Anwen­dungs­be­reiche von Digital Identities:

Physische Identi­täten digital reprä­sen­tieren – und schützen

 

Mit der aktuellen Weiter­ent­wicklung der europäi­schen Verordnung über elektro­nische Identi­fi­zierung und Vertrau­ens­dienste (eIDAS) kann europaweit eine anerkannte und sichere digitale Identität kommen. Digitale Identi­täten sind dabei schon lange gang und gäbe – vom E‑Mail-Account, über Social Media bis zu digitalen Behör­den­gängen: Die Nutzung digitaler Dienste erfordert einen Identi­täts­nachweis. Die dafür nötige Identi­fi­kation und Authen­ti­fi­zierung ist abhängig vom dafür genutzten Dienst an verschiedene Schutz­ni­veaus gekoppelt. Unter­nehmen, die Dienste anbieten wollen, für die digitale Identi­täten notwendig sind – für Mitar­beiter, Partner und Kunden – müssen die Voraus­set­zungen kennen.

Eine digitale Identität stellt die digitale Reprä­sen­tation einer physi­schen Identität dar. Letztere kann ein Mensch sein, aber auch eine Insti­tution, eine Maschine oder ein Server. Im Gesund­heits­wesen können z. B. Praxen, Kranken­häuser oder Apotheken eine digitale Identität erhalten. Sie stellt in diesem Kontext eine Sammlung von Attri­buten in elektro­ni­scher Form dar, die eine natür­liche oder juris­tische Person charak­te­ri­sieren – das können Name, Adresse und Geburts­datum sein, aber auch Benut­zername oder Email­adresse. Eine digitale ID muss eindeutig sein, da sie sonst nicht zuordenbar ist; der Prozess der ursprüng­lichen Identi­fi­zierung wird ins Digitale übertragen– für die Erst-Identi­fi­kation benötigt es eine Regis­trierung; die Wieder­erkennung erfolgt durch die Authen­ti­fi­zierung. Aus gesell­schaft­licher Perspektive gibt es drei Formen von Identi­täten: Echte, selbst­kon­stru­ierte und anonyme, wobei Letztere zum Beispiel auf Social Media eine teilweise kontro­verse Rolle spielen.

Einsatz­mög­lich­keiten digitaler Identitäten

Digitale Identi­täten sind als Grundlage bzw. digitale Reprä­sen­tation für digitale Dienste und Prozesse notwendig. Sie kommen überall dort zum Einsatz, wo digitale Dienste angeboten werden und perso­na­li­siert sind, was die Erhebung, Speicherung und Verar­beitung von Daten erfordert. Digitale Dienste haben diverse Ausprä­gungen – vom Social-Media-Benut­zer­konto, über Online-Accounts im E‑Commerce, bis hin zum Online-Banking oder digitalen Behör­den­gängen über eGovernment-Angebote. Wie beim Perso­nal­ausweis kann der Anwen­dungs­be­reich einer digitalen Identität über eine reine Identi­fi­kation hinaus­gehen und zum Beispiel eine Alters­prüfung möglich sein.

Die zuneh­mende Digita­li­sierung erschließt weitere Einsatz­mög­lich­keiten einer digitalen Identität: Die europäische eIDAS (Verordnung über elektro­nische Identi­fi­zierung und Vertrau­ens­dienste) schafft hier einheit­liche Rahmen­be­din­gungen für die Nutzung elektro­ni­scher Identi­fi­zie­rungs­mittel und Vertrau­ens­dienste über Grenzen hinweg. 2020 wurde die Überar­beitung der eIDAS-Richt­linie gestartet, sie ist derzeit noch nicht abgeschlossen. Ziel ist es, europaweit ein sicheres EU-Identity-Wallet anzubieten. Die eID ist damit das virtuelle Pendant eines Ausweises. Sie soll eine Identi­fi­kation und Authen­ti­fi­zierung ermög­lichen, eine Überprüfung der Gültigkeit durch Dritte sowie die sichere Speicherung und Darstellung der Identi­täten. Außerdem soll sie es erlauben, quali­fi­zierte elektro­nische Signa­turen zu generieren. Dieses digitale Pendant zur Unter­schrift erlaubt auf digitaler Ebene rechts­gültige Vertragsabschlüsse.

