Self-Sovereign Identity (SSI) : Auf dem Weg in ein souveränes europäisches Ökosystem für Identitätsdaten

Derzeit dominieren im Cyberraum bei sehr vielen IT-Diensten weltweit zentrale ID-Provider wie Google, Facebook und Apple die Verwaltung von Identitätsdaten. Diese Situation schafft eine große Abhängigkeit für Gesellschaft, Unternehmen und Nutzer in Bezug auf den Fortgang der Digitalisierung. Außerdem nutzen die monopolistischen ID-Provider sensible personenbezogene Daten für eigene Werbezwecke oder stellen sie Dritten zur Verfügung, um damit Geld zu verdienen.– das schwächt die Privatsphäre der Nutzer und hat Folgen bezüglich der Akzeptanz für unsere digitale Zukunft. Self-Sovereign Identity (SSI) wird helfen, diese Probleme zu lösen und ist ein Digitalisierungsbeschleuniger für unsere Gesellschaft.

SSI-Ökosystem

In einem SSI-Umfeld kontrollieren und besitzen Nutzer ihre digitalen Identitäten und weitere verifizierbare digitale Nachweise, ohne hierfür auf eine zentrale Stelle, wie etwa Facebook oder Google, angewiesen zu sein. Sie entscheiden vollkommen eigenständig, wer welche Identitätsdaten zur Verfügung gestellt bekommt, da alle Identitätsdaten ausschließlich bei ihnen selbst sicher in einem SSI-Wallet gespeichert werden. Mit SSI ist gleichzeitig ein einfacher, flexibler, sicherer und vertrauenswürdiger Austausch von manipulationsgeschützten digitalen Nachweisen zwischen Nutzern und Anwendungen möglich.

Im SSI-Ökosystem für digitale Identitäten spielen drei Akteure eine Rolle (vgl. Abb. 1), die gemeinsam mit der SSI-Blockchain-Infrastruktur interagieren (sog. Trust-Triangle-Modell). Jeder dieser Akteure hat eine definierte Aufgabe, damit das SSI-Ökosystem erfolgreich umgesetzt werden kann.

Aussteller (Issuer)

Aussteller fertigen im SSI-Ökosystem verifizierbare digitale Nachweise an – eine Sammlung sogenannter „Verifiable Claims“ (siehe auch [3]), wie Bescheinigungen der Identität (z. B. Personalausweis, Firmen- oder Dienstausweis), Führerscheine, Zeugnisse, Bestätigungen (z. B. Teilnahme-, Buchungs-, Echtheits- oder Impfbestätigung), Befähigung (z. B. Approbationen oder Meisterbriefe), Befugnisse (z. B. Amts- oder Aufenthaltsbefugnis), Qualifikationen (z. B. Weiterbildungsnachweise oder Personenzertifikate) oder Mitgliedsausweise.

Typische Aussteller können beispielsweise das Einwohnermeldeamt oder Straßenverkehrsamt, Schulen und Hochschulen, Unternehmen, Berufsverbände, Behörden, Qualifizierungsorganisationen, TÜVs oder andere Unternehmen und Organisationen sein, die in dieser Tätigkeit ein Geschäftsmodell oder Vorteil für sich sehen.

Aussteller unterschreiben digitale Nachweise mit ihren geheimen Schlüsseln, damit Verifizierer (Anwendungen) diese auf Echtheit überprüfen können. Die verifizierbaren öffentlichen Schlüssel, Sperrlisten und weitere Meta-Informationen sind in einer SSI-Blockchain verstetigt und für die Verifizierer einfach abruf- und verifizierbar. Essenziell bei diesem Vorgang ist, dass die Aussteller sowohl berechtigt als auch vertrauenswürdig sind – die Echtheit und Berechtigung eines Nutzers müssen von den Ausstellern überprüft werden, bevor diese digitale Nachweise gesichert an ihn übermittelt.

