Mit Self-Sovereign Identity sicher unterwegs in die digitale Zukunft!
Technische Grundlagen und aktuelle Entwicklungen
Stellen Sie sich diese alltägliche Situation vor: Sie möchten einen Kauf tätigen und müssen dafür nachweisen, dass Sie über 18 Jahre alt sind. Allerdings haben Sie Bedenken, einem Fremden Ihren Personalausweis zu zeigen und damit personenbezogene Informationen wie Alter, Name und Adresse preiszugeben. Wäre da nicht eine Methode viel eleganter, die nur die Auskunft gibt "Ja, ich bin über 18 Jahre alt" und bei der Ihr Gegenüber trotzdem sicher sein kann, dass Ihre Behauptung der Wahrheit entspricht? Dieses Verfahren minimaler Informationsübermittlung würde Ihre Privatsphäre schützen und dennoch eine nachvollziehbare Vertrauensgrundlage für Ihr Gegenüber darstellen. Geht das – und wenn ja, wie?
Es gibt schon heute eine Technologie, die das ermöglicht! Sie beruht auf dem Konzept der Self-Sovereign Identity (Selbstbestimmte Identität) – auch als SSI abgekürzt. SSI stellt uns digitale Nachweise in Form von verifizierbaren "Credentials" zur Verfügung. Ein Credential bildet Identitätsmerkmale von Subjekten (Personen, Dingen oder Unternehmen) in einem kryptographisch gesicherten Format ab, das von Dritten überprüft werden kann. Personalausweise, Führerscheine oder Mitgliedsausweise können als digitale Credentials ausgestellt werden, ebenso wie Universitätsabschlüsse, polizeiliche Führungszeugnisse und vieles mehr. Jedes physische Dokument, mit dem wir uns in der "realen" Welt identifizieren oder bestimmte Berechtigungen nachweisen, kann durch ein digitales Credential ersetzt oder ergänzt werden.
In diesem Artikel beleuchten wir die Grundlagen der SSI-Technologie und zeigen auf, wie die Umsetzung wichtiger Prinzipien realisiert wird. Welche Chancen ergeben sich durch digitale, verifizierbare Credentials auf SSI-Basis und was sind die Voraussetzungen dafür? Wir stellen einen Anwendungsfall im Unternehmensalltag vor und werfen einen Blick auf zurzeit laufende Pilotprojekte.
SSI-Credentials – innovativ und sicher
Gegenüber dem derzeitigen Standard der physischen Nachweise oder der zentralen Speicherung in Datensilos bietet die SSI-Technologie ein innovatives und sicheres Verfahren, die eigenen personenbezogenen Daten selbst zu verwalten und selbstbestimmt mit Dritten auszutauschen. Mit verifizierbaren Credentials auf Basis von SSI können Credentialinhaber ihre Privatsphäre wahren: da die Credentials nur auf ihren eigenen Smartphones gespeichert werden, entscheiden und kontrollieren sie allein, welche Daten mit wem geteilt werden. Man hat dadurch die Option, eine Information nur in Form einer Aussage zu treffen (zum Beispiel: Volljährigkeit trifft zu/trifft nicht zu) oder sie als Klartext offenzulegen (durch Angabe des Geburtsdatums). Das entspricht den höchsten datenschutzrechtlichen Bestimmungen wie denen der DSGVO. Gleichzeitig sorgt die eingesetzte Technologie zuverlässig für die Aktualität und Fälschungssicherheit der geteilten Daten. Wenn ein digitales Credential auf SSI-Basis widerrufen werden muss, wie bspw. beim Führerscheinentzug, kann der Aussteller es ohne großen Aufwand zurückziehen und die prüfende Instanz erkennt, dass das Credential nicht mehr gültig ist.
