Dezentrale Identität: Beweisen Sie, wer Sie sind, ohne sich auf eine einzige Plattform zu verlassen

Der Großteil unserer digitalen Identität ist heute geliehen. Sie sind der, für den LinkedIn Sie ausgibt, der von der Bank authentifiziert wurde, der vom Betreiber anhand der Nummer validiert wurde. Jede dieser Identitäten lebt innerhalb einer Plattform und außerhalb dieser verliert sie an Wert. Wenn Sie LinkedIn verlassen, wird Ihr beruflicher Werdegang zu einem ungesicherten Text. Wenn Sie die Bank wechseln, wird Ihr Ruf als guter Zahler nicht mit Ihnen in Mitleidenschaft gezogen.

Dieses Modell funktionierte, weil die Zentralisierung der Identität ein echtes Problem löste: Jemand musste der Garant für Vertrauen sein. Der Preis, der erst nach einiger Zeit sichtbar wurde, ist die Abhängigkeit. Wer Ihre Identität behält, kontrolliert Ihren Zugriff, sieht Ihre Daten und kann die Regeln einseitig ändern.

Decentralized Identity schlägt vor, diese Eigentumsverhältnisse umzukehren. Die Idee ist im Wesentlichen einfach: Sie laden Ihre Anmeldeinformationen hoch, wählen aus, was bei jeder Interaktion preisgegeben werden soll, und der Empfänger kann die Authentizität überprüfen, ohne die ursprüngliche Plattform fragen zu müssen. Der Fokus liegt hier auf dem Konzept und darauf, was es für diejenigen verändert, die entscheiden, und nicht auf dem Versprechen einer Revolution, das normalerweise mit dem Thema einhergeht.

Was ist im aktuellen Modell kaputt?

Das zentrale Problem ist nicht technischer Natur, sondern der Anreiz. Wenn ein Vermittler Ihre Identität schützt, verfügt er über drei Befugnisse, die nicht von Ihnen kontrolliert werden: Er kann den Zugriff verweigern, er kann Ihre Daten preisgeben und er kann sie auf eine Weise verwenden, die Sie nicht ausdrücklich autorisiert haben.

Hinzu kommt die Fragmentierung. Ihre Identität ist über Dutzende von Silos verteilt, die nicht miteinander kommunizieren. Jeder Dienst führt die gleiche Prüfung erneut durch, behält eine weitere Kopie Ihrer Dokumente und erstellt eine weitere Leckoberfläche. Je mehr Kopien Ihrer Daten vorhanden sind, desto größer ist die Wahrscheinlichkeit, dass eine davon kompromittiert wird.

Und es gibt die Asymmetrie des Beweises. Wenn Sie etwas über sich selbst sagen: „Ich habe hier gearbeitet“, „Ich habe diese Bescheinigung“, „Ich bin volljährig“, kann derjenige, der die Aussage erhält, sie nicht bestätigen, ohne Ihnen oder einem Vermittler zu vertrauen. Normalerweise vertraut er Ihnen, was Spielraum für Betrug lässt, oder verlangt übermäßige Beweise, wodurch zu viele Daten verloren gehen.

Synthetische Inhalte machen das Ganze noch schlimmer. Plausible gefälschte Dokumente, gefälschte Profile und Sprach- oder Videoimitationen greifen den eigentlichen Schwachpunkt an: die auf dem Aussehen basierende Identitätsüberprüfung. Das aktuelle Modell wurde nicht für eine Welt entwickelt, in der das Erscheinungsbild trivial verfälscht werden kann.

Die drei Rollen: wer ausgibt, wer trägt, wer überprüft

Überprüfbare Referenzen organisieren Vertrauen in drei Rollen, und das Verstehen dieser Unterteilung ist schon die Hälfte des Verständnisses des Themas.

Der Absender ist derjenige, der etwas mit Autorität behauptet. Eine Universität stellt ein Diplom aus, eine öffentliche Einrichtung stellt einen Ausweis aus, ein Arbeitgeber stellt eine Bürgschaft aus, ein Zertifizierer stellt eine Bescheinigung aus. Der Aussteller signiert den Berechtigungsnachweis kryptografisch, so dass dessen Urheberschaft nachweisbar ist.

Der Träger bist Du. Sie erhalten den Berechtigungsnachweis und behalten ihn idealerweise unter Ihrer Kontrolle und nicht auf der Plattform des Ausstellers. Sie entscheiden, wann und wem Sie es präsentieren.

Der Prüfer ist derjenige, dem man vertrauen muss. Ein Arbeitgeber prüft Ihr Diplom, ein Dienst prüft Ihr Alter, eine Institution prüft eine Berechtigung. Der zentrale Punkt: Der Verifizierer kann die Echtheit des Berechtigungsnachweises direkt anhand der Signatur des Ausstellers prüfen, ohne den Aussteller kontaktieren zu müssen und ohne dass dieser weiß, dass die Verifizierung stattgefunden hat.

Diese letzte Eigenschaft ist es, die das Spiel verändert. Heutzutage bedeutet die Überprüfung normalerweise, die Hochschule anzurufen, die Plattform zu konsultieren und sich auf einen Vermittler zu verlassen. Bei überprüfbaren Anmeldeinformationen reist der Beweis mit Ihnen und validiert sich selbst. Der Sender wird nicht zum Engpass oder Überwachungspunkt.

Weniger verraten, genug beweisen

Eine unintuitive und sehr wertvolle Eigenschaft ist die selektive Offenlegung. Sie können eine aus einem Berechtigungsnachweis abgeleitete Tatsache beweisen, ohne den gesamten Berechtigungsnachweis preiszugeben.

