Daten geteilt – Kontrolle weg? Nicht mit EmpowerID

Self-Sovereign Identity (SSI) erlaubt es, persönliche Daten gezielt zu teilen. Doch wenn die Daten einmal aus der Hand gegeben sind, ist die Kontrolle vorbei. Die Daten können vom Empfänger gespeichert, vervielfältigt oder weitergegeben werden. Das Projekt EmpowerID entwickelt eine Lösung, bei der der Nutzer die volle Kontrolle behält. Die Daten lassen sich nicht nur aktualisieren, sondern bei Bedarf auch wieder entziehen. Das bringt Vorteile für beide Seiten: Nutzer behalten die Kontrolle, und Empfänger arbeiten stets mit verlässlichen, aktuellen Informationen – ganz ohne lokale Datenspeicherung.

Elektronische Identitäten, die den Konzepten von Self-Sovereign Identity (SSI) entsprechen, sind auf dem Vormarsch. Sie unterscheiden sich von klassischen, föderierten Identitäten grundsätzlich in zwei Punkten (siehe auch Zentrale oder Dezentrale Identitäten? – SocietyByte:

1. Die persönlichen Daten werden dezentral in einem Wallet abgelegt, anstatt zentral bei einem Identitätsprovider gespeichert zu werden. Dadurch sinkt das Risiko eines Datenleaks, da Identitätsprovider oft attraktive Ziele für Hacker sind.
2. Durch die lokale Ablage der Daten beim Inhaber erreicht man auch eine Entkopplung von Ausgabe- und Nutzungsprozessen. Der Identitätsprovider übergibt einmalig dem Benutzer seine bestätigten Daten. In die Prozesse der Weitergabe ist der Identitätsprovider nicht mehr involviert, der Benutzer hat so mehr Kontrolle über seine Daten und kann aufzeichnen, wem er wann welche Daten übermittelt hat.

Ein Problem bleibt: Wenn ein Benutzer seine Daten mit einem Service oder einem System teilt, ist es mit der Kontrolle vorbei. Sobald der Empfänger die Daten erhalten hat, kann er beliebig – entsprechend den gesetzlichen Vorgaben und seinen Nutzungsbedingungen – mit den Daten weiterfahren. Er kann sie in seinen Systemen speichern, ergänzen, vervielfältigen und auch weitergeben. Das ist für den Benutzer – egal ob klassische Identität oder SSI – vollkommen intransparent.

Im Projekt EmpowerID entwickelt ein interdisziplinäres Forschungsteam der BFH zusammen mit der Firma NGSENS aus Genf Konzepte, um dem Benutzer mehr Kontrolle zu ermöglichen. Dazu werden vorhandenen Technologien, wie Verifiable Credentials (VC), BBS-Signaturen und Tokenization, inspiriert von Prinzipien des Payment Card Industry Data Security Standard (PCI DSS), kombiniert. Ziel ist es, ein erster Prototyp zu entwickeln, der die Machbarkeit und die Vorteile demonstriert.

Ein Verifiable Credential (VC) ist ein signiertes Datenpaket, das bestätigte Aussagen über ein oder mehrere Subjekte, wie z.B. Personen, enthält und von einem Issuer ausgestellt wird.

Das BBS-Signaturschema[1] ermöglicht den Nachweis des Besitzes einer Signatur (per Zero-Knowledge-Proof) wobei selektiv eine beliebige Teilmenge der signierten Nachrichten offengelegt werden kann. 

Tokenization ist eine Methode zum Datenaustausch, bei der die ursprünglichen sensiblen Daten durch nicht sensible Platzhalter, sogenannte Token, ersetzt werden.  Der Empfänger kann die Tokens verarbeiten (z. B. für Autorisierung, Analysen usw.), ohne die echten Daten zu sehen oder zu speichern.

Beide Seiten profitieren

Die angestrebte Lösung ist nicht nur vorteilhaft für den Inhaber der Daten, der bessere Kontrolle und die Möglichkeit bekommt, nach Ablauf der Geschäftsbeziehung seine Daten automatisch löschen zu lassen bzw. zu widerrufen. Besonders Firmen profitieren davon, immer aktuelle Daten von Kunden oder Lieferanten zu haben, da in klassischen ERP- oder CRM-Lösungen, die Datenqualität und -aktualität ein ständiges Problem darstellen. Die Möglichkeit nur Token anstelle sensibler Daten zu verwalten, reduziert Compliance-Probleme und erhöht die Datensicherheit.

Beispiel Meldepflicht im Tourismus

Im folgenden Beispiel wird der Einsatz der EmpowerID beispielhaft demonstriert: Ein Hotelbesucher gibt per QR-Code seine Daten aus seinem Wallet über eine sichere Verbindung an den Token-Vault des Hotels weiter. Das Hotel erhält nur ein Token, das keinerlei sensiblen Informationen enthält, mit es aber möglich ist, auf die im Token-Vault gespeicherten Daten zuzugreifen. Entsprechend der Meldepflicht leitet das Hotel nun dieses Token an die entsprechenden Behörden weiter. Die zuständigen Behörden können das Token verwenden, um bei Bedarf und innerhalb der gesetzlichen Aufbewahrungspflicht, z.B. Fahndung und Ermittlung von Straftätern und der Suche vermisster Personen genutzt werden, auf die im Token-Vault abgelegten Daten zuzugreifen. Der Vorteile liegen auf der Hand: das Hotel muss bei sich keinerlei Meldeinformationen speichern und verwalten, erfüllt aber trotzdem seine Meldepflicht und kann auch z.B. für Werbezwecke die aktuellen Adressdaten seiner Kunden verwenden (wenn diese zuvor zugestimmt haben). Das gilt auch für die Behörden. Der Hotelbesucher kann sicher sein, dass seine Daten nur für die vorgesehenen Zwecke verwendet werden und nach der gesetzlichen Aufbewahrungspflicht automatisch gelöscht werden.

Ausblick

Die EmpowerID-Konzepte und der Prototyp sollen im Rahmen eines Innosuisse-Projekts weiterentwickelt und zu einer B2B/B2C/B2G-Plattform «GDPR as a Service» ausgebaut werden, um eine effizientere Zusammenarbeit von Bürgern mit Wirtschaft und Behörden in der Schweiz zu ermöglichen. Eine weitere Idee, die in der Zukunft verfolgt werden soll, ist die Einführung einer Bezahlschranke, mit der der Zugriff auf die Daten kontrolliert beschränkt werden kann und das heute übliche Konzept, bei der der Benutzer mit seinen Daten für eine Service-Nutzung bezahlt, umkehrt.

[1] V. Kalos, T. Looker, A. Whitehead und M. Looder, «The BBS Signature Scheme,» 07.07.2025. [Online]. Available https://datatracker.ietf.org/doc/draft-irtf-cfrg-bbs-signatures/09/  .