Zero Trust: Misstrauen als Schutz

Zero Trust ist ein Konzept, das besagt, dass wir in der heutigen vernetzten Welt, in der ständige Bedrohungen und das "Internet der Dinge" eine zentrale Rolle spielen, nicht mehr blind darauf vertrauen sollten, dass ein Netzwerk oder deren Benutzer sicher sind. Anstatt sich auf eine umfassendes Sicherheitsbollwerk zu verlassen, die das gesamte Netzwerk umgibt, wird jeder Zugriff auf ein System einzeln und in Echtzeit überprüft. Auch wenn sich ein Nutzer bereits im Netz befindet, muss er sich bei jedem Zugriff erneut legitimieren.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) unterstützt dieses Konzept und erkennt die Notwendigkeit an, für jedes System individuelle Zugriffsregeln zu definieren. Dies ist ein großer Schritt hin zu einem sichereren und effektiveren Zugriffsmanagement, das den sich ständig ändernden Bedrohungen gerecht wird.

Probleme traditioneller IAM-Systeme

Betrachtet man herkömmliche IAM-Systeme genauer, wird deutlich, dass sie die Anforderungen von Zero Trust nicht erfüllen können. Diese Systeme basieren häufig auf einem Vertrauensmodell, bei dem eine einmalige Anmeldung für den Zugriff auf Ressourcen ausreicht. Dies steht im Widerspruch zu Zero Trust, bei dem Authentifizierung und Berechtigungen kontinuierlich und individuell vergeben werden.

Dezentralisierte Identitäten als Lösung für Zero Trust

Die Lösung für dieses Problem sind dezentrale Identitäten. Dezentrale Identitäten ermöglichen es dem Nutzer, seine digitalen Identitäten in einer digitalen Brieftasche auf seinem Smartphone zu verwalten, so genannte Wallets. Das ist ähnlich wie in der realen Welt, wo jeder eine individuellen Schlüssel hat, um die Tür selbst zu öffnen, anstatt darauf zu Vertrauen, dass ein Türsteher nur diejenigen reinlässt, die berechtigt sind.

Die Europäische Union arbeitet bereits an den technischen und regulatorischen Rahmenbedingungen für die Schaffung eines " European Digital Identity Wallet ". Dieses Wallet wird nicht nur die Identifizierung von Personen und das rechtsverbindliche Signieren von Dokumenten ermöglichen, sondern auch die Verwaltung von nicht hoheitlichen Dokumenten wie Mitarbeiterausweisen und Eintrittskarten erleichtern.

Die Zukunft ist bereits heute verfügbar

Auch wenn die Entwicklung eines "European Digital Identity Wallet" noch einige Zeit in Anspruch nehmen wird, heißt das nicht, dass Unternehmen nicht schon heute von dezentralen Identitäten profitieren können. Lösungen zur Dezentralisierung von Identifikationsprozessen für geschlossene Nutzergruppen sind bereits verfügbar. Ein Beispiel ist unsere Toolbox SOWL, deren Komponenten bereits erfolgreich als Baustellenschlüssel bei der Lindner Group eingesetzt werden. Mit inGo können Baustellenabnahmen einfach, schnell und sicher digital durchgeführt werden. Lästiger Papierkram, Zeitverlust und das Risiko von Bußgeldern entfallen.

Fazit: sicherer, transparenter und kostengünstiger

Die Anwendungsfälle für dezentrale Identitäten sind vielfältig, haben aber eines gemeinsam: Sie machen Prozesse sicherer, transparenter und kostengünstiger. Die Zukunft des Zugriffsmanagements liegt zweifellos in der Anpassung an die Zero-Trust-Philosophie durch die Integration dezentraler Identitäten, um Sicherheit und Effizienz in der digitalen Welt zu gewährleisten.

