Security Token Offering (STO) soll ICO ersetzen

Von Ralf Keuper

Der CEO von Polymath, Trevor Koverko, will Security Token Offerings (STO) marktfähig machen, wie in Polymath CEO Trevor Koverko on Smart Investing, Secret Societies, and Security Tokens zu erfahren ist. 

Die Ambitionen sind groß:

Polymath has some ambitious plans, in fact, they aim to be the “Ethereum of Security tokens.” Just as Ethereum made it easy for developers to launch IPOs, Polymath is making it easy for non-technical Wall Street folks to launch STOs. By simply using their platform, issuers can launch their own security token with a few clicks (without having to understand Solidity).

Um die Verbreitung zu beschleunigen, soll ein eigener Standard lanciert werden:

Oh, and they’re launching the ST20 Security Token Standard. Yes, just like the ERC20 standard for utility tokens. Polymath plans on the same model for security tokens, creating the new standard moving forward–no wonder he’s so pumped.

Erste namhafte Unterstützer aus der Blockchain-Szene konnten gewonnen werden:

Some of the first Polymath issuers have been announced however and they include IPwe, the world’s first blockchain-enabled patent registry, and BlockEstate, a tokenized US real estate fund. Trevor also made an announcement live at the conference to say that one of the first issuers is a filmmaker raising funds for his movie through an STO.

Einige Marktbeobachter gehen davon aus, dass Security Token Offerings (STO’s) die ICO’s ersetzen werden.

Der Vorteil von Security Tokens bestehe darin, dass sie – im Gegensatz zu Utility Tokens – auf handelbaren Assets basieren.

 

Veröffentlicht unter Blockchain / Distributed Ledger Technology, eStandards | Hinterlasse einen Kommentar

Identity Economy: Ein kurzer Wochenrückblick #57

Von Ralf Keuper

Anbei eine Aufstellung von Beiträgen, die mir in der vergangenen Woche besonders ins Auge gefallen sind:

Veröffentlicht unter Wochenrückblick | Hinterlasse einen Kommentar

Identity Relationship Management: eID, IAM, Blockchain und IoT bewegen sich aufeinander zu

Von Ralf Keuper

Im Gegensatz zu früher, als man seine Geschäftspartner häufig noch persönlich kannte, ist es heute, im Zeitalter des Internet, deutlich schwerer, die Integrität des Gegenübers zweifelsfrei festzustellen. Wie kann man sicher sein, dass es sich bei dem potenziellen Kunden um eine Person mit lauteren Absichten und nicht um eine gefälschte Identität oder gar um einen Bot handelt? Woher weiß eine CNC-Fräse in der Produktion, dass die Anfrage einer anderen Bearbeitungsstation berechtigt ist? Um das nötige Vertrauenslevel herzustellen, sind Sichere Verifizierte Digitale Identitäten der Schlüssel. Ein wachsendes Aufgabenfeld für die Anbieter von Sicherheits- und Vertrauenstechnologien bzw. von Unternehmen mit dem Geschäftsmodell Identity as a Service (IdaaS).

Markt mit großem Potenzial 

Die Strategieberatung McKinsey schätzt das Marktvolumen für ID Verification as a Service für das Jahr 2022 auf bis 20 Mrd. Dollar. Im Jahr 2017 lag das Volumen laut McKinsey noch bei 10 Mrd. Dollar weltweit. Die nach wie vor umfassendste Studie des Marktes für Digitale Identitäten ist Research on Identity Ecosystem. Darin wird der Markt für die personenbezogenen Daten in die Betrachtung mit einbezogen. Die Strategieberatung BCG veranschlagte vor einigen Jahren in ihrer Studie The Value of Our Digital Identity den Markt für personenbezogene Daten auf bis 90 Mrd. Dollar pro Jahr. Das World Economic Forum (WEF) hält einen globalen Standard für digitale Identitäten nicht nur aus Sicht der Finanzbranche für wünschens- und erstrebenswert (Vgl. dazu: A Blueprint for Digital Identity The Role of Financial Institutions in Building Digital Identity).

