Jusletter IT

In der Konzeption des Internet sind per se keine Mittel zur Identifikation von Personen vorgesehen, mit denen festgestellt werden kann, wer der Nutzer eines Service ist bzw. mit wem man online interagiert. Stattdessen erfolgt die Identifikation auf der Ebene der zur Kommunikation benutzten Geräte. Diese, nicht aber deren Nutzer, sind im Internet eindeutig identifizierbar. Im Alltag, bei der zwischenmenschlichen Kommunikation unter Anwesenden, ist es zwar ebenfalls nicht üblich, dass sich das Gegenüber beim Zusammentreffen zunächst aktiv identifiziert, es stehen uns aber Mittel zur Verfügung, die Identität oder relevante Eigenschaften des Gegenübers mit ausreichender Sicherheit abzuschätzen. Das bedeutendste dieser Mittel ist das Wiedererkennen einer Person anhand ihres Aussehens und weiterer Merkmale, wie zum Beispiel der Stimme. Personen, die wir bereits kennen, können wir anhand dieser Merkmale bei jedem Zusammentreffen – unbewusst bzw. automatisch – mit großer Sicherheit identifizieren. Bei fremden Personen – z.B. einer Person, die behauptet, Arzt zu sein – schätzen wir anhand der Umstände und ihres Auftretens (z.B. Anwesenheit in einer Praxis mit Türschild, weißer Mantel, offensichtliches medizinisches Fachwissen) ab, ob sie tatsächlich sind, wer oder was sie zu sein vorgeben. Ist ein höheres Sicherheitsniveau gefordert, werden Ausweise eingesetzt, wobei diese entweder von öffentlicher oder privater Seite ausgestellt sein können.

Ob mit oder ohne Ausweis, auch diese Vorgänge unter Anwesenden sind natürlich mit Unsicherheiten verbunden, jedoch ist es aufgrund der eben beschriebenen Möglichkeiten deutlich schwieriger als im Internet, sich als jemand anderer auszugeben. Im Internet fällt es zudem nicht leicht auf, wenn zwei Personen unter derselben Identität auftreten. Hingegen muss in der realen Welt eine Person, als die man sich ausgibt, physisch erst „verschwinden“.

Die zunehmende Verlagerung von Vorgängen des täglichen Lebens ins Internet erfordert daher geeignete Mittel der Identifikation und Authentifizierung, um mit der jeweils notwendigen Sicherheit feststellen zu können, wer der Nutzer eines Service ist bzw. mit wem man interagiert, und Mittel, mit denen Nutzer im Internet bestimmte Angaben über sich (z.B. Alter, die Eigenschaft, Arzt zu sein etc.) mit der jeweils notwendigen Sicherheit bzw. Glaubwürdigkeit machen können. Kurzum, es bedarf der Identitätsmanagementsysteme, die diese Aufgabe übernehmen. Im Folgenden werden Identitätsmanagementsysteme (weit) als „programs or frameworks that administer the collection, authentication, or use of identity and information linked to identity”¹ definiert.

Das breite Feld des Identitätsmanagements im Internet ist derzeit von einer markanten Zweiteilung gekennzeichnet. Einerseits existieren die staatlichen Systeme, wie die Bürgerkarte in Österreich² und der neue Personalausweis in Deutschland³ . Diese sind in der Regel geprägt vom Prinzip der Eindeutigkeit der Personenbindung⁴ und hohen Anforderungen an die Sicherheit, als Folge davon vergleichsweise hohem (Zeit-)Aufwand bei der Verwendung⁵ und einer geringen Verbreitung sowohl hinsichtlich der angebotenen Einsatzmöglichkeiten, als auch der tatsächlichen Nutzung. Andererseits werden für die überwiegende Mehrzahl der Identifikations- und Authentifizierungsvorgänge im Internet viel einfachere Systeme verwendet, die meist direkt dem Anbieter des zu nutzenden Service zuzuordnen und in der Regel auf diesen beschränkt sind. Im einfachsten und häufigsten Fall legt ein Nutzer bei der erstmaligen Nutzung eines Service im Internet durch Eingabe selbstbehaupteter Daten ein Benutzerkonto an und die laufende Identifikation und Authentifizierung erfolgt dann mittels Benutzername und Passwort.