Am 17. November 2021 wurde 22 Dienstleistern in 11 Ländern der Status "MyData Operator 2021" verliehen – und so auch der esatus AG für ihr Produkt SOWL. Bis heute wurden insgesamt 30 Unterneh­men und Organisationen mit dem Award ausgezeichnet, der 2020 von der inter­national anerkannten, gemeinnützigen Organisation MyData Global ins Leben gerufen wurde.

Teemu Ropponen, General Manager von MyData Global, gratuliert den Preis­trägern: „Wir glauben, dass Tools, die den Nutzern echte Wahlmöglichkeiten für den Umgang mit ihren Daten geben, in absehbarer Zeit zum Standard werden. Die derzeit von großen Plattformbetreibern wie Facebook angewendeten Prak­tiken sind sowohl aus menschlicher als auch aus marktwirtschaftlicher Sicht unhaltbar. Deshalb feiern wir die Organisationen, die den Menschen in den Mittelpunkt stellen.“

Anerkennung vorbildlicher Unternehmensprozesse

Unternehmen haben erkannt, dass eine fremdbestimmte, technisch komplexe und schwer nachvollzieh­bare Datenwirtschaft mehr und mehr auf Ablehnung stößt. Der MyData Operator Award spiegelt die wachsende Nachfrage nach einem ethischeren Umgang mit personenbezogenen Daten wider.

Beim Auswahlverfah­ren waren zwei Aspekte von zentraler Bedeutung:

• Kommuniziert das Unternehmen seine Prozesse und Geschäftsmodelle auf transparente Weise?
• Wird das Individuum als selbstbestimmter Nutzer seiner eigenen perso­nenbezogenen Daten anerkannt?

Dr. André Kudra, CIO von esatus, freut sich, dass esatus mit ihrem Produkt SOWL erneut als MyData Operator ausgezeichnet wurde. „Die Kontrolle des Nutzers über die Datenflüsse war bei der Entwicklung von SOWL für uns ganz entscheidend, damit entsprechen wir genau dem von MyDataGlobal geforderten Datenkonzept — ­als Gegenentwurf zu den Schnittstellen- und Plattformmodellen der großen Betreiber.“

Weiterführende Informationen

Übersicht der Unternehmen, an die 2021 der MyData Operator Status verliehen wurde: mydata.org/operators/

Informationen über die Prinzipien des Operator Award: https://mydata.org/wp-content/uploads/sites/5/2021/09/MYD-Operator-Awards-Factsheet.pdf

Link zum Whitepaper “Understanding MyData operators”:  https://mydata.org/operators/)

Über MyData Global:

MyData Global ist eine preisgekrönte internationale Organisation, die als gemeinnützig anerkannt wurde. MyData Global hat das Ziel, die Rechte der Bürger auf Selbstbestimmung über ihre persönlichen Daten zu stärken. Über 90 Unternehmen und rund 400 Einzelpersonen aus über 50 Ländern auf fünf Kontinenten sind Mitglieder von MyData Global. Innerhalb der MyData-Community tauschen sich mehrere Tausend Experten und Enthusiasten zu Themen rund um personenbezogene Daten aus.

MyData wird in der EU-Datenstrategie als vielversprechende Initiative zur Stärkung der digitalen Bürgerrechte beschrieben.

esatus gehört zu den deutschen Technologieführern im Bereich Self-Sovereign Identity und hat mit seinem Produkt SOWL eine SSI-Softwarelösung für faktenbasiertes Identity & Access Management (IAM) entwickelt []https://esatus.com/….

Da Kanada im Rahmen seiner digitalen Identitätsstrategie den Einsatz von verifizierbaren Credentials vorantreibt, sind Erkenntnisse aus echten nationalen Anwendungsfällen in Europa sehr nützlich.

„Immer mehr Länder gehen zu nutzerzentrierten digitalen Identitätslösungen über. Globale Partnerschaften wie diese können entscheidend dazu beitragen, dass die verschiedenen Ökosysteme mitei­nander kompatibel sind. Wir arbeiten schon lange mit dem esatus-Team zusammen. Für den Einsatz von SSI im Bereich IAM – ein Paradebeispiel für den Nutzen dieser Technologie – bringt esatus herausragende Kenntnisse und lange Erfahrung mit“, sagt Mathieu Glaude, CEO von Northern Block.

