Ein offener Standard für dezentrale digitale Identitäten: Bericht vom ID4me Summit

Von Ralf Keuper

Wer sich im Internet bewegt kommt in der Regel nicht ohne eine große Anzahl von Passwörtern aus. Abgesehen von den Schwierigkeiten, sich sichere Passwörter auszudenken und diese dann auch noch im Kopf zu behalten, ist es eigentlich eine Zumutung für den Nutzer. Um den Nutzern den Zugang zu den verschiedenen Services im Netz zu erleichtern, haben Google und facebook ihnen die Möglichkeit gegeben, sich mit ihrem Gmail-Account oder über facebook-connect (Social-Login) auszuweisen. Das geschah indes nicht uneigennützig. Google und facebook haben auf diese Weise einen Lock-In-Effekt erzeugt, d.h. die Nutzer werden noch mehr als sonst schon in die Abhängigkeit getrieben. Die Login-Daten bleiben dabei unter der Kontrolle von Google und facebook – ein nicht wirklich befriedigender Zustand – weder für die Nutzer noch für die Unternehmen. Facebook und Google, aber auch andere wie Apple und Amazon, profitieren davon, dass das Internet damals ohne Identity Layer konzipiert wurde (Vgl. dazu: An identity layer for the internet). Diesen gilt es nun nachträglich einzuführen.

Echte Alternativen sind daher nötig. Eine der interessantesten ist ID4me. Dort hat man sich zum Ziel gesetzt, den Nutzern die Möglichkeit zu geben, sich mit einem einzigen Account, dem universal digital profile, im Netz bewegen zu können, so Katja Speck, General Managerin von ID4me auf dem ID4me Summit vor wenigen Tagen. Mit ID4me können sich die Nutzer bei vielen verschiedenen Internetdiensten mit einem einzigen Konto anmelden. Anders als bei den Single Sign On Lösungen von Google oder Facebook wird das Surfverhalten der Benutzer nicht mitgeschnitten und ausgewertet. Das Surfverhalten der Benutzer  bleibt geheim. Ein weiterer Unterschied besteht darin, dass ID4me keinem privaten Unternehmen gehört, sondern von einer Non-Profit-Organisation betrieben wird. Jeder, der will, kann sich daran beteiligen. Die Nutzer können sich ihren ID4me-Provider frei aussuchen und jederzeit wechseln (Vgl. dazu: ID4me General Overview).

Katja Speck nannte die Vorzüge in einigen Stichpunkten:

  • Open Standard
  • Federated
  • Public
  • Full control of data
  • Privacy
  • Portability

Am Dienstag vergangener Woche fand in Frankfurt der bereits erwähnte ID4me summit in den Räumlichkeiten von DENIC statt. Dort hatten sich ca. 100 Mitstreiter, die überwiegend aus dem Hosting- und Open Source-Umfeld stammen, zusammengefunden, um sich über den aktuellen Stand der Entwicklung und die nächsten Schritte zu informieren. Die Kernelemente von ID4me sind DNS und OpenID Connect, wie Marcus Sanz in seinem Vortrag und der Live Demo hervorhob.

Marcus Sanz (DENIC). Foto: ID4me

ID4me passt beide Konzepte nun den Anforderungen einer universell verwendbaren und durch den Nutzer kontrollierbaren Digitalen Identität an (Vgl. dazu: An Architecture for a Public Identity Infrastructure Based on DNS and OpenID Connect & ID4me Technical Overview).

Sven Woltmann erläuterte den Teilnehmern, wie man ID4me bei AndroidPIT per API in die Seiten eingebunden hat (Vgl. dazu: Java Relying Party API v1.0 – Programmer’s Guide).

Sven Woltmann (CTO AndroidPIT), Foto: ID4me

Beispiel: Implementation of ID4me as a relying party live in less than 20 minutes. Foto: ID4me

Bei AndroidPIT kann man sich bereits mit seiner ID4me – Identität einloggen.

Rafael Laguna, Co-Founder und CEO von OX (Open Exchange), machte in seinem Vortrag deutlich, dass nicht nur die Nutzer, sondern auch die Unternehmen von Standards wie ID4me profitieren.

Regain control about the data that is created on your website (Rafael Laguna)

Keine Veranstaltung im Bereich IT kommt derzeit ohne einen Blick auf das Potenzial der Blockchain-Technologie aus. Das gilt in besonderer Weise für den Bereich Digitale Identitäten. Hier verschaffte Alexander Mayrhofer von nic.at den Anwesenden einen differenzierten Überblick.