Grundlagen und Aufbau des SSI-Ökosystems
Im SSI-Ökosystem gibt es drei Rollen, wobei der Endanwender, der sogenannte Credentialinhaber, im Mittelpunkt steht. Er erhält sein digitales, verifizierbares Credential vom Credentialaussteller, einer dazu berechtigten, anerkannten Instanz, welche die Richtigkeit der Informationen auf dem Credential garantiert. Der Endanwender speichert sein Credential mit seinen personenbezogenen Daten in einer Wallet App auf seinem Smartphone. Diese Wallet App stellt die digitale Version einer Brieftasche dar. Nun kann sich der Credentialinhaber gegenüber Dritten, sogenannten Akzeptanzstellen, identifizieren und autorisieren. Dazu sendet die Akzeptanzstelle ihm eine Nachweisanfrage bezüglich des geforderten Informationsinhaltes auf dem Credential. Der Credentialinhaber übermittelt als Antwort eine sogenannte verifizierbare Repräsentation an die Akzeptanzstelle und gibt dadurch bestimmte Inhalte seines Credentials frei. Die Verifizierung der Repräsentationen, d. h. die Prüfung von Gültigkeit und Authentizität, erfolgt hierbei über ein sog. Distributed Ledger, welches die Infrastruktur zur Verifikation bereitstellt, aber keine personenbezogenen Daten selbst speichert. Mehr zum Ledger erfahren Sie im nächsten Abschnitt.
Grundlagen der SSI-Technologie
Zum besseren Verständnis der technischen Umsetzung des SSI-Konzepts sollen im Folgenden drei grundlegende Bausteine der SSI-Technologie näher erläutert werden: Decentralized Identifiers, verifizierbare Credentials und Distributed Ledger.
Decentralized Identifiers (DIDs) sind kryptographisch überprüfbare, digitale Identifikatoren. Man kann sie sich wie eine Identifikationsnummer für Personen, Unternehmen oder Dinge vorstellen. DIDs folgen immer einem ähnlichen, standardisierten Aufbau (did:Methode:idstring, bspw. did:sov:qazWSX3erfcY459iLMh7). Eine DID ist mit einem DID-Dokument verknüpft, das alle erforderlichen Metadaten enthält, um den Besitz und die Kontrolle über eine DID nachzuweisen. Das DID-Dokument enthält außerdem die dazugehörigen kryptographischen Schlüssel und Kommunikationsendpunkte. Wir unterscheiden zwischen public und private DIDs. Public DIDs sind auf dem Ledger dezentral gespeichert (on-ledger) und somit öffentlich einsehbar. Credentialaussteller benötigen für ihre Rolle eine solche public DID. Dahingegen werden private DIDs nicht auf dem Ledger gespeichert (off-ledger). Wollen zwei Parteien (z. B. Aussteller und Inhaber eines Credentials) miteinander kommunizieren, wird von jeder Partei eine einzigartige DID generiert, auch als paarweise pseudonymisierte DIDs bezeichnet. Dadurch wird sichergestellt, dass die Privatsphäre der beteiligten Parteien geschützt wird.
Verifizierbare Credentials sind digitale Credentials, die von einer Akzeptanzstelle überprüft werden können. Zentrale Komponenten des Credentials sind eine oder mehrere Aussagen (auch Claims genannt) über bestimmte Merkmale oder erworbene Qualifikationen eines Subjekts bzw. eines Credentialinhabers. Des Weiteren enthält das verifizierbare Credential Metadaten mit Informationen zu Aussteller, Credentialtyp, Datum und weitere Datenfelder, die das Credential beschreiben. Den letzten Teil bildet der digitale Beweis in Form einer digitalen Signatur. Diese stellt sicher, dass die Einträge tatsächlich vom Aussteller vorgenommen und nicht nachträglich geändert wurden. Mit Hilfe dieser kryptographisch verschlüsselten Daten kann man die Authentizität von Aussteller und Inhaber eines Credentials beweisen, ebenso wie die Unversehrtheit der Aussagen.
Distributed-Ledger-Technologie stellt eine weltweit verfügbare Infrastruktur für SSI bereit. Sie ermöglicht die Prüfung der Credentials durch die Akzeptanzstelle und fungiert daher als Vertrauensanker zwischen Akzeptanzstelle und Aussteller. Das Distributed Ledger ist eine dezentrale Datenbank, das heißt, die Daten werden nicht zentral an einer Stelle gespeichert, sondern auf viele, global verteilte Knoten geschrieben, wovon jede eine Kopie des Ledgers enthält. Es handelt sich hierbei um einen hochverfügbaren und -performanten, persistenten und unveränderlichen Datenspeicher. Im SSI-Kontext werden auf dem Distributed Ledger nur jene Daten gespeichert, die die Gültigkeit und Authentizität des Credentials bestätigen. Gegebenenfalls sind auf dem Ledger auch Informationen zu Widerrufsmechanismen hinterlegt. Personenbezogene Daten, also die Credentials an sich, private Schlüssel und DIDs verbleiben beim Credentialinhaber und werden nur auf seinem Smartphone, nicht auf dem Ledger gespeichert.
