Self-sovereign Identity (SSI): Eine vielversprechende Technologie zur richtigen Zeit

Voraussetzung für das digitale Wirtschaften ist eine solide und digitale Vertrauensbasis. Diese ist durch “Self-sovereign Identity” (nachfolgend SSI) gegeben.

Digitale Identitäten

Wie können wir digitale Entsprechungen unseres Anmeldeprozesses umsetzen, der bislang die physische Anwesenheit des Kunden erfordert? Wie können wir unsere Identitäten selbst verwalten? Wie kann ich selbst darauf Einfluss nehmen, was mit meinen Daten passiert und wer darf diese einsehen? Wie kann ich Identitätsdiebstahl und Datenschutzverletzungen verhindern?

Eine durchgängig digitale Wirtschaft wäre mit der Nutzung digitaler Identitäten gegeben. Die Self-sovereign Identity hat hier Antworten und zeigt uns Möglichkeiten auf, welche zukünftigen digitalen Wege wir gehen können. Auch wenn noch viele Hausaufgaben bis zu einem landesweiten Einsatz der SSI-Technologie benötigt werden, so soll nachfolgend deren Notwendigkeit und Technik aufgezeigt werden.

Die Herausforderung

Viele An- oder Ummelde-Prozesse oder das Vorlegen von Nachweisen erforderten bislang die physische Anwesenheit und gleichzeitig einen Identitätsnachweis einer hoheitlichen Stelle. In Deutschland, in der EU und auch weltweit gibt es massive Anstrengungen von Organisationen, Behörden den Verwaltungsaufwand signifikant zu reduzieren und dabei die Souveränität der Kunden voll und ganz zu berücksichtigen.

Das Online-Zugangsgesetz besagt, dass Behörden ihre Dienstleistungen online zur Verfügung stellen müssen. Eine KFZ-Zulassung, eine Gewerbeummeldung oder die Beantragung von Geldern online benötigt eine Vorgehensweise, die sicher, praktikabel und vielseitig einsetzbar ist.

Auch über den behördlichen Anwendungsfall hinaus gibt es umständliche private Anmeldeprozesse. Die Automiete, das Eröffnen eines Bankkontos oder der Abschluss eines Handyvertrags sind Vorgänge, die durch einen digitalen Prozess einfacher und schlanker wären. Auch diese Prozesse setzen eine digitale Identität voraus, mit denen klare und präzise Geschäftsvereinbarungen schneller, sicherer und konsequenter gestaltet werden können.

Digitale Identitäten und Segmentierung des ID-Marktes

Die gegenwärtigen digitalen Identitäten (ID) in den sozialen Netzwerken sind unvollkommen und berücksichtigen nicht ausreichend die Datenschutz-Grundverordnung (DSGVO): diese regelt die gesetzliche Grundlage für den Umgang mit personenbezogenen Daten. Das Recht auf Privatsphäre gilt als Grundrecht und muss ebenfalls im Cyber-Raum verwirklicht werden. Leider ist dieser segmentiert und liegt; in den Händen von Firmen wie Google (Alphabet), Amazon, Facebook, Apple und Microsoft (GAFAM). Es ist anzuzweifeln, dass diese Internet-Oligopole den Schutz der eigenen Kundendaten vor Wachstum und Gewinnabsichten ihrer Aktionäre stellen.

Umgekehrt ist der Wahrheitsgehalt vieler Nutzer bei der Eröffnung eines Kontos in den sozialen Netzwerken nicht groß. So waren schon in den USA vor fünf Jahren bspw. 10 % aller Web-User Fake User [TeleSign Report 2016] und der Betrug mit Fake Accounts bei Unternehmen lag bei 29% [TeleSign Report 2016]. Ein Grund dafür ist beispielsweise ein fehlender “Know-your-customer“ (KYC-Prozess) bei der Erstellung der Identitäten. Eine genaue und doch sehr umständliche KYC-Identitätsbestimmung findet sich bei Banken oder Versicherungen. Allerdings liegen auch diese Identitäten, ähnlich wie bei den Datensilos der Behörden, segmentiert auf deren spezifischen Servern. Was fehlt sind globale IDs, die in vielen Kontexten nutzbar sind.

