Interoperable digitale Identitätssysteme bauen

Der Begriff Identität ist vielschichtig. Auf persönlicher Ebene beschreibt er den Kern unseres Wesens: wer wir sind, welche Werte uns prägen und welche Erfahrungen uns geformt haben. Zugleich ist Identität eng mit Geschlecht, sozialer Herkunft und ethnischer Zugehörigkeit verbunden. Die Frage, wer wir sind, ist komplex und muss von jedem Menschen individuell beantwortet werden.

Jenseits dieser philosophischen Betrachtung lässt sich Identität auch ganz praktisch verstehen. Sie umfasst veränderliche und unveränderliche Merkmale. Das Aussehen kann sich wandeln, das Geburtsdatum bleibt gleich. Zudem unterscheiden sich Identitätsnachweise in ihrer Verlässlichkeit, je nachdem, wer sie ausgestellt hat. Ein staatlicher Reisepass besitzt eine höhere Beweiskraft als ein Mitgliedsausweis für ein Fitnessstudio. Hinzu kommt die Unterscheidung zwischen der Identität selbst, Identifikatoren wie einer Sozialversicherungsnummer sowie den Vorgängen der Identifizierung und Verifizierung. Identität kann außerdem übertragen werden, etwa wenn Eltern Flüge für ihre Kinder buchen oder eine Führungskraft Verträge im Namen eines Unternehmens unterzeichnet. Im Alltag dient Identität damit als Nachweis: Sie bestätigt, dass jemand tatsächlich die Person oder Instanz ist, für die er oder sie sich ausgibt, und schafft Vertrauen zwischen den Beteiligten.

Meist lässt sich die persönliche Identität anhand konkreter Angaben wie Name, Geburtsdatum und Wohnadresse feststellen. Reisepass, Führerschein oder Personalausweis machen diese Angaben leicht überprüfbar. Doch was geschieht, wenn all das in die digitale Welt übertragen wird?

„Digitale Identitätsökosysteme müssen die gesamte Komplexität der realen Welt abbilden. Das macht die Aufgabe erheblich anspruchsvoller“, sagt Robert Heinze, Director of Technology & Innovation Management bei G+D. Für solche Ökosysteme braucht es Rahmenwerke, die festlegen, wie Identitäten in der digitalen Welt ausgestellt, überprüft und als vertrauenswürdig anerkannt werden. Noch komplexer wird die Aufgabe, weil digitale Identitäten längst nicht mehr nur Menschen und Organisationen betreffen, sondern zunehmend auch Maschinen und Produkte.

Wer ein Mietauto per Smartphone öffnet, muss von einer Maschine identifiziert werden, bevor der Motor startet. Wer ein batteriebetriebenes Gerät kauft, erhält ab 2027 eine Batterie mit eigenem digitalen Produktpass, der Angaben zu Herkunft, Zusammensetzung und CO2-Fußabdruck enthält. Und für einen ESG-Bericht muss sich ein Unternehmen als juristische Person authentifizieren, während es Daten von Sensoren, Lieferkettenpartnern und Produkten bündelt. Jede dieser Instanzen benötigt eine eigene Form der Identifikation.

Unterschiedliche Ziele, gemeinsame Basis

Mit der Entwicklung neuer Identitätsökosysteme entstehen grundverschiedene, teils widersprüchliche Anforderungen. Systeme für menschliche Identitäten stellen Datenschutz und Vertraulichkeit in den Mittelpunkt. Digitale Produktpässe verlangen Transparenz und Rückverfolgbarkeit. Organisationen benötigen beides. Zusätzlich kann jede Instanz je nach Kontext als Aussteller, Inhaber oder Prüfer auftreten. Eine gemeinsame technische Grundlage könnte diese Komplexität beherrschbar machen. Dezentrale Infrastrukturen mit überprüfbaren digitalen Nachweisen, Wallets und kryptografisch gesicherten Präsentationen haben sich bereits als robuste und flexible Basis für skalierbare menschliche Identitäten erwiesen. Vieles spricht dafür, dass sie auch anderen Entitätstypen als gemeinsame Grundlage dienen können.

Auch die Regulierung treibt die Entwicklung voran. Vorgaben wie die „EU-Wallet für die digitale Identität“verpflichten die Mitgliedstaaten, bis 2026 digitale Wallets bereitzustellen. Damit entsteht in 27 Staaten ein interoperabler Rahmen für die digitale Identität von Menschen. 2027 folgt der digitale Produktpass mit vergleichbaren Anforderungen für Produkte wie Batterien. Auch erste Initiativen für Organisationsidentitäten nehmen Gestalt an, darunter der überprüfbare Legal Entity Identifier (vLEI) der GLEIF. 