Einsatzmöglichkeiten des neuen Personalausweises (nPA) und der elektronischen Identität (eID)

Die Banken und einige Fintech-Startups sind gesetzlich dazu verpflichtet, die Identität ihrer Kunden zu verifizieren (KYC). Bei größeren Finanztransaktionen müssen Banken sicherstellen, dass es sich dabei um keine Geldwäsche handelt (AML). Zwischenzeitlich wurde der Personalausweis digitalisiert bzw. um eine Online-Ausweisfunktion ergänzt. (Vgl. dazu: Der Personalausweis mit Online-Ausweisfunktion). Weitere Einsatzmöglichkeiten bestehen im E-Commerce, im stationären Handel (Vor-Ort-Auslesen), im E-Government (Bürgerkonto/Bürgerservices) und im Identitätsmanagement (IAM). Kurzum: Überall dort, wo man wissen will und wissen muss, mit wem man es zu tun hat.

Durchgängiges digitales Onboarding mit Authada: Vom Auslesen bis zur (rechtsgültigen) Unterschrift

Seit einiger Zeit ist es möglich, den Ausweis mit dem Smartphone oder Tablet auszulesen, wie mit der Authada-App und der Lösung ident. Dabei wird die elektronische Identität des Personalausweises binnen weniger Sekunden übermittelt.

Daneben besteht die Möglichkeit, den Personalauswis mit Authada onsite Vor-Ort auszulesen. Dabei liest ein Mitarbeiter den Ausweis direkt am Point of Sale mit einem mobilen Endgerät, Smartphone oder Tablet, aus. Die Daten werden dann elektronisch ausgelesen, in ein Formular übernommen und somit die Fehlerquote beim Erfassen der Daten drastisch reduziert.

Mit Authada sign können Verträge papierlos, mobil und automatisch in wenigen Minuten abgeschlossen werden. Der Kunden unterschreibt mit seiner Qualifizierten Elektronischen Unterschrift (QES). 

Die sichere und schnelle Authentifizierung nach PSD2 lässt sich über die Integration von Authada verify als SDK in die Geschäftsprozesse realisieren.

Alle Authada-Lösungen sind konform zu den regulatorischen Anforderungen der Finanzbranche und anderen (Geldwäschegesetz, Telekommunikationsgesetz, E-Government-Gesetz, Zahlungsdiensteaufsichtsgesetz, DSGVO, ePrivacy und eIDAS-Verordnung). Der eID Core von Authada ist seit Anfang 2018 BSI-zertifiziert.

Technischer Ablauf 

Dabei wird ´nach erfolgreicher Authentisierung eine verschlüsselte Verbindung zwischen dem Ausweis und dem eID-Server hergestellt, die weder im eID-Client noch im Kartenleser und auch nicht in der App abgehört werden kann.

Vor jeder Datenübermittlung prüft der Ausweis, ob ein Berechtigungszertifikat vorliegt.

Das technische Berechtigungszertifikat ist eine elektronische Bescheinigung, die vom Chip des Personalausweises vor jedem Lesevorgang geprüft wird. Es legt fest, welche personen- und ausweisbezogenen Daten der Anbieter eines Dienstes aus dem Personalausweis des Nutzers abfragen darf.

Bei der Gelegenheit wird auch die Echtheit des Personalausweises geprüft. Sobald das Berechtigungszertifikat an den Prozessor im Personalausweis gesendet ist, werden die Daten in verschlüsselter Form an den Dienstleister gesendet. Alle Daten, die Authada vom Personalausweis ausliest, werden weder in der App noch auf dem mobilen Endgerät gespeichert, sondern direkt verschlüsselt per API an den B2B-Kunden geliefert.

Hohe Conversion Rate im B2B – Geschäft 

In einem Interview berichtete Jörg Jessen, CEO und einer der Gründer von Authada, von einer ungewöhnlich hohen Conversion Rate, die sich mit den Authada-Lösungen erreichen lässt. Damit hebe man sich deutlich von anderen Verfahren wie Video Ident und PostIdent ab:

Für unsere B2B-Kunden bieten wir mit unseren Produkten einen Service zum online Ausweisen an, der die Absprungrate im Onboarding-Prozess unschlagbar gering hält. Die Schnelligkeit des Prozesses trägt dazu bei. Mit unseren Lösungen identifizieren sich Bürger innerhalb von Sekunden – und zwar zu jeder Tages- und Nachtzeit und von überall aus. Das sind die Hauptvorteile im Customer-Onboarding-Prozess oder anders gesagt: Onboarding geht mit uns in Sekunden und rechtskonform. Ein weiterer entscheidender Unterschied ist die Skalierbarkeit – unsere eID-Lösungen sind rund um die Uhr verfügbar. Unsere hoch performanten Services skalieren und erlauben unseren Kunden ihre Produkte und Service jederzeit und ortsunabhängig anzubieten. Durch BSI-Zertifizierung, State-of-the-Art Verschlüsselung und unser hochsicheres Rechenzentrum sorgen wir außerdem für den sichersten Identifizierungsservice am Markt.

