Probleme aktueller Authentifizierungsverfahren Selbstbestimmte Identitäten – Bestimmt wirklich jeder selbst über seine Daten?

Anbieter zum Thema

WatchGuard Technologies GmbH

Fsas Technologies GmbH

Soft & Cloud GmbH

Offen herumliegende Gehaltszettel, vertauschte Adressaten. In Personalabteilungen kommt es immer wieder zu Pannen, obwohl sie bei der Digitalisierung durchaus fortschrittlich sind. Häufig sind Kommunikations- und Datenwege eine noch unsichere Einbahnstraße.

Besonders für den Kontakt mit externen Empfängern, also z.B. mit Bewerbenden oder ehemaligen Mitarbeitenden müssen Identitäten zweifelsfrei identifiziert & authentifiziert werden, um Betrug in diesem sensiblen Datenraum vorzubeugen. Eines der gängigsten Verfahren ist das Abfotografieren oder Scannen des Ausweises, das jedoch eine geringere Sicherheit bietet, da die Sicherheitsmerkmale auf einem Foto verloren gehen. Auch Video- und Auto-Ident-Verfahren sind weit verbreitet. Bei all diesen Vorgängen müssen Bilddaten zur Verarbeitung zwischengespeichert werden. Häufig wird allerdings nicht transparent offengelegt, wo, wann und wie lange diese Daten abgelegt und verwendet werden. Die Gefahr, dass Online-Betrüger diese Systeme hacken und für Ihre Zwecke nutzen, wird nach wie vor unterschätzt. Seit 2017 stieg die Zahl von Cybercrime-Angriffen in Deutschland um mehr als 50 Prozent. Aufgeklärt wird davon allerdings nur jeder Dritte.

Selbstbestimmte Identitäten am Beispiel von enmeshed

Die sogenannten selbstbestimmten Identitäten (SBI) versprechen Endnutzenden unabhängig von Identitätsdiensten Kontrolle und Hoheit, über die von Ihnen an externe Institutionen und Unternehmen übermittelten, personenbezogenen Daten. Sofern Unternehmen und Institutionen keine rechtliche Verpflichtung zur Archivierung der Daten vorliegen, geht die Verfügungsgewalt der Informationen vollständig an den Nutzenden über. Diese erhalten eine Übersicht der digitalen Beziehungen und der jeweiligen geteilten Daten.

Die Open-Source Software enmeshed baut ebenfalls auf der SBI Methodologie auf. Im Gegensatz zu bestehenden Lösungen, greift die Anwendung auf eine zentrale, blockchainfreie Architektur zurück. Als DSGVO-konforme SBI-Lösung kann enmeshed Praxisanwendungen vorweisen. Im Rahmen der Entwicklung des Minimum Viable Products der Nationalen Bildungsplattform bildet die Technologie als Bestandteil der Komponente „Ablage“ eine Infrastruktur für einen sicheren Datentransfer und -speicherung zwischen Lernenden, Lehrenden und Bildungseinrichtungen. Besonders die niederschwellige und gleichzeitig sichere Nutzung als bidirektionale und hochperformante Ablage- und Kommunikationsmöglichkeit stellen die zentralsten Vorteile der Lösung. Der Anwendungsfokus liegt sowohl auf der Kommunikation im schulischen als auch im universitären Bereich sowie im Umfeld des Personalwesens im unternehmerischen Kontext. Beide Szenarien werden nachfolgend skizziert.

Anwendungsfall 1 - Schnelle Kommunikation für den Übergang Schule/Universität

Die 18-jährige Abiturientin Johanna^* schließt im Sommer ihr Abitur am Luitpold-Gymnasium München ab. Im Anschluss startet sie ihr Studium an der Munich Business School. Das Sekretariat ihrer Schule stellt Johanna einen QR-Code zur Verfügung, mit dem sie sich über die enmeshed App auf ihrem Smartphone mit der Schule verbinden kann. Dort wird ihr das Abitur-Zeugnis digital zur Verfügung gestellt und von ihrem Gymnasium als authentifiziert gekennzeichnet. Die Datei wird dabei auf dem lokalen Speicher von Johannas Endgerät abgelegt. Ohne Ihre persönlichen Daten erneut eingeben zu müssen, kann sie das Zeugnis durch Scannen des Universitäts-QR-Codes zur Immatrikulation weiterleiten. Über einen Backbone Layer sind durch das Scannen Johannas Identität und die der Universitätsverwaltung miteinander verknüpft. Die Normierung ihrer proprietären Datenstrukturen ermöglicht zudem das Mapping verschiedenster Schnittstellen-Standards, sodass eine Übermittlung der Bewerbung in IT-Systeme anderer Hochschulen möglich ist. Dabei können die Dateiformate sowohl eine unstrukturierte als auch strukturierte Form aufweisen. Des Weiteren werden durch die sog. Zero Knowledge Border ihre Angaben beim Transfer so Ende-zu-Ende verschlüsselt, dass selbst die App-Entwickelnden nicht auf Johannas persönliche Daten zugreifen können. Sobald sie das Luitpold-Gymnasium abschließt, kann sie selbstständig entscheiden, ob das Gymnasium weiterhin einen Zugriff auf Ihren Namen, ihren Wohnort oder Ihre E-Mail-Adresse haben soll. Ebenso kann sie bestimmen, welche Informationen die Munich Business School im Falle einer Ablehnung einbehalten darf.

