Neue Techniken zum Schutz der Privatspäre erprobt

IBM-CEO Sam Palmisano.

Rüschlikon – Anlässlich des heutigen Datenschutztages wurde eine europäische Forschungs-Initiative angekündigt, um eine Verschlüsselungs-Technik zu erproben, mit denen Bürger künftig ihre Privatsphäre und Identitäten besser schützen können. Das Projekt „Attribute Based Credentials for Trust“ – kurz ABC4Trust – fokussiert auf datenschutzfördernde Techniken.

Diese werden in Pilotversuchen mit Schülerinnen und Schülern in einer schwedischen Schule und Studierenden der Patras-Universität in Griechenland in der Praxis angewendet. Gemäss einer von comScore veröffentlichten Statistik surfen europäische und US-amerikanische Nutzer monatlich im Schnitt 25-32 Stunden im Internet*. Während dieser Zeit greifen sie auf tausende verschiedener Seiten und Dienste wie Online-Banking und E-Shopping oder soziale Netzwerke zu. Die meisten Dienste verlangen die Erstellung eines personalisierten Profils; die Zugangskontrolle erfolgt durch Eingabe von Nutzername und Passwort oder, um erhöhten Sicherheitsanforderungen zu genügen, mittels kryptographischer Zertifikate. Zwar bieten solche Zertifikate für viele Einsatzzwecke eine hinreichende Sicherheit, jedoch bleibt die Privatsphäre der Nutzer ungeschützt. Nutzer geben ihre Identität daher oftmals unbewusst gegenüber den Diensteanbietern preis, obwohl dies zur Erbringung der Leistung oder des Dienstes nicht erforderlich wäre. 

Schutz vor Identitätsmissbrauch
„Mehr als die erforderlichen Informationen zu offenbaren, gefährdet nicht nur die Privatsphäre der Nutzer sondern erhöht auch die Gefahr des Identitätsmissbrauchs und –betrugs, wenn personenbezogene Informationen in die falschen Hände Fallen. Ziel von ABC4Trust ist es, aufzuzeigen, dass Systeme mit attribut-basierten Zertifikaten sowohl eine sichere Authentifizierung unterstützen als auch die Privatsphäre des Einzelnen schützen, beispielsweise im Rahmen mobiler sozialer Netwerke. Unsere Forschung unterstützt dabei unmittelbar die von der Europäischen Union mit der Digitalen Agenda verfolgten Ziele“, betont Prof. Dr. Kai Rannenberg Koordinator des Projekts und Inhaber der T-Mobile Stiftungsprofessur für Mobile Business & Multilateral Security an der Goethe-Universität Frankfurt.

Vollständige Identität nicht offenbaren
In dem vierjährigen Projekt wird die datenschutzfördernde Technik so genannter attribut-basierter Zertifikate (in Englisch attribute based credentials) in Pilotversuchen erprobt. Diese ermöglichen es, genau die notwendigen Eigenschaften und Angaben nachzuweisen, ohne dabei die vollständige Identität zu offenbaren. So kann ohne die Weitergabe des Geburtsdatums oder der Adresse, wie bei einer Authentifizierung mittels Ausweises bisher üblich, trotzdem ein Nachweis erbracht werden; beispielsweise älter als 18 Jahre, Student einer bestimmten Universität oder Bürger einer bestimmten Gemeinde zu sein. Das eingesetzte Credential-System baut dabei auf den Technologien von IBMs Identity Mixer und Microsofts U-Prove auf.

Verschlüsselung und Datenschutz verbessern
„Mit Technologien wie Identity Mixer schaffen wir für Internetdienste die technischen Voraussetzungen, neben einer sicheren Verschlüsselung auch einen besseren Datenschutz zu gewähren“, schildert Dr. Jan Camenisch, Krypto- und Datenschutzexperte bei IBM Research – Zürich. „Lösungen, die in zehn Jahren Forschung und Entwicklung entstanden, setzen wir in die Praxis um und befassen uns mit Fragen der Bedienbarkeit und Interoperabilität.“ „Technologien zur minimalen Preisgabe von Daten wie U-Prove und Identity Mixer liefern wichtige Bausteine für die Schaffung eines nachhaltigen Identitätsmanagement-Metasystems“, sagt Kim Cameron, Chief Architect of Identity bei Microsoft. „Das ABC4Trust-Projekt wird ein hervorragendes Forum für alle Beteiligten sein, um sich den Herausforderungen eines sichereren und vertrauenswürdigen Internets zu stellen.“

Identitäts-Broker
„Mit unserer Identity Management (IDM)-Lösung können Telekommunikationsanbieter als Identitäts-Broker für ihre Kunden auftreten. Einerseits werden dabei die persönlichen Daten geschützt, andererseits können bessere, personifizierte Dienste angeboten werden, die das Konsumentenvergnügen steigern», so Robert Seidl, der die IDM-Forschung bei Nokia Siemens Networks verantwortet. «Durch ABC4Trust werden zwei hervorragende datenschutzfördernde Technologien von IBM und Microsoft interoperabel – und zwar durch die IDM-Lösung von Nokia Siemens Networks, die beide Technologien zusammen bringt.“

Pilotversuche in Schweden und Griechenland
Ein Pilotversuch findet an der Norrtullskolan, einer Sekundärschule in Söderhamn, Schweden, statt. Im Test ermöglicht das von den Forschern implementierte Identitätsmanagement-System Schülern, Lehrern und Eltern, sich sicher gegenüber Diensten zu authentifizieren, die von der Schule angeboten werden, u.a. zur Kommunikation mit der Schulkrankenschwester, den Vertrauenslehrern, den Sozialmitarbeitern oder in internen sozialen Netzwerken, die sich auf bestimmte Schülergruppen beschränken lassen, ohne dass Nutzer ihre volle Identität preisgeben müssen.