Digitales Onboarding der nächsten Generation 

Über die große Bedeutung eines reibungslosen digitalen Onboardings herrscht – branchenübergreifend – große Einigkeit. Fast immer wird dabei die Customer Experience bzw. die Customer Journey in den Vordergrund gerückt. Wer den Anmeldeprozess so intuitiv und so selbsterklärend wie möglich gestaltet, hat die besten Chancen, (Neu-)Kunden für sich zu gewinnen. Sicherheitsaspekte geraten dabei nicht selten in den Hintergrund – sie gelten sogar als potenzielle Show-Stopper. Dabei brennen die Themen Datensicherheit und Datenschutz vielen Banken auf den Nägeln, wie aus dem Branchen Kompass Banking 2017 von steria sopra und dem FAZ Institut hervorgeht. Werden Kunden danach befragt, welches die größten Hürden für eine gelungene Customer Journey sind, werden häufig Probleme bei der Identifizierung genannt (Vgl. dazu: Customer digital onboarding).

Neuer Markt: Login-Allianzen, SSO und Identitätsplattformen

In den letzten Wochen und Monaten haben sich verschiedene Anbieter von Single-Sign-On-Lösungen (SSO) wie VERIMI, netID und ID4me in Stellung gebracht. Das gemeinsame Ziel ist, eine Alternative zu den SSO-Lösungen von facebook und Google zu schaffen. Außerdem will man den Nutzern und Unternehmen die Hoheit über ihre Daten und Digitalen Identitäten zurückgeben. Google und facebook kommen für ihre Services bislang ohne verifizierte digitale Identitäten aus. Banken sind jedoch aus den eingangs erwähnten Gründen auf verifizierte (digitale) Identitäten angewiesen. Wer auf seinen Plattformen verifizierte digitale Identitäten anbieten kann, ist für die Werbeindustrie ein hoch interessanter Partner. Vorstellbar ist die Verbreitung von identity based marketing oder object marketing. Damit wäre im Idealfall die direkte Ansprache der Kunden und Objekte möglich. Das wiederum stellt hohe Anforderungen an den Datenschutz und die Datensicherheit. Der Bedarf an Sicherheitstechnologie Made in Germany dürfte dadurch steigen und damit auch die Aussichten für Authada, die Bundesdruckerei und Governikus.

Identity Relationship Management: eID, IAM, Blockchain und IoT bewegen sich aufeinander zu

Die nächste Stufe könnte mit der Verbreitung der Blockchain-Technologie und Standards wie DID kommen. Damit wäre es möglich, nur einzelne für die Identifizierung nötige Merkmale, verifizierte Attribute auszugeben, statt die gesamten personenbezogenen Daten. Beispielhaft dafür ist die Prüfung auf Volljährigkeit. Der neue Personalausweis verfügt übrigens über eine Pseudonymisierungsfunktion. Dabei wird nur das Pseudonym aus dem Personalausweis weitergegeben. Vor einigen Jahren stellten Forscher vom Horst Götz-Institut an der RuhrUni Bochum ein Konzept für das pseudonyme stromtanken mit dem neuen Personalausweis vor.

Bislang sind wir gewöhnt, die Notwendigkeit, sich auszuweisen, nur mit natürlichen Personen und eventuell auch juristischen Personen in Verbindung zu bringen. Künftig könnten Technische Personen ebenfalls gezwungen sein, sich auszuweisen. Das können Roboter oder andere technische Objekte sein, die in der Lage sind, autonome Entscheidungen zu treffen. In der vernetzten Produktion (Industrie 4.0) weisen sich Maschinen und Werkstücke durch ein Maschinenzertifikat aus. Sichere digitale Identitäten sind unabdingbar, wenn Maschinen über die unternehmens- und womöglich Ländergrenzen hinweg mit anderen kommunizieren. Die genannten Entwicklungen könnten demnächst in einen übergreifenden Ansatz – The Identity of Things – münden, wie er von Earl Perkins bereits vor vier Jahren in The Identity of Things for the Internet of Things skizziert wurde. Darin warf Perkins die Frage auf, ob die gängigen Technologien wie IAM und Asset Management miteinander kombiniert werden können oder ob wir angesichts der zunehmenden Komplexität und Verflechtung demnächst ganz neue Ansätze – wie das Identity Relationship Management benötigen. Kann der nPA oder – abstrakter – die eID die Klammer für das Identity Relationship Management – sowohl für Personen wie auch für technische Objekte sein?