Verifizierer (Akzeptanzstelle, Anwendungen)

Akzeptanzstellen (ggf. Anwendungen) im SSI-Ökosystem benötigen verifizierbare digitale Nachweise, um deren Inhalte, Teile davon oder auch nur Aussagen über bestimmte Attribute daraus in einem Prozess oder einer Anwendung (offline oder online) zu nutzen und weiter zu verarbeiten. Dies geschieht im Idealfall vollkommen automatisiert in einem digitalisierten Prozess und durch die Verifizierung der digitalen Signatur besonders sicher und eindeutig.

Bei physischen Nachweisen muss oft ungeschultes Personal die Verifikation mit allen dabei auftretenden Fehlern umsetzen – bei digitalen Nachweisen werden Inhalte und Aussteller kryptografisch verifiziert. Dazu kann eine Anwendung mithilfe der kryptografischen und Meta-Informationen aus der SSI-Blockchain digitale Nachweise, aber auch einzelne Attribute oder Teile daraus effizient und kostengünstig auf Echtheit hin überprüfen.

Besitzer (Holder, Nutzer)

Ein Besitzer oder Nutzer hat in der Regel auf seinem mobilen Endgerät eine SSI-App mit einem digitalen Portemonnaie – das sogenannte SSI-Wallet, in dem die verifizierbaren digitalen Nachweise sicher gespeichert sind. Es ist auch möglich, einen Cloud-Agent zu nutzen, was vor allem für Backup-Szenarien hilfreich ist (vgl. [1]).

Nutzer können – Berechtigung vorausgesetzt – verifizierbare digitale Nachweise von passenden Ausstellern anfordern und im eigenen SSI-Wallet sicher ablegen. So sind sie in der Lage, selbstbestimmt und souverän vollständige Nachweise oder Teile/Attribute daraus entsprechenden Anwendungen zur Verfügung zu stellen.

Ein weiteres und sehr wichtiges Feature für den Schutz der Privatheit und Souveränität wird bei SSI mithilfe von Zero-Knowledge-Proofs umgesetzt: Damit ist es möglich, Teile aus digitalen Nachweisen (Selective Disclosure) sicher und vertrauenswürdig vorzulegen oder das Vorliegen bestimmter Attribute (Predicate-Proofs) anonym zu beweisen. Zum Beispiel könnte ein Nutzer nachweisen, über 18 Jahre alt oder zu einem bestimmten Zeitpunkt schon zweimal gegen Corona geimpft worden zu sein oder einem bestimmten Unternehmen anzugehören. Dies kann der Nutzer aus seinen digitalen Nachweisen separieren, ohne hierfür den kompletten Nachweis mit vielen weiteren (für die Anwendung nicht relevanten) Informationen, präsentieren zu müssen.

SSI-Blockchain-Infrastruktur

Die SSI-Blockchain-Infrastruktur ist ein dezentrales Blockchain-Netzwerk mit IT-Sicherheits- und Vertrauenswürdigkeitsmechanismen, in dem Informationen der Aussteller manipulationssicher abgelegt werden. Dadurch sind die Akteure in der Lage, sowohl die Echtheit und den Ursprung als auch die Unversehrtheit digitaler Nachweise zu überprüfen, ohne dass die SSI-Blockchain die Nutzer oder die ausgestellten digitalen Nachweise offenbaren muss – so wird auch beim notwendigen Vertrauensdienst umfassender Datenschutz gewährleistet.

Die SSI-Blockchain-Infrastruktur hat im Vergleich zu anderen Blockchain-Anwendungen drei Besonderheiten:

Verteilte Verantwortung bei der Nutzung als Vertrauensdienst

Die Blockchain als Vertrauensdienst hat den Vorteil, dass sie durch ein Konsortium mit passenden Governance-Regeln definiert wird und man so eine zentrale Abhängigkeit von Monopolisten vermeiden kann. Welche Aussteller sich in einer SSI-Blockchain verstetigen dürfen, regelt die Governance des Konsortiums der jeweiligen SSI-Blockchain. Ein Beispiel für solche Governance-Regeln ist das eco Blockchain Governance Framework (eBGF), das von vielen Experten gemeinsam erstellt wird (siehe https://internet-sicherheit.github.io/eBGF/).