Ein solches Benutzerkonto, wie auch eine Bürgerkarte und der neue Personalausweis, ist eine elektronische Identität (eID), auch als digitale Identität bezeichnet. Digitale Identitäten können allgemein definiert werden als „Sammlungen von digitalen Informationen, die zu einem Individuum oder einer Organisation gehören.“⁶ Diese sind nicht zu verwechseln mit der Identität einer Person, deren Definition an dieser Stelle bewusst außer Betracht bleiben soll, und aus dem Gesagten folgt bereits logisch, dass eine Person mehrere elektronische Identitäten haben kann. Elektronische Identitäten können als Teilidentitäten betrachtet werden, d.h. als digitale Repräsentationen eines Teils der gesamten Identität einer Person. Die einzelnen Informationen über eine Person, die zusammen eine elektronische Identität ergeben und mit dieser gespeichert sind, werden als Attribute bezeichnet.⁷

Es ist geradezu unvermeidlich, dass eine Person, die im Internet aktiv ist, mehrere elektronische Identitäten hat, darunter häufig pseudonyme Identitäten, die eine Verknüpfung mit anderen elektronischen Identitäten derselben Person nicht zulassen. Diese Umstände führen in der Regel dazu, dass es keinen Single Point of Information über die gesamte Online-Aktivität einer Person gibt, und können daher im Hinblick auf den Datenschutz grundsätzlich als Vorteil betrachtet werden. Hingegen entstehen Probleme, wenn eine einzelne Person so viele elektronische Identitäten besitzt, dass sie diese nicht mehr überblicken kann, oder aber auch, wenn eine elektronische Identität eines Nutzers, die einem einzelnen Serviceprovider⁸ – wie etwa Facebook oder einem E-Mail-Provider – zuzuordnen ist, das gesamte Verhalten des Nutzers im Internet dominiert.

Die soeben angesprochenen Probleme zeigen die Krise des Identitätsmanagements im Internet, insbesondere der Identifikation und Authentifizierung von Nutzern sowie des qualifizierten Nachweises bestimmter Nutzer-Attribute, z.B. des Alters.⁹ Während die Bedeutung des Internet immer mehr zunimmt, hat das Identitätsmanagement im Internet mit dieser Entwicklung nicht Schritt gehalten. In vielen Bereichen sind seit den Anfangszeiten der öffentlichen Nutzung des Internet nicht einmal geringe Fortschritte festzustellen. Doch während damals die Anzahl der Benutzerkonten eines Nutzers und deren Bedeutung aufgrund der eingeschränkten Möglichkeiten gering war, hat ein durchschnittlicher Internetnutzer heute eine unüberblickbar große Anzahl von Benutzerkonten mit z.T. sehr weit reichender Bedeutung bei ebenso vielen Serviceprovidern und mit ebenso vielen Passwörtern. Da er sich diese Vielzahl von Passwörtern nicht merken kann, notiert oder speichert er sie, oder – noch viel problematischer – er verwendet ein und dasselbe Passwort für mehrere Benutzerkonten. Die Sicherheit, welche bei der Authentifizierung mittels Benutzername und Passwort ohnehin begrenzt ist, wird dadurch noch erheblich verringert.¹⁰ Hinsichtlich des Datenschutzes ist es problematisch, dass der Nutzer jedem Serviceprovider bei der Registrierung oftmals einen Satz wichtiger Grunddaten bekanntgeben muss, die für die beabsichtigte Servicenutzung nicht immer notwendig sind. Hinzu kommt, dass der Nutzer rasch den Überblick darüber verliert, welchem Serviceprovider er welche Daten über sich bekanntgegeben hat, und die Wartung dieser Daten aufwändig ist, sodass sie im Laufe der Zeit inkonsistent werden und z.T. nicht mehr korrekt sind.

