Folge #139 – Identität

Schön guten Morgen vom eHealth-Podcast Team. Wir sind angekommen bei Folge 139 und weil das letzte Mal so wunderbar geklappt hat, diesmal wieder mit mir und Renato. Guten Morgen. Und wieder mal mit einer etwas technischeren Folge. Man kann so ein bisschen als die Nachfolge Folge von der 130 der digitalen Signatur sehen. Ich werde das eine oder andere mal auf diese Folge verweisen. Es geht diesmal um das Thema Identität und alles was da sich drum rumherum rankt. 

Genau und dazu werden wir einmal überlegen, warum man überhaupt eine Identität braucht. Dann gehen wir dazu zu schauen, wo es denn im Gesundheitswesen notwendig ist, dass wir unsere Identität ausweisen, dann werden wir verschiedene Authentifizierungsverfahren uns anschauen. Dann gucken wir uns ganz speziell einen Bereich an und zwar Hardware von Authentifizierungen, also wie sieht es aus mit dem Besitz und Chipkarten und so weiter.

Und schließlich gehen wir noch auf das Thema Identifizierung ein, also Unterschied, Identität, Feststellung und Identifizierung ganz am Anfang und ganz am Ende werden wir uns dann noch einigen Identitätsprovider widmen. Und wenn dann die Zeit noch reicht und ich das Gefühl habe, es ist noch nicht genug, dann gibt es am Schluss noch einen Rausschmeister. Das ist das Thema Self-Sovereign Identity, also SSI. Das ist etwas, was jetzt gerade so umgeht und in aller Munde ist.

Aber starten wir mit den einfacheren Geschichten. Unterschiede zwischen digital und analoger Identität-Renato. Gibt es beides? Warum brauchen wir beides? Was hat das auf sich? Ja, mit der analogen Identität schlagen wir uns ja schon eine ganze Zeit lang rum. Aber wie sieht es aus, wenn wir uns im digitalen Raum bewegen? Da wissen wir nicht immer, mit wem wir es auf der anderen Seite zu tun haben, aber wüssten es gerne. Also woher sollen wir wissen, dass derjenige mit dem wir gerade schätzen oder mit dem wir gerade einen Austausch haben, dass der auch wirklich derjenige ist und nicht sich für jemand anderen ausgibt? Ja, damit sind wir ja schon beim ersten wichtigen Punkt, warum es eine digitale Identität braucht. Und das ist das Thema, da können wir den ersten Blick zurück zur Signaturfolge machen, nämlich die Authentizität. Also ich muss mich irgendwo authentifizieren und das hat wie damals schon bei der Signatur gesagt. Vor allem den Hintergrund, ich möchte wissen, wie du es gerade angedeutet hast, mit wem habe ich es denn zu tun. Also bin ich tatsächlich Bernhard Breil oder ist diese Person, die gerade versucht sich irgendwo einzuloggen in einem E-Mail-Konto in einer elektronischen Patientenakte, Gesundheitsakte oder bei irgendeinem Dienst ist das diese Person, für die sie sich tatsächlich ausgibt. 