Mit seiner SSI-Plattform NB Orbit, der ersten kommerziellen Plattform für verifizierbare Credentials in Kanada []https://northernblock.io/…, bietet Northern Block einen leichten Einstieg in SSI-Ökosysteme und versetzt Organisationen und Unternehmen in die Lage, dezentrale Geschäftsmodelle aufzubauen. Es können damit skalierbare Ökosysteme für Bestandsdaten erstellt werden, wobei das Onboarding von verifizierten Personen und Unternehmen eine voll integrierte Komponente darstellt.

„Northern Block hat eine ausgezeichnete Plattform für den Aufbau von Ökosystemen entwickelt und ein umfangreiches Netzwerk von Credential-Ausstellern in Nordamerika aufgebaut, sodass Anwendungsfälle mit echten Daten schnell und unkompliziert realisierbar sind. Diese Partnerschaft versetzt uns in die Lage, in kürzester Zeit Pilotprojekte durchzuführen und so zu demonstrieren, wie SSI und Bestands-IAM sich gegenseitig ergänzen und einen Mehrwert schaffen können, ohne Verlust von Investitionskosten“, kommentiert Dr. André Kudra, CIO der esatus AG.

Northern Block wird den bewährten Technologie-Stack von esatus nutzen, der SSI mit Standardprotokollen für Authentifizierung und Autorisierung verbindet. Dadurch können Verifiable Credential- und Digital Wallet-Lösungen problemlos bei Mitarbeitern und Kunden zum Einsatz kommen, während Lösungen wie SAML, AD, oAuth2, OIDC und andere voll integrierbar sind.

esatus konzentriert sich weiterhin auf den europäischen Markt, während Northern Block einen starken Fokus auf den kanadischen und nordamerikanischen Markt hat.

Beide Unternehmen sind Gründungsmitglieder der Trust over IP Foundation und verfolgen gemeinsam das Ziel, digitales Vertrauen in unserem täglichen Leben zu schaffen.

Über Northern Block

Northern Block ist ein in Toronto, Kanada, ansässiger Technologieentwickler mit einer langen Erfolgsbilanz bei der Umsetzung von Kundenprojekten. Als eines der führenden Unternehmen im SSI-Bereich ist Northern Block in wichtigen Branchengremien, wie dem Digital Iden­tity and Authentication Council of Canada (DIACC) und der Trust over IP Foundation (ToIP), vertreten. Northern Block versteht sich als Vorreiter der Umsetzung von Sicherheit, Datenschutz und verifizierbaren Nachweisen.

https://northernblock.io/

• Das Bundesministerium für Wirtschaft und Energie (BMWi) hat IDunion für die zweite Phase des Innovationswettbewerbs "Schaufenster Sichere Digitale Identitäten" ausgewählt.
• Die auf drei Jahre angelegte Umsetzungsphase startete am 1. April 2021. 
• Ziele dieser neuen Projektphase sind u.a. die Gründung einer Europäischen Genossenschaft, der Start des Produktionsnetzwerkes und die Umsetzung von mehr als 40 verschiedenen Pilotanwendungen aus mehreren Anwendungsgebieten.

IDunion, ein offenes Ökosystem für vertrauensvolle Identitäten, ist am 01. April 2021 in die zweite, vom Bundesministerium für Wirtschaft und Energie (BMWi) geförderte Projektphase im Rahmen des Innovationswettbewerbs “Schaufenster Sichere Digitale Identitäten” gestartet. Bei den Schaufensterprojekten handelt es sich um einen Innovationswettbewerb der Bundesregierung zur Entwicklung von digitalen Lösungen für das Identitätsmanagement in Deutschland. Dieser basiert auf dem Förderrahmen “​Entwicklung digitaler Technologien​”. Thema des Wettbewerbs ist die Entwicklung und alltägliche Erprobung herausragender Ansätze für die breite Anwendung von sicheren digitalen Identitäten.

