Dezentrale Identitäten auf Blockchain-Basis: Ist es schon soweit?

Es heißt immer wieder, Blockchain könne das Problem der digitalen Identitäten lösen. Worin besteht das Problem eigentlich – und wie kann Blockchain helfen? Und welche Lösungen gibt es bereits?

Wenn jemand “Blockchain” sagt, ist der Verdacht nicht weit, dass er eine Phrase drischt. Oft werden allerlei Wünsche in die Technologie hineinprojiziert, die sich bei genauerem Hinschauen dann gerne als Wolkenschloss entpuppt. Da die Blockchain nun bereits seit elf Jahren existiert, können wir einen genauen Blick darauf werfen, was sie wirklich kann – und was nicht.

Eines der Themen, für das die Blockchain immer wieder in Stellung gebracht wird, ist die digitale Identität. Kaum ein Technologieanbieter des Bereichs, der dafür keine Idee hat, ob nun IBM, Microsoft und Consensys oder Berater wie Accenture und PriceWaterhouseCooper. Selbst die Bundesregierung macht die digitale Identität zu einem Schwerpunkt in ihrer “Blockchain-Strategie“. Finanzanalysten zufolge handelt es sich bei der blockchain-basierten Identität um einen gigantischen Zukunftsmarkt.

Aber worum geht es eigentlich?

Die zwei Gesichter der digitalen Identität

Wenn man von digitalen Identitäten redet, meint man eigentlich zwei Dinge. Zum einen die “echte”, also staatsbürgerliche Identität, die wir mit unserem Ausweis mit uns herumtragen und die an den Klarnamen gebunden ist. Diese Identität ist im Internet an sich nicht existent, kann aber beispielsweise durch Ausweiskopien an die Anbieter digitaler Dienstleistungen, etwa Kryptobörsen oder Banken, vermittelt werden.

Die andere digitale Identität ist eher pseudonym und meint unsere Accounts bei verschiedenen Plattformen: Facebook, Twitter, Amazon, Github, Google und so weiter. Diese Identitäten sind daran geknüpft, dass man ein User einer zentralisierten Plattform ist, und mit ihnen kann man sich oft bei Drittanbietern einloggen.

Man könnte fragen, ob diese Unterscheidung im digitalen Zeitalter wirklich noch angebracht sind. Ein Online-Pseudonym, etwa bei Twitter oder Facebook, kann eine wesentlich stärkere Identität sein, sowohl sozial als auch wirtschaftlich, als die staatsbürgerliche Identität auf dem Ausweisdokument. Während wir die staatsbürgerliche Identität benötigen, um uns bei Behörden, im Gesundheitswesen oder im Rechtssystem zurechtzufinden, gewährt uns eine digitale, möglicherweise auch pseudonyme, Identität Zugang zu Online-Dienstleistungen, Kontakten und vielem mehr. Es ist für die Privatsphäre sinnvoll, diese beiden Identitäten zu trennen. Aber die volle digitale Identität muss aus beidem bestehen.

Sinnvolle Ansätze von digitalen Identitäten sollten beide Versionen vereinen, ohne dabei die Privatsphäre der User zu beeinträchtigen. Man möchte weder mit zahlreichen Fragmenten hantieren, noch möchte man, dass Klarname und Pseudonym öffentlich zusammentreffen.

Die Probleme mit herkömmlichen digitalen Identitäten

Die Blockchain hat nun, vielen Unternehmen zufolge, das Zeug, die Probleme mit diesen Identitäten zu lösen. Aber welcher Art sind die Probleme überhaupt? Schauen wir, was diejenigen schreiben, die die Blockchain als Lösung anpreisen.

Consensys schreibt, das “tradionelle Identitätssystem” sei “fragmentiert, unsicher und exklusiv.” Tykn, ein Anbieter von Blockchain-Identitätslösungen, ergänzt, dass die bisherigen Systeme “Probleme mit der Privatsphäre und Sicherheit” hätten.