Eine gegenläufige Entwicklung wurde bereits durch Initiativen wie Microsoft Passport, OpenID und Liberty Alliance Project eingeläutet, hat sich aber erst durch die zunehmende Bedeutung der Benutzerkonten von Google und insbesondere Facebook durchgesetzt: die organisationsübergreifende Nutzung elektronischer Identitäten. Das Funktionsprinzip dieser Systeme ist, dass der Nutzer nach Log-in in das Benutzerkonto eines Serviceproviders auch darüber hinausgehende, von diesem unabhängige Services nutzen kann. Facebook treibt diese Entwicklung in zweierlei Hinsicht auf die Spitze. Einerseits besuchen Facebook-Nutzer eine rasch wachsende Zahl anderer Websites nicht mehr anonym, sondern sie treten – vielfach unbewusst – in Form ihrer Facebook-Identität auf, und Facebook protokolliert den jeweiligen Seitenaufruf. Facebook erreicht dies insbesondere durch den Einsatz von Cookies und die Einbindung von Like-Buttons und der damit verbundenen Hintergrundfunktionalität auf immer mehr Websites Dritter.¹¹ Andererseits wandert immer mehr Funktionalität Dritter auf die Plattform Facebook, sodass die Nutzer zum Spielen, Musikhören und Lesen von Zeitungen Facebook nicht mehr zu verlassen brauchen. Der Nutzer tritt bei Verwendung dieser Facebook-Apps stets in Form seiner Facebook-Identität auf.¹²

Diese Entwicklung wirkt zwar den weiter oben geschilderten Problemen entgegen, indem sie verhindert, dass ein Nutzer für jedes neue Service ein neues Benutzerkonto anlegen muss, führt aber zugleich zu neuen Problemen: Solche Identitätsmanagementsysteme mit zentraler Stellung eines Serviceproviders führen dazu, dass dieser Serviceprovider einen großen Teil der gesamten Web-Aktivität eines Nutzers protokollieren und immer mehr Attribute des Nutzers sammeln kann. Dies ist ein Datenschutzproblem. Es droht der Missbrauch dieser Daten, nicht nur durch den Serviceprovider selbst, sondern auch durch Dritte, die unbefugt an diesen Datenpool gelangen.

Ein ähnliches, vielleicht zu wenig beachtetes Problem ist die enorme faktische Bedeutung des E-Mail-Kontos. Viele Serviceprovider haben ihr Identitätsmanagement so aufgebaut, dass sich der Nutzer, wenn er sein Passwort nicht mehr weiß, ein neues Passwort per E-Mail zusenden lassen kann. Somit ermöglicht der (unbefugte) Zugriff auf das E-Mail-Konto eines Nutzers auch den Zugriff auf diverse andere Benutzerkonten dieses Nutzers. Es gilt daher hier, wie auch für die Beispiele Facebook, OpenID etc.: Je größer die Bedeutung und die über den jeweiligen Serviceprovider hinausgehende Reichweite einer einzelnen elektronischen Identität ist, umso größer ist der potenzielle Schaden, wenn es einem unbefugten Dritten gelingt, sich Zugang zu verschaffen. Trotzdem sind auch solch bedeutende Benutzerkonten in aller Regel nicht anders als durch ein Passwort gesichert. Dieser Umstand ist nicht nur angesichts der weit reichenden Möglichkeiten, die diese Benutzerkonten derzeit bereits bieten, ein potenzielles Sicherheitsproblem¹³ , er verhindert auch, dass für diese Benutzerkonten qualifiziertere Nutzungsmöglichkeiten erschlossen werden, wie insbesondere die Abwicklung sicherheitskritischerer Transaktionen.

Für sicherheitskritische Transaktionen wie z.B. im Bereich E-Government und E-Banking sind die staatlichen Systeme wie die österreichische Bürgerkarte konzipiert, doch deren Problem ist die bereits angesprochene geringe Verbreitung. Ein weiteres Problem ist die nationale Zersplitterung hinsichtlich dieser öffentlichen elektronischen Identitäten.

Technisch und organisatorisch wäre es längst möglich, ein angemessenes System des Identitätsmanagements im Internet einzuführen, und diese Probleme zu lösen. Ein Vorbild ist das Kreditkartenwesen, welches sein papierbasiertes System schon längst an die Erfordernisse des elektronischen Zeitalters angepasst hat. Nicht nur die benötigte Organisation wurde geschaffen, sondern auch ein System von Haftungsfonds und mit dem charge back-Verfahren ein Streitschlichtungsmechanismus. Zur Lösung eines komplexen Problems – in diesem Fall der einfachen bargeldlosen Zahlung – hat die Privatwirtschaft hier ein einheitliches aber dezentrales und offenes System entwickelt. Es basiert auf der Zusammenarbeit von Unternehmen in verschiedenen Rollen und ist so gestaltet, dass Unternehmen in jeder Rolle an der Wertschöpfung des Gesamtsystems partizipieren können. Jeder Teilnehmer am System kann potenziell Gewinn erzielen, sodass sich das System selbst erhält. Diese wirtschaftliche Selbsterhaltungsfähigkeit ist für das Funktionieren des Systems ebenso entscheidend wie die klar geregelte Risikotragung: Das System ist nicht vor Fehlern und kriminellem Missbrauch gefeit, doch dies ist in der Konzeption berücksichtigt, das Risiko ist kalkulierbar, es ist klar geregelt, wer es zu tragen hat, und es gibt Mechanismen zur effizienten Beilegung von Konflikten.¹⁴