In der digitalen Welt wird eine einfache Handhabung der ID benötigt: Der Nachweis der eigenen Identität, dem ein KYC-Prozess vorausgegangen ist, die auf einer einmaligen physischen Präsenz beruht.

SSI – Self-sovereign Identity

Die selbstbestimmte Identität (englisch: Self-sovereign Identity bietet Antworten für diese Herausforderung. Sie hat das Potential, umständliche analoge Prozesse durch digitale zu ersetzen. SSI ermöglicht es für Personen, Organisationen oder Maschinen eine digitale Identität zu erzeugen und vollständig selbst zu kontrollieren. Zudem erlaubt sie die Kontrolle darüber, wie die persönlichen Daten geteilt und verwendet werden [München Digital]. SSI bietet somit ein durchgängiges System der Identitäten.

SSI setzt hierbei einen Herausgeber voraus, der voll und ganz die Identität bestätigt ( Validierungsprozess). Hierbei muss es sich um eine hoheitliche vertrauensvolle Stelle handeln, wie etwa die Bundesdruckerei. Dann gibt es noch den Inhaber einer Identität und überprüfende Instanzen mit einer eigenen Identität (Verifikationsprozess). Diese bilden ein Vertrauensdreieck hinsichtlich Authentifizierung, Integrität und Vertraulichkeit.

Der Einsatz von Behörden im Bereich digitaler Identitäten

Seit 2010 gibt es den elektronischen Personalausweis mit einem RFID-Chip, auf dem der Name, die Anschrift und das Geburtsdatum gespeichert sind. Seit 2017 ist die Onlinefunktion automatisch freigeschaltet und mit einem NFC-fähigen Smartphone nutzbar. Zunehmend findet bei dieser auch eine vermehrte Aufmerksamkeit und Verwendung [Statista].Technik muss nicht nur sicher, sondern auch in vielen Situationen alltagstauglich sein und damit auch mobil funktionieren. Was liegt näher, als das Smartphone in seiner Funktionalität zu erweitern, um damit der Bevölkerung Dienstleistungen zu ermöglichen?

Die Bürger:innen können nun die digitale Abbildung ihres Personalausweises sicher auf dem eigenen Mobiltelefon speichern. Herausgeber und Beweisführer der Identität ist die Bundesdruckerei (BDr). Hierfür werden Apps genutzt, die aus dem Apple App Store oder Google Play Store heruntergeladen werden. Während die Smartphone-Applikation AusweisApp2 keine Nachweise in ihrem Dateisystem ablegt, sondern immer wieder durch einen Scan des Ausweises online die Daten abfragt, ist das ID Wallet eine digitale Brieftasche mit eigenem Speicherplatz und ermöglicht erst die SSI-Funktionalität, einen eigenen souveränen Nachweis in Form einer Identität mit sich zu führen.

ID Wallet

Eine digitale Wallet ist im Kontext der SSI respektive der Blockchain-Technologie eine Anwendung, die den privaten und damit geheimen Teil eines Schlüsselpaares verwaltet. Es erlaubt digitale Identitätsinformationen zu empfangen, zu speichern, zu verwalten und zu senden. Benutzer:innen haben durch die Wallet die Möglichkeit, dezentrale Identifikationen (englisch: decentralised identifiers, kurz: DID) zu generieren sowie eine Möglichkeit zum Speichern von verifizierten Identitätsdaten (englisch: verified credentials). Ausführlicheres dazu später.

Nutzende werden von der App Schritt-für-Schritt durch den Prozess zur Erstellung der Basis-ID geleitet. Nach Eingabe der PIN für den lokalen Zugriff und erfolgreicher Datenübertragung wird die Basis-ID durch die Bundesdruckerei direkt in die App ID Wallet ausgestellt.

