Digitale Identität lernen

Kapitel 1. Die Natur der Identität

Diese Arbeit wurde mithilfe von KI übersetzt. Wir freuen uns über dein Feedback und deine Kommentare: [e-mail]

Cogito, ergo sum.

René Descartes

Der Westfälische Friede, der 1648 den Dreißigjährigen Krieg beendete, schuf das Konzept der westfälischen Souveränität: den völkerrechtlichen Grundsatz, dass "jeder Staat die Souveränität über sein Territorium und seine inneren Angelegenheiten hat, unter Ausschluss aller äußeren Mächte, nach dem Grundsatz der Nichteinmischung in die inneren Angelegenheiten eines anderen Landes, und dass jeder Staat (egal wie groß oder klein) vor dem Völkerrecht gleich ist."¹

Im darauffolgenden Jahrhundert begannen viele dieser Staaten mit der zivilen Registrierung ihrer Bürgerinnen und Bürger, um ihre Souveränität über ihr Territorium in eine Herrschaft über die dort lebenden Menschen umzuwandeln. Diese Registrierungen, aus denen unser modernes System der Geburtsurkunden hervorging, wurden zur Grundlage für die persönliche Identität und die rechtliche Identität in einer Weise, die diese beiden Konzepte miteinander verschmolz.

Geburtsurkunden sind eine Quelle der legalen Identität und ein Nachweis der Staatsbürgerschaft und damit die Grundlage für die individuelle Identität in den meisten Ländern. Das Melderegister ist zur Grundlage für die Beziehung zwischen Staaten und ihren Bürgern geworden. Da die modernen Nationalstaaten immer mehr Einfluss auf das Leben ihrer Bürgerinnen und Bürger nehmen (und sie oft auch kontrollieren), spielen das Melderegister und die damit verbundene rechtliche Identität eine immer größere Rolle in ihrem Leben. Die Menschen legen den Nachweis der Eintragung in das Melderegister aus vielen Gründen vor: um zu beweisen, wer sie sind, und um ihre Staatsbürgerschaft nachzuweisen.

Trotzdem hat Descartes nicht gesagt: "Ich habe eine Geburtsurkunde, also bin ich". Wenn die meisten Menschen das Wort Identität hören, denken sie an Geburtsurkunden, Pässe, Führerscheine, Logins, Passwörter und andere Ausweise. Aber natürlich sind wir mehr als nur unsere rechtliche Identität. Für die meisten Zwecke und Interaktionen wird unsere Identität durch unsere Beziehungen definiert. Mehr noch: Jeder von uns erlebt diese unabhängig voneinander als autonomes Wesen mit einer individuellen Perspektive.

Diese Dichotomie spiegelt die doppelte Natur der Identität wider. Während die Identität etwas ist, das andere uns zuschreiben, ist sie auch etwas, das tief in uns steckt und das widerspiegelt, was Descartes sagte: "Ich denke, also bin ich."

Ein Bündel von Stöcken?

Eine andere Möglichkeit, über die duale Natur der Identität nachzudenken, ist die Frage: "Bin ich mehr als eine Reihe von Eigenschaften?" Eigentumsrechte werden oft als ein Bündel von Stöcken betrachtet: Jedes Recht ist vom Rest trennbar und hat einen vom Rest unabhängigen Wert. In ähnlicher Weise wird die Identität oft als ein Bündel von Eigenschaften betrachtet, von denen jede einen unabhängigen Wert hat. In der Philosophie ist dies als Bündeltheorie bekannt, die von David Hume begründet wurde.

Bei der Bündeltheorie werden Attribute zu einer Sammlung zusammengefasst, ohne sich Gedanken darüber zu machen , was sie miteinander verbindet. Du könntest zum Beispiel eine Pflaume als lila, kugelförmig, 5 Zentimeter im Durchmesser und saftig bezeichnen. Kritiker der Bündeltheorie stellen in Frage, wie diese Attribute miteinander in Verbindung gebracht werden können, ohne die zugrunde liegende Substanz - die Sache selbst - zu kennen.

