Die monatlich erscheinende Blogserie „Das kleine 1×1 der sicheren digitalen Identitäten“ präsentiert Themenschwerpunkte rund um die Erzeugung, Verwaltung und den Einsatz digitaler Identitäten. Im Fokus diesen Monat: Wie werden Identitäten in der digitalen Welt geschützt?
Die Sicherheitsvorkehrungen, die bei einer digitalen Identität getroffen werden müssen, unterscheiden sich von denen einer Identität in der realen Welt. Welche Maßnahmen werden umgesetzt und welche Technologien kommen zum Einsatz, um eine digitale Identität sicher zu machen?
- Der Schutzbedarf sicherer digitaler Identitäten ist vergleichbar mit Schutzbedarf von Identitäten in der realen Welt. Allerdings ist die Gefahr des unberechtigten Ausspähens, Kopierens oder Veränderns von Identitätsdaten in der Regel höher zu bewerten, als es bei analogen Prozessen der Fall ist. Dies gilt im besonderen Maße für öffentlich zugängliche Identitätsdaten. Zudem besteht eine höhere Notwendigkeit, dass sich bei einer Authentifikation alle Parteien eindeutig ausweisen. Während es in der realen Welt oft offensichtlich ist, dass die Prüfung z.B. bei Vorlage der Fahrerlaubnis vom Personal der Autovermietung erfolgt, ist das im Internet erst erkennbar, wenn sich auch das Personal der Autovermietung zuvor entsprechend ausgewiesen hat.
- Zur Realisierung des Schutzes werden in der virtuellen Welt technisch andere Maßnahmen als in der realen Welt umgesetzt (vgl. Punkt 5):
- Verwendung von speziellen kryptographischen Verfahren zum Schutz der Integrität, Vertraulichkeit und Authentizität der Identitätsdaten, z.B.
- Public/Private Key Verfahren im Kontext von digitalen Signaturen und Verschlüsselung oder
- „Zero Knowledge Proofs“, oftmals im Kontext von Distributed Ledger
- Verwendung von sicheren (d.h. u.a. manipulationssicheren und vor Auslesen von Daten geschützten) Hardware-Elementen zum Schutz vor unbefugtem Zugriff auf die Integritätsdaten und damit zum Schutz der Vertraulichkeit und vor der unberechtigten Vervielfältigung der Identitätsdaten
- Verwendung eines oder mehrerer Authentifikationsfaktoren zum Schutz der Zuordnung z.B.
- Kennen einer Information z.B. eine PIN oder ein Passwort
- Feststellung eines Zustands z.B. anhand von biometrischen Eigenschaften wie Fingerabdruck oder Iriserkennung
- Besitz eines Objekts, zum Beispiel OTP Generatoren, zum Schutz der Zuordnung
- Im Prozess der Authentifikation werden statt des Besitzes eines bestimmten physischen Objektes (z.B. AusweiskarteAusweiskarte Kurzdefinition: Eine Ausweiskarte ist ein amtli… More, vgl. Punkt 7) im digitalen Bereich eine oder mehrere der Authentifikationsfaktoren verwendet. z.B. die Kenntnis eines geheimen Schlüssels und/oder der Nachweis eines gültigen Fingerabdrucks.
- Die „Wirksamkeit“ der Maßnahmen auf Basis der kryptographischen Verfahren (s. Punkt 10) hängt in den meisten Fällen ebenfalls davon ab, dass ein oder mehrere Schlüssel „geheim“ bleiben.
- Geheime Schlüssel sind zu schützende Daten, d.h. sie sind (wie die digitale Identität) hinsichtlich Vertraulichkeit, Integrität, Authentizität und Verfügbarkeit und ggf. Vervielfältigung schutzbedürftig.
- Der Schutz von Identitätsdaten und geheimen Schlüsseln hinsichtlich Vertraulichkeit, Integrität, Authentizität und ggf. Vervielfältigung kann durch Software nicht immer geleistet werden. Daten, die im normalen (d.h. unsicheren) Speicher eines Systems mit Hilfe von Software (inkl. Betriebssystem) gespeichert und/oder genutzt werden, können im Vergleich zu einem Schutz mittels sicherem Hardware-Element leicht von Unbefugten ausgelesen, manipuliert und/oder kopiert werden. Ferner kann sich mit jedem Update die Software ändern (verbessern oder verschlechtern, das ist im Detail oft nicht erkennbar).
- Ein sicheres Hardware-Element gewährleistet einen stärkeren Schutz, da in ihm abgelegte Daten und geheime Schlüssel das Hardware-Element während der Ausführung kryptographischer Verfahren nicht verlassen. Die Strukturen von Hardware-Elementen zum Schutz von Daten und Schlüsseln und zur sicheren Durchführung der kryptographischen Verfahren sind sehr vielfältig. Beispielsweise unterscheiden sich entsprechende Hardware-Elemente im Bereich der Finanzdienstleistungen erheblich von denen der Telekommunikation, hoheitlicher Ausweissysteme oder bei Zugangskontrollsystemen.
- Eine verallgemeinernde Bewertung, ob digitale Identitäten „sicherer oder unsicherer“ als Identitäten in der realen Welt sind, lässt sich nicht treffen. Eine solche Bewertung ist – wenn überhaupt – nur für einzelne Anwendungsfälle in der realen Welt verglichen zu ihrer konkreten Abbildung in der digitalen Welt zusammen mit einer detaillierten Risikoanalyse, die sowohl die unterschiedlichen Gefährdungen und die unterschiedlichen Schutzmaßnahmen in der realen und der digitalen Welt berücksichtigt, denkbar. Die eIDASeIDAS Kurzdefinition: Die eIDAS Verordnung ist eine Verordnu… More Verordnung und die Durchführungs-verordnung (EU) 2015/1502 bilden eine Basis für eine Bewertung von sicheren digitalen Identitäten.
Im kommenden Monat werden die unterschiedlichen Technologien betrachtet, die auf einem herkömmlichen Smartphone zur Kommunikation mit anderen Geräten und zum Austausch von Informationen bereitstehen und wie diese für die Realisierung von sicheren digitalen Identitäten eingesetzt werden können.
Quelle des Vorschaubilds: Tech Daily