Basierend auf dem Konzept der selbstbestimmten Identität hat IDunion das Ziel, ein Ökosystem für natürliche Personen, Unternehmen und Dinge zu etablieren. Hierfür werden Anwendungen in verschiedensten Gebieten pilotiert. Diese sind in die folgenden Bereiche untergliedert: Bildung, E-Commerce, Mobility, E-Government, E-Health, Finanzwirtschaft, Identity & Access Management (IAM) und Industry/IoT. Konkrete Anwendungsbeispiele sind u.a. die Ableitung des Personalausweises in die verfügbaren Wallets, Campusmanagement und Bildungsnachweise für Studierende sowie das Stammdatenmanagement für Unternehmen oder Produkt-Identitäten.

Darüber hinaus hat sich das Netzwerk noch einige weitere ambitionierte Ziele gesetzt, wie z.B. den Aufbau eines umfangreichen Rahmenwerks, mit dem Vertrauen in die zugrundeliegende Technologie weiter ausgebaut werden soll. Des Weiteren arbeiten die Partner zusammen an der Konzeption und Umsetzung von sicherheitsrelevanten Aspekten. Die innerhalb des Konsortiums entwickelten Wallets und sonstigen Software-Anwendungen werden zudem weiter ausgebaut, um eine optimale Nutzererfahrung und größere Verbreitung zu gewährleisten.

Eine zu gründende Europäische Genossenschaft dient als juristische Person für die Verwaltung des Netzwerks sowie zur rechtlichen und operativen Zusammenarbeit.
Die Genossenschaft handelt im Interesse aller Mitglieder und ist nicht profitorientiert. Einen Entwurf der Satzung, welche das Regelwerk für die Mitglieder darstellt, finden Sie hier. Sobald die Genossenschaft gegründet wurde, wird das Netzwerk in eine Produktivumgebung überführt.

Die folgenden Partner werden innerhalb des Innovationswettbewerbs gefördert: 

• Bank-Verlag GmbH,
• Bundesdruckerei GmbH, 
• DB Systel GmbH, 
• Deutsche Telekom AG
• esatus AG, 
• GS1 Germany GmbH, 
• ING-DiBa AG, 
• Main Incubator GmbH, 
• Robert Bosch GmbH, 
• Siemens AG, 
• Stadt Köln, 
• Spherity GmbH, 
• Technische Universität Berlin, 
• Institut für Internet-Sicherheit (Westfälische Hochschule) und
• YES Payment Services GmbH.

Die folgenden Institutionen beteiligen sich als assoziierte Partner:

• 51nodes GmbH, 
• Berlin Partner für Wirtschaft und Technologie GmbH,
• Berliner Senatsverwaltung für Wirtschaft, Energie und Betriebe,
• Bundesamt für Migration und Flüchtlinge,
• BWI GmbH,
• CodeCamp:N GmbH,
• Commerzbank AG, 
• CompuGroup Medical Software GmbH,
• D-Trust GmbH,
• Datarella GmbH, 
• DATEV eG,
• Deutsche Bank AG,
• Deutsche Post AG, 
• Deutscher Sparkassen- und Giroverband e. V.,
• Energy Web Stiftung,
• Festo SE & Co. KG,
• Fraunhofer-Institut für Angewandte Informationstechnik FIT,
• gematik GmbH, 
• mgm technology partners GmbH,
• Ministerium für Wirtschaft, Innovation, Digitalisierung und Energie des Landes NRW, 
• msg systems AG, 
• R3 LLC,
• regio iT gesellschaft für informationstechnologie mbh,
• targens GmbH, 
• Verband der Vereine Creditreform e.V..

Mit Gründung der Europäischen Genossenschaft ist das IDunion-Ökosystem wieder für neue Partner offen. Interessierte Parteien können sich an contact@idunion.org wenden.