Also dieser Identitätsabgleich, das wird unter der Authentizität verstanden. Darüber hinaus brauchen wir als zweites element, wichtiges Element die Autorisierung. Das heißt, wenn ich denn jetzt sichergestellt habe, dass das tatsächlich Bernhard Breil ist, der gerade versucht seine Gesundheitsakte zu öffnen und dort bestimmte Elemente zu lesen. Was darf er denn in dieser Akte, welche Rolle hat er da, ist er da gerade als Patient eingelockt, ist er da als Arzt eingelockt, als Gesundheitsdienstleister, in welcher Rolle greift er darauf zu und was darf ich denn eben alles in dieser Rolle machen? Und dann haben wir noch zwei wichtige Aspekte, die Rolle spielen, wenn es darum geht, dass man irgendwas damit passiert. Also, zu einer Patientenakte, wenn wir es bei dem Beispiel bleiben, die hat natürlich dann auch eine Funktion, die soll Daten über die eigene Gesundheit, anderen berechtigten Personen zur Verfügung stellen, dann möchte ich aber auch nachvollziehen können, ob ein anderer Arzt diese Daten denn eingesehen hat, ob also seine Entscheidung tatsächlich auf dem Wissen aus dieser Akte beruht oder ob er da einfach nie reingeschaut hat. Das heißt, ich muss nachvollziehen können, da sind vor allem dritten großen Kriterien der Nachvollziehbarkeit, wer denn wann vielleicht auch noch wie lange in dieser Gesundheitsakte, wenn man beim Beispiel bleiben, gelesen oder gestöbert hat. Und dann sollte man eben als letzten Punkt auch sicherstellen können, dass dann ja authentifizierte Aussagen auch nicht zurückgenommen werden. Das heißt, wenn dort irgendwie jemand eingestellt hat, Diagnose X Y zu 100 Prozent gesichert, steht jetzt in der Aktee drin, dann liest jemand anderes nachvollziehbarkeit. Ich kann also protokollieren, dass der nächste darüber Bescheid weiß, dann muss ich sicherstellen, dass derjenige, diese Diagnose eingestellt hat, die nicht anschließend einfach wieder zurücknimmt. Das Ganze ist in der analogen Welt ein bisschen einfacher. Und in der digitalen Welt müssen wir das eben mit verschiedenen technischen Verfahren sicherstellen.

Und deswegen wird die Folge vielleicht unter ein oder anderen Stelle ein bisschen technischer. Genau. Und der geneigte Zuhörer, der hat jetzt auch schon die Schutzziele IT-Sicherheit hier raus klingen hören, das sind jetzt nicht alle genannt, weil die Identität ja auch nicht alle Schutzziele betrifft, aber die Authentizität ist genannt worden, die Autorisierung ist genannt worden, Nachvollziehbarkeit und Nicht-Abstreitbarkeit. Und hier kann man jetzt ein bisschen zwei Gruppen aufmachen. Einmal das Thema Authentifizierung, Nachvollziehbarkeit und Nicht-Abstreitbarkeit, die drei bilden eine Gruppe, weil es hier wirklich wichtig ist, mit wem man es auf der anderen Seite zu tun hat. Man will sicher gehen, dass auf der anderen Seite auch wirklich der Arzt, die Ärztin steht oder dass die Ärztin oder der Arzt das dokumentiert hat. Bei dem Thema Autorisierung ist es nicht zwingend notwendig, dass wir das gegenüber unbedingt kennen, sondern da reicht es aus, wenn wir wissen, der darf das. Und hier sollte man schon auch trennen, dass wenn es wirklich nur um das Thema Autorisierung geht, dass man, wenn es dann später um die Ausweisung geht, dass man vielleicht nicht alle Informationen übergibt. Also wenn es nur darum geht, darf derjenige zum Beispiel Blutspenden, dann ist es nicht unbedingt notwendig, dass man alle Informationen wie Telefonnummer, Geburtstartum, Name, Wohnort und so weiter übergibt, sondern da reicht es einfach, das Kriterium zu übergeben, ja der darf Blutspenden. Und das eine ist eben die Identität, die man übergeben kann bei so einem Identitätsabgleichen. Das andere ist die Capability, also die Fähigkeiten, die das Individuum hat. Und um ein möglichst großes Maß an Datenschutz zu gewährleisten, ist es sinnvoll, das zu trennen und zu schauen, dass wenn es nur um die Capability geht, dass man dann auch wirklich nur diese einzelnen Aspekte überträgt und nicht die gesamte Identität überträgt. 