Lehrer datenschutzfreundlich bewerten
In einem zweiten Pilotversuch am Research Academic Computer Technology Institute in Patras, Griechenland, wird das System Studenten ermöglichen, Kurse und Dozenten im Rahmen der Evaluation der Lehrer datenschutzfreundlich/anonymisiert zu bewerten. Die Evaluation der Lehre ist an vielen europäischen Universitäten üblich geworden. Dabei wird die Bewertung meist ohne Computerunterstützung durchgeführt oder aber unter Mitwirkung einer unabhängigen dritten Instanz, um die Privatsphäre und Interessen der Studierenden zu schützen. Das System mit attribut-basierten Zertifikaten ermöglicht, die Bewertung jenen vorzubehalten, die an einer Vorlesung tatsächlich teilgenommen haben, ohne deren Identität offenbaren zu müssen. Daneben wird dieser Test Möglichkeiten aufzeigen, wie sich Korrektheit und Glaubwürdigkeit bei computerbasierten Umfragen und Abstimmungen, beispielsweise im Marketing, verbessern lassen, ohne dass die Privatsphäre der Teilnehmer aufgegeben wird.

Zertifikate zur Authentifizierung
In beiden Pilotversuchen ermöglicht es ABC4Trust den Bildungseinrichtungen, ihren Nutzern Zertifikate auszustellen. Mit einem solchen Zertifikat kann ein Nutzer beispielsweise nachweisen, einen bestimmten Kurs zu besuchen, Mitglied einer bestimmten Gruppe oder Mannschaft zu sein oder ein bestimmtes Alter oder Geschlecht zu haben. Gespeichert auf einer Smartcard oder in einem Mobiltelefon können diese Zertifikate zur Authentifizierung gegenüber Diensten genutzt werden. Beim Pilotversuch in Patras wird die Universität ein eigenes computergestütztes Feedbacksystem betreiben, bei dem die Studierenden dennoch darauf vertrauen können, dass ihre Identität geschützt bleibt.

Die Zukunft personenbezogener Daten
Seit elektronische Identitätsnachweise und Führerscheine eine immer grössere Verbreitung für die Identifikation, Authentifizierung und Bezahlung bei einer Vielzahl von Anwendungen finden, stellt der Datenschutz eine grössere Herausforderung als bisher dar. Es ist daher notwendig, nachhaltige datenschutzfördernde Technologien, wie in ABC4Trust eingesetzt, in die Systeme einzubinden, um deren Vorteile auch in der sich weiter entwickelnden Informationsgesellschaft nutzbar zu machen. (IBM/mc/ss) 

IBM Identity Mixer und Microsoft U-Prove
IBM Identity Mixer und Microsoft U-Prove nutzen anspruchsvolle, aber effiziente Verschlüsselungsalgorithmen, um sicherzustellen, dass Identitätsinformationen der Einzelnen, einschliesslich persönlicher Angaben oder Verhaltensprofile nicht ohne Einwilligung der Betroffenen übermittelt werden. Beide Technologien sind für eine Vielzahl von Bereichen geeignet wie Versicherungen, Online-Shops, Kreditkarten oder Gesundheitswesen. Die Technologien und deren Entwickler haben diverse Auszeichnungen wie den Best Innovation European Identity Award 2010 erhalten.

ABC4Trust-Konsortium
ABC4Trust ist ein Projekt mit einem Umfang von 13,5 Millionen Euro, das mit 8,85 Millionen Euro im Siebten Rahmenprogramm (RP7) der Europäischen Union gefördert wird. Das internationale multidisziplinäre ABC4Trust-Konsortium wird geleitet von der Johann Wolfgang Goethe-Universität Frankfurt am Main, Deutschland. Weitere Projektpartner: Alexandra Instituttet, Dänemark; Research Academic Computer Technology Institute, Griechenland; IBM Research Zürich, Schweiz; Miracle A/S, Dänemark; Nokia Siemens Networks GmbH & Co. KG, München, Deutschland; Technische Universität Darmstadt, Deutschland; Unabhängiges Landeszentrum für Datenschutz, Deutschland; Eurodocs AB, Schweden; CryptoExperts, Frankreich; Microsoft Research and Development France SAS, Frankreich, Söderhamn Kommun, Schweden. ABC4Trust startete im November 2010 und hat eine Laufzeit von vier Jahren.