Die digitale Identität, die die meisten Menschen heute nutzen, gehört ihnen nicht. Es gehört Google, Facebook, gov.br oder der Bank, die es ausgestellt hat. Wenn Sie sich mit Ihrem Google-Konto bei einem Dienst anmelden, geben Sie nicht Ihre Identität preis – Sie leihen sich die Identität aus, die Google für Sie verwaltet, zu den von Google festgelegten Bedingungen und widerrufbar, wenn Google entscheidet. Die selbstsouveräne digitale Identität geht von einer anderen Prämisse aus: Was wäre, wenn die Person ihre eigenen Zugangsdaten kontrollieren würde, ohne auf eine zentrale Autorität angewiesen zu sein, die sie validiert?
Die technische Architektur hinter dem Konzept
SSI – Self-Sovereign Identity – ist keine abstrakte Idee. Es verfügt über einen konkreten, vom W3C standardisierten technischen Stack mit zwei zentralen Teilen: DIDs (Decentralized Identifiers) und Verifiable Credentials.
Eine DID ist eine eindeutige Kennung, die der Inhaber erstellt und kontrolliert, ohne dass eine Registrierung bei einer zentralen Behörde erforderlich ist. Seine Struktur folgt dem did:método:identificador-específico-Format, wobei die Methode definiert, in welcher Infrastruktur (einer Blockchain, einer verteilten Registrierung oder sogar einem vom Benutzer kontrollierten Server) die DID verankert ist. Der Inhaber behält die kryptografischen Schlüssel, die die Kontrolle über diese Kennung beweisen. Wenn die Schlüssel beim Individuum liegen, liegt die Identität beim Individuum.
Überprüfbare Anmeldeinformationen sind der zweite Block. Ein überprüfbarer Ausweis ist ein digitales Dokument – es kann ein Führerschein, ein Universitätsabschluss, ein ärztliches Attest oder ein Berufszeugnis sein –, das von einer zuständigen Behörde (dem Aussteller) ausgestellt wurde, vom Inhaber in der digitalen Geldbörse selbst aufbewahrt wird und jedem Prüfer vorgelegt werden kann, ohne dass der Aussteller an der Transaktion beteiligt sein muss. Durch die Verschlüsselung wird sichergestellt, dass die Zugangsdaten nicht manipuliert wurden und tatsächlich von dem Aussteller stammen, von dem sie angeblich stammen. Der Prüfer muss nicht jedes Mal, wenn jemand ein Diplom vorlegt, die [Datenbank] der Universität konsultieren – diese Aufgabe übernimmt die kryptografische Signatur.
Was ermöglicht dies in der Praxis?
Der erste offensichtliche Vorteil ist die Portabilität. Heutzutage sind digitale Ausweise Gefangene der Systeme, die sie ausgestellt haben. Ihre Krankengeschichte liegt im Krankenhaussystem vor. Ihr verifizierter Lebenslauf ist auf LinkedIn. Ihre beruflichen Qualifikationen stehen auf Zertifizierungsplattformen. Mit SSI befinden sich diese Anmeldeinformationen im Portemonnaie der Person und können in jedem Kontext und jedem Prüfer vorgelegt werden, ohne dass ein Vermittler erforderlich ist.
Der zweite Gewinn ist der Datenschutz durch Architektur, nicht durch Richtlinien. Ein Mechanismus namens „Zero-Knowledge-Proof“ ermöglicht es dem Inhaber, Attribute eines Berechtigungsnachweises nachzuweisen, ohne den gesamten Berechtigungsnachweis preiszugeben. Konkretes Beispiel: Um nachzuweisen, dass Sie über 18 Jahre alt sind, müssen Sie Ihren Personalausweis mit Ihrem Namen, CPF und Adresse nicht vorzeigen. Sie können lediglich das Attribut „über 18“ kryptografisch nachweisbar nachweisen, ohne etwas anderes preiszugeben. Dadurch wird ein Datenleck durch übermäßige Sammlung – ein systemisches Problem in der heutigen Identitätsinfrastruktur – kategorisch ausgeschlossen.
Der dritte Gewinn ist die grenzüberschreitende Interoperabilität. Ein von der brasilianischen Regierung ausgestellter Ausweis kann, wenn er den W3C-Standards entspricht, von einem europäischen Arbeitgeber oder einer amerikanischen Universität ohne besondere bilaterale Vereinbarung anerkannt werden, da die Überprüfung auf kryptografischer Ebene und nicht auf diplomatischer Ebene erfolgt.
Wo SSI bereits implementiert wird
Mit dem EU Digital Identity Wallet, einem zentralen Bestandteil der 2024 in Kraft getretenen eIDAS 2.0-Verordnung, übernahm die Europäische Union die Führung. Ziel ist es, dass bis 2026 jeder europäische Bürger Zugang zu einem digitalen Personalausweis hat, der den Zugang zu öffentlichen und privaten Diensten in jedem Mitgliedsland ermöglicht. Das Design folgt den SSI-Prinzipien: Die Bürger kontrollieren, was sie mit wem teilen.