Die drei beschriebenen Bausteine sind unabdingbar für das Zusammenspiel der einzelnen Rollen und für das gegenseitige Vertrauen im sogenannten SSI-Ökosystem. Die Einbindung mehrerer unterschiedlicher Distributed Ledger (z. B. Sovrin oder IDunion) ist möglich. Diese müssen dieselbe technische Basis haben, um Interoperabilität zu erleichtern. Mit einer Open-Source-Lösung wie der von Hyperledger Aries, Hyperledger Indy und Hyperledger Ursa (Hyperledger – Open Source Blockchain Technologies) kann die Interoperabilität zwischen den einzelnen Netzwerken, Verwaltungsdomänen, Projekten und Anwendungen unterstützt werden. Hyperledger stellt hierfür standardisierte Protokolle, Frameworks und andere Werkzeuge bereit. So können die nutzerorientierten Charakteristika von SSI voll ausgeschöpft werden. Diese werden wir in den folgenden Kapiteln näher erläutern.
Vorteile der SSI-Technologie
Benutzerfreundlichkeit
Dank verifizierbarer Credentials lassen sich alle wichtigen Dokumente und Ausweise kompakt und digital auf dem eigenen Smartphone speichern. Der Nutzer kann diese Nachweise jederzeit mit sich führen und bei Bedarf vorzeigen. Papierdokumente und Plastikkarten werden obsolet bzw. können durch ihre digitale Version ergänzt werden. Beispielsweise können Bewerber ihre Qualifikationen, Zeugnisse und Arbeitsreferenzen ganz einfach als digitale Credentials speichern und sich so das Einscannen oder Kopieren von Dokumenten sparen.
Datensicherheit
Credentials auf SSI-Basis werden ausschließlich der berechtigten Person zugeteilt und in ihrer Wallet App auf dem eigenen Smartphone sicher verwahrt. Nur der Nutzer als Credentialinhaber kann Informationen aus den Credentials vorzeigen. Der Zugriff auf die Credentials kann zusätzlich über Zwei-Faktor-Authentifizierung (2FA) bzw. Multi-Faktor-Authentifizierung (MFA) sichergestellt werden. Die Daten werden über kryptographische Funktionen, die vom jeweiligen Betriebssystem zur Verfügung gestellt werden, sicher gespeichert.
Bei einer Kompromittierung oder beim Verlust des Smartphones kann der Nutzer die Verwendung seiner Credentials unterbinden (Fernlöschung des Geräts) und über ein Backup wiederherstellen.
Datenschutz
Zentrales Charakteristikum von SSI ist, dass der Nutzer die Hoheit über seine personenbezogenen Daten besitzt. Er selbst verwaltet die Datenflüsse und entscheidet, mit wem und zu welchem Zweck er seine Daten teilt. Aussteller und Akzeptanzstellen verarbeiten personenbezogene Daten in ihren internen Systemen unter eigenverantwortlicher Erfüllung der Anforderungen der DSGVO. Technisch umgesetzt wird das auf drei ineinandergreifenden Ebenen, sodass eine Nachverfolgung der Kommunikation der beteiligten Parteien durch Dritte nicht möglich ist – weder über eine DID, ein Credential oder über die Kommunikationskanäle.
- Auf dem Distributed Ledger sind nur solche Daten gespeichert, die für die Verifizierung des Credentials notwendig sind. Dazu gehören public DIDs und public Schlüssel des Credentialausstellers, Informationen zu verwendeten Verifizierungsmechanismen, Credential-Schemata und -Definitionen mit Beschreibungen der Attribute und Gültigkeitsdefinitionen und kryptographische Akkumulatoren für widerrufene Credentials. Es werden keine personenbezogenen Daten auf dem Ledger verarbeitet oder gespeichert. Diese verbleiben beim Inhaber.