Decentralized Identifiers (DIDs)

Aussteller werden in der SSI-Blockchain zum Beispiel über vom W3C standardisierte Decentralized Identifiers (DIDs) repräsentiert [4], die globale, überprüfbare, dezentrale digitale Identitäten ermöglichen.

Ein DID ist in drei Teile aufgeteilt (vgl. Abb. 3):

• Das Schema bezeichnet die DID-Ressource als solche.
• Die DID-Methode referenziert die SSI-Blockchain, sodass in einem SSI-Ökosystem mehrere Blockchains parallel existieren und miteinander interagieren können.
• Der methodenspezifische Identifikator kennzeichnet den Aussteller oder andere Ressourcen in der speziellen SSI-Blockchain.

Ein DID identifiziert und lokalisiert (wie bei einer DNS-Domäne) eine konkrete Ressource: das DID-Dokument. Dazu gibt es einen DID-Resolver, der (analog zu einem DNS-Server) zu einer DID das Ziel auflöst und das DID-Dokument zurückgibt. Das DID-Dokument selbst ist ein JSON-Objekt, in dem der öffentliche Schlüssel sowie Eigenschaften und Metainformationen des Besitzers eingebunden sind.

Den Besitz eines DID kann man kryptografisch durch die Nutzung des zugehörigen geheimen Schlüssels aus dem Public-Key-Schlüsselpaar nachweisen – zum Beispiel mit einem Challenge-Response-Verfahren.

In einer SSI-Blockchain lassen sich DID-Dokumente erstellen, lesen, updaten und löschen. Die Update-Funktion ist wichtig, um zum Beispiel einen neuen öffentlichen Schlüssel einzutragen, wenn dieser wegen des zuvor genutzten Verfahrens oder der bisherigen Schlüssellänge nicht mehr sicher genug ist oder kompromittiert wurde.

Gleichzeitig können über die SSI-Blockchain anonyme Sperrregister abgebildet werden, um auf diese Weise die Gültigkeit digitaler Nachweise aufzuheben und so potenzielle Risiken zu minimieren. Die eigentlichen digitalen Nachweise oder Hashwerte davon werden jedoch nicht in der SSI-Blockchain verstetigt – daher sind in der SSI-Blockchain keine datenschutzrelevanten Daten der Nutzer gespeichert.

Netz von Blockchain-Netzen

Ein SSI-Ökosystem kann außerdem mehrere unterschiedliche Blockchain-Netzwerke umfassen, die Infrastruktur also als „SSI-Network of SSI-Networks“ realisiert werden. Das schafft eine besondere Flexibilität, weniger Abhängigkeiten und eine höhere Skalierung für infrastrukturelle Anwendungen. Hierzu existieren im Projekt Hyperledger-Aries (www.hyperledger.org/project/aries) standardisierte Protokolle, zum Beispiel für die Übertragung digitaler Nachweise zwischen den Akteuren.

Beispiele für verschiedene mögliche SSI-Blockchain-Netzwerke sind eine Aufteilung nach Branchen/Anwendungsgebieten – etwa für Government, Banken, Smart City, Industriesegmente, Gesundheitswesen et cetera – oder geografische Einheiten, wie Bundesländer oder EU-Staaten. Alle solchen SSI-Blockchains können dann dennoch als Ganzes einen einheitlichen Vertrauensdienst darstellen.

Anwendungsbeispiele

Die folgenden Anwendungsbeispiele mögen dazu dienen, das Potenzial von SSI in der fortschreitenden Digitalisierung zu verdeutlichen.

