Verifiable Credentials und Hochschulen

Die COVID-19-Pandemie stellte den Hochschulbereich vor grosse Herausforderungen. Innert kürzester Zeit musste ein umfassendes digitales Angebot im Bereich Lehren und Lernen umgesetzt werden. Dabei befindet sich die Art und Weise der Umsetzung in einem Spannungsfeld zwischen konsequenter Zentralisierung und konsequenter Dezentralisierung.

Zentralisierung wird häufig auf nationaler Ebene angestrebt. Im Vordergrund steht dabei eine eindeutige, nationale, lebenslange digitale Identität, verbunden mit einem Centralized Identity Provider, der Single Sign-on (SSO) ermöglicht – bequem und leicht erklärbar. Dies ist jedoch bedenklich, besonders, wenn diese Strategie auch zentrale Datenbanken beinhaltet: zentrale Angriffspunkte für Cybercrime, sowie bedenklich bezüglich Tracking von Nutzerinnen und Nutzern. Diese Datensicherheitsbedenken sowie die Vernachlässigung internationaler Mobilität sind nur die unmittelbaren Schwächen. Eine lebenslange digitale Identität muss nämlich zudem auch über 80 Jahre hinaus ihre Integrität bewahren. Dies ist länger als digitale Computer bislang existieren (ENIAC, der erste vollständig elektronische Computer, war 1945) – wer weiss, wie die digitale Landschaft in 80 Jahren aussieht?

Dezentralisierung ist eng verbunden mit dem Konzept der Selbstsouveränität: Nutzerinnen und Nutzer haben Kontrolle über ihre eigenen Identities, Identifiers und Daten. Es gibt keine zentralen Identity Providers und keine zentralen Datenbanken – in letzter Konsequenz nicht einmal auf der institutionellen Ebene. Universitäten hätten keine Datenbanken mehr mit Course-Credits, Prüfungsergebnissen oder Abschlüssen. Alle Daten wären bei den Studierenden gespeichert. Die wichtigsten Konzepte solcher dezentralen Ökosysteme für digitale Identitäten sind Self-Sovereign Identities (SSI), Decentralized Identifiers (DIDs), Verifiable Credentials (VCs) und Verifiable Data Registries (Ledgers).

Personen, Institutionen oder sogar Dinge haben Identities. «Identity» meint dabei ganz naiv das Individuum. Im echten Leben haben Personen Identifiers: «bordeigene» Merkmale wie Haarfarbe, Grösse, Augenfarbe, DNS, aber auch erfundene oder erhaltene wie Namen, Künstlernamen usw. Welchen Identifier man für welche Transaktionen verwendet, hängt häufig vom Kontext ab: «Joe» im Freundeskreis, «Josef» unter Kolleginnen und Kollegen, «Little Joe» in der Freizeitband, «Professor Müller» in der Vorlesung usw. Im Kaffeeladen kann man sich bei der Bestellung einen beliebigen Namen geben, so lange man sich nur bei der Lieferung des Getränkes daran erinnert. Dies sind Decentralized Identifiers (DIDs), von denen man beliebig viele haben und jederzeit erfinden kann.

Daten werden von den Nutzerinnen und Nutzern in Wallets (auf Smartphones oder in der Cloud) sowie in Cloud-Datapods gespeichert. Dabei sind Verifiable Credentials (VCs) die wichtigsten Datengefässe. Welcher Wallet oder Cloud-Storage man sich bedient, bleibt dem User überlassen. Auch muss man zwischen Anbietern dieser Applikationen oder Dienste umziehen können.

Ein digitaler verifizierbarer Nachweis (Verifiable Credential, VC) wird von einem DID ausgestellt (Issuer), beinhaltet einen DID für den er ausgestellt ist (Subject) und einen DID, wo er gespeichert ist (Holder). Oft sind Subject und Holder identisch. Zusätzlich benötigt jedes Ökosystem einen Ledger, wo ein kryptografischer Fingerabdruck des VCs abgespeichert wird. Häufig werden mit Verifiable Credentials Abschlüsse assoziiert. Sie können aber auch Course-Credits, Prüfungsnoten, Teilnahmen an Praktika und ähnliches bescheinigen.

Wie in der echten Welt wird es viele digitale Ökosysteme geben, jeweils mit eigener Infrastruktur und Governance. Der DID muss die Information enthalten, in welchem Ökosystem er erzeugt wurde. Reicht ein DID ein VC bei einem zweiten DID ein, der sich möglicherweise in einem anderen Ökosystem befindet (dieser DID heisst dann Verifier), muss zunächst geklärt werden, ob die Ökosysteme einander trauen. Dies ist eine menschliche Entscheidung der Governance des Ökosystems.

Wäre zum Beispiel «Swissuniversities» ein solches Ökosystem, könnte er beschliessen, der amerikanischen «Higher Education Commission» zu trauen, wenn es um Course-Credits oder Abschlüsse geht. Nachdem der Verifier den Fingerprint berechnet hat, kann im Ledger des originalen Ökosystems geprüft werden, ob das VC den richtigen Fingerabdruck hat und dieser gültig ist.

DIDs sind weitgehend nicht nachzuverfolgen. Dies räumt viele Datenschutzprobleme aus dem Weg. Auch im echten Leben ist ja nicht sofort klar, dass «Little Joe» und «Professor Müller» die gleiche Identity haben. Ab und zu muss man nichtsdestotrotz einen DID eindeutig einer Identity zuordnen («Identity Assertion»). Das digitale Gegenstück zu Pässen oder Personalausweisen sind wiederum VCs. Eine Regierung als Issuer stellt ein VC, die einer bestimmten Identity zugeordnet ist, für einen DID aus. Dies würde dem Foto auf dem Identitätsausweis entsprechen.

Die erwähnten Beispiele sind aus der Hochschulwelt. Setzt sich Self Sovereign Identity jedoch durch, werden viele solcher Ökosysteme aus dem Boden spriessen. Sei es auf nationaler Ebene, innerhalb Industriesektoren oder anderer Föderationen. Hier bedeutet Selbstsouveränität der Nutzerinnen und Nutzer auch, dass sich diese Ökosysteme weitgehend unabhängig entwickeln und die Vertrauensverhältnisse individuell untereinander aushandeln können. Damit sich Anwenderinnen und Anwender zwischen Ökosystemen bewegen können, brauchen diese keine gemeinsamen Technology-Stacks, sondern nur Abkommen, eben Verifiable Credentials, untereinander anzuerkennen.

Mehr zum Projekt «Datenföderation in der Berufsbildung»

Gastautor

Foto: © Anna Kortemeyer, 2020