Die Substanztheorie ( ) hingegen besagt, dass die Attribute von einer "Entität getragen werden, die so existiert, dass sie keine andere Entität braucht, um zu existieren", so unser Freund Descartes.² Aus der Substanztheorie ergibt sich die Idee der Persistenz in der Philosophie der persönlichen Identität. Menschen, Organisationen und Dinge überdauern die Zeit. In einer Hinsicht bist du dieselbe Person, die du mit 16 Jahren warst. Aber in einem anderen Sinne bist du es nicht. Das, was dich im Laufe deines Lebens zu derselben Person macht, ist die Substanz. Was dich anders macht, ist die Sammlung sich ständig verändernder Eigenschaften, die du der Außenwelt im Laufe der Zeit präsentierst.

Ich bin kein Philosoph, aber ich glaube, dass beide Sichtweisen für das Verständnis der digitalen Identität nützlich sind. Für viele praktische Zwecke reicht es aus, Menschen, Organisationen und Dinge als Bündel von Eigenschaften zu betrachten. Auf dieser Sichtweise baut das moderne Web auf. Du meldest dich bei verschiedenen Diensten an und gibst bei jedem ein anderes Bündel von Attributen an. Es gibt keine Substanz, zumindest nicht im digitalen Sinne, denn das Einzige, was sie miteinander verbindet, bist du - eine eindeutig nicht-digitale Entität.

Das Fehlen einer digitalen Repräsentation von dir, die du allein kontrollieren kannst, ist eines der Themen, auf die ich in diesem Buch mehrmals zurückkommen werde. Zurzeit bist du nicht digital verkörpert - deine digitale Existenz hängt von anderen Entitäten ab. Du hast keine digitale Substanz, um die verschiedenen Eigenschaften, die du online präsentierst, miteinander zu verbinden. Ich glaube, dass digitale Identitätssysteme uns verkörpern und uns Substanz geben müssen, wenn wir eine digitale Zukunft aufbauen wollen, in der Menschen ihre Online-Existenz operationalisieren und ihre Würde als autonome menschliche Wesen bewahren können.

Identität ist größer, als du denkst

Auf den ersten Blick scheint die digitale Identität ziemlich einfach zu sein: Der Dienst, den du aufbaust, muss wissen, wer die Person am anderen Ende der Verbindung ist. Richte ein Konto ein, gib ihm einen Benutzernamen und ein Passwort und lass ihn sich anmelden. Sammle alle notwendigen Attribute und speichere sie in deinem Konto. Auftrag erledigt.

In den 25 Jahren, in denen ich mich mit digitaler Identität beschäftige, habe ich viele Beispiele für diese Art des Denkens gesehen. Ich bin ihr auch schon erlegen. Vor Jahren hat jedes Unternehmen, das einen Online-Dienst anbietet, mit dieser Prämisse begonnen, ein einfaches Identitätssystem entwickelt und dann weitergemacht. Dann schüttelten sie den Kopf, weil immer mehr Entwicklungsressourcen in die Lösung neuer Probleme gesteckt wurden, die immer dann auftauchten, wenn das Identitätssystem eine neue Funktion nicht unterstützen konnte.

Heute kaufen die meisten Unternehmen ihre Identitätssysteme. Identitäts- und Zugangsmanagement (IAM) existierte 2005 kaum als Marktkategorie, ist aber heute eine Multimilliarden-Dollar-Branche. Dennoch wächst die digitale Identität weiter, und es erscheinen fast täglich neue Konzepte, Produkte und Dienstleistungen.

Die Lektion? Identität ist größer und komplizierter als du denkst. In diesem Buch findest du Beispiele für Identität, die weit über die traditionellen Begriffe wie Anmeldung und Zugriffskontrolle hinausgehen. Datenschutz, Vertrauen, Authentizität, Vertraulichkeit, Föderation, authentische Daten, Identität für Dinge und Identitätsökosysteme sind nur einige der Bereiche, die in diesem Buch behandelt werden.