Autovermietung

Wer schon einmal ein Auto gemietet hat, kennt die Situation: Die/der Mitarbeiter:in des Autovermieters braucht eine gefühlte Ewigkeit, um Belege, Ausweis, Führerschein sowie Kreditkarte zu prüfen und die Daten im PC zu erfassen. Mit SSI ließe sich dieser Vorgang erheblich vereinfachen und verkürzen: Am Schalter angekommen, scannt der Kunde einen QR-Code. Anschließend gibt er die angefragten digitalen Nachweise (Ausweis, Führerschein, Kreditkarte, Reservierung, Gutscheine etc.) frei und stellt sie so der Autovermietung zur Verfügung, damit diese sie automatisiert verarbeiten kann. Anschließend kann der Mietvertrag digital signiert werden und die Übergabe des Autoschlüssels (physisch oder digital) erfolgen. Quasi simultan laufen die Prozesse sicher und vertrauenswürdig im Hintergrund ab. Für den Vermieter ergibt sich ein sehr hohes Einsparpotenzial, weil alles automatisiert abläuft – und der Kunde muss nicht lange warten.

Impfausweis

Wenn alle Bürger ihren Corona-Impfnachweis im Smartphone oder als QR-Code in ihrem SSI-Wallet dabei haben, erleichtert das viele Abläufe und schafft mehr Datenschutz. Denn bei einem Museums-, Restaurant- oder Konzertbesuch oder bei der Einreise in ein anderes Land könnte alles automatisiert und unter Wahrung der Privatsphäre im Hintergrund sicher und vertrauenswürdig überprüft und verarbeitet werden. Die Nachweisüberprüfung hat dabei eine höhere Qualität, weil kein ungeschultes Personal die Überprüfung vornimmt, sondern eine kryptografische Verifikation stattfindet. Außerdem lässt sich mit einem Zero-Knowledge-Proof auch nur der Beweis der Impfung erbringen, ohne dass persönliche Daten ausgetauscht werden müssten. Denn in den meisten Fällen ist ja nur wichtig, dass jemand geimpft (nicht ansteckend) ist, und es spielt keine Rolle wie er/sie heißt oder wo sie/er wohnt.

Vorzüge und Vorbehalte

Ein SSI-Ökosystem wird nur dann von Nutzern akzeptiert und verwendet, wenn sie den damit verbundenen Vorgängen vertrauen – dazu müssen sowohl die Technologie als auch die beteiligten Unternehmen vertrauenswürdig sein. Ein wichtiger Mechanismus dafür ist die angemessene Nutzung und Speicherzeit von Inhalten digitaler Nachweise bei Anwendern: Es ist essenziell, dass Anwendungen nach einer Verifikation digitaler Nachweise und der Nutzung von Inhalten diese unmittelbar löschen, sobald sie nicht mehr benötigt werden. Dauerhafte Speicherungen entfallen – und Nutzer können bei (erneutem) Bedarf Nachweise binnen Sekunden neu erzeugen.

Digitalisierung und Akzeptanz der Bürger

Digitalisierung ist von hoher unternehmerischer Relevanz, da der Einsatz neuer Technologie dazu beiträgt, Abläufe zu vereinfachen und Prozesse effizienter zu gestalten – somit stellt sie einen wichtigen Faktor zum Erhalt der Wettbewerbsfähigkeit dar. Grundsätzlich wünschen sich auch viele Nutzer eine Vereinfachung von Prozessen und Abläufen durch den Einsatz digitaler Technologie. Routineanträge, zum Beispiel bei der Stadtverwaltung, bei Banken/Versicherungen, beim Online-Einkauf et cetera, sollen schnell, einfach und problemlos per Internet durchgeführt werden können.

Dennoch sind immer mehr Nutzer misstrauisch, weil sie nicht wissen, wohin persönliche Daten abfließen und was damit passiert. Das Recht auf Privatsphäre gilt als Grundrecht und ist in allen modernen Demokratien verankert – im Cyberraum wird es aber zurzeit nicht wirklich gewahrt. Vielfach schaffen Anbieter über AGBs und Einwilligungen die Voraussetzung einer umfassenden Nutzung persönlicher Daten und sind damit (teils) sogar datenschutzkonform.