Und jetzt schauen wir uns an, wo das Ganze im Gesundheitswesen dann für uns relevant ist. Es ist, glaube ich, ganz klar, dass wenn wir in Kontakt treten, Ärztinnen und Ärzte, mit Patientinnen und Patienten, das ist hierwichtig, ist, dass man weiß, mit wem man es auf der anderen Seite zu tun hat. Es hat verschiedene Gründe, einmal rechtliche Gründe, man will aber natürlich auch sicher gehen, dass auf der anderen Seite wirklich derjenigeist, der die Kompetenzeit, deswegen kann man die Identität dazu nutzen, sich gegenüber den Leistungserbringern als Patient oder als Arzt gegenüber Patienten und IT-Services auszuweisen. Dafür gibt es die schon sehrbekannten Gesundheitskarten, die elektronische Gesundheitskarte und der Heilberufsausweis. Dann kann man die Identität auch noch dazu nutzen, um auf Dienste der Telematikinfrastruktur, wie zum Beispiel die ePA oderden Notfalldatensatz zuzugreifen. Auch das geht über die EGK und den Heilberufsausweis. Und das macht natürlich vor allem dann Sinn, wenn es wieder digitale Anwendungen betrifft. Ich glaube, die aller wenigsten von unslassen sich in der normalen Arztpraxis den HBA zeigen, um beim Arzt nochmal sicher zu gehen, dass das auch ein Arzt ist, mit dem man es da zu tun hat, sondern da greifen eben andere Faktoren, wenn das sozusagen eineArztpraxis ist mit einem entsprechenden Sitz in der Stadt. Und da werden tagtäglich Patienten überhandelt, dann wird das höchst wahrscheinlich auch ein Arzt mit entsprechender Berechtigung sein. Das Ganze ist in der digitalen Welt natürlich wieder schwieriger nachzuweisen. Und da macht es dann eben Sinn, auch die entsprechenden Funktion eines Heilberufsausweises zu nutzen. 

Und ähnlich wird es wahrscheinlich auch sein bei der Videosprechstunde. Wenn ich es mit einem Arzt zu tun habe, der mir bekannt ist, dann würde ich da jetzt auch nicht erwarten, dass mich noch mal seinen Ausweis zeigt. Wenn ich aber in einer Situation bin, die ist zwar im Moment noch nicht so verbreitet, aber dass ich mich jetzt an einen Telemedizin-Dienstwende und vielleicht nicht weiß, wer sich auf der anderen Seite befindet, dass Gesicht vielleicht noch nicht gesehen hab, dann will ich über diesen Heilberufsausweis vielleicht sicher gehen, dass auf der anderen Seite wirklich die richtige Person ist. Man merkt also hier verschwimmen dann auch so ein bisschen die analogue Identität und die digitale Identität, denn bei einer Videokonferenz da sehe ich ja den anderen und kann das dann quasi über seine analogue Identität mit abgleichen. Dann handeln wir in der Folge 130 Jahre schon das Thema digitale Signature. Auch dafür ist es natürlich wichtig, dass ich mich vorher ausweise, meine Identität feststelle und dass ich dann das Dokument als ich in dieser Person und in dieser Identität signiere. Und dann haben wir jetzt die ganze Zeit über Telematikinfrastruktur und über Heilberufsausweis und EGK und so weiter gesprochen, aber alltäglich nutzen wir zum Beispiel KIS-, RIS- und PACS-Systeme und auch hier müssen wir unsere Identität feststellen. Das machen wir jetzt nicht über die EGK oder den Heilberufsausweis, sondern hier arbeiten wir mit so banalen Sachen, wie wir nutzernahme passwort häufig, oder wenn es schon gut läuft, dann mit einer zwei Faktor-Aut identifizierung. Auch hier geht es natürlich um die Identität, die festgestellt werden muss und man muss, wenn man über Identität spricht, natürlich auch einfache Verfahren nennen wie eine benutzernahme Passwort-Kombination. Und was auch jeder vielleicht schon mal benutzt hat, jetzt gerade zur Zeiten von Corona, wenn es um arbeiten von zuhause ausgeht, ist die Tatsache, dass man über das Homeoffice auch auf die Krankenhaus-IT oder die Unternehmens-IT zugreifen kann und das funktioniert dann häufig über einen VPN, also ein virtuelles privates Netz und um sich dort anmelden zu können gibt es heute Tage so tokens, die man verwenden kann, das sind dann Hardware-Tokens, auf den dann meistens eine Zahl draufsteht und die gibt man ein und zeigt damit, dass man derjenige ist, der in Besitz dieses tokens ist. Also wir haben verschiedene Arten, wo wir im Gesundheitswesen unsere Identität feststellen und jetzt schauen wir uns an über welche Methoden wir das feststellen können und wir versuchen das Ganze jetzt ein bisschen zu strukturieren. Genau, du hast ja schon die konkreten Beispiele genannt und auch die alltäglichen Beispiele, also Anmeldungen an den lokalen Informationssystemen, Anmeldungen am eigenen Rechneranmeldungen im virtuellen privaten Netzwerk und wenn man das so ein bisschen versucht zu generalisieren, das hatten wir glaube ich auch kurz in der signaturefolgischen Angerissen, gibt es eigentlich drei Möglichkeiten, mit denen ich mich authentifizieren kann, dass eine ist der Bereich des Wissens. Ich weiß etwas ein Geheimnis, das ist typischerweise eben so ein Passwort und mit diesem Passwort in Kombination mit dem richtigen Benutzernamen kann ich mich anmelden. Das wäre ein Faktor und was sehr gerade schon angedeutet, vielleicht ist es an der einen oder anderen Stelle durchaus sicherer und sinnvoller mehrere Faktoren, also entweder stichwort zwei Faktorauthentifizierung oder sogar mehr Faktor Authentifizierung hinzuzunehmen, also schauen wir uns weitere Faktoren an. 

