Abstract: Digitalisierung benötigt verlässliche Standards. Wir möchten uns mit unserer digitalen Identität sicher und unter Wahrung der Privatsphäre im Netz bewegen. Dafür steht das Konzept der Self-Sovereign Identity (SSI). Dieser Artikel erläutert die Grundlagen von SSI und zeigt ihre Vorteile am Beispiel von praktischen Anwendungen auf.
Im Zuge der Digitalisierung von Wirtschaft und Gesellschaft werden täglich neue Anwendungen umgesetzt, mit denen Prozesse vereinfacht und beschleunigt werden. In dieser digitalen Welt möchten wir mit der gleichen Freiheit und Sicherheit interagieren wie im echten Leben, deshalb brauchen wir ein zuverlässiges und datenschutzkonformes System für die Verwaltung unserer Identitäten. Ist eine digitale, nur vom Nutzer kontrollierte und damit “selbstbestimmte” Identität noch Vision oder bereits Wirklichkeit? Dieser Artikel geht der Frage nach, was selbstbestimmte Identitäten sind und welche Voraussetzungen dafür benötigt werden. Anhand von praktischen Anwendungsfällen werden Einsatzmöglichkeiten erörtert.

„Wer bin ich, und wenn ja, in wie vielen Versionen?“

Der durchschnittliche europäische Bürger besitzt ca. 90 digitale Identitäten (Tendenz steigend), die er in unterschiedlichen Kontexten nutzt – zum Online-Shopping, zum Online-Banking, für Social Media und vieles mehr. (Bundesdruckerei, 2020) Leicht verliert man den Überblick, wo man sich mit welchen Login-Daten angemeldet hat. Man hat keine Kontrolle, was mit den überlassenen persönlichen Daten geschieht und mit wem diese geteilt werden.

Als Gegenentwurf hierzu setzt sich seit einigen Jahren das Konzept der selbstbestimmten Identität – Self-Sovereign Identity (SSI) – mehr und mehr durch. Der wichtigste Grundsatz von SSI ist: Der Mensch steht immer im Mittelpunkt. Er hat die volle Kontrolle über seine persönlichen Daten und kann selbst bestimmen, wer Zugriff auf welche seiner Daten erhält. Wie funktioniert dieses Konzept und welches sind die technischen Voraussetzungen? Schauen wir uns das einmal an einem konkreten Beispiel an:

Mitte Mai 2021 hat die Bundesregierung das erste Pilotprojekt zur Digitalen Identität auf Basis von SSI gestartet: den digitalen Hotel Check-in. (Bundesregierung, 2021) Mitarbeitende mehrerer deutscher Unternehmen – das sind insgesamt rd. 200.000 Personen – können ab sofort komplett digital und kontaktlos in teilnehmenden Hotels einchecken.

Bei diesem Pilotprojekt sind die persönlichen Daten des Nutzers in Form von kryptographisch gesicherten digitalen Nachweisen (Credentials) in einer digitalen Brieftasche (Wallet App) auf seinem eigenen mobilen Endgerät (Smartphone oder Tablet) gespeichert. Der Nutzer nimmt dabei die Rolle des Credentialinhabers (Holders) ein. Credentials kann man sich wie die digitale Version eines Ausweisdokuments vorstellen – z.B. den Personalausweis, den man bei sich trägt und bei der Hotelrezeption vorzeigt. Die Gesamtheit aller Credentials bildet die digitale Identität des Credentialinhabers ab: seine Identitätsmerkmale wie Alter oder Geschlecht, seine Qualifikationen oder temporären Berechtigungen, beispielsweise die Zugehörigkeit zu einem Unternehmen, und vieles mehr. Aussteller (Issuer) dieser Credentials können Behörden, Institutionen und andere vertrauenswürdige Stellen wie Banken, Universitäten oder Krankenkassen sein. Beim Hotel Check-in fungieren zwei Instanzen als Credentialaussteller: der jeweilige Arbeitgeber für den digitalen Nachweis der Firmenadresse und die Bundesdruckerei für den digitalen Nachweis auf Basis des Personalausweises. Der Firmenreisende kann durch seine Verifiable Credentials seine Identität und die Firmenadresse gegenüber dem Hotel zweifelsfrei nachweisen. Der Prozess läuft vollständig digital ab und macht jegliche Papierdokumentation, wie z.B. das Ausfüllen des Meldescheins, überflüssig. Das Hotel hat hier die Rolle der Akzeptanzstelle (Verifier): es überprüft die Echtheit und Gültigkeit der Informationen auf dem Credential durch Abgleich mit der dezentralen Datenbank. Welche entscheidende Rolle diese Datenbank für das Vertrauen zwischen Credentialaussteller und Akzeptanzstelle spielt, erläutern wir im folgenden Abschnitt.