Trotz aller Skepsis sind Nutzer jedoch auch bereit, Vertrauen aufzubauen. Dabei erwarten sie, dass Unternehmen bei dem Einsatz neuer Technologie verantwortungsvoll und vertrauenswürdig agieren – nur wenn Nutzer merken, dass ihr Vertrauen gerechtfertigt ist, werden sie neue Technologie und Dienste akzeptieren und einsetzen. SSI-Ökosysteme sind eine solche Technologie, weil sie den Nutzer in den Mittelpunkt stellen.

Wirtschaftliche Relevanz für digitale Identitäten

Händisch durchgeführte Abläufe und Medienbrüche sind vielfach ein Grund für ineffiziente Prozesse und beeinträchtigen somit das Potenzial optimaler Produktivität. Auf dieser Basis lässt sich die wirtschaftliche und politische Relevanz einer beschleunigten Digitalisierung ableiten: Erfolgreiche Anwendungsfälle zeigen zum Beispiel, wie sich Lieferketten mittels Digitalisierung optimieren lassen, indem man wichtige digitale Nachweise einfach, schnell, sicher und vertrauenswürdig informationstechnisch verarbeitet.

Die Umsetzung digitaler Identitäten und Nachweise hat einen besonders hohen wirtschaftlichen Nutzen für Unternehmen. Laut der McKinsey-Studie „Digital identification – A key to inclusive growth“ [5] könnten digitale Identitäten einen wirtschaftlichen Nutzen äquivalent zu 3–4 % des Bruttoinlandsprodukts (BIP) im Jahr 2030 ermöglichen – 3 % des deutschen BIP von 2020 wären bereits 100 Mrd. Beim SSI-Ökosystem geht es also auch um sehr viel Geld.

Technologische Souveränität

Ein zunehmend wichtiger Faktor ist aber auch die technologische Souveränität, da kurz- bis mittelfristig der Wertschöpfungsanteil der IT sowie des Internets in allen Branchen enorm steigt. Für die freie, unabhängige und vollumfängliche Nutzung im Sinne von Gestaltungsmöglichkeiten für unsere Gesellschaft ist wesentlich, in wichtigen Branchen gezielt den Kompetenzaufbau voranzutreiben und Schlüsseltechnologien zu entwickeln. Denn nur so ist es möglich, potenziellen Risiken entgegenzuwirken, die durch Abhängigkeiten von internationalen Marktführern entstehen. Abhängigkeiten sind zu reduzieren und der Einsatz von zukünftig relevanter Technologie ist souverän und vertrauenswürdig zu gestalten. SSI ist ein solcher Schlüsselbereich, der es ermöglicht, eine größere Autonomie in Bezug auf die Nutzung und Verwertung persönlicher Daten zu erlangen.

Deutsche Vorreiterrolle

Im europäischen und globalen Gefüge will Deutschland eine Vorreiterrolle bei der Nutzung von SSI einnehmen. Deshalb fördert die Bundesregierung derzeit zahlreiche Projekte der digitalen Selbstbestimmung. Das Bundeswirtschaftsministerium (BMWi) fördert mit über 50 Millionen Euro im Innovationswettbewerb „Schaufenster Sichere Digitale Identitäten“ [6] bis zu vier große Modellprojekte unterschiedlicher öffentlich-privater Konsortien, die in sogenannten „Schaufenster-Regionen“ erste SSI-Anwendungen einsetzen.

Als erstes dieser Projekte ist im April 2021 IDunion gestartet, an dem auch das Institut für Internet-Sicherheit if(is) beteiligt ist. Ziel des IDunion-Konsortiums ist der Aufbau eines offenen Ökosystems für die dezentrale Identitätsverwaltung, das sich weltweit nutzen lässt und sich an europäischen Werten und Regularien orientiert.