Rollenverteilung erst am Anfang

Momentan ist noch nicht absehbar, wie das neue Rollenverhältnis auf dem Markt für digitale Identitäten aussehen wird. Werden Banken und Login-Allianzen die neuen Identity-Provider, wird sich die eID für die Erstidentifizierung durchsetzen, wird die Blockchain-Technologie Intermediäre wie Banken und Login-Allianzen ersetzen, welche langfristigen Auswirkungen hat das Open Banking? Wie kann die Industrie sichere digitale Identitäten einführen? Relativ sicher ist, dass es in Zukunft Bedarf an Anbietern geben wird, die zu jeder Zeit und an jedem Ort verifizierte digitale Identitäten oder verifizierte Attribute über alle gängigen Kanäle und Endgeräte schnell und sicher bereitstellen können – und das unabhängig davon, ob es sich dabei um Identitätsplattformen oder um eine Blockchain handelt. Die eID und die qualifizierte elektronische Unterschrift werden dabei eine Schlüsselfunktion übernehmen.

 

Veröffentlicht unter Blockchain / Distributed Ledger Technology, Cybersecurity, Digitale Identitäten, Identity Economy, Internet der Dinge, Maschinendaten / M2M-Kommunikation | Verschlagwortet mit , , , , | Hinterlasse einen Kommentar

Die wachsende Bedeutung des Identity Relationship Managements (IRM)

Von Ralf Keuper

Wenn wir künftig mit hunderten von Geräten interagieren sollten, dann wird sich das mit den bestehenden Authentifizierungsverfahren kaum verwirklichen lassen. Müssen wir uns jedesmal mit unserer kompletten ID ausweisen oder reichen nicht einzelne verifizierte Merkmale oder Profile aus? Können die Technologien und Lösungen aus dem Bereich IAM so modifiziert werden, dass sie diese neue Form der Interaktion und Kommunikation unterstützen oder gar ermöglichen?

Diese Frage stellte sich Earl Perkins bereits im Jahr 2014 in The Identity of Things for the Internet of Things. Er schrieb:

Think about how identity and access management (IAM) systems work today for human users of applications and data. A unique ID is assigned to the human and a set of attributes effectively defines the digital version of the human. Another set of attributes can be created to define the relationship that person may have with an application. Those particular attributes are then used in the authentication and authorization phase of the person engaging with the application. In essence you want that human to have a relationship with the application, so you provide the means to do so in a formal set of policies and rules.

Daraus folgt für ihn:

We must ask ourselves whether our existing technology such as IAM and asset management can be combined and/or extended to accommodate such an effort, or will something radically new be necessary to handle the complexity of those relationships. We will also need to determine how much information is enough information for executing on the relationships, how dynamic will they be, how we might ‘log’ the relationship event– the list goes on.

In The next generation of IAM: Identity Relationship Management (IRM) schrieb Oliver Maerz:

Today’s users access secure systems not just on premises, but in the cloud and via the Internet, any time, day or night. Today’s users are not just employees logging on at work but also partners, customers, and devices signing in from anywhere. As the number of users grows exponentially, modern IRM systems must be able to accommodate hundreds, thousands, or even millions of additional identities instantaneously, achieving a scalable volume that was neither possible nor needed for the enterprise, but is essential in an Internet-connected, consumer-facing world.

Initiativen wie Sovrin wollen dieses Problem mittels Zero Proof of Knowledge bzw. verifizierter Merkmale/Attribute lösen (Vgl. dazu: Ein offener Standard für dezentrale digitale Identitäten: Bericht vom ID4me Summit).

Die Vorteile bzw. Prinzipien von Sovrin:

  • different identities for each relationship
  • combining different claims (name, banking account, etc.)
  • zero knowledge proof

Dazu benötigen wir entsprechende Standards und Referenzarchitekturen, wie die Verifiable Claims Architecture.

Eine Anforderung:

A basic architecture for verifiable claims must distinguish the essential roles of core actors and the relationships between them; how do they interact? A role is an abstraction that might be implemented in many different ways. The separation of roles suggests likely interfaces and/or protocols for standardization.