- Bei jeder Interaktion zwischen den Rollen im SSI-Ökosystem wird eine private, sichere Peer-to-Peer-Verbindung aufgebaut. Von beiden Seiten wird dann jeweils eine einzigartige DID (paarweise pseudonymisierte DID) und ein dazugehöriges Schlüsselpaar, bestehend aus einem Signier- und Verifikationsschlüssel, erstellt. Da keine Partei einen Verifikationsschlüssel mehrmals verwendet, ist ein hohes Maß an Sicherheit gegeben. Der Verbindungsaufbau zwischen beiden Parteien und der Austausch der DIDs und Schlüssel findet außerhalb des Ledgers statt. Eine Kommunikation der Parteien ist somit auch nirgends öffentlich dokumentiert. Darüber hinaus ermöglichen paarweise pseudonymisierte DIDs es einem Credentialinhaber, seine Interaktion mit einer Partei vollständig von der mit jeder anderen Partei zu trennen. Der Credentialinhaber ist die einzige Person, die paarweise pseudonymisierte DIDs korrelieren kann. Dies bedeutet, dass die Beziehung, die eine Person z. B. mit ihrer Bank aufbaut, völlig getrennt von der Beziehung ist, die sie z. B. mit einem Einzelhändler aufbaut. So können weder die Bank noch der Händler ihre DIDs nutzen, um die Aktivitäten des Credentialinhabers mit dem jeweils Anderen in Verbindung zu bringen.
- Darüber hinaus steht SSI für Transparenz, weil der Inhaber eines Credentials jederzeit die Möglichkeit hat, alle von ihm getätigten Transaktionen nachzuvollziehen. Er sieht also in seiner Wallet-App, wann er welche Daten mit wem geteilt hat.
Datenintegrität
Datenintegrität bedeutet, dass die Daten echt und vollständig sind und nicht modifiziert – also gefälscht – wurden. Im Kontext von SSI unterscheidet man zwei Arten von Daten: die personenbezogenen Daten und die Metadaten, mit denen Gültigkeit und Authentizität der Credentials sichergestellt werden.
- Wie bereits dargestellt sind die personenbezogenen Daten im Credential nur lokal auf dem Smartphone des Credentialinhabers gespeichert. Auf dieser Ebene wird Datenintegrität durch die digitale Signatur des Credentialausstellers über den gesamten Inhalt des Credentials sichergestellt. Die Informationen können somit nicht nachträglich modifiziert werden. Mit seiner Signatur "bürgt" der Aussteller in kryptographischer Form für die Echtheit des Credentials und ermöglicht darüber hinaus, den Ursprung des Credentials nachzuvollziehen.
- Die Daten, die für die Akzeptanzstellen notwendig sind, um die Gültigkeit und Authentizität der Credentials verifizieren zu können, sind – wie oben beschrieben – auf dem Distributed Ledger gespeichert. Hier wird Datenintegrität durch die spezielle Architektur der Datenbank sichergestellt: Die Daten werden dauerhaft auf dem Ledger gespeichert und können nicht gelöscht werden. Somit sind sie resistent gegen Manipulationen.
Verifizierbarkeit trotz Datensparsamkeit
Auch im Falle minimaler Informationsübermittlung bei einer selektiven Offenlegung oder einem Zero-Knowledge Proof kann die Authentizität der Credentials zuverlässig überprüft werden. Bei der selektiven Offenlegung fragt die Akzeptanzstelle spezifische Informationen, d. h. einzelne Attribute, aus einem Credential ab, ohne dass der Credentialinhaber das vollständige Credential vorzeigen muss. Bei einem Zero-Knowledge Proof wird nur die Bestätigung der eigentlichen Information(en) (im Sinne von "trifft zu"/"trifft nicht zu") verlangt. Kryptographische Methoden mit Zero-Knowledge basieren auf digitalen Signaturen. Zero-Knowledge-Proof-Signaturen lassen keine Rückschlüsse auf den Unterzeichner zu.
Beim Verifizieren wird die Authentizität eines Credentials in mehrerer Hinsicht geprüft. Sowohl die Authentizität des Inhabers als auch die des Ausstellers werden über kryptographische Beweise sichergestellt. Eine Kontaktaufnahme zwischen Akzeptanzstelle und Aussteller findet nicht statt. Die Gültigkeitsprüfung eines Credentials, d. h. der Nachweis, dass das Credential in der Zwischenzeit nicht widerrufen wurde, kann über kryptographische Akkumulatoren mithilfe des Distributed Ledgers erfolgen.