Über main incubator
main incubator ist der Frühphaseninvestor und die Forschungs- und Entwicklungseinheit der Commerzbank Gruppe. Er untersucht wirtschafts- und gesellschaftsrelevante Zukunftstechnologien, fördert und entwickelt nachhaltige Lösungen.

Auf Basis der Zukunftstechnologien Additive Druckverfahren, Künstliche Intelligenz, Cross Reality, Internet of Things, Networks, Robotics sowie Quantum Computing entwickelt er Prototypen, oft in Zusammenarbeit mit Partnern aus Industrie und Forschung. So gestaltet er zukunftsfähige Produkte, Lösungen und Infrastrukturen aktiv mit.

Durch strategische Investments in junge tech-getriebene Startups unterstützt der main incubator schon frühzeitig Innovationen und macht sie der Commerzbank und ihren Kunden zugänglich.

Weiterhin fördert der main incubator das Tech-Ökosystem durch aktive Teilhabe in Meinungsbildungsprozessen und Gremienarbeit sowie durch eigene Veranstaltungen, wie die monatlichen Tech-Startup-Eventreihe „Between the Towers“.

Die Main Incubator GmbH, kurz main incubator, ist eine hundertprozentige Tochtergesellschaft der Commerzbank AG mit Sitz in Frankfurt am Main.

Der DB Digitalpartner ist Vorreiter bei dezentraler Identität

Die DB Systel GmbH, der Digitalpartner der Deutsche Bahn AG, gestaltet die Digitalisierung im Konzern und treibt sie aktiv. Mit innovativen Themen befasst sie sich nicht nur konzeptionell, sondern erprobt auch neue Technologien unter realitätsnahen Bedingungen. Verteilte Systeme in der Ausprägung von Blockchains und Distributed Ledgers und speziell das dezentrale Identitäts­management, international bekannt als Self-Sovereign Identity (SSI), sind bei der DB Systel schon länger auf dem Radar. Da lag es nahe, die nächste Generation des Identitäts- und Berechtigungs­managements auf Basis von SSI in der Praxis zu verproben. Die Mitarbeiter sollten sich beim Zugang zu täglich genutzten Systemen wesentlich einfacher passwortlos anmelden können. Um Erfahrungen zu sammeln, wurde eine zweimonatige Pilotphase durchgeführt. 160 Mitarbeiter konnten sich auf freiwilliger Basis mit SSI-Technologie in die Projektsteuerungssoftware JIRA einloggen. Dazu scannten sie lediglich einen QR-Code mit einem geeigneten mobilen Endgerät, einem Smartphone. Eine geeignete Wallet-App als „digitale Brieftasche“ konnten sie herunterladen und die zugehörige Berechtigung, ein sogenanntes Credential, einmalig anfordern. Möglich machten dies offene und freie Technologien aus der globalen SSI Community wie Hyperledger Indy und Hyperledger Aries. Die Berechtigungen für den passwortlosen Zugang, bekannt als „Verifiable Credentials“, wurden über ein eigenes Indy-Testnetz ausgestellt.

SSI ist Schlüsselfaktor der Digitalisierung

SSI versetzt Akteure verschiedener Organisationen mit minimalem Aufwand in dynamische Inter­aktion und ist somit ein optimaler Enabler für jegliche Digitalisierungsvorhaben. Es ist ein globales Thema mit inzwischen enormem Momentum, die produktive Nutzung nimmt weltweit deutlich zu. Besonders Innovationstreiber positionieren sich als Early Adopter und demonstrieren, dass es sich nicht mehr um eine Labortechnologie handelt. „Projekte mit Leuchtturm-Charakter wie das der DB Systel sind in dieser Phase äußerst wichtig“, so Dr. André Kudra, CIO der esatus AG. Kudra weiter: „Solche starken Signale stärken die Community und machen eigene Entscheidungen hin zu SSI deutlich leichter.“ Von den positiven Zukunftsaussichten für SSI sind DB Systel und esatus überzeugt. Beide waren im Industrie-Konsortium „SSI für Deutschland“ (SSI4DE) aktiv, das vom Bundesministe­rium für Wirtschaft und Energie als „Schaufenster Sichere Digitale Identitäten“ in der Wettbewerbs­phase gefördert wurde. SSI4DE hat im August 2020 ein Hyperledger Indy Testnetzwerk für digitale Identitäten gestartet. Unter dem Namen „IDunion“ wird es in der Umsetzungsphase perspektivisch für eine produktive Nutzung erweitert.