Der japanische Elektronikkonzern NEC meint, die derzeigen digitalen Identitätssysteme seien trotz massiver Investments von “Unhandlichkeit, Kostspieligkeit und Herausforderungen” geplagt. Blockgeeks, ein Informationsportal für Blockchain-Technologie, beklagt, dass sämtliche Ausweisdokumente in zentralen Datenbanken gespeichert seien, was Probleme wie den Missbrauch und Diebstahl der Daten nach sich ziehe.

Auch R3, ein Blockchain-Provider für Banken, bemängelt Probleme mit der Privatsphäre durch Hacks oder schlechtes Datenmanagement. Die Berater von PriceWaterhouseCooper (PWC) sehen ebenfalls Hacks von Daten als Problem, und ergänzen, dass User keine ausreichende Kontrolle über ihre Identität haben, während das zentralisierte Modell kostspielig sei und zu einer Fragmentierung der Identitäten führe. Forscher der Universität Berkeley beklagen vor allem, dass die derzeitigen Identitätssysteme abhängig von zentralen Autoritäten seien und weiterhin mehr als eine Milliarde Menschen ausschließen.

Diese Quellen mischen die beiden Formen von Identität – die staatsbürgerliche Identität und die Account-Identität – ohne darüber klar Rechenschaft zu geben. Die eine Kritik trifft die Account-Identität – etwa die der Fragmentierung – während sich andere nur auf die staatsbürgerliche Identität beziehen – wie der Ausschluss von mehr als einer Milliarde Menschen. Andere Kritikpunkte, wie der Datenschutz, treffen hingegen beide Formen.

Dabei perlen sich einige Problemzonen heraus, über die bei allen Anbietern Einigkeit zu bestehen scheint: Das derzeitige Identitätssystem ist nicht inklusiv genug, da es nicht alle erreicht, die Sicherheit der Daten ist unzureichend, was zu Verlusten in der Privatsphäre führt, und es sei insgesamt teuer, fragmentiert und schütze unzureichend vor Missbrauch. Als Ursache des Problems gilt dabei die zentrale Natur der Identitätsprovider.

Wie die Blockchain helfen kann

Die große Frage ist nun: Wie soll die Blockchain die Probleme mit der digitalen Identität lösen? Wir schauen uns hierfür wieder an, was die einzelnen Anbieter und Portale dazu sagen.

Nachdem sich Blockgeeks ausführlich über die Probleme mit den herkömmlichen digitalen Identitäten ausgelassen hat, wird das Portal beim Thema Blockchain recht wortkarg. Es argumentiert fast nur auf einer technischen Ebene: Eine Blockchain erlaube es, digitale Einheiten zu schaffen, die nicht reproduziert, sowie digitale Dateien und digitale Prozesse, die nicht gefälscht werden können. Wie das digitalen Identitäten hilft, bleibt dabei aber bestenfalls vage.

Konkreter wird Tyk. Das Startup betont, dass eine Blockchain jedem Zugriff auf “dieselbe Quelle der Wahrheit” gebe. Diese zeige, welche Zeugnisse gültig sind und wer die Gültigkeit bezeugt hat – ohne dass dabei die Daten tatsächlich enthüllt werden müssen. Damit entfalle die Gefahr des Datendiebstahls sowie der damit einhergehende Verluste an Privatsphäre. Ähnlich argumentiert R3. In einer Pilotstudie mit dem KYC-Anbieter Gemalto schreibt das Startup, mit der Blockchain könne man es Banken einfacher machen, die “Know your Customer” Regeln zu erfüllen, ohne die Privatsphäre ihrer Kunden zu verletzen. Denn die Blockchain schalte dritte Parteien aus, womit das Risiko von Datendiebstahl und Betrug minimiert werde.

