudem in der Lage, auch Verfahren anzubieten, die selbst Quantencomputern standhalten können.

* Der Autor Nils Gerhardt ist Chief Technology Officer bei Utimaco.

(ID:47983963)