Ein solches zuverlässiges Modell der standardisierten privatwirtschaftlichen Zusammenarbeit ist auch auf dem Gebiet des Identitätsmanagements im Internet realisierbar und könnte die geschilderten derzeitigen Probleme wesentlich vermindern. Grundlage dafür ist das Konzept der Identity Federation, kurz Federation. Identity Federation baut auf dem beschriebenen Status quo auf und strebt wie die oben beschriebenen Initiativen die organisationsübergreifende Nutzung von – vielfach bereits bestehenden – elektronischen Identitäten an. „Identity federation can thus be defined as a set of agreements, standards and technologies that enable SPs to recognise user identities and entitlements from other SPs.“¹⁵

Es bedarf also eines institutionelle Rahmens, klar definierter Rollen, Regeln und Standards, um – ähnlich wie im Kreditkartenwesen – Netzwerke von Organisationen zum Zwecke des organisationsübergreifenden Identitätsmanagements zu schaffen. Dieser institutionelle Rahmen muss einerseits zwischen den beteiligten Organisationen (institutionalisiertes) Vertrauen herstellen, andererseits technische und organisatorische Interoperabilität. Die Gestaltung kann allerdings technologieneutral erfolgen, d.h. dass die Wahl der Methoden zur Identifikation und Authentifizierung den sogenannten Identitätsprovidern innerhalb des Systems überlassen werden kann. Entscheidend im Vergleich zum Status quo ist aber, dass auch sicherere Verfahren wie z.B. Smartcards oder per SMS zugesandte Einmalpasswörter angeboten werden, sodass das System auch Interoperabilität für vertrauenswürdigere elektronische Identitäten und Attribute bietet, als sie Systeme mit schlichter Passwortauthentifizierung gewährleisten können.

Ein solches Netzwerk kann als Identity Ecosystem oder schlicht als Federation bezeichnet werden. Die einzelnen daran beteiligten Organisationen werden im Folgenden als Teilnehmer bezeichnet. Der Terminus Identity Ecosystem stammt von der Initiative NSTIC (National Strategy for Trusted Identities in Cyberspace) der US-Regierung zur Förderung der privatwirtschaftlich getriebenen Entwicklung eines solchen Identity Ecosystems, um sichere und vertrauenswürdige elektronische Identitäten in den USA zu schaffen.¹⁶ NSTIC definiert ein Identity Ecosystem als

„an online environment where individuals and organizations can trust each other because they follow agreed-upon standards and processes to identify and authenticate their digital identities — and the digital identities of organizations and devices. Similar to ecosystems that exist in nature, it will require disparate organizations and individuals to function together and fulfill unique roles and responsibilities, with an overarching set of standards and rules. The Identity Ecosystem will offer, but will not mandate, stronger identification and authentication while protecting privacy by limiting the amount of information that individuals must disclose.“¹⁷

Auf Initiative österreichischer Unternehmen ist die europäische Projektgruppe Enterprise- and User-oriented Strategy for Trust and Identity in Cyberspace (EUSTIC) entstanden, die unter besonderer Berücksichtigung des aktuellen und zukünftigen europäischen Datenschutzrechts an einem Federation-Modell mit sehr ähnlicher Zielsetzung inklusive technischen Prototypen sowie an Geschäftsmodellen und der Identifikation und Einbindung von Anwendungsfällen einer Federation arbeitet.¹⁸ Die Forschung auf dem Gebiet der Identity Federation ist insbesondere auf technischer Ebene bereits weit gediehen.¹⁹ EUSTIC hat es sich zum Ziel gesetzt, basierend auf diesen bestehenden Ergebnissen durch gezielte anwendungsorientierte Forschung in mehreren Disziplinen die Entwicklung von profitablen und damit selbsterhaltungsfähigen Federations in der Praxis zu fördern. Die Autoren sind an EUSTIC beteiligt und haben die Rolle inne, die technische Umsetzung mit den rechtlichen Vorschriften in Einklang zu bringen, am internen Regelwerk mitzuarbeiten und insbesondere auch den Datenschutz im Vergleich zum oben beschriebenen Status quo des Identitätsmanagements im Internet wesentlich zu verbessern.