Dadurch kann eine Basis-ID als digitale Version der Online-Ausweisfunktion des Personalausweises erstellt werden. Sie dient als zentrales Instrument zur Verwaltung und zur Nutzung digitaler Nachweise im Ökosystem. So lassen sich Nachweise unkompliziert in der Wallet speichern und gegenüber Dritten als verifizierte Nachweise verwenden.

Beteiligt sein sollten Bürger:innen, Unternehmen und Behörden. Die Verwendung gegenüber Dritten sollte möglichst weit und großflächig, mindestens innerhalb eines hoheitlichen Territoriums, wie eines Staates ablaufen.

SSI stellt eine Durchgängigkeit für Identitäten bereit

Eine ID-Lösung weltweit anzubieten, darf allerdings nicht bedeuten, dass diese zentral zur Verfügung gestellt wird. Unterschiedliche Hoheitsgebiete, Behörden und Unternehmen haben ganz unterschiedliche Interessen und wünschen die Vergabe der Identitäten selbst zu regeln.

Gleichzeitig müssen diese aber nach einem Standard kompatibel sein. Deshalb ist eine Durchgängigkeit der Identitäten wichtig, die dezentral Zugriffe ermöglichen.

IDunion (ehemals „SSI für Deutschland“)[1] ist ein Anbieter, der solch eine SSI-Infrastruktur und damit ein offenes Ökosystem für dezentrale, selbstbestimmte Identitäten für natürliche Personen, Unternehmen und Dinge vorantreibt. Die Europäische Blockchain Service Infrastructure (EBSI) stellt eine SSI eIDAS [2] Bridge [Joinup Europa] als technische Implementierung bereit und ermöglicht ein substanzielles Vertrauensniveau. Sovrin ist ebenfalls ein derartiges Netzwerk, das vorwiegend in Nordamerika tätig ist.

SSI ermöglicht Interoperabilität zwischen verschiedenen Identitätsanbietern und -technologien. Damit entsteht ein Ökosystem von Organisationen, das allen Akteuren eine Teilnahme am System ermöglicht.

Die Partner dieses Netzwerkes entwickeln eigene Softwareanwendungen und -komponenten, welche auf dem Netzwerk aufbauen und die Vergabe, die Speicherung und den Austausch von verifizierten Identitätsinformationen ermöglichen. Durch die Verwendung von Open-Source-Frameworks und standardisierten Komponenten wird ein Vendor-Lock-in (Stichwort: „Walled Garden“) vermieden, Transparenz geschaffen und Interoperabilität gefördert.[IDunion]

Anwendungen

Mit über 50 Millionen Euro fördert das BMWi (Bundesministerium für Wirtschaft und Energie) den Innovationswettbewerb „Schaufenster Sichere Digitale Identitäten“.[9] In Deutschland sind von der IDunion Anwendungsfälle in den sieben Bereichen E-Government, Bildung, Finanzwirtschaft, E-Commerce/Mobility, Identity Access Management, E-Health und Industrie/IoT angedacht. Bestimmte Strukturen bauen auf der SSI-Technologie auf. So ist geplant, dass Dateninfrastrukturen für Europa wie GAIA-X für den Anmeldeprozess SSI verwenden, da in sicherheitskritischen Fällen das Vertrauensniveau eines einfachen Kundenkontos nicht ausreicht und nur durch Identitäts-Verifizierung des Nutzers die notwendige Sicherheit ermöglicht wird. Im Projekt OPTIMOS 2.0 [Bundesdruckerei] wird deshalb ein offenes Ökosystem entwickelt, mit dem Technologien und die Infrastruktur für die sichere Online-Authentifizierung mittels Mobilgeräten bereitgestellt werden.