Auf seiner Übersichtsseite bringt R3 ein weiteres wichtiges Stichwort ins Spiel: Die Blockchain erlaube es Unternehmen und Personen, “die direkte Kontrolle über ihre eigenen vertraulichen Daten zu erlangen”. Dies geht etwa bei NEC in das Konzept der “selbst-souveränen Identität” (SSI) ein. Diese erlaubt es dem Bürger oder User, seine Identitätsdaten selbst zu kontrollieren, aber ihre Gültigkeit durch einen Eintrag auf der Blockchain bei Bedarf zu beweisen. Eine solche SSI kann aus einen oder mehreren Identitäten bestehen; sie kann sowohl Account- als auch staatsbürgerliche Identitäten beinhalten. Der User kann dabei selbst entscheiden, was er enthüllt. Auch die Unternehmensberater von PWC schlagen eine solche SSI vor, bei der der User die Kontrolle über seine Daten zurückerlangt. Funktionieren könne dieses Modell nur mit einer Blockchain. Denn diese schaffe eine Ebene des Vertrauens und der Wahrheit, ohne dass diese durch eine zentrale Autorität kontrolliert wird.

Noch weiter geht Consensys. Das New Yorker Ethereum-Startup bringt das Konzept der “dezentrale Identifizierer” ins Spiel, wie es auch vom W3-Konsortium gewünscht wird. Dafür allerdings sei eine “dezentrale Public Key Infrastruktur” wie eine Blockchain eine wichtige Voraussetzung, erlaubt nur sie es doch, dass Leute ohne Mittelsmänner Schlüssel erzeugen und in einer öffentlichen Datenbank registrieren können. Die Daten kann der User entweder selbst speichern oder in einer dezentralen Datenbank ablegen, was die Blockchain selbst sein kann, aber auch ein System wie das Interplanetary FileSystem (IPFS). All dies schalte zentrale Mittelsmänner aus, wodurch keine Menschen mehr ausgeschlossen werden, verhindert Datendiebstahl und gibt den Usern die Kontrolle über ihre Identität zurück.

Fassen wir an dieser Stelle zusammen: Die Blockchain stellt also eine “endgültige Quelle der Wahrheit” dar, die von keiner zentralen Autorität manipuliert, gelöscht oder zurückgehalten wird. Sie ist ein Register für öffentliche Schlüssel, in das sich jeder eintragen kann, wodurch sie vollständig inklusiv ist. Weil die Blockchain aber nicht die nackten Daten speichert, sondern lediglich die Informationen, durch die sich diese Daten prüfen lassen, schützt sie die Privatsphäre der User. Dies ermöglicht es, “selbst-souveräne Identitäten” zu schaffen, die aus vielen Bestandteilen (“dezentrale Identifizierer”) bestehen können – vom Ausweis bis zum Account auf sozialen Medien. Der User kann sie selbst verwalten und selektiv enthüllen.

Das beantwortet zwar nicht vollständig die Frage, warum man eine Blockchain braucht – schließlich könnte man die Daten auch selbst ohne Blockchain speichern und ohne Blockchain von einem Verifizierungsdienstleister signieren lassen. Aber man könnte annehmen, dass eine Blockchain als dezentrale, geteilte Datenbank den ganzen Prozess runder und flüssiger macht.

Token als Account-Identität

Nach all dieser Theorie wird es Zeit, dass wir zur Praxis kommen. Welche Werkzeuge für eine blockchain-basierte digitale Identität gibt es – und wie erfolgreich sind sie?

Wenn wir von den “Account”-Identitäten reden, ist die Lösung einfach und schon lange vorhanden: Token. Mit einer Ethereum-Wallet wie Metamask kann man sich mit seiner Adresse – also seinem öffentlichen Schlüssel – bei dApps einloggen. Das kann eine dezentrale Börse sein, ein Marktplatz für Sammeltoken oder ein Geldmarkt. Man kann sich mit Ether einloggen, mit DAI-Dollar, oder mit jedem beliebigen Token. Es handelt sich in den meisten Fällen um eine “finanzielle Identität”, aber es ist auch möglich, sich beispielsweise mit einem Sammelkarten-Token bei verschiedenen Plattformen einzuloggen. Und natürlich kann man so viele Adressen – also Identitäten – generieren wie man möchte.