Vertrauen als Voraussetzung für das „SSI Ökosystem“

Beim Hotel Check-in, beim online-Shopping ebenso wie bei geschäftlichen Transaktionen im digitalen Raum möchte man sich der Identität des Gegenübers vergewissern können. Ein funktionierendes SSI-Ökosystem kann Vertrauen abbilden, indem die digitale Identität durch eine autorisierte Instanz bestätigt und mittels Credential belegt wird.

Für die Bestätigung dieser Identität wird ein Netzwerk von verteilten (dezentralen) Datenbanken, auch als „Distributed Ledger“ bezeichnet, benötigt. Sie bieten Resistenz gegen Manipulation und sichern jederzeit die Aktualität der Daten, indem die einzelnen Datenbanken jeweils die gleichen Informationen speichern und synchronisieren. Auf einer solchen dezentralen Datenbank werden bei Ausstellung eines Credentials alle für die Authentizität und Gültigkeit des Credentials essenziellen Daten abgelegt. Unter diese Daten fallen öffentliche DIDs und Schlüssel des Ausstellers, Informationen zum Verifizierungsmechanismus zur Überprüfung der Credentials, sowie Credentialvorlagen zur Beschreibung der Attribute und Gültigkeitsdefinitionen. Auch Widerrufe sind hinterlegt, mit denen ein Credential zurückgezogen werden kann. Fragt eine Akzeptanzstelle Informationen in Bezug auf einen Credentialinhaber an, werden Authentizität und Gültigkeit der übermittelten Credentialinformationen auf der dezentralen Datenbank überprüft. Somit fungiert die dezentrale Datenbank als „Vertrauensanker“ und sichert die Echtheit des Credentials, ohne irgendwelche persönlichen Daten des Credentialinhabers zu speichern.

Im Folgenden werden weitere Anwendungsfälle von Digitalen Identitäten auf Basis von SSI aus der Praxis vorgestellt, die bereits erfolgreich eingesetzt werden. (esatus AG, 2021) (DB Systel, 2020) (esatus AG, 2020) Diese zeigen, dass SSI kein abstraktes, in weiter Zukunft liegendes Konzept mehr ist. Bereits heute können Wirtschaft und Gesellschaft von konkreten, messbaren Vorteilen profitieren, und gleichzeitig die Selbstbestimmtheit jedes Einzelnen über die persönlichen Daten wahren.

Anwendungsfall 1: Identitäts- und Berechtigungsmanagement auf Basis von SSI

Für Unternehmen ist das interne Zugangsmanagement zu Systemen und Anwendungen von essenzieller Bedeutung. Sie schützen ihre geschäftskritischen Informationen mit Identitäts- und Berechtigungsmanagement (Identity & Access Management, IAM). Mitarbeiter erhalten dezidierte Zugriffsberechtigungen in Abhängigkeit von ihrer Tätigkeit; bei Mitarbeiterwechseln oder veränderten Rollen müssen diese Berechtigungen zeitnah gelöscht oder angepasst werden. Viele Unternehmen arbeiten hier mit hochkomplexen, ineffizienten und fehleranfälligen Strukturen.

