Trustnet

„Neues entsteht,
wenn man Bekanntes
neu kombiniert.“   

Self-Sovereign Identities: Die Entwicklung eines Internet 2.0?

Internet: Darknet + Clearnet + ?

Das Internet wie wir es kennen wird inzwischen 40 Jahre alt, das WWW ist bald 30. Es ist für viele Menschen alltäglich, und teils unsichtbar, weil kaum jemand an „Internet“ denkt, wenn er sein Smartphone benutzt. Nun steht diese Technologie womöglich vor einem Umbruch, der die „alte“ analoge Welt noch stärker mit der „neuen“ digitalen verknüpfen wird, bei einem Thema, das sich zuerst dröge anhört: Digitale Identitäten.

Ganz selbstverständlich benutzen wir im Jahr 2020 einen einzelnen Personalausweis, um uns in der analogen Welt staatlich beglaubigt auszuweisen, aber in der digitalen Welt halten wir es für selbstverständlich, dass wir uns bei jeder Webseite einen neuen Login anlegen müssen. Im Durchschnitt 70 Logins hat jede von uns, meist als E-Mail-Passwort-Kombination. Das Fehlen glaubwürdiger digitaler Identifizierungsmechanismen kommt uns so selbstverständlich vor, weil die Internet-Infrastruktur bislang keinen Standard mitbringt. In seiner frühkindlichen Entwicklung waren kommerzielle Nutzungen, Vertragsabschlüsse oder eindeutige Identifizierungen von Nutzern gar nicht mitgedacht. Die resultierende Anonymität, die letztlich nur eine Art zeitweilige Pseudonymität ist, hat jahrzehntelang auch seine Vorteile gehabt: Besonders in den 1990ern wurde „das Netz“ als anarchischer Ort gesehen, der Querdenkern und Technik-Freaks als riesiges Diskussionsforum diente. Neben dem „Darknet“ genannten Teil des Netzes, der nur Eingeweihten zugänglich ist und in dem größere Anonymitätsmöglichkeiten zu einer Vielzahl illegaler Aktivitäten führen, ist das „Alltagsinternet“ eher ein Clearnet: Nutzende sind nicht wirklich anonym, wie die Abmahnwellen der Filesharing-Hochzeiten zeigten, aber es gibt auch keine Mechanismen, mit denen sich Nutzer untereinander vertragsfähig glaubwürdig und sicher identifizieren können – und zugleich den dringend nötigen Datenschutz, der individuelle Freiheit ermöglicht, einhalten. Bis jetzt.

Irgendwie lustig: Eingescanntes Papier im digitalen Zeitalter

Bis vor einem halben Jahr war mir unklar, dass in der Frage der digitalen Identifizierung überhaupt ein Problem liegt. Und dass dafür Lösungsansätze bereits auf dem Tisch liegen. Ja, mich nervt es tierisch, für jeden neuen Web-Service meine Mailadresse anzugeben und ein neues Passwort anzulegen. Passwortmanager sind da nur eine begrenzte Hilfe. Die Fragmentierung meines digitalen Handlungsraumes nahm ich hin, wie ich das Wetter hinnehme. Das Bundesministerium für Wirtschaft und Energie (BMWi) hat jedoch festgestellt, dass das Fehlen digitaler Identifizierungsmechanismen die Entwicklung digitaler Dienste bremsen. Ganz banal sei beispielhaft der Gang zum Einwohnermeldeamt genannt, den man in vielen Fällen persönlich machen muss: mit Gesicht und Unterschrift und unter Vorlage des Personalausweises kann man den Wohnungswechsel auf die andere Straßenseite beurkunden lassen und bekommt einen Aufkleber auf seinen „Perso“. Die Frage im Jahr 2020 ist aber berechtigt: Wieso kann ich das eigentlich nicht digital abwickeln?