Identität ist die Grundlage für alle Online-Dienste, außer für die trivialsten. Angenommen, ein Workflow, den du aufbaust, benötigt eine signierte Bescheinigung, dass eine bestimmte Arbeit ausgeführt wurde, und enthält die Details zu dieser Arbeit. Das Ergebnis ist eine sichere, digitale, maschinenlesbare und überprüfbare Aufzeichnung des Vorgangs. Der Arbeitsablauf erfordert, dass diese Bescheinigung authentisch ist. Wie kannst du das sicherstellen?

Das Dokument kann als authentisch angesehen werden, wenn es von einer Person oder Sache unterzeichnet wurde, die authentifiziert wurde, wenn die kryptografischen Prozesse die nötige Zuverlässigkeit aufweisen, um Vertrauen in das Ergebnis zu erwecken, und wenn es einen Prozess gibt, der die Herkunft des Dokuments feststellt.³ Authentifizierung, Vertrauen und Herkunft basieren alle auf der Identität.

Neben den Dienstleistungen haben viele Dokumente, die wir täglich benutzen, einen identitätsbezogenen Zweck. Eine Kinokarte (ein Beispiel, das ich in diesem Buch mehrmals verwenden werde) ist ein Identitätsdokument, das den Inhaber als jemanden ausweist, der zu einem bestimmten Zeitpunkt Anspruch auf einen Sitzplatz in einem bestimmten Kino hat. Außerdem ist sie so gestaltet, dass der Ticketkassierer sie als echt erkennt.

Was ist eine Rechnung? Eine Rechnung kennzeichnet eine Zahlung, die von einer bestimmten Partei für eine bestimmte Leistung angefordert wird. Sie hat eine Kennung und kann aufgrund des Arbeitsablaufs, zu dem sie gehört, als authentisch erkannt werden. Eine Rechnung kennzeichnet eine Transaktion, die innerhalb einer größeren Beziehung stattfindet.

Diese und Millionen andere Beispiele sind alle Teil der digitalen Identität - und doch geht es bei ihnen nicht darum, sich in ein Konto einzuloggen, um einige Attribute abzurufen. Wie du in diesem Buch lernen wirst, haben sie jedoch viel gemeinsam.

Keine universellen Identitätssysteme

Einige Menschen verbinden die irrige Annahme, dass Identität einfach ist, mit der kurzsichtigen Ansicht, dass es bei der Identität nur um den Prozess geht, mit dem rechtliche Identifikationsmerkmale an Personen gebunden werden. Das Ergebnis ist die Suche nach einer universellen Identitätslösung. Universelle Identitätssysteme sind attraktiv, weil die digitale Identität schwierig und unbequem ist. Der Sirenengesang eines universellen Identitätssystems lockt Entwickler/innen und Nutzer/innen gleichermaßen mit dem Versprechen, Online-Interaktionen zu vereinfachen, nur um sie dann an den Felsen einer sehr realen Komplexität zu zerschmettern.

Im Laufe der Jahre haben mir viele Leute gesagt, dass ihr Produkt eine universelle Lösung für die digitale Identität ist, weil es die Möglichkeit bietet, einen Körper (buchstäblich, durch biometrische Daten) mit einer gesetzlichen Kennung zu verbinden. Das kann zwar den Betrug verringern, aber Identitätssysteme, die das tun, sind fast immer eine Katastrophe für den Datenschutz, weil sie viele persönliche Daten sammeln müssen, um universell zu sein. Das Ergebnis ist ein Honeypot mit persönlichen Informationen, die Hacker zu attraktiv finden, um sie zu ignorieren. Noch besorgniserregender ist, dass ein einziger universeller Identifikator Computern die Möglichkeit gibt, die Aktivitäten von Menschen über eine Vielzahl von Systemen hinweg in Beziehung zu setzen und so ein universelles Dossier zu erstellen, das es Regierungen und Unternehmen ermöglicht, sie zu überwachen und sogar zu kontrollieren. Universalidentifikatoren sind eine Technologie aus dem 20. Jahrhundert, die im digitalen Zeitalter nichts zu suchen hat.