Widerrufen von Credentials
Es gibt Situationen, in denen ein bereits ausgestelltes SSI-Credential widerrufen werden soll. Beispielsweise muss beim Entzug eines Mitarbeiterausweises die Akzeptanzstelle (die Zugangskontrolle des Arbeitgebers) zuverlässig erkennen, dass der ausgeschiedene Mitarbeiter die Räumlichkeiten nicht mehr betreten darf.
Zur Prüfung des Widerrufstatus eines Credentials werden kryptographische Akkumulatoren verwendet – eine von Hyperledger Indy bereitgestellte Standardmethode. Stark vereinfacht lässt sich das Prinzip so beschreiben: Der Credentialinhaber erbringt gegenüber der Akzeptanzstelle den Beweis, dass sein Credential nicht widerrufen wurde, indem er den Wert des zu seinem Credential gehörigen Akkumulators reproduziert. Die Akzeptanzstelle gleicht diesen Wert mit dem Wert des Akkumulators im Register für widerrufene Credentials auf dem Distributed Ledger ab. Dort sind die Akkumulatoren hinterlegt und öffentlich einsehbar. Ist der Akkumulator auf dem Ledger identisch mit dem Ergebnis des Inhabers, ist der Beweis für die Gültigkeit des Credentials erfolgt. Dieses Prüfverfahren erfolgt im Hintergrund über die Wallet-Apps der beteiligten Parteien. Zudem bleiben Details, mit denen der Inhaber den Akkumulator abgeleitet hat, der Akzeptanzstelle vollständig verborgen.
Es wird keine Liste der widerrufenen Credentials selbst offengelegt. Die Privatsphäre jedes Credentialinhabers ist somit entsprechend den Anforderungen der DSGVO geschützt.
Maschinenlesbarkeit
Digitale Credentials auf SSI-Basis können aufgrund ihrer Maschinenlesbarkeit leicht in bestehende automatisierte Prozesse integriert werden. Ihnen kommt somit eine Schlüsselrolle bei der Digitalisierung zu.
Digitale Credentials auf SSI-Basis in der praktischen Anwendung
Use Case: Identitäts- und Berechtigungsmanagement
Die SSI-Technologie ist prädestiniert dafür, Abläufe in Unternehmen zu vereinfachen und zu beschleunigen. Das verdeutlichen wir am Beispiel des Identity & Access Managements (IAM), mit dem Unternehmen ihre geschäftskritischen Informationen schützen. Das Identitäts- und Berechtigungsmanagement erteilt den Mitarbeitenden dezidierte Zugriffsberechtigungen auf Systeme und Anwendungen, in Abhängigkeit von ihrer Rolle und ihren Aufgaben. Jedes Mal, wenn sich die Aufgaben eines Mitarbeiters ändern, müssen auch seine Berechtigungen angepasst werden. Die Verwaltung dieser Regeln ist oft unübersichtlich, ineffizient und fehleranfällig.
Digitale Credentials auf Basis von SSI können diese Zugangsberechtigungen sicher und effizient abbilden und sind nutzerfreundlich in der Anwendung. Auch aus technischer Sicht ist die Integration von SSI in bestehende IT-Infrastrukturen unkompliziert. Vorhandene IT-Anwendungen, Verzeichnisdienste oder Managementsysteme müssen nicht angepasst werden. In der Regel geht man von der Unternehmensstruktur aus und leitet daraus passende Credentials für die Authentifizierung und Autorisierung ab. Ein Credential kann z. B. ein Mitarbeiterausweis sein, der als Nachweis für die Zugehörigkeit zum Unternehmen, zu einer bestimmten Abteilung oder für eine Rolle in einem Projekt (Projektverantwortlicher) dient.