Ein weiterer Punkt ist die Nutzung oder Kombination verteilter Identitätsquellen, so Hatje Bruns von Governikus in einem Interview mit diesem Blog:

Besonders spannend sind aus unserer Sicht verteilte Identitätsquellen. Servicekonten, eIDAS, PSD2 und weitere Anbieter aus dem privaten Sektor bilden eine große Palette an vertrauenswürdigen Identitäten, die, wenn sie kombiniert werden können, Dienste ermöglichen, die sonst vielleicht nicht möglich wären.

Das ist noch viel zu tun.

Veröffentlicht unter Blockchain / Distributed Ledger Technology, Digitale Identitäten, eStandards, Identity Economy, Internet der Dinge | Hinterlasse einen Kommentar

We Met The Founder Of Ethereum

Veröffentlicht unter Blockchain / Distributed Ledger Technology | Hinterlasse einen Kommentar

Identity Economy: Ein kurzer Wochenrückblick #56

Von Ralf Keuper

Anbei eine Aufstellung von Beiträgen, die mir in der vergangenen Woche besonders ins Auge gefallen sind:

Veröffentlicht unter Wochenrückblick | Hinterlasse einen Kommentar

Die Jagd auf Satoshi Nakamoto

Von Ralf Keuper

Eine Frage, die viele in der Bitcoin-Szene seit Jahren beschäftigt, ist, wer sich hinter dem Pseudonym Satoshi Nakamoto, dem Erfinder von Bitcoin, verbirgt. Handelt es sich dabei um eine Person oder um eine Gruppe? Warum verschwand Nakamoto kurz nach der Veröffentlichung seines bahnbrechenden Papers Bitcoin: A Peer-to-Peer Electronic Cash System?

Mit der Suche nach der wahren Identität von Nakomoto beschäftigt sich u.a. der US-amerikanische Geheimdienst CIA ebenso wie die NSA. Darüber berichtet David Hamilton in US Government Programs Focused on Satoshi Nakamoto.

Wie nicht anders zu erwarten, bietet die Suche nach dem Phantom Nakamoto reichlich Stoff für Verschwörungstheorien:

As it stands now, cryptocurrencies are growing in popularity in the US and around the globe with analysts predicting future growth for years to come. While the crypto market expands, so does the curiosity surrounding Bitcoin’s creator. This rising curiosity has also led to a growing number of Bitcoin conspiracy theories in the crypto space as well.

 

Veröffentlicht unter Blockchain / Distributed Ledger Technology, Cybersecurity, Wirtschaftsliteratur und Medienbeiträge | Hinterlasse einen Kommentar

RegTech Study: European Landscape (September 2018)

Von Ralf Keuper

Die Unternehmen, die Lösungen für die Authentifizierung, das regulatorische Reporting, die Fraud-Bekämpfung und das Risikomanagement anbieten, können sich kaum über mangelnde Nachfrage beklagen.

Zusammen mit SIA Partners hat AEC Fintech die RegTech Study: European Landscape (September 2018) veröffentlicht.

Aus der Einleitung:

Regtech in financial services – a combination of Regulation and Technology used to describe the application of new technologies to the world of regulation and compliance – has emerged as a sub-sector of the technology industry in the last three years. This was fostered by the parallel development of Big Data analytics and Artificial Intelligence which found a natural application given the vast amounts of data produced by banks.

With its mature and prominent financial services industry and strict regulatory regime, Europe has laid the foundations for many highly innovative companies seeking to exploit the latest advances in technology to help banks solve their regulatory challenges.

Whilst Regtech companies are increasingly coming under the radar of financial institutions and investors alike, relatively few studies have been dedicated to this nascent sector. This paper aims to fill this gap by taking a closer look at the various players that make up the European Regtech ecosystem and how they position themselves to tackle the regulatory needs of banks.

Sia Partners and AEC Fintech benchmarked 80 European Regtech companies with a view to uncover the trends that are driving these companies.

The purpose of this study is to provide an in-depth analysis of the European Regtech sector and give a comprehensive overview of emerging business initiatives that leverage new technologies to help banks cope with their regulatory obligations.