Für Bitcoin Cash gibt es ein ähnliches System mit der Badger-Wallet (die eine Fork von der Ethereum-Wallet Metamask ist), für Bitcoin SV übernimmt dies etwa MoneyButton, wobei es sich dabei um eine stärker zentralisierte Variante handelt. Bei Bitcoin selbst gab es schon viele Versuche, eine Identität per Adresse einzuführen, von denen jedoch keiner wirklich Fahrt aufnahm. Die Hoffnung ruht hier derzeit auf einer Identifizierung durch Lightning.

Diese Modelle funktionieren schon hervorragend, wenn es um Finanzen geht. Eine weitere Interoperabilität, etwa auf soziale Medien, fehlt aber noch weitgehend. Am weitesten scheint hier Bitcoin SV zu sein, wo man beispielsweise seine Paymail-Adresse mit einem Twitter-Account oder dem Account beim Twitter-Klon Twetch verbinden kann. Generell bauen alle Bitcoin-SV-Apps das Identitätssystem durch Paymail in der Regel ein. Allerdings ist diese Identität nicht vollständig dezentral, und Verbindungen über das kleine Bitcoin-SV-Ökosystem hinaus sind äußerst rar.

Allerdings ist festzustellen, dass die Identität durch Token, Adressen oder die PayMail-Adresse bei Kryptowährungen schon weitgehend etabliert ist und dass gute Aussichten bestehen, dass sie weiter um sich greifen werden. Dieses dezentrale Identitätssystem existiert bereits, und es erfüllt seinen Zweck hervorragend.

Die wesentlich schwieriger Aufgabe ist es, die staatsbürgerliche Identität auf eine Blockchain zu bringen.

Der Ausweis in der Blockchain: Einige Beispiele

Wenn man versucht, die “echte”, also die staatsbürgerliche Identität, auf die Blockchain zu bringen, braucht man immer einen Mittelsmann. Irgendjemand muss schließlich bestätigen, dass man der ist, für den man sich ausgibt.

Bei Tyk ist dies die Regierung oder eine andere Identifizierungsstelle. Sie stellt ein Zertifikat aus, dass die Gültigkeit der Identität bestätigt. Der User kann dieses Zeugnis in seiner eigenen Wallet speichern, um sich damit auszuweisen. Dieses Zeugnis enthält verschiedene Identitätsattribute wie Name, Alter, Geburtsdatum und so weiter. Wenn anschließend eine weitere Partei – sagen wir, eine Bitcoin-Börse – sich über die Identität eines Users vergewissern möchte, muss sie nicht die tatsächlichen Daten in Augenschein nehmen, sondern lediglich die Gültigkeit des Zeugnisses prüfen. Ein Online-Shop, der Alkohol verkauft, könnte nur die minmal notwendigen Daten annehmen, also die Angabe, ob der Kunde bereits 18 Jahre alt ist. Die Blockchain hilft dabei, die Gültigkeit des Zertifikats zu prüfen.

Consensys hingegen verweist auf einen Test in der Schweizer Stadt Zug, wo die Verwaltung eine Ethereum-basierte digitale ID ausgegeben hat. Dazu hat die Stadt den Service von uPort benutzt. uPort erlaubt es Usern, eine Identität auf der Ethereum-Blockchain zu registrieren, mit der sie Nachweise versenden, Transaktionen signieren und Daten verwalten können. uPort hat dabei einem Beamten der Stadt einen Admin-Account eingerichtet, so dass er die Identitäten bestätigen.

Der Ablauf ist dieser: Der Bürger lädt sich die uPort App herunter, macht dort einen Account und verbindet diesen mit einem Schlüssel. Auf der Webseite der Stadt Zug scannt er mit der App einen QR-Code, gibt sein Geburtsdatum und seine Ausweisnummer ein und signiert dies. Der Stadtbeamter kann dies dann im Namen der Stadt bestätigen, was von anderen Stellen validiert werden kann. Mit der Identität auf uPort können die Bürger nun etwa bei einer bestimmten Abstimmung teilnehmen oder ein E-Bike mieten.

uPort scheint das erfolgreichste Identitäts-Startups im Blockchain-Raum zu sein. Es hat mehrere weitere Partnerschaften abgeschlossen. Etwa mit der Global Legal Entity Identifier Foundation (GLEIF), die die Verifikation von 1,5 Millionen Unternehmensidentitäten verwaltet, sowie mit TrueProfile.io, einer Plattform für die Verifizierung offizieller Dokumente. Damit hat uPort gute Chancen, sein Protokoll zum Standard der blockchain-basierten dezentralen Identität zu machen.