Die Corona-Pandemie beschleunigt die digitale Dynamik, da viele feststellen, dass eine Vielzahl von Arbeiten die physische Präsenz gar nicht zwingend benötigen und dass (kollaboratives) Arbeiten über Distanz diverse Vorteile mit sich bringt. Dennoch gibt es zahlreiche Aktivitäten, für die es des physischen Zusammenkommens bedarf, obwohl das eigentlich durch die überall vorhandenen Zugänge zu einem weltumspannenden Datennetz nicht nötig wäre: Verträge unterschreiben, Identifikation für eine Kontoeröffnung, Zusenden von Geburtsurkunden von Kindern. Nun gut, sowas geht digital: In Deutschland scannt man dafür die Original-Geburtsurkunde ein und versendet sie als PDF. Bei genauerer Betrachtung: eine Methode, die vorsintflutlich anmutet angesichts der Möglichkeit des Aktienhandels von der Wohnzimmercouch aus oder der Bestellung von Waren aus weltzerstreuter Produktion über Online-Shops. Im Jahr 2020 scannen wir Papier-Urkunden, um uns und unsere Fähigkeiten oder Eigentumsverhältnisse auszuweisen und versenden sie per Mail oder Upload-Formular; und auf der anderen Seite werden sie ausgedruckt und in Ordnern abgeheftet. Wem das bei genauerer Betrachtung nicht lächerlich altmodisch erscheint, der ist wohl eher technikfern.

Doch ich gestehe: genauer habe ich nicht darüber nachgedacht, bis ich von der HTW Dresden eingeladen wurde, für das BMWi im Schaufensterprojekt „Digitale sichere Identitäten“ ein Projekt „ID-Ideal“ mit zu konzipieren. Was ich da gelernt habe, möchte ich in diesem Artikel sichtbar machen, um die Aufmerksamkeit technikaffiner Akteure auf Self-Sovereign Identities zu lenken.

Ein Beispiel: Alkoholverkauf per Zero-Knowledge-Proof

Prof. Jürgen Anke von der HTW Dresden überzeugte mich mit folgendem Beispiel, meine Zeit in das Projekt ID-Ideal zu investieren:

Wenn man in Deutschland Alkohol kaufen möchte, muss man dem Gastronomen im Zweifel seinen Ausweis zeigen. Manche Alkoholsorten gibt es ab 16, andere ab 18, und das Jugendschutzgesetz verpflichtet die Alkoholverkäufer, sich bestätigen zu lassen, dass der Käufer zum Alkoholkauf berechtigt ist. In der analogen Welt zückt man dafür seinen Personalausweis, die wohl wertvollste analoge Urkunde zum Identitätsnachweis in der bundesdeutschen Bürokratierealität. Der aufmerksame Barkeeper sieht dort aber nicht nur, ob der Personalausweisinhaber berechtigt zum Alkoholkauf ist, sondern er sieht wie er heißt, wann er geboren wurde und wie er zum Zeitpunkt der Ausweisausstellung aussah. Alles Informationen, die den Barkeeper weder etwas angehen, noch braucht er sie für den „Anwendungsfall Alkoholkauf“. Datenschützer müßte es die Fußnägel hochrollen, aber mangels Alternativen ist dieser Vorgang gesellschaftlich akzeptiert.

Nun stelle man sich vor, so Prof. Anke in unserem Erstgespräch, es gäbe eine digitale Repräsentanz dieses Personalausweises in einer digitalen Wallet, zu der nur ich Zugang hätte. Und der Barkeeper (oder jeder andere Serviceprovider in der digitalen Welt, dem gegenüber ich meine Volljährigkeit belegen möchte), erbittet von meiner Wallet den Zugang zu dieser Information. Wenn ich meiner Wallet die Freigabe erteile, so würden die Daten geteilt. Aber: Welche Daten? In der beschriebenen digitalen Welt wäre es nun möglich, dass die Frage des Serviceproviders an meine Wallet lautet: „Ist der Nutzer älter als 18?“ Die Antwort meiner Wallet könnte schlicht lauten: „Ja“. Man nennt diesen informationsreduzierten Vorgang „zero knowledge proof“: also ein Nachweis, bei dem im Grunde null zusätzliche Informationen übergeben werden. Es wird nicht das Geburtsdatum geteilt oder andere personenbezogenen Daten, sondern nur ein „true“ oder „false“ auf die Frage „Alter größer 18?“.