Je mehr solcher Initiativen entstehen, desto wichtiger wird für alle Beteiligten die Frage, wie sie miteinander verzahnt werden können. Darin liegt zugleich die zentrale Herausforderung und eine große Chance.

„Für jeden Entitätstyp entstehen Identitätsrahmen, die auf seine besonderen Anforderungen zugeschnitten sind“, sagt Robert Heinze, Director of Technology & Innovation Management bei G+D. „Schon heute ist absehbar, dass all diese Identitäten und ihre Eigentümer selbst in einfachen Anwendungsfällen aufeinandertreffen. Sind die Systeme nicht auf Zusammenarbeit ausgelegt, werden selbst alltägliche Transaktionen unnötig kompliziert.“

Wenn Identitäten aufeinandertreffen

Ein Beispiel ist ein Mitarbeiter (Mensch), der für eine Geschäftsreise ein Auto mietet. Am Schalter werden Führerschein und Unternehmensnachweis (Organisation) vorgelegt und vom Vermieter geprüft. Sobald er sich hinter das Steuer setzt, authentifiziert sich das vernetzte Auto (Maschine) mit den Systemen des Autovermieters und dem Smartphone des Mitarbeiters, um den Motor zu starten.

Nach der Rückgabe müssen die Emissionsdaten des Autos in die ESG-Berichterstattung des Arbeitgebers einfließen. Das Fahrzeug erfasst und signiert die Daten, die reisende Person bestätigt die Fahrt, anschließend werden die Informationen sicher an die Systeme des Unternehmens übertragen. Im Verlauf dieser Transaktion übernehmen die Beteiligten unterschiedliche Rollen und fungieren abwechselnd als Inhaber und Prüfer digitaler Nachweise. Je reibungsloser sich die verschiedenen Identitätssysteme gegenseitig authentifizieren und verifizieren können, desto einfacher wird der Prozess für alle Beteiligten.

Damit diese Abläufe in der Praxis nahtlos funktionieren, müssen mehrere miteinander verknüpfte Herausforderungen gelöst werden.

Zunächst gelten für die verschiedenen Entitätstypen sehr unterschiedliche Sicherheitsanforderungen. Staatlich ausgestellte Identitätsnachweise für Menschen müssen deutlich höhere Standards erfüllen als ein kommerzielles Trackingsystem. Hinzu kommt die Frage nach der Governance: Wer legt die Regeln fest, schlichtet Konflikte und setzt Standards durch, wenn unterschiedliche Entitätstypen verschiedenen regulatorischen Vorgaben unterliegen?

Eine weitere Herausforderung ist die sichere Verknüpfung von digitaler Identität und physischem Objekt. Wie lässt sich in der realen Welt zuverlässig prüfen, ob beide tatsächlich zusammengehören? Ein digitaler Produktpass muss so an eine bestimmte Batterie gebunden sein, dass Manipulation und Fälschung verhindert werden. Vergleichbare Anforderungen gelten für menschliche Identitätsnachweise. Ein Reisepass muss sowohl digital authentifizierbar als auch an einer Grenze physisch vorzeigbar sein. Biometrische Merkmale stellen dabei die Verbindung zwischen Dokument und Person her. Wenn Identitätssysteme künftig auch Maschinen und Produkte erfassen, müssen solche verlässlichen Brücken zwischen physischer und digitaler Welt geschaffen werden.

Auch der Identitätstyp kann sich je nach Kontext verändern. Ein Auto kann als Maschine oder als Produkt gelten. Identitäten sind zudem hierarchisch organisiert, etwa wenn ein Unternehmen Maschinen besitzt, die wiederum Produkte enthalten. Zugleich kann eine einzelne Instanz mehrere Identitätstypen parallel benötigen.

Digitale Identitätssysteme zusammendenken

Um diese Herausforderungen zu bewältigen, müssen technische, regulatorische und organisatorische Fragen gemeinsam betrachtet werden. Als Orientierung für die nächsten Schritte haben G+D und Veridos ein konzeptionelles Rahmenwerk entwickelt. Es dient sowohl der Analyse als auch als Handlungsaufruf an die beteiligten Akteure.

Das Rahmenwerk formuliert drei Strategien. Erstens braucht es gemeinsame, entitätsübergreifende Standards, die den Austausch zwischen Systemen ermöglichen, ohne sie zu vereinheitlichen. Zweitens sind dezentrale Strukturen erforderlich, die dort zentrale Elemente zulassen, wo Regulierung oder Risiken dies verlangen. Drittens müssen technische Brücken dafür sorgen, dass ein in einem System ausgestellter Nachweis auch in einem anderen überprüft werden kann.