Wie funktioniert Digitale Identität? Teil1: Die Anforderungen

Digitale Identität nimmt ständig an Bedeutung zu! Wir sehen viele Unternehmen, Initiativen und auch den Staat, die alle an Teillösungen arbeiten. Der große Wurf ist aber noch nirgendwo erkennbar. Maik Klotz und Tobias Baumgarten haben bereits einige Probleme umrissen. Warum aber ein scheinbar einfaches Problem auch im 21. Jahrhundert noch auf eine Lösung wartet, soll in der folgenden Artikelserie dargestellt werden.

von Rudolf Linsenbarth

Der heutige Beitrag beschreibt die Anforderungen, die eine geschlossene Gesamtlösung rund um die “Digitale Identität” erfüllen sollte:

1. Authentifizierung Wiedererkennung/SSO (Single Sign ON)

Das hier zu lösende Problem kennen alle Internet Nutzer. Es betrifft die Anmeldung bei einem Dienst, bei dem man sich zuvor registriert hat. Für eine Folgenutzung ist jetzt eine Authentifizierung erforderlich. Die Standardlösung lautet Benutzername und Passwort.

Rudolf Linsenbarth

Rudolf Linsenbarth beschäftigt sich mit Mobile Payment, NFC, Kundenbindung und Digitaler Identität. Er ist seit über 15 Jahren in den Bereichen Banken, Consulting, IT und Handel tätig. Linsenbarth ist profilierter Blogger der Finanzszene und kommentiert bei Twitter unter @holimuk die aktuellen Entwicklungen. Alle Beiträge schreibt Rudolf Linsenbarth im eigenen Namen.

Damit man sich nicht gleich zwei Credentials merken muss, bieten die meisten Portale die Möglichkeit, als Benutzernamen die eigene Mail-Adresse zu verwenden. Das schwächt natürlich die Sicherheit, da die Mail-Adresse zum jeweiligen Nutzer meist einer großen Personenzahl bekannt ist. Auch die Passwortfrage ist aus Nutzersicht ein lästiges Ärgernis. Passwörter sollen hinreichend komplex und möglichst bei jedem Portal ein anderes sein.
Beliebt ist daher die Möglichkeit sich mit seinem Facebook- oder Google-Account bei den jeweiligen Webdiensten zu registrieren und in Folge auch wieder anzumelden. Das stärkt Monopole und verschiebt die Probleme zu diesen Zentralkonten. Nähere Betrachtungen dazu in den Folge-Artikeln.

2. Identifizierung
Eine Identität im Internet oder deren Fehlen bemerkt man immer dann, wenn es darauf ankommt zu beweisen, dass man auch der ist, für den man sich ausgibt. Das Thema wird am anschaulichsten durch die 25 Jahre alte Karikatur von Peter Steiner beschrieben:

On the Internet nobody knows you’re a dog.”

Dieses Problem können Google und Facebook nicht lösen, da beide Unternehmen trotz der enormen Menge an Daten, die sie über ihre Nutzer besitzen, ihnen der letzte Identitätsbeweis fehlt.”

Eine vollständige Identität hat nur ein Anbieter, der seine Nutzer gesetzeskonform identifiziert und diese Identität dann sicher mit einem Authentifizierungsprozess verbindet. Zu jeder Authentifizierung kann er dann die dahinterliegende Identität liefern.

3. Nachrichten-Authentizität
Beim Nachrichtenversand in einem anonymen Netz will der Empfänger sichergehen, dass die Nachricht auch wirklich vom angegebenen Absender kommt. Der Nachrichtenversender will, dass kein anderer Nutzer Nachrichten in seinem Namen versenden kann.
Streng genommen gehört dieser Anwendungsfall zur Untermenge von Authentifizierung und Identifizierung. Dazu benötigt man standardisierte Schnittstellen. Außer dem Rohrkrepierer DeMail passiert da in Deutschland ziemlich wenig. Selbst der Versuch, einen solchen Dienst einer kleinen geschlossenen Benutzergruppe zu liefern, ist beim besonderen anwaltlichen Postfach voll gegen die Wand gefahren worden.

4. Nachrichten-Vertraulichkeit
Jeder möchte, dass vertrauliche Informationen auch vertraulich bleiben. Die Lösung dafür lautet verschlüsselte Nachrichten! Die Frage ist nur, wo beginnt die Verschlüsselung und wo endet sie. Reicht es, dass ich meinem Mailprovider vertraue und hier jeweils der Start- und Endpunkt einer Verschlüsselung ist? Wenn eine an mich gesendete Nachricht nur von mir entschlüsselt werden kann, benötige ich einen private Key und der Absender muss für die Verschlüsselung den dazu passenden public Key verwenden.

Ein Problem, für das es seit Jahren zwar technische Lösungen gibt, deren technisch/kommerzielle Umsetzung aber anscheinend vor unüberwindlichen Hürden steht.

5. Nachrichten-Integrität
Niemand soll unerkannt eine von einem Nutzer gesendete Nachricht verändern können. Für die Lösung des Problems kommen meist die gleichen Mittel zum Einsatz, mit denen man Nachrichten-Authentizität gewährleistet.

6. Nachrichten-Zeitstempeldienste
Dieses Problem hat nicht direkt etwas mit digitaler Identität zu tun, aber wenn hier schon mal der Entwurf einer digitale Identität-Infrastruktur skizziert wird, wäre es sinnvoll, diesen Service gleich zu integrieren. Ein Zeitstempeldienst hat im Internet dieselbe Aufgabe wie der klassische Poststempel in der analogen Welt. Er soll beweisen, dass eine Nachricht zu einem bestimmten Zeitpunkt auf die Reise geschickt worden ist. Wichtig zum Beispiel, um zu beweisen, dass eine Frist eingehalten worden ist.

Wie all diese Anforderungen für die Digitale Identität gelöst werden, soll in den folgenden Artikeln näher beleuchtet werden.Rudolf Linsenbarth