Allerdings stellt sich die Frage, ob der Serviceprovider der Antwort meiner Wallet glauben kann. Er könnte dies, wenn zugleich mit der eigentlich benötigten Information mitgeliefert wird, wer für diese Information bürgt. Im analogen Fall ist es der Staat, der mir den Personalausweis bereitstellt. Und da der Personalausweis überprüfbare Eigenschaften hat, mit denen seine Gültigkeit geprüft werden kann, kann jeder Barkeeper prüfen, ob meine Alkoholberechtigung glaubwürdig nachgewiesen wird. Im digitalen Raum könnte man solch eine Glaubwürdigkeitsprüfung ermöglichen, indem die Information über meine Volljährigkeit durch eine elektronische Signatur der Landeshauptstadt Dresden bestätigt wird, die in meinem Fall der Aussteller meines Ausweises ist. Die digitale Signatur könnte an allen Daten hängen, die sonst auch der Personalausweis transportiert, und die wir „Basisidentität“ nennen: Name, Geburtsdatum, Geburtsort, Anschrift. Überprüfbar wäre die Signatur für den Serviceprovider durch einen Mechanismus aus Schlüsselpaaren, wie man sie von PGP kennt: der private Schlüssel dient zum Signieren und ist in alleiniger Hoheit des Ausstellers einer „digitalen Urkunde“, der zugehörige öffentliche Schlüssel dient zum Prüfen der Signatur und kann von jedermann eingesehen und genutzt werden. Mit diesem Mechanismus könnte ich in meiner Wallet verschiedene digitale Urkunden sammeln, die ich von verschiedenen Herausgebern (Issuer) empfangen habe und die Auskunft über mich und meine Rechte geben, und die ich selektiv herausgebe, je nachdem, wer die Informationen wofür benötigt.

Diese digitalen, überprüfbaren Urkunden nennt man „verifiable credentials“ (VC) und sie sind die Basis der Idee von „self-sovereign identities“ („selbstsouveränen Identitäten“, SSI).

Selbstsouverän – was ist denn das?

Self-sovereign Identities heißen so, weil sie dem Nutzer die Hoheit über seine Daten geben. Wenn jeder Nutzer eine Wallet hat, die als eine Art Tresor in (z.B.) seinem Smartphone liegt und bei der er das alleinige Freigaberecht hat, so hat er auch eine umfassende Kontrolle über die darin gespeicherten Daten. Mit „Daten“ sind hier Sets aus Daten gemeint: Zusammenstellungen aus Attributen, die man in der analogen Welt in einem Dokument ablegen würde, eben z.B. die Basis-Identitätsdaten eines Personalausweises, bei denen die ausstellende Kommune als Bürge für die Richtigkeit von Name, Geburtsdatum und -ort und Anschrift sowie Foto bürgt. Ähnliche Urkunden, für die es bislang noch keine digitale Entsprechung gibt wären z.B. Berufsabschlüsse. Jeder Bachelorabschluss ist mit einer Basisidentität verbunden – der Identität jener Person, die den Bachelorabschluss erreicht hat. Was in der Papierurkunde „verbrieft“ ist läßt sich prinzipiell auch digital abbilden: genaue Titelbezeichnung, Abschlussnote, Abschlussdatum und natürlich: Signatur des Ausstellers. Will man sich nun zu einem Fortbildungskurs oder bei einem Arbeitgeber bewerben, könnte man diesem im (digitalen) Bewerbungsvorgang die ganze Berufsabschlussurkunde zeigen, oder auch nur Teile davon; oder schlicht nur die Information, ob die Person einen Berufsabschluss hat, aber nicht, welchen.

Diese Steuerungsfähigkeit der Freigabe von Informationen ermächtigt den Datenbesitzer zu einer sehr feingliedrigen Freigabepolitik. Nicht mehr ganze Datenpakete müssen in jedem Fall vorgewiesen werden, sondern immer öfter reicht ein zero-knowledge-proof, weil der Serviceprovider, dem man die Daten zeigen soll, gar nicht alles zu wissen braucht. Man sammelt also digitale Urkunden, ausgestellt und signiert von den Herausgebern, packt sie in seine Wallet und zeigt Einzelaspekte vor, wenn das gebraucht wird. Diese Möglichkeit ändert womöglich den Umgang mit Daten fundamental.