Die eIDAS gibt auch vor, dass die EU-Mitglied­staaten den Bürgern die digitale Identität zur Verfügung stellen müssen; auch die vorge­sehene Akzep­tanz­pflicht kann dazu beitragen, dass andere digitale Identi­täten wegfallen. Einkäufe im Ausland oder die Abholung eines Mietwagens könnten damit verein­facht werden, da die digitale Identität Prozesse effizi­enter macht. Denn digitale Dienste sind im Vergleich zu analogen Prozessen mit einer Kosten­re­duktion verbunden; der User profi­tiert stark von einer einfa­cheren und beque­meren Handhabung, etwa, wenn sich Behör­den­gänge von zu Hause aus erledigen lassen.

Anders als bei digitalen Identi­täten über Google oder Facebook kann durch die Behörden sicher­ge­stellt werden, dass der Daten­schutz nach DSGVO einge­halten wird. Im Gesund­heits­wesen sollen digitale Identi­täten auf dem Smart­phone perspek­ti­visch die elektro­nische Gesund­heits­karte ablösen – aktuell kann dies aber noch nicht reali­siert werden.

Sicherheit und Schutz des Users 

Ein mögliches Angriffs­sze­nario, das digitale Identi­täten in beson­derem Maße betrifft, ist der Diebstahl in Form von Imper­so­nation bzw. Identi­täts­dieb­stahl. Das Schadens­po­tenzial reicht dabei von Hasskom­men­taren auf Social Media bis zum Zugriff und Missbrauch von persön­lichen Daten etwa bei Bankge­schäften oder vertrau­lichen Gesund­heits­daten. Während der analoge Perso­nal­ausweis den Missbrauch durch Diebe wegen des darauf abgebil­deten Fotos limitiert, sieht der Fall online anders aus. Die digitale Identität muss also besonders geschützt werden. Schutz­maß­nahmen können zum Beispiel sichere Passwörter sein oder eine Zweifaktor-Authen­ti­fi­zierung, wie sie bereits im Online-Banking zum Beispiel mit Passwort einer­seits und zusätz­licher TAN-Generierung auf einem externen Gerät anderer­seits statt­findet. Der Hardware­token in Smart­cards stellt als zerti­fi­zierte Ausführung ein Höchstmaß an Sicherheit dar.

Standar­di­sierte Vertrauensniveaus

Das Sicher­heits­niveau hängt vom Einsatz­zweck der digitalen Identität ab und wird in der Durch­füh­rungs­ver­ordnung (EU) 2015/1502 geregelt. So liegen zum Beispiel im Online-Banking oder im Gesund­heits­be­reich besonders sensible, perso­nen­be­zogene Daten vor, die eines hohen Schutz­ni­veaus bedürfen. Die Verordnung definiert drei standar­di­sierte Vertrau­ens­ni­veaus: niedrig, substan­tiell und hoch. Ein niedriger Schutz­bedarf entspricht einer Ein-Faktor-Authen­ti­fi­zierung, wie sie in Social Networks oder Foren geläufig ist. Substan­ziell wird der Schutz durch die bereits genannte Zwei-Faktor-Authen­ti­fi­zierung. Ein hoher Schutz, wenn etwa Gesund­heits­daten betroffen sind, muss aller­dings noch stärker abgesi­chert sein, zum Beispiel mit einem Pass samt Foto und biome­tri­schen Merkmalen. So können Identi­fi­zie­rungen über Video-Ident- oder Post-Ident­ver­fahren erfolgen.

