Selbstbestimmte Identität

Grundidee der selbstbestimmten Identität

Eine selbstbestimmte Identität (englisch Self-Sovereign Identity, SSI) ermöglicht Personen, Organisationen oder Maschinen, eine digitale Identität selbst zu erzeugen und vollständig zu kontrollieren. Dafür ist keine Erlaubnis eines Vermittlers oder einer zentralen Stelle nötig. SSI soll außerdem ermöglichen, selbst zu bestimmen, wie persönliche Daten geteilt und verwendet werden.

Sie wird auch dezentrale Identität genannt. Sie kann sich aus unterschiedlichen Daten zusammensetzen, etwa selbst attestierten Angaben, Daten aus einem Social-Login-Konto, einer Transaktionshistorie auf einer E-Commerce-Website oder Bescheinigungen von Freunden, Arbeitgebern oder Universitäten.

Technische Funktionsweise

Nutzende verwenden ein digitales Wallet (Brieftasche). Dieses ist eine Anwendung zur Verwaltung digitaler Schlüssel und kann digitales Geld oder Identitätsinformationen empfangen, speichern, verwalten und senden. Mit dem Wallet können dezentrale Identifikatoren (decentralised Identifiers, DID) erzeugt und verifizierte Identitätsdaten (verified Credentials) gespeichert werden.

Im zentralisierten Identitätsparadigma stellt eine externe Entität den Identifikator bereit, zum Beispiel eine E-Mail-Adresse oder Telefonnummer. Im dezentralen Identitätsparadigma erzeugt der Benutzer den Identifikator selbst. Dritte können verifizierte Identitätsdaten ausstellen, die der Halter einer Bescheinigung bei Bedarf vorzeigt.

Wenn eine bestimmte rechtliche Wirksamkeit erforderlich ist, müssen einzelne Attribute der Identität möglicherweise durch Dritte bestätigt werden. Die bezeugende Partei, also Aussteller oder Emittent, hinterlegt dazu einen dezentralen Identifikator beispielsweise in einem Blockchain-Netzwerk. Dadurch können andere die präsentierten Attribute unabhängig überprüfen.

Europäische Union

Die Europäische Union untersucht SSI für Identitätsnachweise in einer Arbeitsgruppe innerhalb der European Blockchain Services Infrastructure (EBSI). Mit dem European Self-Sovereign Identity Framework (ESSIF) soll ein eIDAS-kompatibler europäischer Rahmen für SSI geschaffen werden.

Die erste Version der SSI eIDAS Bridge ermöglicht bereits, einen eIDAS-konformen Vertrauensdienstleister als Aussteller einer digitalen Identität im SSI-Netzwerk zu verankern. Außerdem wurde das ESSIF-Lab als Horizon-2020-Projekt gestartet, geleitet von TNO beziehungsweise NGI. Es beschäftigt sich vor allem mit der Interoperabilität, also dem Zusammenwirken verschiedener SSI-Implementierungen.

Recht und Vorhaben in Deutschland

Für Deutschland und Europa sind besonders die eIDAS-Verordnung und die Datenschutz-Grundverordnung (DSGVO) wichtig. eIDAS bildet den wichtigsten Vertrauensrahmen für elektronische Identifizierung in der EU und einen elementaren Baustein des digitalen Binnenmarktes. Die EBSI stellte hierfür die SSI eIDAS Bridge als technische Umsetzung bereit, die ein substanzielles Vertrauensniveau ermöglicht. Der eIDAS SSI legal report beschreibt Szenarien, in denen SSI regulatorische Bedingungen erfüllen kann. Die DSGVO ist die gesetzliche Grundlage für den Umgang mit personenbezogenen Daten; hierzu verweist der Artikel auf den GDPR Legal Report des EBSI.

Die Bundesregierung startete 2020 den Innovationswettbewerb „Schaufenster sichere digitale Identitäten“. Vier von elf Projekten der ersten Wettbewerbsphase enthielten Ansätze oder konkrete Vorhaben für dezentrale beziehungsweise selbstbestimmte Identitäten. Drei der elf Projekte wurden für weitere drei Jahre gefördert. Parallel entwickelte das Bundeskanzleramt mit verschiedenen Unternehmen die Anwendung „IDWallet“. Das Pilotprojekt wurde nach massiver Kritik wegen Mängeln im Design und den verwendeten Komponenten sowie ungelöster Datensicherheitsprobleme im SSI-Konzept eingestellt. Daneben gibt es zahlreiche Software-Anbieter in Deutschland für SSI-Anwendungen.

Schweiz

Der Schweizer Bundesrat beschloss im Dezember 2021, eine staatliche elektronische Identität (E-ID) auf Basis von SSI zu schaffen.