Neue Anwendungsfälle

Stellen wir uns vor, bei der Bestellung in einem Online-Shop werden auch Bankdaten benötigt. Statt die IBAN einzutippen, wird die Wallet zur Freigabe der IBAN beauftragt, wobei die in der Wallet liegende Bank-Urkunde tatsächlich von der Bank bei der man sein Konto hat, ausgestellt und signiert ist. Der Shop-Inhaber bekommt also nicht nur eine IBAN, er bekommt eine geprüfte IBAN. Weitergedacht könnte eine Bank einem Kunden auch einen Solvenznachweis ausstellen, den dieser dann bei seinen Geschäften gegenüber Geschäftspartnern digital vorzeigen kann, um seine Zahlungsfähigkeit nachzuweisen. Einen digitalen, bankbestätigten Solvenznachweis.

Wechsle ich heute meinen Wohnort, muss ich händisch einer Vielzahl von Organisationen diesen Wechsel bekanntgeben. Künftig könnte meine Wallet eine Liste all jener Organisationen pflegen, denen ich meine Anschrift verfügbar gemacht habe und sie auf meine Freigabe hin über den Ortswechsel informieren. Dies wäre nicht nur bequem und zeitsparend für mich, sondern auch wertvoll für die Organisationen, mit denen ich in Verbindung stehe, denn sie bekämen nicht nur die Information über meinen Wohnortwechsel, sie bekämen eine beglaubigte Information! Ob man spezielle Daten hat, oder ob man auch sicher sein kann, dass sie korrekt sind, macht für Organisationen einen großen Unterschied, und viele Unternehmen und Organisationen beschäftigen ganze Abteilungen, die damit beschäftigt sind, jene Daten aktuell zu halten, die für das Funktionieren der Organisation essentiell sind. Ein digitales ID-System ist hier ein mögliches Beispiel nützlicher und weitreichender Digitalisierungseffekte.

Bei vielen Webdiensten, die ich nutze, würde ich mich künftig womöglich nicht mehr „anmelden“, so wie heute. Vielmehr würden diese Dienste bei meiner Erstnutzung mir eine digitale Urkunde ausstellen, die in meiner Wallet gespeichert wird. Zeige ich diese Urkunde beim nächsten Besuch vor, so könnte ich dort weiterarbeiten, wo ich zuletzt aufgehört habe – und zwar völlig anonym. Weil ich der Besitzer der Urkunde bin, kann ich mich gegenüber dem Webdienst identifizieren, aber ohne dass dieser erfährt, wer ich wirklich bin. E-Mail-Passwort-Kombinationen als Identifizierungsmechanismen würden ersetzt durch digitale Urkunden, die wie ein Schlüssel funktionieren, der seinem Inhaber Zugang zu einem Dienst ermöglicht. Aussteller solch einer Urkunde wäre der Dienst selbst.

Doch der Fokus auf den einzelnen Menschen, der sich und seine Rechte ausweist, greift zu kurz. Solcherart Identifikationsmechanismen lassen sich genauso auf Organisationen und Objekte anwenden. Auch Organisationen weisen sich ständig aus: bei Vertragsabschlüssen, bei Nutzung jener Rechte, die sie durch Vertragsabschlüsse erlangen oder auch durch das Handeln ihrer Mitglieder – die Nutzungslizenz für Software, Maschinen oder andere Assets kann in einem Verifiable Credential beglaubigt abgelegt werden und macht auch Organisationen einbindbar in solch ein ID-System. Gleiches gilt für Objekte: man stelle sich ein Auto vor, dass das Recht hat, einen bestimmten Ort zu befahren oder an einem bestimmten Ort zu parken, oder ein Computersystem, welches sich gegenüber einem anderen Computersystem ausweist. Solcherart Mechanismen gibt es bereits, beispielsweise in Form von Protokollen, mit denen sich Maschinen untereinander identifizieren. Die Idee der Verifiable Credentials hat jedoch das Potenzial, die Maschinenwelt mit der juristischen Welt digital zu verbinden.

