Wie identifizieren wir uns im digitalen Raum? Unsere digitale Identität entscheidet darüber, wer auf unsere Daten zugreifen darf, wer in unserem Namen handeln kann und wovon wir abhängig sind. Wer digitale Souveränität ernst meint, muss bei der Identität beginnen.
Im physischen Leben weisen wir uns mit einem Ausweis aus. Es gibt staatliche Register, klare Zuständigkeiten und definierte Verfahren. Im digitalen Raum existiert kein zentrales Meldeamt. Und dennoch funktioniert alles über Identität. Ohne Identität kein E-Mail-Konto, kein Cloud-Zugang, kein Online-Banking, kein ERP-System.
Die meisten Menschen und Organisationen behandeln Identität jedoch wie ein Nebenprodukt der Nutzung. Man legt Konten an, vergibt Passwörter und klickt auf „Mit Google anmelden“, wenn es bequem ist. Erst wenn ein Konto gesperrt oder kompromittiert wird, wird sichtbar, wie zentral Identität tatsächlich ist.
Digitale Identität ist die Voraussetzung für jede Interaktion im Netz. Wer sie kontrolliert, kontrolliert Zugang, Daten und somit auch Handlungsfähigkeit.
Was ist unsere digitale Identität?
Digitale Identität ist nicht ein einzelnes Benutzerkonto. Sie ist die Summe aller digitalen Merkmale, die einer Person oder Organisation eindeutig zugeordnet sind. Dazu zählen E-Mail-Adressen, Benutzernamen, Kundennummern, Geräte-IDs, Zertifikate, Token und kryptografische Schlüssel.
Ein Identifier beantwortet die Frage: Wer soll es sein?
Die Authentifizierung beantwortet die Frage: Kann diese Person es beweisen?
Oft ist die E-Mail-Adresse der zentrale Anker. Über sie werden Accounts angelegt, Passwörter zurückgesetzt und Vertrauensbeziehungen aufgebaut. Wer die Kontrolle über die eigene E-Mail verliert, verliert in vielen Fällen die Kontrolle über einen großen Teil seiner digitalen Identität.
Hinzu kommen Plattform-Identitäten. Konten bei Google, Apple oder Microsoft dienen nicht nur dem Zugriff auf deren Dienste. Sie werden zunehmend als universelle Identitätsprovider genutzt. Mit einem Klick erhält man Zugang zu vielen anderen Anwendungen.
Das ist komfortabel. Gleichzeitig entsteht eine strukturelle Abhängigkeit. Wird ein solches Konto gesperrt oder kompromittiert, betrifft das nicht nur einen einzelnen Dienst, sondern unter Umständen die gesamte digitale Infrastruktur einer Person oder eines Unternehmens. Auf Identitätsebene entsteht so ein sogenannter Vendor-Lock-in.
Single Sign-On: Komfort und Risiko
Single Sign-On, kurz SSO, beschreibt das Prinzip, sich einmal zu authentifizieren und anschließend auf mehrere verbundene Systeme zugreifen zu können. In Unternehmen ist das Standard. Identitätsplattformen wie von Microsoft oder anderen Herstellern angebotenen Diensten ermöglichen zentrale Verwaltung, konsistente Zugriffssteuerung und schnelle Entziehung von Rechten.
Richtig umgesetzt erhöht SSO die Sicherheit. Weniger verteilte Zugangsdaten bedeuten weniger Angriffsfläche. Zugriffsrechte lassen sich sauber dokumentieren und kontrollieren.
Gleichzeitig entsteht ein Single Point of Failure. Wenn das zentrale Identitätssystem kompromittiert wird, stehen unter Umständen alle angebundenen Systeme offen. Die Frage ist daher nicht, ob SSO gut oder schlecht ist. Entscheidend ist, wer es kontrolliert, wie es abgesichert ist und ob Notfallprozesse definiert sind.
Passwörter und reale Bedrohungen
Ein Passwort ist ein Wissensfaktor. Etwas, das nur die berechtigte Person kennen sollte. In der Praxis werden Passwörter oft stiefmütterlich behandelt und wiederverwendet, zu einfach gewählt oder in unsicheren Notizen gespeichert.
Die realistische Bedrohung für die meisten Nutzer sind keine hochspezialisierten Angriffe, sondern automatisierte Massenangriffe. Nach großen Datenlecks werden gestohlene Zugangsdaten systematisch bei anderen Diensten ausprobiert. Wenn dasselbe Passwort mehrfach verwendet wurde, ist der Schaden vorprogrammiert.
Ein Passwortmanager adressiert genau dieses Problem. Er erzeugt für jeden Dienst ein einzigartiges, starkes Passwort und speichert es verschlüsselt. Der Nutzer muss sich nur ein einziges starkes (!) Master-Passwort merken. Das reduziert das Risiko durch Wiederverwendung drastisch. Entscheidend ist jedoch, dass der Passwortmanager selbst sauber abgesichert ist und durch einen zweiten Faktor geschützt wird.
2FA und MFA: Mehr als nur ein Code
Zwei-Faktor-Authentifizierung, kurz 2FA, kombiniert zwei unabhängige Kategorien von Nachweisen. Typischerweise Wissen und Besitz, etwa Passwort plus Einmalcode aus einer Authenticator-App. Multi-Faktor-Authentifizierung, MFA, ist der Oberbegriff für Verfahren mit mindestens zwei Faktoren.
Der zweite Faktor sorgt dafür, dass ein gestohlenes Passwort allein nicht ausreicht, um Zugriff zu erhalten. Für zentrale Konten wie E-Mail, Identitätsprovider, Cloud-Plattformen oder Online-Banking sollte MFA heute Standard sein. Aus Sicht des Bedrohungsmodells schützt sie wirksam gegen automatisierte Angriffe und viele Phishing-Szenarien.
Digitale Identität und wirtschaftliche Realität
Digitale Identität ist kein abstraktes IT-Thema. Über sie werden Zahlungen ausgelöst, Verträge unterzeichnet, Lieferketten gesteuert und Unternehmensdaten verwaltet. Das Online-Banking ist ein naheliegendes Beispiel. Wer hier die Kontrolle über die Identität verliert, verliert unter Umständen unmittelbaren Zugriff auf finanzielle Ressourcen.
Für Unternehmen ist Identity- und Access-Management daher Teil der Governance. Es betrifft Compliance, Risikomanagement und Business Continuity. Für Privatpersonen ist die bewusste Gestaltung der eigenen Identitätsarchitektur der erste konkrete Schritt in Richtung digitaler Unabhängigkeit.
Digitale Souveränität beginnt nicht bei der Wahl des Smartphones und nicht beim Self-Hosting. Sie beginnt bei der Frage, wer unsere digitale Identität kontrolliert, wie stark sie abgesichert ist und wie abhängig wir von einzelnen Plattformen sind.
Wer digitale Souveränität aufbauen will, muss Identität als Fundament begreifen. E-Mail, Identitätsprovider, Passwörter und Multi-Faktor-Authentifizierung bilden die Basisschicht für alles Weitere.
Bildquelle: Photo by Iulia Mihailov on Unsplash