Ich hoffe, dass die Beispiele aus dem letzten Abschnitt dich zumindest dazu gebracht haben, über all die Stellen nachzudenken, an denen die Identität in deinem Unternehmen und - noch wichtiger - in deinem Leben eine Rolle spielt. Da Identität in der einen oder anderen Form die Grundlage für fast jede Transaktion, Beziehung und Interaktion ist, sind Identitätssysteme polymorph (sie haben viele Formen). Universelle Systeme, die per Definition nur eine einzige Form haben, lösen daher immer nur einen Teil der Probleme. Universelle Identitätssysteme gibt es nicht.

Aber es ist noch nicht alles verloren für diejenigen, die sich ein besseres Online-Identitätserlebnis, weniger Betrug und mehr Funktionalität erhoffen. Das Internet bietet eine nützliche Analogie. Denk an all die Möglichkeiten, wie Nachrichten online ausgetauscht werden: E-Mail, Instant Messaging, Webseiten und Video sind nur die bekanntesten Möglichkeiten, wie das Internet den Nachrichtenfluss zwischen Computern erleichtert. Aber das Internet ist kein universelles Nachrichtensystem. Jede dieser Nachrichtenarten hat eine andere Form und einen anderen Zweck. Vielmehr ist das Internet ein System zum Aufbau von Nachrichtensystemen auf einer gemeinsamen Infrastruktur. In ähnlicher Weise können wir mit Hilfe von Protokollen und Standards ein System für den Aufbau von Identitätssystemen schaffen.

Der Weg in die Zukunft

Das Erlernen der digitalen Identität setzt voraus, dass du wichtige Konzepte und Zusammenhänge verstehst, damit du anfängst, ganzheitlich über Identität nachzudenken. Deshalb befasst sich der erste Teil dieses Buches mit Definitionen, Problemen und Gesetzen zur digitalen Identität. Danach lernst du etwas über Beziehungen, Vertrauen, Privatsphäre und Kryptografie - Konzepte, die für die folgenden Diskussionen notwendig sind.

Der zweite Teil des Buches beschreibt die Technologien, Methoden und Protokolle, die für die digitale Identität notwendig sind. Dazu gehören so wichtige Dinge wie Namensgebung, Erkennung, Authentifizierung, Föderation und Zugriffskontrolle.

Im dritten Teil des Buches werden kryptografische Identifikatoren, überprüfbare Berechtigungsnachweise, architektonische Muster für digitale Identitätssysteme, Identitäts-Wallets und -Agenten sowie die Identität im Internet der Dinge vorgestellt. Wir vergleichen Lösungen anhand von Konzepten, die wir schon früh entwickelt haben, und sehen, wie verschiedene Architekturen genutzt werden, um Identitätssysteme aufzubauen, die authentische Daten und vertrauenswürdige Online-Beziehungen unterstützen.

Abschließend werde ich auf Richtlinien und Governance eingehen, zwei entscheidende Konzepte für den Aufbau funktionierender Identitätssysteme und Ökosysteme. Abschließend werde ich einen Blick darauf werfen, wie die in diesem Buch besprochenen Konzepte, Protokolle, Technologien und Architekturen die Grundlage für eine digitale Identität bilden können, die lebensnahe Online-Interaktionen ermöglicht und uns auf eine digitale Zukunft vorbereitet, mit der wir leben können.

¹ "Nation-States and Sovereignty", History Guild, abgerufen am 5. Oktober 2022.

² Die Substanztheorie hat viel mehr Befürworter als Descartes, aber seine Definition ist hilfreich, um über die duale Natur der Identität nachzudenken.

³ Die Provenienz berücksichtigt, woher das Dokument stammt, wer es geschrieben hat, woher die Daten stammen, die zur Erstellung des Dokuments verwendet wurden, und wie es weitergegeben wurde.