Übergreifender Standard, interoperable Dienste

Damit das funktioniert braucht es übergreifende Standards. Ein Beispiel für solche Standards sind besagte Verifiable Credentials. Die Idee dafür ist bemessen am Alter des Internets sehr neu, aber alt genug, damit sich das zentrale Standardisierungsgremium für das Internet, das W3C-Konsortium, damit beschäftigt hat. Die Version 1.0 des Verifiable Credential Data Model ist von November 2019. Basierend darauf gibt es erste Entwürfe und Anwender von Anwendungen, darunter das Pan-Canadian Trust Framework sowie Dienstanbieter für Self-Sovereign-Identities wie Jolocom, deren Whitepaper von Dezember 2019 stammt. Wer den Ansatz spielerisch testen will, der sei auf die virtuelle Stadt Uportlandia verwiesen. Hier kann jeder spaßenshalber Stadtbewohner werden, indem eine Wallet-App heruntergeladen und mit einer digitalen Stadtausweis-Urkunde befüllt wird. Mit dieser City ID kann man sich dann von der University of Uportlandia ein Diplom ausstellen lassen. City ID und Diplom zusammen sind die Grundlage für einen Job, der als „Jobbestätigung“ in der Wallet landet. Jobbestätigung und City ID zusammen ermöglichen eine stadtinterne Versicherung, die man wiederum braucht, um an ein Rezept zu kommen. Die App und die virtuelle Stadt zusammen zeigen, wie der Einsatz solcher Verifiable Credentials und interoperabler ID-Systeme in der Realität aussehen wird.

Es ist zu hoffen, dass das BMWi sich im Rahmen des Schaufensters „Digitale Identitäten“ für SSI-offene Konsortien entscheidet, die den Ansatz erproben und öffentlich sichtbar machen sollen.

Welche Macht solch ein Ansatz basierend auf Verifiable Credentials hat, zeigt der Vergleich von Timothy Ruff: Er vergleicht den Einsatz von Verifiable Credentials in der digitalen Sphäre mit der Entwicklung des Containers für die Logistik-Branche in den 1950ern und meint, man müsse sie eigentlich „Verifiable Containers“ nennen, da man in ihnen beglaubigte Daten aller Art speichern und transportieren könne und so eine Art Beglaubigungsnetz auf die IP-Infrastruktur des Internets auflegt. Die Standardisierung, die diese Datencontainer mit sich bringen, würden den Datenaustausch enorm erleichtern, während die daran hängenden Signaturen die Daten beglaubigen und damit einen rechtssichereren Raum entfalten – etwas, was dem Internet zwar durch Gesetze zugeschrieben wird, was bislang aber nicht angemessen technisch unterfüttert und in die Netz-Architektur integriert ist.

Ruff verweist darauf, dass vor dem Container-Einsatz ab 1956 allerlei Waren in ihren eigenen Behältern kamen, in unterschiedlichsten Größen und Aggregatzuständen und daher auf dem Weg vom Sender zum Empfänger teils mehrmals umgepackt werden mussten. Die dann eingesetzten Container standardisierten die Verpackung und müssen heute nur noch als Ganzes von LKWs auf Züge und Schiffe, von Schiffen und Zügen auf LKWs und von dort in die Hallen der Logistiker umgeladen werden. Waren werden nicht mehr zwischendurch ent- und umgepackt und die Transportfahrzeuge sind auf den Standardcontainer ausgelegt. Dies hat die Transportkosten gegenüber der Vor-Container-Zeit um 95% gesenkt und die Transportintensität im globalen Handel entsprechend erhöht. Die globale Arbeitsteilung und der globale Handel wie wir ihn heute kennen wäre ohne diese Standardisierung nicht in dieser Form passiert, weil der Warentransport erheblich teurer wäre.

Ähnliche Effizienzgewinne verspricht sich Ruff von Verifiable Credentials/Containers. Ein Standard, mit dem Daten rechtssicher und beglaubigt transportiert werden könnten, käme einen Abriss diverser Informationsflussbarrieren gleich. Nicht nur, dass Verträge einfacher abschließbar, Daten leichter transformierbar und vergleichbar, sondern auch glaubwürdiger aktualisierbar wären; es wären auch völlig neue Geschäftsmodelle denkbar. Auch der Schutz von und vor Daten wäre einfacher: man stelle sich nur mal vor, die heute öffentlich einsehbaren Pornoseiten würden durch eine Identitätsprüfung geschützt, die Jugendliche mangels glaubwürdiger Altersverifikation nicht durchbrechen könnten, aber Erwachsene ohne Offenlegung ihrer Identität aber durch belegbare Volljährigkeit ein Zugangsrecht gewähren – dies würde Jugendschutz ermöglichen, ohne Datenschutz aufgeben zu müssen. Dies gilt nicht nur für Pornoseiten, sondern auch für vergleichbare Dienste wie Online-Wettbüros oder Casinos.

