Eine Identität für alles und jeden
Mit Self-Sovereign Identities zu mehr digitaler Selbstbestimmung
Benjamin Leiding, TU Clausthal
Kurz & Bündig
Im Gegensatz zu den klassischen zentralen Identitätsmanagementkonzepten ermöglichen Self-Sovereign Identities ein nutzergesteuertes Identitätsbereitstellungsmodell, bei dem die User den Zugriff und die gemeinsame Nutzung ihrer Daten auf der Grundlage des Wissensbedarfs mithilfe der Konzepte von DIDs, DID-Dokumenten und überprüfbaren Angaben steuern. Darüber hinaus können mittels DID-basierter SSI Systeme auch Identitäten für intelligente Maschinen und Software Services realisiert werden.
Beflügelt durch die fortschreitende und tiefgreifende Digitalisierung unseres Alltages werden auch traditionell-analoge Konzepte in die digitale Welt übertragen – z.B. Identitäten. Wobei wir in diesem Kontext nicht nur von menschlichen Identitäten sprechen, sondern den Begriff verallgemeinern und auch auf (intelligente) Maschinen, Software Services, etc. anwendbar machen. Ähnlich wie die analogen Identitäten sind auch deren digitale Gegenstücke sowie deren Transition hin zu digitalen Identitäten nicht frei von Problemen und Herausforderungen.
Infrastrukturen für öffentliche Schlüssel (Public Key Infrastructures – PKIs) sind nicht nur das gängigste System für die Verteilung und Verwaltung öffentlicher Schlüssel, sondern auch für die Sicherstellung einer korrekten Zuordnung zwischen einem öffentlichen Schlüssel und dessen Besitzer. Das zentralisierte Vertrauensmodell für die Identitätsauthentifizierung nutzen hierbei hierarchisch strukturierte zentrale Behörden, während etwaige Alternativlösungen wie das PGP Web of Trust (WoT) einen dezentralen Ansatz verfolgen.
Die meisten PKI-Systeme stützen sich auf zentrale Datenbanken und eine Kontrollinstanz zur Verwaltung sowie Speicherung der Schlüssel, welche eine einfache und effiziente Handhabung erlauben. Zentrale Kontrollstrukturen sind in der Regel aber auch Single-Point-of-Failure (SPOF) – wenn diese kompromittiert werden, stellt es eine direkte Bedrohung für die digitalen Identitäten der Benutzer dar. Ähnliche Sicherheitsprobleme könnten auch auftreten, wenn eine nationale Behörde eine Zertifizierungsstelle aus Überwachungsgründen zur Zusammenarbeit zwingt. Ein weiterer Nachteil zentralisierter Datensilos und des zentralisierten Identitätsmanagements ist die fehlende Interoperabilität zwischen den einzelnen Datensilos. Was aus Sicht des Anbieters zu einem günstigen – und gewünschtem – Lock-in-Effekt und aus Sicht