^*Name geändert.

Anwendungsfall 2 - Sicherer Datenaustausch im Personalwesen

Nach 14 Jahren als Buchhalter in der j&s-soft GmbH verlässt Jochen Bauer^* aufgrund eines Umzugs sein Unternehmen. Die rechtliche Beziehung zwischen ihm als Arbeitnehmer und seinem Arbeitgeber läuft somit mit dem Vertragsende aus und damit auch sämtliche elektronischen Zugänge zu Postfächern, Datenbanken und allen unternehmensbezogenen Kontaktpunkten. Dennoch bestehen weiterhin bidirektionale Kommunikationsbedarfe, wie z.B. die Korrektur der letzten Gehaltsabrechnung, die Übermittlung des Arbeitszeugnisses oder Abfragen zur betrieblichen Rentenversicherung. In der Vergangenheit hat die j&s-soft GmbH ihren Mitarbeitenden diese Dokumente per Post oder unverschlüsselt per E-Mail zukommen lassen. Um die Austrittskosten so niedrig wie möglich zu halten und die hochsensiblen Personaldaten sicher zu übermitteln, erstellt das Unternehmen über enmeshed eine firmeneigene, selbstbestimmte Identität. Ähnlich wie beim Anwendungsfall im Bildungsbereich stellt die j&s-soft Jochen Bauer einen QR-Code zur Verfügung. Über die App auf seinem Privathandy kann er nun seinem alten Arbeitgeber seine neue Adresse mitteilen sowie die erwähnten Dokumente empfangen. Aber auch während des Bewerbungsprozesses oder der Anstellung finden selbstbestimmte Identitäten Anwendung. So müssen Bewerbende Lebensläufe, Sozialversicherungsnummern oder Krankenkassendaten nur erstmalig bei der App-Installation anlegen und können diese mit nur einem QR-Code Scan an Unternehmen bzw. Institutionen verschicken. Ebenso können Unternehmen diesen sicheren Kanal nutzen, um Push-Nachrichten zentralisiert an die Endgeräte ihrer Beschäftigen zu schicken, z.B. für kurzfristige Hinweise, wie einen Bombenfund in Büronähe oder die weihnachtlichen Firmengrüße.

^*Name geändert.

Ein Ausblick in weitere Anwendungsbereiche

Selbstbestimmte Identitäten finden überall dort Anwendung, wo eine große Menge personenbezogener Daten und Dokumente ausgetauscht werden. Im hochsensiblen Bereich der Arztpraxis–Patientenkommunikation können Abläufe, wie die elektronische Patientenakte, aber auch vermeintlich einfache Abläufe wie Terminbuchung und -änderungen abgebildet werden. Außerdem ist der rechtskonforme Informationstransfer von Hausverwaltungen bzw. Vermietenden zu Mietenden zu nennen. Betriebskostenabrechnungen, Objektskizzen oder Ticketsysteme bilden hierbei die relevanten Anwendungsfelder. In diesem Zusammenhang lassen sich des Weiteren Rechtsdienstleistungen identifizieren, bei denen vordergründig eine digitale Interaktion zwischen Mandantschaft und Anwaltschaft für eine Beschleunigung der Bearbeitungsprozesse sorgen soll. Vor allem die Erstellung von Mikro-Zertifikaten helfen Abfragenden die essenziellen Informationen aus einem mehrseitigen Dokument zu extrahieren. Zusammenfassend lässt sich sagen: Um eine Akzeptanz und Verbreitung in den aktuellen sowie zukünftigen Anwendungsfällen zu gewährleisten, werden die Interoperabilität mit anderen Systemen und der Aufbau eines für jeden zugänglichen Kommunikationsökosystems für den Erfolg selbstbestimmten Identitäten maßgeblich sein.

Über den Autor: Michael Feygelman ist Senior Project & Community Manager bei der j&s-soft GmbH und bewegt sich seit 2020 in diversen digitalen Feldern rund um Künstliche Intelligenz, Digital Identity Lösungen & Cybersicherheit. Gemeinsam mit dem Bundesministerium für Bildung und Forschung baut er mit zahlreichen Partnern an einer bundesweiten Verletzungsinfrastruktur für Bildungsangebote.

(ID:49543290)