Viel wurde geschrieben und berichtet über Self-Sovereign Identity. Kurz SSI, handelt es sich dabei um einen Ansatz, Individuen die Kontrolle über ihre digitalen Identitäten zurückzugeben. Doch so übersichtlich diese Erklärung auch klingen mag, eine Vielzahl von Methoden und Ansätzen im Netz kann auch zu Unübersichtlichkeiten und gar Falschaussagen führen. In diesem Artikel beleuchten wir Themen und einzelne Aussagen im Detail, die in der letzten Zeit in den Medien diskutiert wurden. Dabei untersuchen wir genauer, ob Self-sovereign Identity in bestimmten Fällen Risiken für Datenmissbrauch erhöhen oder reduzieren kann. Wir schließen mit der Kernthese, dass der Missbrauch von persönlichen Daten leider ganz unabhängig von der genutzten digitalen Identität möglich ist – und wie man sich dennoch durch SSI davor schützen kann.
Datenmissbrauch
Jolocom steht hinter besseren Lösungen für digitale Identität.
Das Wichtigste zuerst: Self-Sovereign Identity (SSI) allein erhöht nicht das Risiko, dass Daten missbraucht werden. Aufgrund der Architektur eröffnet es Möglichkeiten, die Datensicherheit und Privacy zu erhöhen.
Das größte Risiko liegt darin, dass die Daten der User an einen Onlinedienst weitergegeben werden und diese dann dort gespeichert werden. Heute kennen wir das alle nur zu gut als Nutzerprofil oder Account. Ab dem Moment, in dem ich meine Daten eingegeben habe, muss ich darauf vertrauen, dass der Dienst seine Datenbank gut schützt und meine Daten sicher vor Angriffen durch Hacker und Identitätsdiebe schützt.
Die Erfahrung zeigt uns leider, dass am Ende oft vor allem die Hacker Erfolg haben und täglich tausende Profile und Accounts in die Hände von Datendieben fallen. Dies kann für die Betroffene ein absoluter Albtraum werden und motiviert uns bei Jolocom, an besseren Lösungen für digitale Identität zu arbeiten.
Wir haben also zwei Möglichkeiten, entweder wir geben den Diensten keine Daten mehr oder wir zwingen sie dazu die Daten besser abzusichern. Am besten wäre es aber natürlich beides zu schaffen, sowohl weniger Daten zu übertragen, und gleichzeitig eine bessere Sicherung der Daten zu schaffen.
Login – Kontinuierliches Onboarding
Um weniger Daten bei den Diensten zu speichern und trotzdem deren Angebot voll und ganz nutzen zu können gibt es im SSI Bereich eine großartige Möglichkeit, die dafür sorgt, dass ich meine Daten voll und ganz im Griff habe.
Das Konzept nennt sich kontinuierliches Onboarding und bedeutet, dass bei jedem Login die Profildaten neu übertragen werden (im Fall von Car Sharing also z.B. meinen relevanten Führerscheindaten, meine IBAN und Rechnungsadresse). Sobald sich der Benutzer abmeldet (und das Auto wieder abgestellt habe) kann der Dienst dessen Daten löschen und behält für sich nur einen individuellen Code, mit dem er den Nutzer oder die Nutzerin beim nächsten Besuch wiedererkennt. Zugegebenermaßen ist man davon abhängig, dass der Dienst dies Daten wirklich löscht, dafür gibt es aber viele Anreize, denn das Risiko eines Hacking Angriffs mit sdchweren Folgen sinkt enorm. Und nicht zu vergessen, wenn sich bei meinem User etwas ändert (z.B. die Telefonnummer) bekomme ich es durch das Continuous Onboaridng in dem Moment mit in dem er das nächste Mal meinen Service nutzt.
Mit SSI können Daten mit einem Klick geteilt werden, ohne zusätzlichen Aufwand.
Heute wäre der oben beschriebene Prozess des kontinuierlichen Onboarding praktisch unmöglich, da die Daten bei jedem Besuch von Hand eintragen werden müssten oder sogar noch per Video der Führerschein oder Ausweis bestätigt werden müsste. Undenkbar aufwändig und für beide Seiten unattraktiv. Mit SSI können Daten mit einem Klick geteilt werden, ohne zusätzlichen Aufwand. Der Dienst spart durch dieses reduzierte Risiko zudem viel Geld, was noch ein weiterer Grund ist, mit SSI zu arbeiten.
Ganz ohne Regulierung wird es nicht gehen
So gut wir mit SSI dazu beitragen können, dass Dienste keine Daten mehr über uns speichern müssen, ist es keine Garantie, dass sie das nicht tun. Um sicher zu gehen, dass sie nicht mehr Daten als notwendig von uns abfragen, hilft nur Regulierung.
