Digitalisierung soll unabhängiger machen – warum entstehen trotzdem neue Abhängigkeiten?
Digitalisierung verspricht mehr Flexibilität, schnellere Prozesse und weniger Abhängigkeit von analogen Strukturen. Gerade bei digitaler Identität und der EUDI-Wallet lohnt sich jedoch ein genauerer Blick.
Denn eine Lösung kann technisch hervorragend funktionieren und trotzdem langfristig neue Abhängigkeiten schaffen. Die entscheidende Frage lautet deshalb nicht nur: Funktioniert die Lösung heute? Sondern auch: Bleiben Nutzer und Organisationen morgen noch handlungsfähig?
Wenn Komfort zum Lock-in wird
Abhängigkeiten entstehen nicht erst dann, wenn ein System technisch geschlossen ist.
Sie können bereits entstehen, wenn:
-
Schnittstellen zwar existieren, praktisch aber schwer nutzbar sind,
-
Schlüssel oder Identitäten an ein bestimmtes Gerät oder Ökosystem gebunden sind,
-
oder ein einzelner Anbieter zentrale Bestandteile eines Prozesses kontrolliert.
Was heute besonders bequem erscheint, kann langfristig zum Lock-in werden. Gerade digitale Identitäten sind jedoch keine kurzlebige Anwendung. Sie sollen Menschen, Unternehmen und öffentliche Stellen über viele Jahre begleiten.
Deshalb müssen Wechselbarkeit, Interoperabilität und langfristige Nutzbarkeit von Anfang an mitgedacht werden.
„Not your keys, not your identity“
Bei digitalen Identitäten spielt auch die Frage eine wichtige Rolle, wer tatsächlich die Kontrolle über die notwendigen kryptografischen Schlüssel besitzt.
Der Grundgedanke hinter „Not your keys, not your identity“ ist einfach: Wer keinen eigenen Einfluss auf die für seine Identität relevanten kryptografischen Schlüssel und deren Verwaltung hat, kann in einem wichtigen Teil seiner digitalen Identität von der zugrunde liegenden Infrastruktur abhängig sein.
Dabei geht es nicht darum, dass Nutzer zwingend selbst auf private Schlüssel zugreifen können müssen. Entscheidend ist vielmehr, wer die Schlüssel kontrolliert, wie sie geschützt werden und welche Möglichkeiten bei Verlust, Gerätewechsel oder Wiederherstellung bestehen.
Auch die Speicherung von Schlüsseln direkt im Smartphone wirft deshalb Fragen auf. Moderne Smartphones bieten zwar leistungsfähige hardwaregestützte Sicherheitsmechanismen. Dennoch stellt sich die Frage:
-
Was passiert bei einem Gerätewechsel?
-
Wie einfach lässt sich eine Identität sicher übertragen oder wiederherstellen?
-
Was geschieht bei Verlust oder Defekt?
-
Und wie verhindert man, dass aus einer nutzerfreundlichen Lösung eine starke Bindung an ein bestimmtes Gerät oder Ökosystem entsteht?
Das sind keine Randfragen. Sie gehören zur Architektur digitaler Identitäten.
Zertifiziert bedeutet nicht automatisch: Das gesamte System ist sicher
Auch Zertifizierungen spielen bei digitalen Identitäten eine wichtige Rolle. Normen und Zertifizierungen können nachweisen, dass bestimmte Komponenten definierte Sicherheitsanforderungen erfüllen. Aber auch hier gilt: Ein Zertifikat allein ersetzt keine Betrachtung des Gesamtsystems.
Relevant sind beispielsweise:
-
der verwendete Schlüsselspeicher,
-
die eingesetzte Hardware,
-
die konkrete Implementierung,
-
das Betriebssystem,
-
Update- und Lebenszyklen
-
und das Zusammenspiel aller beteiligten Komponenten.
Gerade bei Smartphones unterscheiden sich Geräte, Hersteller und Sicherheitskomponenten erheblich. Deshalb sollte die Diskussion nicht bei der Frage enden, ob etwas „zertifiziert“ ist. Entscheidend ist, welche Anforderungen tatsächlich geprüft wurden und wie das Gesamtsystem im Alltag aufgebaut ist.
Warum unterschiedliche Träger sinnvoll sein können
Digitale Identität muss deshalb nicht zwangsläufig ausschließlich an das Smartphone gebunden sein. Je nach Anwendungsfall können unterschiedliche sichere Träger sinnvoll sein.
Eine separate Chipkarte kann beispielsweise unabhängig vom verwendeten Smartphone funktionieren und damit andere Möglichkeiten bei Gerätewechsel, Schlüsselverwaltung, Wiederherstellung oder zusätzlicher Absicherung bieten.
Entscheidend ist aus unserer Sicht nicht, eine Technologie grundsätzlich über eine andere zu stellen. Entscheidend ist, für den jeweiligen Anwendungsfall die richtige Architektur zu wählen.
Digitale Souveränität bedeutet Wahlfreiheit
Für uns als IDealWALLET bedeutet digitale Souveränität deshalb nicht, alles selbst entwickeln oder jede Infrastruktur dezentralisieren zu müssen.
Es bedeutet vielmehr, Systeme so zu gestalten, dass:
- Standards interoperabel bleiben,
- unterschiedliche Technologien eingebunden werden können,
- Wechsel und sichere Wiederherstellung möglich bleiben,
- Nutzer Kontrolle über ihre Identität behalten
- und Organisationen nicht unnötig an einzelne Anbieter oder Geräte gebunden werden.
Denn digitale Identität darf nicht nur bequem sein, sie muss langfristig tragfähig bleiben.
Fazit: Heute funktionieren reicht nicht
Die Qualität digitaler Identitätslösungen entscheidet sich nicht allein daran, ob sie heute technisch funktionieren. Entscheidend ist auch, welche Abhängigkeiten sie morgen schaffen.
Deshalb müssen bei EUDI Wallets, digitalen Nachweisen und Identitätsinfrastrukturen neben Sicherheit auch Interoperabilität, Schlüsselkontrolle, Wechselbarkeit und technologische Offenheit berücksichtigt werden.
Fortschritt entsteht nicht dort, wo wir uns möglichst schnell an eine Lösung binden, sondern dort, wo wir uns die Freiheit erhalten, sie weiterzuentwickeln. Digitale Souveränität bedeutet nicht, alles selbst zu bauen. Sie bedeutet, handlungsfähig zu bleiben.