Das klassische Beispiel: Nachweis der Volljährigkeit ohne Angabe Ihres Geburtsdatums, Ihres vollständigen Namens oder Ihrer Dokumentennummer. Der Verifizierer erhält nur die kryptografisch validierte Aussage, dass Sie die Altersgrenze überschritten haben, ohne die Daten, die er nicht haben muss.

Dadurch wird ein schwerwiegender Fehler aktueller Systeme angegangen: die übermäßige Datenerfassung. Um eine Kleinigkeit zu beweisen, übergibt man heute in der Regel ein ganzes Dokument, das der Dienst aufbewahrt und das zu einer weiteren Leckstelle wird. Die selektive Offenlegung kehrt die Standardlogik um, „alles für alle Fälle zu sammeln“, um „nur das Notwendige zu beweisen“.

Für diejenigen, die führen, hat dies eine direkte strategische Bedeutung. Jedes Datenelement, das Ihr Unternehmen nicht aufbewahren muss, ist ein Risiko, das es nicht eingeht. Systeme, die verifizieren, ohne sensible Daten aufzubewahren, verringern die Angriffsfläche, vereinfachen die Compliance und reduzieren den Schaden eines eventuellen Vorfalls. Die Datenminimierung ist kein Zugeständnis mehr, sondern ein betrieblicher Vorteil.

Wo Konzept auf Realität trifft und ihre Grenzen

Ehrlichkeit in Bezug auf Grenzen ist erforderlich, da das Thema unverhältnismäßig große Begeisterung hervorruft.

Die erste Grenze ist die Netzwerkakzeptanz. Ein Berechtigungsnachweis ist nur dann gültig, wenn es Prüfer gibt, die ihn akzeptieren, und Prüfer erscheinen nur, wenn relevante Berechtigungsnachweise im Umlauf sind. Es ist das klassische Henne-Ei-Problem. Vorgefertigte Technologie ohne Akzeptanz ist eine Lösung, die auf ein Problem wartet.

Das zweite ist die Erholung. Was passiert, wenn Sie den Zugriff auf das Gerät verlieren, auf dem sie gespeichert sind, wenn Sie die Kontrolle über Ihre Anmeldedaten haben? Zentralisierte Systeme verfügen über eine Schaltfläche zur Passwortwiederherstellung. Die selbstsouveräne Identität muss dieses Problem lösen, ohne erneut einen Kontrollmittler einzuführen, und dies ist ein wirklich schwieriges Problem, das nicht durch Fiat gelöst werden kann.

Der dritte Faktor ist das Vertrauen in den Emittenten. Durch die Dezentralisierung der Überprüfung wird die Autorität nicht dezentralisiert. Ein Ausweis ist genauso viel wert wie die Person, die ihn ausgestellt hat. Wenn der Aussteller schwach, betrügerisch oder illegitim ist, erbt der Berechtigungsnachweis diese Schwäche, egal wie elegant die Kryptographie ist. Überprüfbar ist nicht gleichbedeutend mit wahr: Es bedeutet lediglich, dass Sie bestätigen, wer es angegeben hat, und nicht, dass das, was angegeben wurde, korrekt ist.

Das vierte ist das Risiko der Ausgrenzung. Jedes Identitätssystem birgt die Gefahr, Menschen außen vor zu lassen, diejenigen, die kein Gerät haben, diejenigen, die sich nicht von einem Verlust erholen können, diejenigen, die nicht registriert sind. Ein Design, das Ausgrenzung nicht als Erfordernis erster Ordnung behandelt, reproduziert in neuer Form alte Ungleichheiten.

Lektüre für Entscheider

Die Empfehlung lautet, morgen keine dezentrale Identität einzuführen. Es geht darum, die Richtung zu verstehen und die Organisation so zu positionieren, dass sie nicht überrascht wird.

Schauen Sie sich zunächst an, wo Sie derzeit Ihre Identität oder Anmeldeinformationen auf teure, fragile oder invasive Weise überprüfen. Einstellungsprozesse, bei denen Abschlüsse manuell verliehen werden, Onboarding, bei dem zu viele Dokumente gesammelt werden, Überprüfungen, die auf der Anrufung Dritter beruhen. Dies sind die Punkte, die am meisten von überprüfbaren Zeugnissen profitieren.

Beobachten Sie parallel, was Ihre Organisation ausstößt. Jede Institution, die Links bescheinigt, validiert oder Fakten bescheinigt, ist potenziell ein Aussteller überprüfbarer Referenzen. Wenn Sie frühzeitig darüber nachdenken, vermeiden Sie Entscheidungen, die später die Interoperabilität behindern.

Und halten Sie Ihre Skepsis im Gleichgewicht. Das Thema ist von grandiosen Versprechungen umgeben, von denen viele mit technologischen Modeerscheinungen verbunden sind, die mehr versprachen als hielten. Der tatsächliche Nutzen ist konkret und bescheiden: Verringerung der Abhängigkeit von Vermittlern, Reduzierung der Datenerfassung und kostengünstigere und zuverlässigere Verifizierung. Das reicht, und es bedarf keiner Revolution, um Aufmerksamkeit zu rechtfertigen.

Die grundlegende Frage, die sich auch über Reputation und Herkunft erstreckt, bleibt bestehen: Wie können Sie beweisen, wer Sie sind und was Sie getan haben, ohne auf den guten Willen derer angewiesen zu sein, die Ihre Daten speichern? Dezentrale Identität ist eine der ernsthaften Antworten auf diese Frage.