Technologie des Netzwerkes und der Blockchain

Um ein Ökosystems verteilter Identitätsnetzwerke (DLT) zu bilden, welches eine dezentrale Datenstruktur aufweist, wird auch eine dezentrale Datenspeicherung mit eigener Identitäts-Hoheit benötigt. Hierfür eignet sich die Blockchain-Technologie.

Es ist anzumerken, dass die Blockchain ein Entwurfsmuster und unterschiedliche Topologien, private oder öffentliche Zugänge, beinhaltet und unterschiedlichen Konsensverfahren unterworfen sein kann. Es können Inhalte oder auch nur Verweise in die Blockchain geschrieben werden (on-chain), die auf Inhalte außerhalb der Blockchain (off-chain) zeigen.

In Deutschland kommt das Open-Source-Framework Hyperledger Indy von der Linux Foundation im SSI-Kontext zum Einsatz, das in Verbindung mit Aries auf den Standards des World Wide Web Consortium (W3C) aufsetzt.

Im W3C wurden decentralized identifiers (DIDs) definiert. Dieser Standard ermöglicht die plattformunabhängige Umsetzung von digitalen Identitäten. DIDs sind ein Identifikator-Typ, der der SSI-Forderung nach verifizierbaren digitalen Identitäten unter vollständiger Kontrolle des Eigentümers der Identität nachkommt [Trend Report]. Eine digitale Identität setzt sich zusammen aus etlichen DIDs. Diese bestehen aus unterschiedlichen Identifizierungsmerkmalen (Identitätsattributen).

DIDs verweisen wiederum auf DID Documents. Hier werden alle Informationen darüber gespeichert, wie ein spezieller DID zu benutzen ist. In einem DID Document sind alle Metadaten enthalten, um den Besitz und die Kontrolle des dazugehörigen DID zuzuordnen. Diese Metadaten bestehen aus kryptographischen Schlüsseln (public keys), Informationen zu der Erstellung des DID und ein Verweis auf eine Referenz. Eine Referenz kann beispielsweise eine IP-Adresse sein, über die jede weitere Kommunikation zwischen zwei Parteien stattfindet, ohne über die Blockchain zu gehen. Die Architektur ist derart gestaltet, dass eine sichere Kommunikation zwischen zwei Parteien mit minimaler Menge an Attributen (Grundsatz der Datensparsamkeit) gegeben ist.

Es wird sichtbar, dass eine gemeinsame Infrastruktur von Tools, die den Austausch Blockchain-basierter Daten ermöglicht, Peer-to-Peer-Messaging in verschiedenen Szenarien unterstützt und die interoperable Interaktion zwischen verschiedenen Blockchains und anderen verteilten Hauptbüchern erleichtert, die erhoffte SSI-Lösung ermöglicht [Hyperledger Foundation].

Sicherheit der Blockchain

Das Blockchain-Framework ist Open Source und erfüllt damit ein Kriterium hinsichtlich der Sicherheit „Transparenter Code und Prozesse“. Die Blockchain kennt weder die eigentliche Identität noch die digitalen Nachweise der Nutzer:innen. Sie überprüft sowohl Echtheit und Ursprung der Nachweise als auch die Unversehrtheit der Identitätsdaten.

Die Blockchain Hyperledger Indy wird benutzt, um:

1. die Identitäten in Form von asymmetrischen Schlüsselpaaren,
   2. die Struktur / das Schema der Credentials (Felder des Datentyps „Hochschulabschluss“ zum Beispiel) und
   3. Links zum Kommunikationscontroller der Identität abzuspeichern.