Im Folgenden beschreiben wir detailliert, wie ein digitales, verifizierbares Credential für das IAM sinnvoll aufgebaut werden kann. Es beginnt mit einem Credentialschema (s. Abb. 2). Ein Schema beschreibt mögliche Attribute auf einem Credential. Während einige Organisationen mit speziellen Anforderungen an Credentials ihre eigenen Schemata schreiben möchten, werden mit zunehmender Nutzung viele Unternehmen mit einem Schema arbeiten, das ihrem Anwendungsfall entspricht und direkt einsetzbar ist. Grundsätzlich sollte ein Credentialschema generisch und auf viele Unternehmen anwendbar sein. Es macht Sinn, ein Ablaufdatum und ein Ausstellungsdatum in jedes Schema aufzunehmen, auch wenn ein Widerruf des Credentials möglich sein soll. Es erleichtert den Beteiligten zu referenzieren, wann der Benutzer dieses Credential erhalten hat und wie lange es gültig ist. Im Folgenden schauen wir uns einige Schemabeispiele von potenziellen Credentials im Unternehmenskontext an und vollziehen die verwendeten Attribute gemeinsam nach.
Damit ein Mitarbeiter in der Lage ist, seine Zugehörigkeit zum Unternehmen nachzuweisen, wurde ein Schema für einen Mitarbeiterausweis erstellt (s. Abb. 2). Die Abteilungsinformationen wurden in diesem Schema bewusst weggelassen, da Abteilungszugehörigkeiten häufiger wechseln können als die allgemeinen Beschäftigungsdaten. Das Gleiche gilt für Projektzugehörigkeiten. Dafür wurde jeweils ein eigenes Schema erstellt.
Ein Schema für einen Mitarbeiterausweis kann die folgenden Attribute enthalten:
• Arbeitgeber • Mitarbeiter-ID • Nutzer-ID • E-Mail • Beschäftigungsart
• Ausstellungsdatum • Ablaufdatum
Ein Schema für eine Projektzugehörigkeit zu internen oder externen Projekten kann die folgenden Attribute enthalten:
• Projektrolle • Projekt-ID • Projektname • Ausstellungsdatum • Ablaufdatum
Tochterunternehmen oder Konzernteile können das gleiche Schema verwenden, müssen aber jeweils ihre eigene Credentialdefinition aus den Schemata erstellen. Daraus können die jeweils benötigten, spezifischen Credentials erstellt werden. Durch die im Credential vermerkte Credentialdefinition, die die schematische Struktur des Credentials beschreibt, kann das Credential eindeutig einem Aussteller über seine public DID zugeordnet werden (s. Abb. 2). Des Weiteren kann auf Ebene der Credentialdefinitionen eine Widerruf-Funktion verwendet werden, um eine Berechtigung zu widerrufen, z. B. wenn ein Mitarbeiter die Abteilung wechselt oder das Unternehmen verlässt.
Schließlich können Zugriffsregeln für Systeme und Anwendungen erstellt werden, die auf den Credentials basieren, welche an die Mitarbeitenden ausgestellt wurden. Ein Satz von Zugriffsregeln legt fest, wer auf was Zugriff erhält. Beispielsweise hat jeder Mitarbeiter Zugriff auf das Intranet des Unternehmens. Es reicht demnach ein Credential, das Mitarbeiterzertifikat, aus. Aber nur wer zusätzlich eine Projektzugehörigkeit zu einem bestimmten Projekt nachweisen kann, darf auch auf interne projektspezifische Daten zugreifen. Hierbei werden Authentifizierungs- und Autorisierungsregeln aus Attributen eines oder mehrerer Credentials abgeleitet. Dies wird als Credential-Based Access Control (CrBAC) bezeichnet, eine spezielle Variante der attributbasierten Zugriffskontrolle.
Schauen wir uns das an einem konkreten Anwendungsbeispiel an:
Ein neuer Mitarbeiter erhält beim Onboarding seinen Mitarbeiterausweis in Form eines Credentials (s. Abb. 2). Danach bittet man ihn, mit seinem Smartphone einen QR-Code zu scannen und dem Empfang des Credentials auf seinem Smartphone zuzustimmen. Der Mitarbeiter speichert es in seiner Wallet-App und ist nun Credentialinhaber. Von seinem Projektleiter erhält er ein zweites Credential, mit dem er seine Mitarbeit am Projekt nachweisen kann – begrenzt für die Dauer von sechs Monaten.