Ein zweiter wichtiger Faktor ist die Biometrie, das heißt ich nutze zur Feststellung der Identität biometrische kennengrösen, das kann ein Fingerabdruck sein, das kennen viele von ihrem Smartphone, das ist das entsprechende Gerät, mit dem Fingerabdruck entsperren, das kann ein ihres Scan sein, auch das ist teilweise schon in Smartphones oder eben auch in anderen Loginverfahren abgedeckt, oder das kann auch eine Art Gesichtsvermessung sein, die Face ID bei Apple, ich weiß gar nicht, was da genau einfließt, aber bestimmte Elemente, die da noch Rolle spielen, das sind eben biometrische Merkmale, die habe ich an mir, die kann ich nicht verändern oder im Falle eines Fingerabdrucks, wenn ich sie nicht verändern, im Falle des Aussehens vielleicht so minimal manipulieren, aber das ist eben noch mal eine ganz andere Kategorie, ich habe mich das Wissen über einen Tatsache, sondern ich habe biometrische Größen. Und der dritte Bereich, was es angesprochen ist, der Besitz von etwas, zum Beispiel besitze ich einen Token, das irgendwie immenütlich zahlen generiert, oder ich besitze ein zweites Gerät, was eben auch registriert ist, um mit diesem mache ich dann eine entsprechende Freischaltung, das werden eben die drei groben Möglichkeiten und die Sicherheit steigt, wenn ich diese miteinander kombiniere.

Das kennen wir eigentlich alle vom Bankenwesen schon, da haben wir in der Regel, wenn wir irgendwas überweisen wollen, schon eine zwei Faktorauthentifizierung bei den meisten Banken habe ich sowas wie einen benutzer Name und ein Passwort, um mich überhaupt im Online-Banking anzumelten und dann muss ich über ein weiteres Merkmal in der Regel über das Smartphone bestimmte Überweisungen, die ich vielleicht online im Brause anstoße, noch mal auf dem Smartphone, entweder mit Biometrie, mit einem Fingerabdruck oder einfach mit dem Besitz, Handy, gekoppeltes Gerät und dort noch mal der Eingabe eines Passports bestätigen. Und diese Faktoren können wir natürlich auch an verschiedenen Stellen im Gesundheitswesen einsetzen und damit die Authentizität von Personen sicherstellen. Genau, also haben wir jetzt diese drei Faktoren und einen Faktor, möchte ich noch mal ein bisschen rausnehmen und zwar den Faktorbesitz. Hier können wir verschiedene Sachen besitzen. Werner hat sie eben schon gesagt, Ausweis, also Personalausweis, Chipkarte, das Smartphone kann auch ein Besitz sein oder eben so einen Token. In der Telematik haben wir aktuell drei Dinge, die wir besitzen können. Das ist die EGK auf Seiten des Patienten und der Heilberufsausweis auf Seiten des erzlichen Personals oder die SMCB, eben die Signaturkarte. Das sind Besitztümer, die es in der Telematik gibt. 