Denn in der Situation in der wir als einzelner User mit den Diensten verhandeln, sitzen wir oft am kürzeren Hebel. Wir wollen den Dienst nutzen und der einzige Weg führt über die Akzeptanz ihrer Bedingungen, ob gerechtfertigt oder nicht. In einer digitalen Welt, in der wir auf viele Dienste praktisch nicht verzichten können, gleicht das einer Erpressung. So sind wir dem Datenmissbrauch oft ausgeliefert und müssen mit ansehen, wie wir entweder aus der Gesellschaft ausgeschlossen werden oder unsere Daten für eine Teilhabe am digitalen Leben in die Waagschale geworfen werden.
Jolocom positioniert sich ausdrücklich gegen Datenhandel und Tracking.
Zum Glück gibt es in Europa schon eine sehr vielversprechende Gesetzeslage. Denn die DSGVO (Datenschutzgrundverordnung) setzt klare Grenzen, was ohne gewichtigen Grund von den Usern verlangt werden darf. Zuletzt wurde der Digital Markets Act verabschiedet, der die Rechte gegenüber Diensten nochmals gestärkt hat.
Es stimmt zwar, dass SSI aus einem liberalen Denken kommt, das heißt aber nicht, dass unsere europäische Version SSI komplett unreguliert sein soll.
Muss nur auf die Regulierung gewartet werden?
Ganz konkret umsetzen lässt sich eine solche Regulierung für SSI aber auch schon bevor der Gesetzgeber handelt, indem sich die an einem SSI Ökosystem beteiligten Akteure gemeinsame Regeln geben und Mittel festlegen, um sie durchzusetzen. Das ganze nennt sich Trust Framework. In einem SSI Ökosystem kann so beschränkt werden, welche Daten beim User abgefragt werden dürfen und von wem. Der Verifier muss dann klar begründen, was mit diesen Daten geschieht, und ist an das Trust Framework gebunden.
Auch wir bei Jolocom arbeiten an diesen Trust Frameworks im Rahmen der Schaufensterprojekte des BMWK und begleiten in Brüssel die Entwicklung von eIDAS 2.0, einer neuen Regulierung, in der ähnliche Fragen aufgegriffen werden. Tatsächlich kann man eIDAS als eine Art europäisches Trust Framework verstehen. Schon heute fällt der elektronische Personalausweis darunter. In Zukunft dann sehr wahrscheinlich auch Self-sovereign Identity.
Böse gesprochen könnte man sagen, dass man bei SSI nur entscheiden kann, wem man seine Daten auf welchem Wege gibt, nicht aber was mit ihnen passiert. Das ist allerdings schon sehr, sehr viel im Vergleich zum Status Quo. Was mit den Daten passiert, ist dann nochmal eine neue Frage und keine technische. Da geht es dann um den Trust Frameworks und die Umsetzung von Policies. Das Ganze muss letztendlich über Zertifizierung und Zulassung geregelt werden. Es stimmt zwar, dass SSI aus einem liberalen Denken kommt, das heißt aber nicht, dass unsere europäische Version SSI komplett unreguliert sein soll.
Mittelfristig ist jedenfalls davon auszugehen, dass sich nur solche Wallets am Markt behaupten können, die auch in einem Trust Framework zugelassen/zertifiziert sind und entsprechend nur mit solchen Issuern und Verifiern sprechen, die ebenfalls entsprechend zugelassen sind. Das SSI System ist nicht für schlecht gesicherte Datenbanken verantwortlich.
Bedeutet Self-sovereign Identity, dass ich alles selbst entscheiden kann?
Die Idee, dass ich als User bei SSI die komplette Hoheit über meine digitale Identität habe wird oft missverstanden. Bei SSI geht es im Kern darum, dass meine Digitalen Identität in meiner Kontrolle liegt, ich also entscheiden kann wem ich meine Daten wann zeige und wofür. Dieser wichtige Grundsatz ist schon im ersten Artikel zu SSI von Christopher Allen von 2016 enthalten. Zwar kann ich mit SSI auch Identitätsdaten über mich selbst anlegen und z.B. behaupten Astronaut zu sein. Spätestens in dem Moment, indem ich mit dieser Identität dann eine Raumfähre besteigen will, würde ich aber auffliegen. In der Realität ist es nämlich so, dass wir unsere Identität vor allem aus dem zusammenstellen, was andere über uns sagen. So ist unser Personalausweis nur deswegen so geschätzt, weil er vom Staat ausgestellt wurde und damit eine hoheitliche Autorität meine Identität bestätigt. Ähnlich ist es bei einem Studierendenausweis, der nur dann glaubwürdig ist, wenn er von der Universität ausgestellt wurde.
Sources
Allan, Christopher (2016): The Path to Self-Sovereign Identity.