EUSTIC entwickelt ein privatwirtschaftlich geprägtes, kollaboratives Modell der Identity Federation, dessen detaillierte Konzeption derzeit in Gang ist, und noch viele offene Forschungsfragen mit sich bringt. Nachfolgend werden diese Forschungsfragen sowie Grundprinzipien dieses Federation-Modells, die z.T. bereits festgelegt und z.T. noch innerhalb von EUSTIC diskutierte Vorschläge sind, skizziert.

Das EUSTIC-Identity-Federation-Modell ist ein kollaboratives, denn es ist auf einen großen und offenen Kreis von Teilnehmern ausgelegt und baut nicht auf der Dominanz eines zentralen (öffentlichen oder privaten) Teilnehmers auf. Ziel ist, dass das Wachstumspotenzial und der universelle Anspruch einer Federation weder durch deren Organisationsstruktur, noch die Dominanz eines einzelnen Teilnehmers limitiert wird.²⁰ „Privatwirtschaftlich geprägt“ bedeutet keinesfalls, dass staatliche Systeme oder öffentliche Organisationen aus dem System ausgeschlossen sind, vielmehr ist die Integration möglichst vieler bestehender elektronischer Identitäten und möglichst vieler privater und öffentlicher Serviceprovider ein erklärtes Ziel.²¹ Jedoch muss das Federation-Modell so aufgebaut sein, dass – ähnlich wie im Kreditkartenwesen – jede Rolle in der Federation an der Wertschöpfung des Gesamtsystems partizipieren kann, und dadurch ein wirtschaftlicher Betrieb aller einzelnen Teile des Systems und somit dessen ökonomische Selbsterhaltung möglich ist. Bedeutende Forschungsfragen sind somit, wie die Wertschöpfung einer Federation entsteht und wie die Wertschöpfungskette innerhalb der Federation aufgeteilt werden kann, um dies zu erreichen. Ökonomische Forschung ist daher für EUSTIC sehr bedeutend und auch im Zusammenhang mit den unten angesprochenen Haftungs- und Versicherungsfragen relevant.

Ein wichtiges Grundprinzip ist die Trennung zwischen Serviceprovidern und Identitätsprovidern. Wie oben beschrieben, nehmen heute die Serviceprovider für die von ihnen angebotenen Services überwiegend selbst die Rolle des Identitätsproviders ein. Die organisatorische und wirtschaftliche Trennung zwischen Serviceprovidern und Identitätsprovidern würde hingegen den Interessenkonflikt zwischen Serviceprovidern einerseits, die für personalisierte Werbung und aus anderen Gründen meist möglichst viele Daten über die Nutzer sammeln möchten, und den Nutzern andererseits, die ihre Privatsphäre schützen möchten, auflösen. Der Identitätsprovider ist in diesem Modell ein Partner des Nutzers, der sich diesen aus mehreren Identitätsprovidern auswählt, dem er vertraut und gewisse Informationen anvertraut und dessen Geschäftserfolg davon abhängt, dieses Vertrauen nicht zu missbrauchen. Dieses Vertrauensverhältnis ist vergleichbar mit dem eines Bankkunden zu seiner Hausbank.

Die Einführung einer weiteren Rolle, neutral zwischen Serviceprovidern und Identitätsprovidern positioniert, würde anonyme Transaktionen ermöglichen und bereits auf technischer Ebene verhindern, dass weder der Identitätsprovider noch eine andere Stelle umfassende Transaktionsdaten über den Nutzer sammeln kann, z.B. darüber, welche Services dieser nutzt. Die Herausforderung, das System so zu gestalten, dass auch diese von den Serviceprovidern unabhängigen Rollen, wie insbesondere die Identitätsprovider, wirtschaftlich lebensfähig sind, wurde bereits angesprochen. Eine weitere Herausforderung ist es, Serviceprovidern einen ausreichenden Anreiz zu schaffen, sich an einer solchen Federation zu beteiligen. Die Aussicht auf neue Nutzer und weniger Betrug durch zuverlässigere Authentifizierung und Nutzer-Attribute sowie der Vorteil, keine eigenen Identitätsmanagementsysteme mehr betreiben zu müssen, könnten ein solcher Anreiz sein.

