Die Blockchain als Vermittlerin der E-ID

Im vergangenen März zeigte TI&M, wie die Stadt Zug mittels Blockchain eine digitale Identität (E-ID) auf die Beine zu stellen versucht. Gestern hat der IT-Dienstleister am Hauptsitz in Zürich seinen Kunden einen Blick hinter die technischen Kulissen gewährt und verschiedene Anwendungsszenarien seiner Lösung gezeigt. CTO Martin Fabini erklärte zum Auftakt, warum die E-ID momentan eines der wichtigsten Felder der Digitalisierung ist. Der Bedarf nach einer vertrauenswürdigen Identität im Internet sei bei staatlichen und privaten Akteuren hoch, sagte er. Das Ziel sei, dass online nicht mehr nur Maschinen, sondern auch Menschen sicher miteinander kommunizieren könnten.

TI&M setze hierbei auf zwei Konzepte, sagte Fabini. Das erste sei die sogenannte "Self Sovereign Identity". Bei diesem Modell der digitalen Identität seien die Eigenschaften des Nutzers - Name, Alter oder Adresse - bei ihm selbst gespeichert, etwa auf seinem Smartphone. Der Nutzer entscheide dann eigenständig, welche Daten er wem zur Verfügung stelle.

Funktionsweise der Self Sovereign Identity. (Source: TI&M)

Doch wie lässt sich sicherstellen, dass die Informationen des Nutzers der Wahrheit entsprechen? Hier brachte Fabini als zweiten Punkt die Blockchain ins Spiel. Eine vertrauenswürdige Partei verifiziere die Nutzerdaten und könne somit garantieren, dass diese echt seien. Diese Informationen würden in einer Blockchain gespeichert und seien damit nachprüfbar. So könne etwa eine staatliche Behörde die Identität eines Menschen gegenüber einer Bank bestätigen, wenn dieser ein Konto eröffnen wolle. Die Bank wiederum könne gegenüber einem Händler die Kreditwürdigkeit des Kunden attestieren. Die Blockchain könne so Vertrauen zwischen Akteuren schaffen, die sich normalerweise nicht trauen würden.

E-ID auf Ethereum-Basis

TI&M habe sich in verschiedenen Entwicklerteams, sogenannten "Garagen", mit den Themen Blockchain und digitaler Identität beschäftigt, sagte Fabini. Ein Resultat dieser Arbeit sei das E-ID-Projekt, das momentan in der Stadt Zug laufe. Es sei zusammen mit dem Blockchain-Entwickler Consensys realisiert worden, der die App "U-Port" beisteuere. Als technologische Basis, auf der alle Transaktionen abliefen, diene die Ethereum-Blockchain.

Auf der Blockchain werden die Nutzerdaten attestiert. (Source: TI&M)

Wie das System funktioniert, demonstrierte David Perrenoud, Blockchain-Ingenieur bei TI&M. Das Pilotprojekt mit der Einwohnerkontrolle Zug habe ein grosses Medienecho ausgelöst, es sei aber nicht auf diese Behörde beschränkt. Prinzipiell könne mit dem Projekt jede Organisation gegenüber einer anderen Organisation die Daten eines Nutzers verifizieren. Die entscheidende Frage ist laut Perrenoud, ob sich die beiden Organisationen vertrauen.

Blockchain-Ingenieur David Perrenoud demonstrierte die Lösung bei Bank und Reisebüro. (Source: Netzmedien)

Im Zuger Beispiel müssten die Nutzer von U-Port ihre Daten zunächst selbst eingeben. Die Stadt überprüfe anschliessend deren Echtheit, was mit einem Besuch auf der städtischen Einwohnerkontrolle geschehe. Aktuell sei die Nutzung noch auf die Stadt beschränkt. Anhand einer - momentan noch fiktiven - Kontoeröffnung zeigte Perrenoud aber, wie die E-ID in Zukunft zum Einsatz kommen könnte. Mittels eines vom Smartphone eingelesenen QR-Codes signalisierte die App einer Bank, dass die Identität eines Neukunden echt ist, und gab grünes Licht für das Onboarding.

Aufbau der U-Port-App. (Source: TI&M)

Eine weitere denkbare Anwendung sei die Ausstellung von ärztlichen Rezepten, sagte Perrenoud. Ein Arzt könnte einen Patienten dereinst auf der Blockchain autorisieren, in der Apotheke ein bestimmtes Medikament zu kaufen. Der Apotheker könne dann per E-ID überprüfen, ob der Kunde zum Bezug des fraglichen Medikaments berechtigt sei und der Verkauf nicht bereits stattgefunden habe.

Verschiedene Systeme sollen koexistieren

Wird sich das Konzept der Self Sovereign Identity durchsetzen? Laut Martin Fabini spreche einiges dafür. Das System zeichne sich durch eine hohe Benutzerfreundlichkeit aus, ein SDK von U-Port lasse die Entwicklung eigener Apps zu und es sei bereits lauffähig. Auch für die Unternehmen sei das Konzept attraktiv. Für Web Shops erleichtere es etwa die Datenhaltung, da die Informationen beim Nutzer und nicht mehr in internen Datenbanken lägen. Dies sei insbesondere im Hinblick auf die Cybersecurity und die Compliance mit der EU-DSGVO interessant.

Anwendungsbereiche der Self Sovereign Identity. (Source: TI&M)

Es bestünden aber auch Herausforderungen, sagte Fabini. Ein Knackpunkt sei, dass die Self Sovereign Identity nicht weiter gehen dürfe, als das Datenschutzrecht. Das könne beispielsweise im Marketing ein Problem darstellen, wenn Daten wie E-Mail-Adressen auch ohne explizite Zustimmung der Nutzer verwendet werden sollen. Eine Lösung müsse auch für die Interoperabilität verschiedener E-IDs und Blockchain-Plattformen gefunden werden. Hier seien angesichts vieler Anbieter und Technologien Standards nötig.

Die verschiedenen E-IDs, die momentan in der Schweiz entwickelt werden, müssten nicht in Konkurrenz zueinander stehen, schloss Fabini die Präsentation ab. Eine Koexistenz zwischen der Self Sovereign Identity und der auf einer zentralen Datenbank basierenden Lösung von Swisssign sei möglich und wünschbar. Wenn die Synchronisierung und der Austausch zwischen beiden Systemen klappt, könnten sie sich gegenseitig befruchten und weiterentwickeln.