Produktiv einsetzbare SSI-Technologien für jeden verfügbar

Softwarelösungen für spezifische Anwendungsfälle können interessierte Organisationen selbst erstellen, weiterhin wächst das Ökosystem kommerzieller SSI-Anwendungen kontinuierlich, mit zunehmender Geschwindigkeit. Insbesondere Berechtigungsmanagement als horizontales Thema über alle Branchen hinweg und als milliardenschwerer globaler Markt ist prädestiniert dafür, durch SSI optimiert und ersetzt zu werden. Die esatus AG hat sich aufgrund ihres langjährigen Hintergrun­des im Identitäts- und Berechtigungsmanagement schon früh für SSI interessiert. Heute baut sie dank ausgeprägter hauseigener Softwareentwicklungskompetenz mit „SeLF“ für jedermann eine Brücke zwischen der Zukunftstechnologie SSI und der bestehenden IT-Welt. SeLF kam auch bei der DB Systel für den SSI-Test zum Einsatz. Dank modularen Designs konnte es einfach in die vorhandene IT-Struk­tur integriert werden. Die positiven Rückmeldungen der Anwender bestätigten die Praxistauglichkeit von SSI allgemein und SeLF speziell. Konkrete Verbesserungsvorschläge wurden bereits in die esatus-Produktroadmap aufgenommen.

Herausforderungen und Lösungen

Hat mein Gegenüber schon Antikörper?

Ob im Arbeitsleben, im Freundeskreis oder im öffentlichen Raum, es hilft mir wenn ich weiß, dass mein Gegenüber schon Antikörper gebildet hat.

Doch hoffentlich kein neuer zentraler Datenspeicher?

Dezentralisierte Systeme auf Basis von Distributed Ledger Technologie (DLT) garantieren permanente Synchronisation und sehr hohe Ausfallsicherheit.

Wie ist der Datenschutz gewährleistet?

Nutzdaten verbleiben bei der Person selbst, mit Echtheitsprüfung durch Zugriff auf ein Netzwerk, in dem keinerlei persönliche Daten gespeichert sind.

Kann ich selbst den Status des Gegenübers prüfen?

Direkte, einfache Prüfung mit meinem Smartphone: Ich zeige einen QR-Code, mein Gegenüber scannt ihn, ich sehe sofort das Ergebnis.

In unserem Workshop werden wir die Blockchain-Technologie in verschiedensten Anwendungsfällen beleuchten, insbesondere im Identity & Access Management. Besuchen Sie uns und erleben Sie schon heute die Technologie von morgen!

Durch unseren Workshop werden Sie:

• Ein Bewusstsein für die technische Funktionsweise verschiedener Blockchains erlangen,
• einschätzen können, welche Angriffsszenarien real möglich sind und wie sicher die Blockchain wirklich ist,
• eine Vorstellung über konkrete zukünftige Anwendungsbereiche der Distributed Ledger Technologie erhalten,
• erleben, wie Smart Contracts in Ethereum erstellt werden.

Neben dem inhaltlichen Benefit werden Sie genug Zeit haben, bei einem gemeinsamen Mittagessen und Kaffeepausen mit den anderen Workshopteilnehmern zu netzwerken.

Für eine Teilnahme sind keine Vorkenntnisse nötig, sie erleichtern jedoch das Grundverständnis. Nach erfolgreicher Teilnahme des Workshops stellen wir Ihnen ein Zertifikat über die erlernten Kenntnisse aus. Wir freuen uns auf Ihre Teilnahme!

www.esatus.com/workshops