Alexander Mayrhofer (nic.at). Foto: ID4me

Unter den verschiedenen Initiativen, welche die Blockchain mit den Digitalen Identitäten kombinieren, griff Mayrhofer Sovrin heraus. Dort beabsichtigt man, die Self Sovereign Identity (SSI) massentauglich zu machen (Vgl. dazu: The Path to Self Sovereign Identity). Mayrhofer empfahl, vor dem Einsatz der Blockchain-Technologie die Frage zu klären, ob die betrieblichen und organisatorischen Voraussetzungen für eine erfolgreiche Implementierung überhaupt gegeben sind (Vgl. dazu: Do you need a Blockchain?). Bei den digitalen Identitäten könnte die Verwendung der Blockchain-Technologie durchaus Sinn ergeben. Sovrin könne dabei als Vorlage dienen. Die Vorteile bzw. Prinzipien von Sovrin:

  • different identities for each relationship
  • combining different claims (name, banking account, etc.)
  • zero knowledge proof

Insbesondere der zero knowledge proof sei ein echter Pluspunkt souveräner, selbstverwalteter Digitale Identitäten, so Mayrhofer. Um das zu veranschaulichen, wählte Mayrhofer das Beispiel von Alice, die Zutritt zu einem 18+ Club haben möchte, ohne jedoch ihre gesamten personenbezogenen Daten, wie Name und Anschrift, preis geben zu müssen. Mittels SSI könne sie ein anonymes Zertifikat verwenden, das bestätigt, dass sie 18 Jahre alt ist.

Wie verhält es sich aber – Stand heute – mit den Möglichkeiten, ID4me mit der Blockchain zu vereinen? Dieser Frage ging Thomas Keller von der 1&1 AG nach.

Thomals Keller (1&1 AG), Foto: ID4me

Bei ID4me beobachtet die Identity Working Group die Entwicklungen im Bereich der Blockchain und ihre Anwendungsmöglichkeiten für Digitale Identitäten. Größtes Hindernis, neben Fragen des Energieverbrauchs und der laufenden Kosten, sei die suboptimale Usability. Für den Normalverbraucher seien Anwendungen auf Basis der Blockchain schlicht zu kompliziert. Es wird noch zu viel technisches Wissen vorausgesetzt. Derzeit sei es daher wichtiger, die Nutzer dazu zu bringen, sich im Netz selbst als digitale Identität zu verstehen und ein Gespür dafür zu entwickeln. Man behalte die Entwicklung jedoch weiter im Auge.

Zusammenfassung

Je mehr die Nutzer in Zukunft mit Services und Dingen über das Internet kommunizieren, um so stärker wächst der Bedarf an Digitalen Identitäten bzw. Single Sign On-Lösungen, die neben Komfort ein Mindestmaß an Sicherheit gewährleisten und den Nutzer davor bewahren, im Netz ohne sein Wissen und Einverständnis ausgespäht zu werden. Ohne die Mitwirkung der Anwender wird es jedoch nicht funktionieren. Werkzeuge bzw. Tools wie ID4me können die Nutzer in die Lage versetzen, ein Gespür für den Wert und die Schutzbedürftigkeit ihrer Digitalen Identitäten und personenbezogenen Daten zu gewinnen. ID4me hat den Vorzug, technologisch nicht zu weit zu sein, d.h. es wird auf bestehende Infrastrukturen (DNS, “hostname as identity provider”) zurückgegriffen, womit die Umstellung auf Seiten der Nutzer und Unternehmen sich in Grenzen hält. Der föderative Ansatz von ID4me mit seinem Rollenkonzept entspricht den derzeitigen Bedürfnissen und Gewohnheiten der Mehrzahl der Nutzer. Was bleibt ist das “Henne-Ei-Problem”. Ein großes Pfund ist sicherlich die Tatsache, dass die Lösung auf die bewährte Domain-Name-Infrastruktur aufsetzt, wie ID4me – Chairman und Hosting-Urgestein Andreas Gauger in seinem Vortrag betonte. Gauger sprach von dem Tipping Point, den es möglichst bald zu erreichen gelte; im Idealfall als eine sich selbstverstärkende (self accelerate) Entwicklung.

Die Zeit ist reif.

Weitere Informationen:

Login mit ID4me: Dezentrales Single Sign on fürs Internet kommt

Zuerst erschienen auf Identity Economy

Dieser Beitrag wurde unter Digitale Identitäten veröffentlicht. Setze ein Lesezeichen auf den Permalink.