Das EUSTIC-Modell sieht vor, dass jede Identifikation und Authentifizierung eines Nutzers und jedes Attribut eines Nutzers einem von mehreren abgestuften Sicherheitsniveaus (Assurance Levels) zugeordnet werden. Die Sicherheitsniveaus unterscheiden sich in der Haftung eines Identitätsproviders gegenüber der vertrauenden Partei – i.d.R. dem Service Provider – für die Korrektheit der Identifikation und Authentifizierung eines Nutzers oder die Richtigkeit eines bestimmten übermittelten Attributs. Jeder Identitätsprovider wird daher für höhere Sicherheitsniveaus sicherere Authentifizierungsmethoden festlegen. Denkbar ist etwa, dass sich ein Nutzer für ein Service, welches Sicherheitsniveau 3 erfordert, bei seinem Identitätsprovider mit einer Smartcard authentifizieren muss, während für ein Service auf Sicherheitsniveau 1 die einfache Passwortauthentifizierung ausreicht. Ein Serviceprovider kann wählen, für welche Services und Transaktionen er welches Mindestsicherheitsniveau fordert. Mit welcher Methode sich ein einzelner Nutzer tatsächlich authentifiziert hat, bleibt dem Serviceprovider verborgen. Er erhält nur die entsprechenden Daten auf dem geforderten Sicherheitsniveau und vertraut in dieser Hinsicht dem Identitätsprovider, der dafür haftet.

Durch die verschiedenen Sicherheitsniveaus und Authentifizierungsmechanismen kann jede Aktivität eines Nutzers innerhalb einer Federation mit dem für diese Aktivität angemessenen Sicherheitsniveau durchgeführt werden. Festgelegte Haftungssummen je Sicherheitsniveau ermöglichen auch die Entwicklung von Versicherungsmodellen, sodass sich die Verantwortlichen, insbesondere die Identitätsprovider, für Haftungsfälle versichern können. Die verschiedenen Sicherheitsniveaus sind überdies ein Schlüssel dazu, die Nutzung sichererer Authentifizierungsmethoden mittels eines Bottom-up-Ansatzes zu fördern: Der Nutzer meldet sich erstmalig auf der gewohnten einfachen Ebene – Passwortauthentifizierung und selbstbehauptete Attribute – für das System an und bekommt dann innerhalb des Systems die Möglichkeit geboten, mit seiner elektronischen Identität auch sicherheitskritischere Transaktionen online durchzuführen, sofern er für sich eine qualifiziertere Authentifizierungsmethode aktiviert.²²

Die Quelle qualifizierterer Attribute wurde bisher weitgehend ausgeblendet. Zur Bereitstellung von Attributen ist die Rolle des Attributsproviders vorgesehen. Attributsprovider können alle Institutionen sein, die qualifiziertes Wissen, möglichst aus erster Hand, über einen Nutzer haben. Attributsprovider könnte beispielsweise eine Universität sein, an welcher der Nutzer studiert, sodass es ihm möglich ist, vor Dritten qualifiziert zu belegen, dass er Student ist, etwa um einen Rabatt zu erhalten. Der rabattgewährende Serviceprovider würde dabei nicht erfahren, an welcher Universität der Nutzer studiert, d.h. wer der Attributsprovider ist. Der Serviceprovider vertraut lediglich dem übermittelnden Identitätsprovider, der mit einem bestimmten Sicherheitsniveau belegt, dass der Nutzer Student ist, und bis zu einer klar festgelegten Grenze für die Richtigkeit dieser Information haftet.

Wie bereits mehrfach angedeutet, ist ein erklärtes Ziel von EUSTIC die Verbesserung des Datenschutzniveaus im Vergleich zum Status quo. Zentrales Prinzip ist daher die Nutzerorientierung mit dem Grundsatz, dass ohne die Veranlassung²³ durch den Nutzer keine personenbezogenen Daten übertragen werden. Dies wird bereits in der Konzeption des Systems berücksichtigt, sodass die Sammlung umfassender Datenbestände über die Eigenschaft und das Verhalten einzelner Nutzer nicht nur rechtlich unzulässig ist, sondern aufgrund des Aufbaus des Systems faktisch verhindert wird.²⁴ Trotz dieser ohnehin hohen Priorisierung des Datenschutzes ist eine wesentliche juristische Aufgabe, das gesamte System datenschutzrechtskonform zu gestalten.²⁵