Je höher das Sicher­heits­niveau, desto kompli­zierter gestaltet sich aller­dings dessen technische Umsetzung. So bringen hochpreisige Smart­phones zerti­fi­zierte Sicher­heits­kom­po­nenten mit – während in günsti­geren Endge­räten jedoch minder­wer­tigere biome­trische Sensoren verbaut werden, die leicht manipulier- oder überbrückbar sind. Sie verfügen also über keine geschützten Speicher­be­reiche. Smart­cards in Gesund­heits­karten können dagegen mit ihren Chip-Prozes­soren krypto­gra­fi­sches Schlüs­sel­ma­terial verwenden und speichern. Damit stellen die dahin­ter­lie­genden Infra­struk­turen die Echtheit sicher.

Das Zukunfts­po­tenzial digitaler Identitäten

Die Digita­li­sierung nimmt zu, all ihre Dienste erfordern eine digitale Identität und diese sind bereits weit verbreitet: Im Schnitt hat jeder Bürger 90 digitale Identi­täten. Dabei können digitale und analoge Welt verschmelzen, etwa, wenn Zutritts­kon­trollen in Unter­nehmen digita­li­siert sind und den Nachweis einer digitalen Identität erfordern, oder wenn in Arztpraxen die Gesund­heits­karte als ID einge­lesen wird. Hier werden Medien­brüche als Hemmnis wahrge­nommen, etwa wenn Papier­do­ku­mente als Scans bei Kranken­kassen einge­reicht werden sollen. Digitale Identi­täten und die damit mögliche Zuordnung machen die Digita­li­sierung solcher Prozesse überhaupt erst möglich. Im Bereich eHealth können Ärzte so z. B. Rechnungen und Rezepte digital signieren und versenden.

Unter­nehmen wiederum können digitale Identi­täten in der Breite für Kunden und Mitar­beiter, Endkunden oder Partner nutzen. Damit kann zum Beispiel die Urlaubs­be­an­tragung über ein Portal erfolgen. Nicht zu vernach­läs­sigen sind auch denkbare Anwen­dungs­mög­lich­keiten für die Kunden­bindung: Denn über digitale Dienste, die Kunden nutzen, lassen sich nicht zuletzt Infor­ma­tionen über deren Verhalten gewinnen – um damit das eigene Angebot besser zuschneiden und optimieren zu können. Dabei müssen sich Unter­nehmen der verschie­denen Sicher­heits­ni­veaus aller­dings zwingend bewusst sein. Nutzer­freund­lichkeit ist zwar wichtig –  ebenso aber auch der digitale Schutz vor Identitäts- und Datenraub. Ist dieser nicht gewähr­leistet, können gravie­rende Auswir­kungen die Folgen sein. Ein Beratungs­un­ter­nehmen wie die SRC GmbH kann hier helfen, Lösungen – kosten­pflichtige wie open source – zu beleuchten, Zerti­fi­zie­rungen zu prüfen und die Konfor­mität und damit Rechts­si­cherheit sicherzustellen.

Fazit

Ohne digitale Identi­täten läuft im Internet nichts – digitale Dienste erfordern initial eine Identi­fi­kation des Users und für die Weiter­nutzung eine Authen­ti­fi­zierung zum Beispiel über Passwörter mit zusätz­licher TAN-Generierung im Rahmen von Multi­faktor-Verfahren. Von der Art des Dienstes und der dabei genutzten Daten hängen die Erfor­der­nisse an die Sicherheit ab, die über drei Niveaus sicher­ge­stellt wird. Unter­nehmen, die digitale Dienste nutzen wollen, müssen deswegen die Voraus­set­zungen kennen um die Anwen­dungs­po­ten­ziale für Kunden, Partner oder Liefe­ranten zu nutzen.

___________________________________________________

Autor: Nico Martens, Berater SRC Security Research & Consulting GmbH

Weitere Infor­ma­tionen: https://src-gmbh.de/

Presse­kontakt:

Patrick Schulze

WORDFINDER GmbH & CO. KG

Lornsen­straße 128–130

22869 Schenefeld

Tel. +49 (0) 40 840 55 92–18

ps@wordfinderpr.com

www.wordfinderpr.com