Auch in der südkoreanischen Stadt Busan ging vor kurzem eine blockchain-basierte digitale Identität an den Start, durch die sich Bürger bei öffentlichen Dienstleistungen anmelden können. Die User müssen dafür eine App für ein Smartphone herunterladen und sich registrieren. Die Plattform selbst speichert aber keine Identitätsdaten; stattdessen können sich die User mit selbstverwalteten dezentralen Identifizierern ausweisen. Als Technologiepartner stellt CoinPlug die Software bereit. Das Unternehmen hat einen META Pass, eine META DID und einen META Proof entwickelt. Dafür benutzt es offenbar eine private Blockchain.

Microsoft hingegen arbeitet zu dem Thema auf mehreren Gleisen. So entwickelt ein Team ein “Identity Overlay Network” für Bitcoin, das wohl auf Basis des Bitcoin-Netzwerks eine Second Layer, wie Lightning, schafft, um dadurch dezentral Identitäten zu verwalten. Allerdings ist außer einigen wenigen Pressemitteilungen nicht viel über das Projekt zu hören. Gleichzeitig engagiert sich Microsoft in der ID2020-Allianz, die versucht, den mehr als eine Milliarde unidentifizierter Menschen dieser Welt eine Identität zu bringen. Wie die Allianz die digitale Identität technologisch aufsetzen möchte, ist nicht ganz klar, ein kleiner Vermerk sagt jedoch, dass “neue Technologien wie Blockchain” in Verbindung mit etwa Biometriken es möglichen machen, allen Menschen der Welt den Zugang zu einer sicheren Identität zu verschaffen. Mehrere Pilotprojekte vor allem in Entwicklungsländern laufen schon. Aber der Zusammenhang zur Blockchain bleibt etwas unklar.

Die Projekte von R3 sind, wie gesagt, noch im Pilotstadium. Dasselbe gilt für ein Projekt des südkoreanischen Elektro-Konzern LG. Er plant gemeinsam mit dem US-Startup Evernym eine blockchain-basierte dezentrale Identität. Allerdings sind auch hier noch sehr wenige Details bekannt. Neben all dem gibt es noch Dutzende weitere Projekte und Startups in diesem Bereich. Allein in Deutschland wären dies Spherity, Helix und andere. Aber auch hier ist noch nicht viel über tatsächliche Anwendungen bekannt.

Erste Schritte, aber noch ein weiter Weg

Insgesamt haben wir also zahlreiche Startups und Projekte, aber nur wenige konkrete Versuche, eine “echte” Identität wirklich auf die Blockchain zu bringen. Was bei diesen Beispielen allerdings fehlt, ist die konkrete Angabe dazu, was passiert, wenn jemand die Schlüssel stiehlt. Was, wenn sich jemand mit meinen Identitäts-Token bei einer Börse anmeldet? Kann ein solches Verfahren für wirkliche Anwendungen überhaupt sicher genug sein? Muss die Börse dann doch noch eine weitere Prüfung dazwischenschalten, die eventuell von einem Anbieter wie uPort durchgeführt wird? Und bleibt in dem Fall dann wirklich noch ein Unterschied zu den üblichen Verfahren wie VideoID?

Im Einsatz sind Blockchain-basierte digitale Identitäten bisher lediglich in zwei Städten – in Zug und Busan. Es ist also noch ein langer Weg zu einer dezentralen Identität auf der Blockchain. Aber die ersten Schritte sind gegangen, und sollten sich die Ansätze in der Praxis beweisen, dürften noch weitere folgen.