Crosspost von Bankstil

Veröffentlicht unter Cybersecurity, Digitale Identitäten | Hinterlasse einen Kommentar

VERIMI und netID bringen sich in Stellung

Von Ralf Keuper

Sieht ganz danach aus, als würden die Login-Allianzen in Deutschland Fahrt aufnehmen. Wie in Der Schlüssel fürs Netz berichtet wird, hat VERIMI mit der Deutschen Bahn und VW Financial Services zwei neue Partner mit Gewicht gewonnen. Fast zeitgleich gab die andere Login-Allianz in Deutschland, netID, bekannt, im Oktober an den Start zu gehen, wie in Deutsche Login-Plattformen gewinnen prominente Partner zu erfahren ist. Mit dabei sind u.a. 1&1, Pro Sieben, RTL, YES, die Süddeutsche Zeitung und der Otto Versand. Letzterer bevorzugte ursprünglich VERIMI, schwenkte dann jedoch auf netID um, was von einigen Marktbeobachtern als schwerer Schlag für VERIMI gewertet wurde (Vgl. dazu: Schwerer Schlag für Verimi: Online-Riese Otto wird Partner der Log-In-Allianz NetID um RTL und ProSiebenSat.1). Dem Vernehmen nach erwägen auch die Volksbanken, vertreten durch den BVR, sich netID anzuschließen. Damit wären über YES und den BVR die zwei größten Bankengruppen Deutschlands, die Sparkassen und die Genossenschaftsbanken, Partner von netID. Die Deutsche Bank ist dagegen einer der Hauptgesellschafter von VERIMI. Die Commerzbank hat noch keine Entscheidung getroffen, welchen Weg sie im Identitätsmanagement einschlagen will.

Mit ID4me, das überwiegend von verschiedenen Unternehmen aus dem Domain- bzw. Hosting-Umfeld unterstützt wird, darunter übrigens auch 1&1, steht eine weitere Alternative zur Verfügung.

ID4me und netID verfolgen bei der Datenhaltung einen föderativen Ansatz, wohingegen VERIMI zentralisiert(er) ist.

Nicht alle Kommentatoren sind erfreut darüber, dass mehre Initiativen versuchen, einen Standard im Bereich Single Sign On zu etablieren, wie in NetID: Warum Deutschland endlich einen akzeptierten Single-Sign-on-Standard braucht. Es bestehe die Gefahr, dass keiner der Standards die nötige Mindestverbreitung erreicht. Dem halten andere wiederum entgegen, dass, solange die Lösungen interoperabel sind, es aus Kundensicht nur gut sein kann, wenn mehrere Alternativen zur Wahl stehen.

Unterdessen sind Initiativen, wie DID, Dweb und DIF, dabei, einen globalen Standard für dezentrale Digitale Identitäten auf Blockchain-Basis zu bilden. In Deutschland wäre vor allem JOLOCOM zu nennen. Weitere Impulse kommen von den Anbietern von Open Source – Lösungen (Vgl. dazu: Mit Open Source-Software die Hoheit über Daten und digitale Identitäten sicherstellen).

Nach Stand der Dinge werden wir bis auf weiteres eine Vielzahl von Initiativen sehen, die um die Gunst der Nutzer werben und dabei unter Beweis stellen müssen, dass ihre Lösungen einen echten Unterschied zu Social-Logins von Google und facebook bilden.

Weitere Informationen:

Verimi, NetID oder ID4me?

Veröffentlicht unter Digitale Identitäten, eStandards, Identity Economy | Hinterlasse einen Kommentar

Mit Open Source-Software die Hoheit über Daten und digitale Identitäten sicherstellen

Von Ralf Keuper

In den letzten Jahren haben die großen Internetkonzerne (Microsoft, Google, Samsung, Amazon, Apple) ihre Angebotspalette deutlich ausgedehnt. Parallel dazu haben sie digitale Ökosysteme, bestehend aus Hardware (Smartphone), Software (Betriebssysteme) sowie weiteren Services (Cloud), errichtet, die für die Kunden einen sog. Lock-In-Effekt erzeugen, was die Wahlmöglichkeiten einschränkt und zu einer geringen Wechselbereitschaft führt. Die Kunden, insbesondere Unternehmen und öffentliche Institutionen, laufen damit Gefahr, ihre digitale Souveränität und ihre Datensouveränität einzubüßen.

Open Source–Software (OSS) als Alternative

Alternativen sind Lösungen der Anbieter aus dem OpenSource – Umfeld. Die Vorteile von Open-Source-Software (OSS) gegenüber proprietären Lösungen bestehen darin, dass der öffentlich gemachte Code Transparenz, Replizierbarkeit und  Kontrolle über die Funktionsweise der Software ermöglicht. Außerdem garantiert er Herstellerunabhängigkeit, da man die Software auch selber betreiben kann. Durch die offene Struktur und die standardisierten Schnittstellen besteht überdies die Möglichkeit, unterschiedliche Lösungen, ganz auf die eigenen Bedürfnisse abgestimmt, miteinander zu kombinieren, statt auf das begrenzte Portfolio eines Herstellers angewiesen zu sein.