Auch Vertrauensbeziehungen zwischen Arbeitgeber und -nehmer können mit Credentials auf Basis von SSI abgebildet und in vorhandene IT-Infrastrukturen integriert werden. Wie eine nutzerfreundliche Anwendung von SSI in der IAM-Praxis aussieht, zeigen wir im Folgenden am Beispiel unseres Protagonisten Sam.

Ein Mitarbeiter der Personalabteilung (Credentialaussteller) stellt Sam einen Mitarbeiterausweis in Form eines Credentials aus. Dazu wird Sam aufgefordert, einen QR-Code mit seinem Smartphone zu scannen, den Empfang des Credentials zu bestätigen und es in seiner Wallet App zu speichern. Sam ist nun Inhaber des Credentials. Ein zweites stellt ihm sein Teamleiter aus. Es weist Sams Zugehörigkeit zu seinem Team nach – begrenzt für die Dauer von sechs Monaten.

Für den täglichen Zugang zur Unternehmenssoftware scannt Sam mit seinem Smartphone einen QR-Code, der ihm auf dem Willkommensbildschirm (Akzeptanzstelle) angezeigt wird. Als nächstes bestätigt Sam mit Hilfe seiner Credentials in der Wallet App, dass er Mitarbeiter des Unternehmens ist und zum entsprechenden Team gehört. Nach erfolgreicher Prüfung durch die Akzeptanzstelle erhält er Zugang zum Programm – ganz ohne Passwort. Sein Zugang zu Team-internen Daten erlischt automatisch nach sechs Monaten und muss ggf. neu ausgestellt werden.

Unternehmen und Organisationen jeglicher Art, von multi-nationalen Konzernen mit vielen Tochterunternehmen, Niederlassungen und externen Partnern, bis hin zu KMUs, Vereinen und Verbänden sind prädestiniert für den Einsatz von digitalen Credentials für das IAM. Die Anwendung ist auch erweiterbar auf den physischen Zutritt zu betriebsfremden Organisationen. Beispielsweise kann ein Arbeitgeber seinen Mitarbeitern kostenfreien Zutritt zu einem Fitnessstudio gewähren. Das Credential dient als Nachweis der Firmenzugehörigkeit, der Mitarbeiter erhält Zugang durch Scannen eines QR-Codes. Weitere persönlichen Daten werden nicht an das Fitnessstudio übermittelt.

Anwendungsfall 2: Mit digitalen Identitäten den Zugang zu komplexen Infrastrukturen einfach und sicher managen

Im folgenden Use Case wird aufgezeigt, wie komplexe Abläufe auf einer Großbaustelle mit Credentials auf Basis von SSI gesteuert werden können.

Bei einer Großbaustelle sind Dutzende Firmen mit Hunderten von Mitarbeitern beteiligt. Es muss sichergestellt sein, dass nur berechtigte Personen mit gültigen Papieren Zutritt erhalten. Diese Papiere wie z.B. der Mitarbeiterausweis, eine Arbeitserlaubnis oder ein Kranführerschein, müssen vorgezeigt und, für den Fall von Kontrollen, immer mitgeführt werden. Wie sich die Komplexität des Baustellenmanagements mit SSI deutlich reduzieren lässt, zeigen wir wieder an unserem Protagonisten Sam, der einen neuen Job bei einem Bauunternehmen hat.

Sam ist bei einer Großbaustelle im Gewerk Rohbauarbeiten eingesetzt. Am ersten Arbeitstag bei seinem neuen Arbeitgeber hat Sam alle erforderlichen Papiere im Original mitgebracht. Der Personalverantwortliche (Credentialaussteller) überprüft diese und stellt Sam für jedes verifizierte Dokument ein entsprechendes Credential mit Ablaufdatum aus. Sam (Credentialinhaber) empfängt und speichert alle seine Credentials in seiner Wallet App. Diese dienen ihm als Legitimation für den Baustellenzugang.