Gleichzeitig könnte ein Ökosystem von ID-Dienstleistern entstehen, die basierend auf dem gleichen Standard verschiedenartige und benutzergruppenorientierte Wallets und Anwendungen bereitstellen. Wer von einem Anbieter zum anderen wechseln will kann dies Dank Standardisierung problemlos tun: die eigenen Credentials müssen einfach nur in die neue Wallet übertragen werden. Die Interoperabilität würde auch Konzentrationsprozessen vorbeugen. Das heute fehlende ID-System im WWW machen sich monopolartige, überwiegend us-amerikanische Anbieter wie Google und Facebook zunutze und bieten bereits heute an, dass User sich mit den bei ihnen vorhandenen Logins auch bei anderen Diensten anmelden zu können. Diese Single-Sign-On-Dienste sind für die Nutzer bequem. Die Bequemlichkeit wird jedoch mit einer Abhängigkeit von den immer mächtiger werdenden Konzernen erkauft, die dadurch noch mehr über ihre Nutzer erfahren. Die Verbraucherzentrale warnt daher davor, solche Dienste unreflektiert zu nutzen und die Stiftung Warentest bemängelt, dass es keine guten Alternativen gibt. Ausgerechnet von Microsoft gibt es seit August 2020 ein sehr gutes Erklärvideo, das die Mechanismen hinter den Verifiable Credentials und der Aussicht auf self-sovereign identities gut und anschaulich erläutert:

Vorstöße für Identifizierungsmechanismen gibt es diverse. So werkelt die Bundesregierung seit längerem an einer Schwerstgeburt namens eID: diese sollte die Personalausweisfunktionalität in den digitalen Raum heben. Klingt die Grundidee erstmal gut, führt sie doch praktisch ein Nischendasein: wenn die deutsche Verwaltung mit ihren hohen Sicherheitsansprüchen digitale Infrastruktur herstellt, so hat diese zwar hohe Sicherheiten, aber eben die der deutschen Verwaltung systemimmanente Nutzerunfreundlichkeit. Eine Handvoll Verwaltungen bietet zwar das eID-System an, eine breite Nutzerbasis hat es aber nicht gefunden, wohl auch, weil es bislang keine Interoperabilität zu den Alltagsgeschäften des Bundesbürgers herstellt. Allerdings könnte sich dies natürlich ändern, wenn auch das eID-System zu einem interoperablen SSI-Ansatz kompatibel gemacht wird.

Vom Clearnet zum Trustnet

Fazit: Der Internet-Infrastruktur fehlt es an einer Identifikations-Schicht, die rechtssichere digitale Identifizierung möglich macht. Mit den Verifiable Credentials/Verifiable Containers und anderen Mechanismen sind heute technische Grundlagen geschaffen, die solch eine Erweiterung ermöglichen, während sie zugleich Verbesserungen des Datenschutzes in Aussicht stellen. Weitere Forschungs- und Entwicklungsarbeit ist nötig, aber in Aussicht stehen nicht nur Erleichterungen für den Endnutzer, sondern auch für Organisationen. Ein interoperables, auf offenen Standards basierendes System kann den Nutzerinnen Hoheit über ihre Daten geben, und zugleich die Tür zur Entstehung eines neuen Ökosystems aufstoßen, einer Art „TrustNet“, indem glaubwürdige, einfache Identifikationen im digitalen Raum möglich sind: von Menschen, Organisationen und Objekten. Neue Geschäftsmodelle werden sichtbar, ebenso wie ein neuer Umgang in und mit dem Netz. Es entwächst seiner Pubertät und wird erwachsen. Der anarchische Raum wird weiter existieren, da die bisherigen Standards nicht ersetzt, aber erweitert werden – aber aus ihm heraus wächst ein neuer Raum: Wo man sich mit echten oder auch temporären Identitäten begegnet, um rechts- und datensicher miteinander ins Geschäft zu kommen.