Von Ralf Keuper
Dass Mastercard das Thema Digitale Identitäten für sich entdeckt hat, ist nich neu. Auf diesem Blog wurden die Aktivitäten von Mastercard in Mastercard und Microsoft planen gemeinsame Digital Identity – Lösung aufgegriffen.
Nun hat Mastercard den nächsten Schritt vollzogen und sein verbraucherzentriertes Modell für die digitale Identität vorgestellt.
Mastercard hat .. ein Modell für die digitale Identität in einer zunehmend vernetzten Welt vorgestellt. Das Konzept Restoring Trust in a Digital World gibt einen detaillierten Überblick darüber, wie digitale Identität funktionieren wird – angefangen bei Einzelpersonen, die im Zentrum jeder digitalen Interaktion stehen. Als Leitfaden für dieses Modell dienen die Principles of Digital Identity von Mastercard. Diese Grundsätze konzentrieren sich auf Datenrechte und ‑besitz, Vertraulichkeit, Zustimmung, Transparenz, Sicherheit und Inklusion. Sie ergeben ein grundlegendes Persönlichkeitsrecht: „Ich besitze meine Identität und habe Kontrolle über meine Identitätsdaten.” (Quelle: Mastercard stellt verbraucherzentriertes Modell für die digitale Identität vor).
Das Modell folgt dem Prinzip Datenschutz by Design:
Es wird digitale Interaktionen mit minimalem Datenaustausch ermöglichen und Daten und die Verwendung von Daten so schützen, dass die Nutzer die Kontrolle haben, wobei die Identität einer Person sicher mit ihrem Smartphone verknüpft ist. Der Zugang zu einer digitalen Identität wird den Menschen neue und verbesserte Erlebnisse ermöglichen, wenn sie mit Unternehmen, Dienstleistern und ihren Communities online interagieren, ein effizienteres Online-Shopping-Erlebnis, einen reibungsloseren Prozess zur Eröffnung eines Bankkontos oder zur Einreichung von Steuern und eine effizientere Nutzung von E‑Mail‑, Social Media- und Unterhaltungsplattformen ermöglichen. Außerdem wird das Risiko von Betrug und Identitätsdiebstahl reduziert (ebd.).
Mastercard setzt auf ein föderatives Modell, d.h. der Nutzer hat das Recht bzw. die Möglichkeit, zwischen vertrauenswürdigen Anbietern zu wählen, sich abzumelden oder den Anbieter zu wechseln. In Restoring Trust in a Digital World geht Mastercard näher auf seinen Ansatz ein.
Die Passwort-Problematik werde sich mit der Verbreitung des Internets der Dinge noch verstärken, weshalb vertrauenswürdige Digitale Identitäten mit entsprechender Infrastruktur benötigt werden:
An average user can be faced with 150 login accounts to manage, all with disparate approaches to passwords and authentication. Yet identity fraud is increasing and has become a far bigger problem online than it is o ine. These risks multiply in the Internet of Things (IoT). Within a few years, there’ll be 50 billion3 connected devices and sensors, each one presenting a potential security vulnerability for the people dependent on them.
Damit die Nutzer sich mit ihren Digitalen Identitäten sicher im Netz bewegen können, werden zwei neue Rollen eingeführt:
The Trust Provider and the Digital Identity Service Provider. The trust provider ideally has a preexisting relationship of trust with the user—its brand acting as a bridge to a digital identity service. It might be the user’s bank, for example. The trust provider also supplies
the tools and service connectivity for users to register for, use, and manage their digital identities.
Technologisch setzt die Lösung auf Biometrie und Blockchain. Als Standards werden eIDAS und Nist unterstützt, dem DID-Ansatz steht man offen gegenüber.
Seine eigene Rolle hat Mastercard natürlich auch definiert:
Mastercard is investing in an ecosystem for trusted digital interactions. We are creating a new digital identity system that works for everyone. One that is more secure, more inclusive, more convenient, and does a better job of protecting people’s privacy (Quelle: ebd.).
Als Pluspunkte nennt Mastercard u.a.:
- With proven expertise in building and operating a large global payment network, Mastercard is able to provide a scalable network service for digital identity. Defining network scheme rules, legal contracts, and governance in close collaboration with identity system stakeholders is a critical function. Mastercard leads in this field.
- Mastercard is investing to build and operate a commercial scheme for all network participants, which includes financial, technical, liability, security, privacy, and operational rules. This is global in scale, interoperable, and adaptable to local conditions.
- By leveraging an existing global network support infrastructure, we can support the identity network at the least cost.
Das sind in der Tat gewichtige Argumente, die Mastercard vorbringt. Inwieweit die Blockchain, mit ihren dezentralen Ansatz dort hinein passt, muss sich noch zeigen. Sieht nach einer Kombination aus einer privaten und öffentlichen Variante aus. Ebenso geklärt werden muss die Rolle von Microsoft. Vor einigen Monaten war zu lesen:
The partners have so far offered little detail on their plans, simply saying that Mastercard will create services powered by Microsoft Azure and built in collaboration with leaders in the banking, mobile network operator and government communities (Quelle: Mastercard and Microsoft forge digital identity partnership).
Wie dezentral ist die Lösung tatsächlich? Wer bestimmt die Governance-Regeln? Wo liegen die Daten – in den USA? Wer hat im Fall des Falles (z.B. Security Act) Zugriff auf die Daten bzw. auf den Datenverkehr? Wie lässt sich Mastercard seinen Service bezahlen? Wie genau ist die Verbindung mit dem Smartphone (abgeleitete mobile ID)?.
Auf jeden Fall zeigt der Vorstoss von Mastercard, dass die Themen Digitalen Identitäten und Payments zusammenwachsen. Wenn es Mastercard und Visa gelingt, ihre Kreditkarten-Regelwerke auf die Digitalen Identitäten zu übertragen, begeben wir uns in Europa in eine neue Abhängigkeit. Insofern haben Ansätze wie von Bluecode ihren Reiz. Allerdings ist mit Apple ein weiteres Schwergewicht dabei, in den Markt einzusteigen und dabei sein eigenes Netzwerk zu nutzen, wobei Mastercard über die neue Apple Card indirekt mit im Boot ist.
Es zeichnet sich ab, dass in den nächsten zwei bis drei Jahren die Reviere abgesteckt werden. Wer dann noch abseits steht, bekommt auf lange Zeit keinen Fuss mehr in die Tür.
Crosspost von Identity Economy