Mittlerweile gibt es zahlreiche professionell und kommerziell arbeitende Anbieter von Open Source Lösungen, die hoch professionelle, laufend weiter gepflegte und getestete Lösungen anbieten, die von Organisationen einfach eingesetzt werden können. Das spricht sich immer mehr herum.

So plant die Landesregierung Schleswig Holstein, sich ganz von Microsoft zu lösen und stattdessen Open Source-Software (OSS) zu verwenden. Die Stadt Schwäbisch Hall setzt bereits seit 20 Jahren OSS ein. Wie Rafael Laguna in Statt Microsoft weiter Millionen zu zahlen, sollten Behörden jetzt umdenken schreibt, nutzen in Frankreich bereits 15 der 22 Ministerien OSS. Der IT-Dienstleister der Bundesverwaltung, ITZ Bund, hat sich im April diesen Jahres für die Open-Source-Software Nextcloud entschieden.

Univention bietet mit  Univention Corporate Server (UCS) eine Lösung an,  welche das zentrale Management verschiedener IT-Lösungen (Linux, Windows, Mac OSX) ermöglicht und die Unternehmen damit unabhängig(er) und flexibler machen möchte. Derzeit wird  Univention Corporate Server von 8.500 Organisationen aus verschiedenen Branchen (Handel, Banken, Schulen, Industrie, Forschungsinstitute) und unterschiedlicher Größe (kleine Unternehmen, Konzerne) eingesetzt (Vgl. dazu: Referenzen).

Die wesentlichen Komponenten von UCS , um Prozesse und Daten unter eigener Kontrolle zu behalten, sind dessen ID-Management und das App-Center.

ID-Management

Das zentral administrierbare ID-Managementsystem hat den Vorteil, dass die Benutzer sich mit einem einheitlichen Login (Single Sign On) bei den verschiedenen Systemen und Diensten anmelden können. Das Berechtigungsmanagement unterstützt Rollenkonzepte oder Gruppenzugehörigkeiten. Durch die Verwendung von OpenLDAP ist die Verwaltung einer großen Anzahl von Nutzerkonten möglich. Bei dem französischen Telekommunikationsunternehmen Orange werden mit dem UCS-Identitymanagementsystem bis zu 30 Millionen Authentisierungskonten administriert.

App Center

Im App Center  von UCS steht eine Vielzahl von Applikationen anderer Hersteller zur Verfügung, die für UCS optimiert wurden, wie z.B. OX, OwnCloud oder Nextcloud. Momentan umfasst das Angebot 90 Applikationen. Die Apps können mit wenigen Mausklicks in die IT Umgebung installiert und über das IDM von UCS administriert werden. Eine Reihe von ihnen kann auch direkt im App Center erworben werden; Univention übernimmt dabei für die Hersteller gegen eine Provision die Abrechnung. Das App Center verwendet die Docker-Technologie, um durch die verbreitete Container-Technologie sicher zu stellen, dass die diversen, in einer Umgebung laufenden Apps, sich nicht gegenseitig beeinflussen.

Wie das Zusammenspiel von Single-Sign-On, Integration von Mailaccounts und Einbindung mobiler Geräte mit UCS in der Praxis funktioniert, zeigt u.a. das Beispiel der Handelslehranstalt Hameln.

Open Source und digitale Identitäten: “Reclaim your Identities”

Die Mission von Univention ist es, die Wahlmöglichkeiten für Unternehmen und Endkunden bei der Verwaltung ihrer IT-Infrastruktur und digitalen Identitäten zu erhöhen und damit den Wettbewerb zu fördern. Der Univention Summit im Februar diesen Jahres stand unter dem Motto “Reclaim your Identities“.

Die Nutzer hinterlassen im Internet Datenspuren, die von Facebook oder Google mittels der Verfahren der Künstlichen Intelligenz (KI) dazu verwendet werden können, Profile zu jedem Nutzer anzulegen und diese dann der Werbeindustrie zur Verfügung zu stellen oder aber die Erkenntnisse aus den Daten für die Entwicklung eigener Services und Angebote zu nutzen. In dem Zusammenhang wird häufig von den KI-Silos der großen Internetkonzerne wie Google, Amazon, Apple, Microsoft und facebook gesprochen. Dieses Verfahren können Google & Co. demnächst auch auf das Internet der Dinge (IoT) und die Industrie 4.0 übertragen. Innovationen würden irgendwann nur noch in den KI-Silos stattfinden. Die Lieferanten der Daten und der digitale Identitäten gehen dabei leer aus.

