Self-Sovereign Identity (SSI)

Datenschutzverletzungen, Datenverluste sind wöchentlich in aller Munde bzw. in den Medien. Sollte es sich dabei nur um ein paar einfache persönliche Daten wie Vorname und Nachname handeln, ist der Schaden überschaubar. Aber: mittlerweile ist jeder von uns digital omnipräsent. Vielfach mit identischen Daten. Diese Daten übergeben wir vertrauensvoll Unternehmen, Online-Shops, Banken, Versicherungen etc. in der Annahme, dass aufgrund der gesetzlichen Vorschriften diese mit dem höchsten Maß an Sicherheit verwaltet werden. Dieser Ansatz wird als Silo bezeichnet, weil viele unterschiedliche Datenspeicher nahezu identischen Daten zu unterschiedlichen Zwecken beinhalten. 

Wäre dieser Ansatz erfolgreich, wären keine Meldungen über dramatische Datenverluste zu lesen und es wären ebenfalls keine Datenschutzrichtlinien für persönliche Daten notwendig. In dieser Idealwelt bewegen wir uns leider nicht. Daher ist ein neues Konzept notwendig: die Self-Sovereign Identity, bzw. die dezentralisierte Identität. Dieses neue Konzept gibt jedem Dateneigentümer die Kontrolle über die Identität zurück. Genutzt wird dafür ein Identitäts-Wallet (quasi ein digitales Portemonnaie), welches verifizierte Informationen über sich selbst von zertifizierten Ausstellern (Behörden etc.) sammelt und speichert. Wie ein echtes Portemonnaie hat man immer die Kontrolle über die Assets, bspw. die Kreditkarte, den Personalausweis, etc. 

Sollte Bedarf bestehen, dass diese Informationen Dritten zur Verfügung gestellt werden, kann diese Bereitstellung selektiv erfolgen und die Nutzungserlaubnis jederzeit widerrufen werden. Die Daten werden nicht „verschickt“, sondern der Zugriff wird erlaubt. Durch den Entzug der Erlaubnis hat die dritte Instanz keinerlei Berechtigung diese Daten weiter zu verwenden.  Daraus ergibt sich für jeden von uns die volle Kontrolle über die eigenen Daten und ein stark verbesserter Schutz vor Datendiebstahl und Missbrauch. 

Ist damit alles gut?

Ja und Nein. Der Ansatz ist grundsätzlich überfällig, die Idee zum jetzigen Zeitpunkt schon sehr ausgereift. Wenn man sich vor Augen führt, dass nicht die Daten im Vordergrund stehen, sondern deren Verwendung, lässt sich erahnen welche Anwendungsbeispiele damit umgesetzt werden können.  

Nicht nur die ungefilterte Bereitstellung ist möglich, sondern auch die Abstraktion. Als passendes Beispiel ist der Altersnachweis zu erklären: Der Altersnachweis ist gefordert, um gesetzliche Mindestgrenzen prüfen zu können. Mit der SSI/DID muss allerdings nicht mehr das Geburtsdatum freigegeben werden, sondern es reicht aus die simple Frage zu beantworten: „Ist der Dateneigentümer über 18 Jahre alt?“. 

Die Antwort wird aufgrund der zertifizierten Daten implizit akzeptiert, und kann durch den Einsatz weiterführender Technologien auch verifizierbar zugänglich gemacht werden, ohne einen notwendigen Zugriff auf das Wallet. 

Mit diesen Möglichkeiten ergeben sich allerdings auch folgende Fragestellungen: 

• Welche Anwendungsfälle erleichtern uns als Unternehmen das Leben? 
• Wie lässt sich eine SSI/DID in unsere Unternehmensprozesse eingliedern? 
• Welche Lösungsansätze entwickeln sich gerade und sind vielversprechend? 
• Welche Standards entwickeln sich möglicherweise, die man weiterverfolgen sollte? 
• Wie kann das Wallet geschützt werden? 
• Welche Hersteller sind beteiligt? 
• Wie müssen insbesondere technikferne Anwender/Dateneigentümer an das Thema herangeführt werden? 

Wie jede neue Idee und neue Technologie muss sich diese in der Praxis beweisen. Im Themenkomplex SSI und DID ist diese Beweislast mittlerweile abgeschlossen. 

Namhafte Unternehmen unterstützen aktiv die Adaption und Akzeptanz durch die Entwicklung von Schnittstellen und Integrationen.

Wir beraten Sie gerne!

Wir unterstützen Unternehmen bei der Adaption und Integration von Anwendungsfällen rund um SSO/DID in Verbindung mit IAM-Prozessen. Unsere Experten bilden sich konsequent weiter und sind bisweilen der Zeit voraus, gerade mit Blick auf solch fundamental neue Ideen. 

Die IPG hat sich des Themas als Dienstleistung für unsere Kunden verpflichtet, insbesondere aufgrund der notwendigen Maßnahmen, um Datensicherheit und Datenschutz persönlicher Daten konsequent verbessern zu wollen bzw. müssen. 

Sprechen Sie uns an.