Das Schema zu einem Hochschulabschluss sieht bspw. wie folgt aus:

transcript = {
    'name': 'Transcript',
     'version': '1.2',
     'attributes': ['first_name', 'last_name', 'degree', 'status', 'year', 'average', 'ssn']
}

Bei SSI werden nicht die Credentials selbst, sondern lediglich das Schema und die DID Documents der Aussteller (in denen sich die zur Signatur des Verifiable Credentials genutzten Schlüssel befinden) auf einem Distributed Ledger, wie einer Blockchain abgespeichert. Zugriffe (wie oft oder gar von wem personenbezogene Daten erhoben wurden) werden ebenfalls nicht auf der Blockchain gespeichert. Ob ein Führerschein ausgestellt wird oder 80 Millionen – die Blockchain enthält kein einziges Byte mehr an Daten. Der Aussteller hat seinen Public Key ein einziges Mal in die Blockchain geschrieben und nur dieser wird bei der Abfrage benötigt.

Das Einzige was dort abgelegt wird, ist das Schema der Ziffernfolge der Nachweise (und aller anderen Verifiable Credentials, die von irgendwem innerhalb des Netzwerks ausgestellt werden können) und die Schlüssel, mit denen ein Peer-2-Peer ausgestelltes Verifiable Credential validiert werden kann.

Es besteht also überhaupt nicht die Notwendigkeit im Falle einer Korrumpierung des Systems irgendwas aus der Blockchain löschen zu müssen oder nur zu wollen. Sie beinhaltet keinerlei personenbezogene Daten.

Sicherheit des Nutzers

Kann sich der Nutzer darauf verlassen, dass der Prüfer berechtigt ist zu prüfen? Das DIDComm-Protokoll [3] macht keine Vorgaben und gibt keine Empfehlungen, wie sich sogenannte Verifyer gegenüber einem Identitätsinhaber selbst ausweisen müssen. Dies lässt sich implementieren. Die ID Wallet könnte protokollkonform zunächst eine Gegenauthentifizierung starten und sich das Credential einer höheren Instanz in der Vertrauenshierarchie zeigen lassen (wie etwa die des BMI, das Verifiable Credentials an die Regierungspräsidien ausstellen kann, die ihrerseits Verifiable Credentials an die Polizist:innen ausstellen können).

Falsche QR-Codes zur Identifizierungsaufforderung können jederzeit vom Nutzenden überprüft und aufgedeckt werden. Diese Deep-Links bestehen aus einer Domain und einem Pfad. Die Domain wird dem Anwendenden auf dem Smartphone nach dem Scan eines QR-Codes angezeigt. Dann kann dieser die Anfrage zulassen oder ablehnen. Des Weiteren könnte noch zusätzlich das EV (Extended Validation) SSL-Zertifikat der Domain ausgewertet werden.

Fazit

Einzelne Pilotprojekte zeigen das Potential der SSI-Technologie auf und können auch noch bestehenden Probleme identifizieren. Gerade auch Testverfahren, die eine verstärkte Skalierung aufgrund einer großen Nachfrage betrachten, bieten sich hier an. Eine dezentrale Struktur der Daten sichert einerseits den Zugriff vor einer Überlastung oder einer Korrumpierung ab und berücksichtigt zugleich die dezentralen Identitäten eines umfassenden „Identitätsökosystem“.

Es ist ein Identitätsökosystem, das staatlich ausgestellte Dokumente und gleichfalls jede Menge privatwirtschaftlich herausgegebene Dokumente berücksichtigt. Dies können neben Ausbildungsnachweisen und fachlichen Zertifikaten, Mitgliedsausweisen und Zugangsberechtigungen zukünftig auch Maschinendaten sein. Diese Daten können permanent oder mit Ablaufdatum und optional zusätzlich mit Widerrufsmöglichkeit ausgestattet sein. All die Beteiligten hängen in der Vertrauenskette untereinander und mit der Identität des Inhabers und des Ausstellers zusammen. Es ist also nur logisch, dafür eine gemeinsame interoperable Infrastruktur zu verwenden und ein konsequentes digitales Wirtschaften zu ermöglichen.

[3] DIDCommunications (DIDComm) bietet bidirektionale Kommunikationskanäle zwischen zwei Entitäten an, die die DIDs des anderen kennen und sonst nichts.