Im IDunion-Projekt sind 14 Konsortialpartner und schon über 25 assoziierte Partner aus Forschung und Wirtschaft beteiligt – noch in diesem Jahr soll zur Verstetigung eine europäische Genossenschaft gegründet werden. Das Ökosystem von IDunion ist dabei offen für weitere Interessierte (https://idunion.org). Mit ONCE (www.once-project.de) und ID-Ideal (https://id-ideal.de) sind bereits zwei weitere Projekte ausgewählt worden.

Auch das Bundeskanzleramt will mithilfe digitaler Nachweise eines der drängendsten Digitalisierungshemmnisse unserer Zeit abbauen: Gemeinsam mit namhaften großen Unternehmen aus der Wirtschaft will die Bundesregierung noch in diesem Jahr den Grundstein zum Aufbau eines Ökosystems digitaler Identitäten legen und bis zu zehn Anwendungsfälle mit hoher Alltagsbedeutung umsetzen. Den Start machte das Projekt zum Hotel-Checkin für Firmenreisende per SSI (www.bundeskanzlerin.de/bkin-de/aktuelles/pilotprojekt-hotel-check-in-1879850).

Fazit

SSI-Ökosysteme lösen Abhängigkeiten von Monopolisten und geben unseren Bürger:inne:n und unserer Gesellschaft die Freiheit, die digitale Zukunft unabhängiger und damit erfolgreicher zu gestalten. Gleichzeitig sorgt Self-Sovereign Identity (SSI) als Digitalisierungsbeschleuniger für eine schnellere, sichere und vertrauenswürdige Digitalisierung. Nutzer können damit selbstbestimmt Identitätsdaten und digitale Nachweise an Anwendungen weitergeben, was einen hohen Grad an Privatsphäre schafft sowie werteorientierte IT und Online-Dienste und damit eine hohe Akzeptanz für die digitale Zukunft fördert.

Es ist wichtig, dass sich die IT- und IT-Sicherheits-Branche jetzt mit SSI beschäftigt, um sich frühzeitig darauf einzustellen, ein Teil des SSI-Ökosystems zu werden, das letztlich auch als wichtige Basis für viele weitere IT-Sicherheitslösungen dienen wird.

Norbert Pohlmann ist Professor für Informationssicherheit und Leiter des Instituts für Internet-Sicherheit – if(is) an der Westfälischen Hochschule in Gelsenkirchen, Vorstandsvorsitzender des TeleTrusT – Bundesverbands IT-Sicherheit e V. und Vorstandsmitglied des eco – Verband der Internetwirtschaft e.V.

Literatur

[1] André Kudra, Self-Sovereign Identity (SSI), Identity- & Access-Management mithilfe von Blockchain-Verfahren, 2020#2, S. 65
[2] Blockchain nach dem Hype (Expertenumfrage), 2020#2, S. 61
[3] W3C, Verifiable Credentials Working Group (VCWG) – formerly known as Verifiable Claims, Portalseite, www.w3.org/2017/vc/WG/
[4] W3C, Decentralized Identifier Working Group (DIDWG), Portalseite, www.w3.org/2019/did-wg/
[5] Olivia White, Owen Sperling, Anu Madgavkar, James Manyika , Jacques Bughin, Deepa Mahajan, Michael McCarthy, Digital identification: A key to inclusive growth, Studie des McKinsey Global Institute, April 2019, www.mckinsey.com/business-functions/mckinsey-digital/ourinsights/digital-identification-a-key-to-inclusive-growth
[6] Bundesministerium für Wirtschaft und Energie, Schaufenster Sichere Digitale Identitäten, Landingpage, www.digitale-technologien.de/DT/Navigation/DE/ProgrammeProjekte/AktuelleTechnologieprogramme/Sichere_Digitale_Identitaeten/sichere_digitale_ident.html