Verifi-eID

Ob Online-Shopping oder Online-Banking – viele Webseiten verlangen mittlerweile eine Authentifizierung des Nutzers, um Geschäfte abzuwickeln. Doch den wenigsten Anwendern ist dabei klar, was mit den angegebenen Daten passiert und wie sicher diese dabei sind.

Mit „Verifi-eID“ soll sich das ändern. Das vom Bundesministerium für Bildung und Forschung geförderte Projekt widmet sich einer Lösung, die Nutzern eine zuverlässige und rechtssichere Identifizierung im Netz ermöglicht. Im Vordergrund steht dabei die Cloud, welche die Daten verarbeitet. Sie soll betreibersicher sein und somit niemandem außer dem Nutzer selbst einen Zugriff erlauben.

Zusammen mit dem Lehrstuhl für Bürgerliches Recht, Rechtstheorie und Rechtsinformatik der Universität des Saarlandes und dem Institut für Internet- und Sicherheit (if(is)) arbeitet Uniscon an der Aufgabe, Authentifizierung im Internet sicherer zu machen. Im Juli 2017 werden die Ergebnisse vorgestellt.

Wie bleiben Identitäten in der Cloud geschützt?

Geschäfte wie Online-Banking oder der Austausch von Informationen im Internet führen unmittelbar dazu, dass persönliche Daten der Nutzer in Umlauf geraten. Meistens können diese eindeutig einem bestimmten Beteiligten zugeordnet werden.

Ein Vorteil für die reibungslose Abwicklung von Datenaustauschs – ein Nachteil aber im Hinblick auf die Betreiber von Clouds. Denn in den meisten Fällen haben sie Zugang zu den ihnen anvertrauten Daten. Dies betrifft vor allem große Cloud-Anbieter: sie können alle Verbindungsdaten einsehen, also auch wer zu welchen Daten Zugriff hatte. Eine Garantie, dass Firmeninterne– absichtlich oder unabsichtlich – diese Informationen nicht einsehen können, gibt es nicht.

Anders bei einer „betreibersicheren Cloud„. Hier haben der Cloud-Anbieter, geschweige denn Dritte, keinen Zugriff auf die Daten in der Cloud. Auch Verbindungsdaten bleiben dem Betreiber verwehrt.

Neue Möglichkeiten

„Verifi-eID“ gibt den Nutzern von betreibersicheren Cloud-Anwendungen Vertrauen in elektronische Identitäten. So kann auch etwa der neue Personalausweis zu einer Identifikation im Internet genutzt werden, ohne dass Rückschlüsse auf den Nutzer durch den Betreiber der Cloud möglich sind.

Darüber hinaus sollen elektronische Identitäten juristischer Personen mit digitalen Objekten, etwa Dokumenten oder Bildern,  verifiziert werden. Ziel ist es, bei diesem Verfahren Rechtssicherheit zu gewährleisten. Die Prüfung übernimmt anstelle des Cloud-Anbieters eine  vertrauenswürdige dritte Instanz (Trusted Third Party).

Vorteile für Geheimnisträger

Nutzergruppen, wie etwa Geheimnisträger, die viele Dienste aus Datenschutzgründen nicht nutzen können, bietet „verifi-eID“ eine Lösung. Durch das Projekt können Identitäten in Clouds rechtssicher verifiziert werden, solange es sich um eine betreibersichere Cloud handelt. Für Nutzer bietet sich dadurch die Möglichkeit, sogar sensible Geschäftsdaten in Clouds auszutauschen. Arztpraxen oder Rechtsanwaltskanzleien, welche verpflichtet sind, das Berufsgeheimnis zu wahren, können somit personenbezogene Daten in der Cloud speichern und verarbeiten ohne diese zu gefährden.