In Brasilien hat sich gov.br kontinuierlich weiterentwickelt, basiert jedoch immer noch auf einem zentralisierten Modell: Die Plattform ist der Identitätsanbieter, und Dienste sind zur Überprüfung von ihr abhängig. In technischen Gruppen der Regierung gibt es Diskussionen über einen souveränen digitalen Personalausweis, die jedoch noch nicht in eine veröffentlichte Architektur mit definierter Frist umgesetzt wurden.
Im privaten Sektor gibt es in mehreren Ländern bereits echte Pilotprojekte für Identitätsinitiativen für Lieferketten, den Zugang zu Finanzdienstleistungen für Bevölkerungsgruppen ohne formelle Dokumente und die Überprüfung akademischer Qualifikationen. Finnland hat mit der SSI-Identität für Flüchtlinge experimentiert. Kanada hat einen überprüfbaren Entwurf für Qualifikationen im Gesundheitssektor erstellt. Dabei handelt es sich nicht um Laborprototypen, sondern um Systeme mit echten Nutzern.
Die Reibungspunkte, die die Akzeptanz verlangsamen
Das offensichtlichste Problem ist die Benutzererfahrung. Bei digitalen Personalausweisen muss der Inhaber seine eigenen kryptografischen Schlüssel verwalten. Der Verlust dieser Schlüssel bedeutet den Verlust des Zugriffs auf die Anmeldeinformationen. Für dieses Problem – Schlüsselverwaltung genannt – gibt es keine triviale Lösung, die gleichzeitig sicher und für den Durchschnittsbenutzer zugänglich ist. Die Alternativen (Schlüssel im Besitz Dritter, soziale Erholung) führen zu Abhängigkeiten, die teilweise dem Souveränitätsprinzip widersprechen.
Das zweite Problem ist die Fragmentierung der Standards. Es gibt Dutzende von DID-Methoden, die beim W3C registriert sind, jede mit unterschiedlichen technischen Eigenschaften, und die Interoperabilität zwischen ihnen ist immer noch unvollständig. Ein Prüfer, der Anmeldeinformationen in Methode did:web akzeptiert, akzeptiert möglicherweise keine Anmeldeinformationen, die did:ion oder did:key verwenden. Die Konvergenz findet statt, aber langsam.
Die dritte Reibungsfläche ist regulatorischer und rechtlicher Natur. Damit ein überprüfbarer Ausweis rechtlichen Wert hat, bedarf er einer normativen Anerkennung – einem Gesetz oder einer Verordnung, die festlegt, dass diese Form der Präsentation einem physischen Dokument gleichwertig ist. Diese Anerkennung kommt über eIDAS 2.0 nach Europa, in den meisten Ländern fehlt sie jedoch noch oder ist unvollständig.
Was es für Organisationen bedeutet, die heute Identitäten sammeln
Für Unternehmen, die heute Kundenidentitätsdaten sammeln und speichern – Name, CPF, Adresse, Dokumente, Selfies – stellt das SSI-Modell einen Rollenwechsel dar: vom Sammler zum Verifizierer. Anstatt eine Kopie der Benutzerdaten aufzubewahren, prüft die Organisation die vorgelegten Anmeldeinformationen, bestätigt ihre kryptografische Gültigkeit und verwirft sie. Die Daten verbleiben nicht in der Datenbank des Unternehmens. Eine Leckage ist nicht möglich, da nichts auslaufen kann.
Diese Architekturänderung reduziert das regulatorische Risiko, die Kosten für die Einhaltung der LGPD](/post/lgpd-startups-compliance-protecao-dados) und die Auswirkungen eines Sicherheitsvorfalls radikal. Es verändert auch die Diskussion über die Einwilligung: Anstatt um Erlaubnis zur Speicherung von Daten zu bitten, speichert das Unternehmen diese einfach nicht. Die Einführung von SSI wird in großem Umfang eine Neubewertung von Geschäftsmodellen erzwingen, die auf gesammelten Identitätsdaten basieren – und diese Neubewertung wird für diejenigen unangenehm sein, die diese Daten auf eine Weise monetarisieren, von der der Inhaber nichts weiß.
Lesen Sie auch
- Datenwürde: der nächste Schritt nach dem Datenschutz
- Echte Zustimmung oder Regulierungstheater: Wie man unterscheidet
- Überprüfbare Referenzen: Portfolio, das beweist, von der Karriere bis zum institutionellen Vertrauen
- Inferenz am Rande: Wenn KI auf dem Gerät ausgeführt wird, ist dies sinnvoller als in der Cloud
- LGPD im Jahr 2026: Was hat sich geändert, was wurde noch nicht eingehalten und was kommt
- LGPD zwei Jahre später: Was sich in brasilianischen Unternehmen wirklich verändert hat