Der neue Mitarbeiter möchte nun zum ersten Mal Zugriff auf projektspezifische Daten nehmen. Dafür scannt er mit seinem Smartphone einen QR-Code, der ihm beim Öffnen eines Ordners angezeigt wird. Es wird der Nachweis verlangt, dass er Mitarbeiter des Unternehmens ist und am entsprechenden Projekt mitarbeitet. Dies kann er mit seinen Credentials in seiner Wallet-App bestätigen. Das Mitarbeiterausweis-Credential muss den richtigen Arbeitgebernamen enthalten und im Credential für die Projektzugehörigkeit muss der entsprechende Projektname hinterlegt sein. Zudem wird die Gültigkeit mit der Regel "Ablaufdatum ≥ heutiges Datum" geprüft. Die Attribute "Arbeitgeber", "Projektname" und "Ablaufdatum" müssen dabei offengelegt werden. Nach erfolgreicher Prüfung mithilfe des Distributed Ledgers erhält der neue Mitarbeiter Zugang zu den Daten – ganz ohne Passwort. Sein Zugang zu projektinternen Daten erlischt automatisch mit dem Ablaufdatum oder einer Revozierung der Credentials und muss ggf. neu ausgestellt werden.
Aktuelle Entwicklungen von Digitalen Identitäten auf Basis von SSI
SSI ist mittlerweile ein globales Thema mit enormer Strahlkraft. Öffentliche Institutionen ebenso wie Unternehmen und Public Private Partnerships haben das Potential der SSI-Technologie erkannt und auf nationaler und internationaler Ebene verschiedene Projekte zur konkreten Umsetzung angestoßen. Das Leuchtturmprojekt "IDunion" veranschaulicht beispielhaft die aktuellen Entwicklungen und die Vorteile von digitalen Identitäten auf SSI-Basis.
Der Innovationswettbewerb "Schaufenster sichere digitale Identitäten" wurde durch das Bundesministerium für Wirtschaft und Energie im Jahr 2020 initiiert. Neben drei weiteren Beteiligten ging das aus 15 Partnern bestehende Konsortium IDunion aus dem Wettbewerb erfolgreich hervor und wird nun das Konzept einer selbst-souveränen digitalen Identität vorantreiben und in Anwendungsfällen erproben. IDunion soll für Wirtschaft, Verwaltung und Bürger eine Infrastruktur für ein datensicheres, vertrauensbasiertes Ökosystem bereitstellen. Alle Teilnehmer des Ökosystems sollen die unterschiedlichsten digitalen Identitätsdaten und -informationen sicher und selbstbestimmt austauschen und nutzen können. Das umfasst bspw. Meldedaten, Zertifikate, Eintrittskarten und Fahrscheine aber auch klassische Logins zu Webseiten oder Zugang zu Gebäuden. Die zurzeit von IDunion pilotierten Arbeitspakete sind branchenübergreifend und umfassen eine breite Palette von Anwendungen auf den Gebieten Sicherheit und Cybersecurity, Bildung, Finanzindustrie, Internet of Things u. v. m. Im Zuge der geplanten europäischen digitalen Identität (EUid) und der Etablierung einer europäischen Wallet widmet sich IDunion der Anbindung an nationale eID-Lösungen und der Interoperabilität zwischen verschiedenen Wallets. Über das Projekt hinaus hat IDunion sich das Ziel gesetzt, ganz Europa zu bedienen und plant im Jahre 2022 die Gründung einer europäischen Genossenschaft – einer Societas Cooperativa Europaea (SCE).
Fazit
Mit SSI-basierten Credentials gelingt die Transformation zu einer sicheren, digitalisierten Wirtschaft und Gesellschaft. Sie sind mehr als nur die digitale Alternative zu einem Papierdokument oder einem anderen physischen Credential. Dem Grundsatz der selbstbestimmten Identität verpflichtet, sind sie auch ein Garant für Privatsphäre, Datenschutz und Unabhängigkeit von großen Plattformprovidern. Wenn Bürgerinnen und Bürger selbst entscheiden können, mit wem sie personenbezogene Daten teilen, haben datenhungrige Großkonzerne das Nachsehen. Der Griff zum Smartphone wird durch die Abbildung von Vertrauen eine positive Konnotation erfahren: mit digitalen Credentials für eine sichere, dezentral kontrollierte Identifizierung meiner Selbst und meines Gegenübers.