An seinem ersten Einsatztag auf der Baustelle trägt Sam nur sein Smartphone bei sich. Am Eingang zur Baustelle zeigt ihm der Security-Mitarbeiter (Akzeptanzstelle) einen QR-Code auf einem Tablet und bittet Sam, diesen mit seinem Smartphone zu scannen. Sams Wallet App fordert ihn auf, den Nachweis über seine Firmenzugehörigkeit, seine Arbeitserlaubnis und die Arbeitsschutzbescheinigung einschließlich eines Mitarbeiterfotos an die App des Wachschutzes zu übermitteln. Die App bestätigt, dass diese Dokumente vorliegen, und zeigt Sams Mitarbeiterfoto an. Weitere persönliche Daten werden nicht preisgegeben. Nach erfolgreicher Prüfung wird Sam der Zutritt zur Baustelle gewährt. Sollte ein Credential abgelaufen sein, wird er verweigert.

Ein solches Pilotprojekt wird seit einigen Monaten erfolgreich auf einer Großbaustelle in Deutschland getestet. Von dieser Vereinfachung des Baustellenmanagements profitieren alle am Bau Beteiligten: Subunternehmer, Lieferanten und externe Partner wie Architekten, Ingenieure, Sicherheitsbeauftragte und Zollbeamte. Es ergeben sich weitere spannende Anwendungsmöglichkeiten wie z.B. individuelle Zugangsberechtigungen von begrenzter Dauer für Besucher oder Lieferanten.

Dieser Anwendungsfall zeigt, wie mit digitalen Identitäten und SSI komplexe Abläufe effizienter gesteuert werden können. Das hier beschriebene Verfahren kann auf andere Use cases übertragen werden, wie z.B. auf den Zugang von Gästen und Mitarbeitern eines Hotels oder Mitarbeiter eines Flughafens.

Auf einen Blick: Die Vorteile digitaler Identitäten mit SSI

• Kostenreduktion dank verbesserter Effizienz und höherer Flexibilität
• Vereinfachung von komplexen Prozessen
• Minimierung des Risikos von Datenverstößen
• Minimierung des Hacking-Risikos dank passwortloser Anmeldung

Vorteile aus Unternehmer- und aus Mitarbeitersicht:

Digitale Identitäten mit SSI – Schlüsselfaktor der Digitalisierung

Digitalisierung benötigt verlässliche Standards, um nachhaltig und zukunftssicher zu sein. Das am Menschen und seiner Datenhoheit orientierte Konzept der Self-Sovereign Identity spielt dabei eine Schlüsselrolle. Auf nationaler und internationaler Ebene loten derzeit Regierungsstellen ebenso wie privatwirtschaftliche Initiativen das Potential dieser Technologie aus und fördern die produktive Nutzung diverser Umsetzungsvorhaben. Der Hotel Check-in ist ein Beispiel für die erfolgreiche Umsetzung von SSI durch Zusammenarbeit von Staat und Wirtschaft. Zahlreiche Leuchtturmprojekte belegen bereits, dass eine selbstbestimmte, digitale Identität kein theoretisches Konzept mehr ist. Angesichts des enormen Momentums der SSI-Bewegung darf man auf die weitere Entwicklung gespannt sein!

Referenzen

[1] Bundesdruckerei. (02. 06 2020). https://www.bundesdruckerei.de/. Von https://www.bundesdruckerei.de/de/Fokusthemen/Magazin/So-entwickeln-sie-sich-weiter abgerufen

[2] Bundesregierung. (17. 05 2021). Bundesregierung. Von https://www.bundesregierung.de/breg-de/aktuelles/start-pilot-hotel-check-in-1914392 abgerufen

[3] DB Systel. (12 2020). https://digitalspirit.dbsystel.de. Von https://digitalspirit.dbsystel.de/das-neue-gesicht-des-identitaetsmanagements/ abgerufen

[4] esatus AG. (15. 12 2020). https://esatus.com. Von https://esatus.com/digitale-identitaet-der-zukunft-schon-heute-im-einsatz-bei-cardossier/ abgerufen

[5] esatus AG. (04. 02 2021). https://esatus.com. Von https://esatus.com/identitaetsmanagement-der-zukunft-erfolgreich-getestet-bei-der-db-systel-gmbh/ abgerufen