Demgegenüber verfolgt die Open Source Szene das Ziel, den Nutzern (Unternehmen, Privat) Werkzeuge für den Schutz ihrer Daten und digitalen Identitäten an die Hand zu geben. Die IT soll sich an den Bedürfnissen der Organisationen und ihrer Mitglieder nach einem vertraulichen Umgang mit sensiblen, weil personenbezogenen, Daten orientieren. Das ist insbesondere für die Schulen ein wichtiges Thema. Open Source- Lösungen sorgen dafür, dass die IT-Applikationen der Unternehmen nicht zu einem offenen Fenster für andere Unternehmen werden, welche die Daten für die Anlage von Nutzerprofilen verwenden, die sie kommerziell für sich nutzen können.

Zentrales Identitätsmanagement für die Cloud

Heute laufen viele Unternehmensanwendungen in der Cloud. Je nach Sensibilität der Daten verwenden die Unternehmen Public Clouds, Private Clouds, Hybrid Clouds oder Community Clouds. Es ist ratsam Daten, die aus Gründen des Datenschutzes oder aber wegen ihres Werts für das Unternehmen, nicht in fremde bzw. unbefugte Hände geraten sollen, in einer Private Cloud zu halten.

In jedem Fall muss gewährleistet sein, dass die Benutzer nur auf die für sie bestimmten Anwendungen und Daten zugreifen dürfen. Hierfür bieten sich eine zentrale Instanz an, die diesen Zugang per Open ID und SAML einfach regelt, sowie ein dedizierter Server für das Identity and Access Management (IAM) in der Cloud. Das empfiehlt sich schon deshalb, da der Einsatz von IAM-Systemen als Open Source, wie mit UCS, die Entwicklung von Erweiterungen ebenso wie den Wechsel zu einem neuen Cloud Anbieter erst möglich macht.

Schlussbetrachtung und Ausblick 

Mit Blick auf die Expansionsbestrebungen der großen Internetkonzerne bekommen die Themen Datensouveränität und digitale Souveränität eine strategische Bedeutung. Digitale Identitäten werden zu einem der Dreh- und Angelpunkt der Wirtschaft. Der Schutz dieser sozialen und ökonomischen Werte und die Bewahrung eines Optimums an Handlungsfreiheit, liegt im ureigensten Interesse der Unternehmen – aber auch der Endnutzer. Eine Alternative sind OS-Lösungen wie UCS, OX, ID4me und Nextcloud. Es geht dabei gar nicht um ein Entweder – Oder, sondern vielmehr um ein Sowohl als auch. Die Vorteile einiger proprietärer Lösungen von MS & anderen sind unbestritten und es wäre alles andere als Ausdruck ökonomischen Sachverstands, jetzt jede Anwendung, die nicht Open Source ist, aus dem Unternehmen zu verbannen. Wer aber seine Souveränität bewahren und selbst entscheiden will, wer Einblick in die eigenen Daten und digitalen Identitäten haben darf, wird bis auf weiteres kaum ohne Rückgriff auf Applikationen aus dem OS-Umfeld auskommen.

Die große Herausforderung von Identifikationstechnologien besteht darin, den Spagat zwischen dem klassischen IAM und mehr oder weniger selbstverwalteten Identitäten der Nutzer zu vollziehen. Ein Weg könnte die Kombination bzw. Kooperation mit ID4me sein (Vgl. dazu: Ein offener Standard für dezentrale digitale Identitäten: Bericht vom ID4me Summit). Noch nicht abzusehen ist, ob und inwieweit die Self Sovereign Identities auf Blockchain-Basis für einen Paradigemenwechsel sorgen können oder ob es sich hierbei um einen evolutionären Prozess handelt. Wichtig ist, dass sich die OS-Lösungen – ganz im Sinne der eigenen Philosophie – offen gegenüber diesen neuen Entwicklungen zeigen. Großes Potenzial bietet derzeit der Bereich Digitale Bildung. Hier könnte der Einsatz offener ID-Vermittlungsdienste sinnvoll sein (Vgl. dazu: Ein offener „ID­-Vermittlungsdienst“ für Schulen in Deutschland).

Veröffentlicht unter Datensouveränität, Digitale Identitäten, eStandards | Verschlagwortet mit , , , , , | Hinterlasse einen Kommentar