Aufbau des Trustnets

Die bisherige Diskussion in Fachwelt und Politik fokussierte stark auf die technischen Aspekte der Ausstellung hoheitlicher digitaler Identifizierungsmittel und anderer Credentials in eine Wallet. Es ist aber evident, dass die o.g. funktionalen und prozessseitigen Anforderungen weder allein durch die Verfügbarkeit der eID, noch allein durch das Ausstellen anderer Verifiable Credentials erfüllt werden können. Der Entwurf eines ID-Ökosystems erfordert einerseits eine strukturierte ganzheitliche Betrachtung und andererseits eine detaillierte Betrachtung der digitalen Anwendungsprozesse über den gesamten Lebenszyklus der dafür erforderlichen Credentials. Die Basis für die ganzheitliche Betrachtung bildet der bereits erwähnte und in Abb. 1 dargestellt Trustnet-Stack, der maßgeblich auf dem von der Trust Over IP Foundation entwickelten Trust over IP-Stack beruht. Der Stack soll angesichts der Komplexität der Thematik als Orientierungshilfe zur Strukturierung der Diskussion dienen. Der technische Teil des ID-Ökosystems sind Ebene 1 und 2 und der organisatorische Teil des ID-Ökosystems sind die ID-Lösungen für sämtliche Akteure auf Ebene 3. Damit bildet das ID-Ökosystem die Basis für die Anwendungsökosysteme in Ebene 4.

Abb. 1: Trustnet-Stack

Das Trustnet entsteht durch Verschränkung und Interaktion vieler thematisch und/oder geographisch getrennter digitaler Vertrauensdomänen unter einem gemeinsamen Trust Framework. Das Trust Framework soll auch die Digitalisierung der anwendungsspezifischen Governance (Regelwerke der bestehenden Vertrauensdomänen und Anwendungsökosysteme) anregen. Der Trustnet-Stack verdeutlicht, dass bei jeder geplanten Anwendung nicht nur die einzusetzenden technischen Komponenten auf allen vier dargestellten Ebenen festgelegt werden müssen. Es muss auch die Governance auf allen vier Ebenen des Trustnet-Stacks geregelt und organisiert werden. Hinzu kommen die Definition, Umsetzung und Pflege erforderlicher Dateninfrastrukturen (Vertrauensregister) sowie die Organisation der Hoheit über das Trust Framework und dessen Weiterentwicklung. Hierfür müssen Kontrollorgane (Governance Authorities) definiert bzw. neu gegründet werden. Auf der Ebene der Vertrauensdomänen und auf der Ebene der Anwendungsökosysteme existieren bereits Governance Authorities, die in der Realwelt die entsprechenden Regeln machen und deren Durchsetzung überwachen. Diese Akteure sind auch die logische Wahl, wenn es um die jeweilige Digitalisierung geht. Auf Ebene der Vertrauensdomäne ist in Deutschland z.B. das Bundesinnenministerium die Governance Authority für den Personalausweis und damit logischerweise auch für die eID. Für Konzerttickets ist der jeweilige Veranstalter die Governance Authority.

Auf Ebene der Digitalen Basistechnologien und auf Ebene der digitalen Beziehungen existieren hingegen noch keine Governance Authorities, weil dieser Bereich noch sehr jung, hochdynamisch und nicht gesetzlich reguliert ist. Hier müssen neue Governance Authorities gegründet bzw. etabliert werden. Es existieren aber bereits internationale Arbeitsgruppen, wie Decentralized Identity Foundation (DIF), World Wide Web Consortium (W3C), OpenID-Foundation, Trust over IP Foundation oder Open Wallet Foundation, deren Vorarbeiten zu Standardisierung und Interoperabilität die Basis für Regulierungs- und Zertifizierungsarbeit der künftigen Governance Authorities werden können und sollten. Darüber hinaus braucht das ID-Ökosystem ebenso Service-Strukturen, d.h. es müssen sich vertrauenswürdige Akteure finden, die die erforderlichen Services (ID-Dienste, Vertrauensdienste, Zertifizierungen, Wissens- und Technologietransfer …) entsprechend dem gemeinsamen Regelwerk übernehmen. All diese Aufgaben erfordern die Organisation einer Trustnet Community, geleitet durch einen Kanon gemeinsamer Werte. Die Formierung dieser Community ist ein Gegenstand der Trustnet-Initiative. Die Mission der Trustnet Community als zentralem Pfeiler beinhaltet als mittelfristiges inhaltliches Ziel die Schaffung, Anwendung und Verbreitung des Trustnet Frameworks.

Abb. 2: Die digitale Vertrauenskaskade (Pfeiler 3)

Der zweite Teil dieser Digitalisierung betrifft die digitale Organisation bestehender Vertrauensdomänen der Realwelt. Z.B. muss sich ein bestehender Interessenverband ggf. mit der zugehörigen Aufsichtsbehörde dahingehend abstimmen, welche Nachweise künftig in welchem digitalen Format (VC-Schema) herausgegeben und akzeptiert werden sollen und wer innerhalb bzw. außerhalb der Vertrauensdomäne welche Service-Struktur übernimmt. Vertrauenswürdige Herausgeber und Akzeptanzstellen müssen entsprechend ihre Prozesse technisch anpassen, denn das ID-Ökosystem braucht organisatorische Vertrauensanker in Form der Autorität und sicheren Prozesse staatlicher Akteure zur Ausstellung von Identifizierungsmitteln (eIDs, Unternehmens-IDs, kommunale Datenkarten, …) und Nachweisen (Registerauszüge, Bescheide etc.) und ebenso ein Netz verschiedenster Vertrauensmechanismen zwischen den damit international identifizierbaren und authentifizierbaren Akteuren, die sich in vielen verschiedenen Arten sicherer Prozesse und verschiedenen technischen Implementierungen niederschlagen. Denn ohne eine Vielzahl an Akzeptanzstellen und die technische, organisatorische und rechtliche Einbindung der digitalen Ausweise und Nachweise in deren Prozesse nützt die Herausgabe von eIDs und VCs nichts. Die digitale Organisation bestehender Vertrauensdomänen erfordert aber ebenso anwendungsspezifische, sichere Dateninfrastrukturen auf Ebene 3 und 4 des Trustnet-Stacks, die den o.g. Anforderungen Rechnung tragen. Aufgrund der unterschiedlichen regulatorischen Rahmenbedingungen für Verwaltung und Wirtschaft einerseits und in unterschiedlichen Staaten andererseits ist klar, dass sowohl Public Key Infrastrukturen als auch DLT- und Blockchain-basierte Infrastrukturen im Trustnet ihre Berechtigung haben und unterschiedliche Vertrauensniveaus und/oder Vertrauensdomänen bedienen werden. Die große Herausforderung beim Aufbau des ID-Ökosystems besteht in der grenzübergreifenden technischen und regulatorischen Harmonisierung all dieser Aspekte.