Weitere juristische Forschungsfragen sind die allgemeinen Regeln zur Haftung einzelner Teilnehmer einer Federation gegenüber anderen Teilnehmern sowie gegenüber den Nutzern und die für die verschiedenen Teilnehmer einer Federation zu beachtenden gewerberechtlichen, wettbewerbsrechtlichen und weiteren öffentlich-rechtlichen Bestimmungen. Da das Federation-Modell international, jedenfalls europaweit einsetzbar sein soll, müssen zahlreiche Rechtsordnungen berücksichtigt sowie Fragen des grenzüberschreitenden Charakters, wie insbesondere nach dem anwendbaren Recht und der Äquivalenz der jeweiligen elektronischen Identitäten, geklärt werden.

Darüber hinaus muss ein detailliertes internes Regelwerk einer Federation definiert werden, welches die oben beschriebenen Grundprinzipien in verbindliche Regeln fasst, und es muss ein geeigneter institutioneller Rahmen einer Federation gefunden werden, etwa in Form einer eigenen Trägerorganisation, sodass die Einhaltung dieser Regeln auch kontrolliert werden kann. Ein System ausschließlich bilateraler Verträge zwischen den einzelnen Teilnehmern ist dazu aus der Sicht der Autoren keine hinreichende Lösung, da nur eine zentrale Organisationseinheit effizient für Compliance und Streitschlichtung sorgen kann. Hohe Bedeutung hinsichtlich der praktischen Umsetzbarkeit hat dabei die Automatisierung. Neben automatisiertem Compliance-Monitoring und automatisierter Streitschlichtung bedarf auch die hohe Zahl einzelner Vertragsabschlüsse und die durch den Datenschutz gebotene Datenlöschung effizienter Automatisierung. In dieser Hinsicht tut sich umfassender Forschungsbedarf der klassischen Rechtsinformatik und im Bereich (Rechts-)Ontologien auf.

Ein Identitätsprovider kann grundsätzlich sowohl selbst Authentifizierungstokens – wie z.B. Smartcards – ausgeben, als auch bestehende Authentifizierungstokens nutzen, sofern dies zulässig ist. Auf diese Weise kann das beschriebene Identity-Federation-Modell potenziell auch öffentliche Identitätsmanagementsysteme miteinbeziehen, wie am Beispiel der Bürgerkarte demonstriert werden soll. Im Rahmen der Verwendung der Bürgerkartenfunktion im privaten Bereich²⁶ kann sich ein Nutzer bei einem Identitätsprovider, der dies unterstützt, authentifizieren und somit seine Bürgerkartenidentität in der gesamten Federation nutzen, ohne dass die einzelnen Serviceprovider eine Bürgerkartenumgebung bereitstellen müssen.²⁷

Es stellt sich auch die Frage nach dem umgekehrten Fall, der Nutzung qualifizierter elektronischer Identitäten, die von privaten Identitätsprovidern stammen, für E-Government-Anwendungen. Während den Autoren in Österreich in dieser Hinsicht keine Initiativen bekannt sind, beschreibt Mahler²⁸ , dass dies im Rahmen des norwegischen E-Government-Identitätsportals bereits möglich ist. ²⁹

Als Lösungsvorschlag für die eingangs beschriebenen Probleme im Zusammenhang mit elektronischen Identitäten im Internet wurde das Identity-Federation-Modell der Initiative EUSTIC präsentiert. Wichtige Grundprinzipien dieses Modells, die z.T. noch nicht endgültig festgelegt sind, wurden erläutert und zur Diskussion gestellt, darunter privatwirtschaftliche Prägung, kollaborative Struktur, Nutzerorientierung, verschiedene Sicherheitsniveaus, Trennung von Identitäts- und Serviceprovidern. Zur Realisierung dieser Grundprinzipien wurden innerhalb von EUSTIC z.T. bereits Lösungsansätze entwickelt, jedoch sind noch zahlreiche Forschungsfragen zu lösen, die ebenfalls oben angesprochen wurden. Über die erwähnten Disziplinen hinaus ist bei der Entwicklung eines solchen Systems auch Forschung in den Disziplinen Soziologie und Ethik notwendig, nicht zuletzt um das Ziel der Nutzerakzeptanz zu erreichen, an welcher alle Lösungen auf dem Gebiet der elektronischen Identitäten letztlich gemessen werden.