Und alle ist gemeinsam, dass sie versuchen, möglichst Fälschung sicher zu sein. In der analogen Welt machen wir Fälschungssicherheit über physische Merkmale, also ein Geldschein, der ist Fälschungssicher, weil da verschiedene Sicherheitsmerkmale dran sind, da sind Tollogramme und so weiter. Und so ist es auch beim Personalausweis. In der digitalen Welt da brauchen wir etwas anderes, um das zu hinzubekommen. Und da arbeitet man dann entweder mit Geheimnissen, also mit Passports, Hörtern oder wie wir es ja auch schon besprochen hatten in der Signaturefolge. Da arbeiten wir mit einen Schlüsselpaar, also mit der also in grohnen Verschlüsselung, dass wir einen privaten Schlüssel haben, den wir nicht rausgeben und einen öffentlichen Schlüssel, den wir rausgeben. Und die privaten Schlüssel, wenn die zum Beispiel sich auf einer Karte befinden, dann sind die wirklich so privat, die kann man nicht auslesen aus der Karte, wenn man sie versuchen würde, irgendwie rauszulesen, zerstört man die Karte und damit eben auch den Schlüssel. Die bisherigen Karten, elektronische Gesundheitskarte, Heilberufsausweis und eben SMCB, das sind die bisher einzigen Möglichkeiten in der Telematikinfrastruktur, sich auszuweisen, seine Identität nachzuweisen, ab der TI 2.0 sollen auch noch sogenannte eIDs dazu kommen. eIDs kann man sich vielleicht so vorstellen, wie virtuelle Identitäten, die nicht auf einer Karte gespeichert sind, sondern die bei einem Identitätsprovider liegen.

Kann man jetzt sagen, ja, das ist doch wieder unsicher und das stimmt schon, man muss einem solchen Identitätsprovider natürlich vertrauen, aber es macht das Ganze trotzdem etwas einfacher in der Handhabung, wir müssen eben nicht eine Karte haben, mein Kartenlesegerät und so weiter, sondern wir melden uns über verschiedene Verfahren bei dem Identitätsprovider an und eher versichert unsere Identität gegenüber den IT-Services, die wir nutzen wollen, also zum Beispiel der elektronischen Patientenakte oder dem E-Rezept. Und an dieser Stelle will ich auch nochmal auf den Unterschied zwischen Identifizierungsdienstleister und Identitätsanbieter angehen, das ist nämlich auch nochmal wichtig. Identifizierungsdienstleister sind die, die ganz am Anfang einmal diesen Abgleich zwischen Analog und digitaler Identität vornehmen. Das passiert klassischerweise durch das zeigen eines Auswises, aber da gibt es noch andere Methoden, damit wernergleich war es dazu sagen und dann, wenn einmal die Identität festgestellt wurde, also der Abgleich gemacht wurde, dann kann der Identitätsanbieter denjenigen, die beim Anfragen bestätigen, dass ich auch wirklich Renato dann bin.

Aber gucken wir uns mal die Identifizierung an, die hat ja in letzter Zeit einige Wellen geschlagen. Genau, zum Thema Identifizierung, da geht es also darum, dass ich jetzt diese beiden Identitäten, die Analog und die digitale Identität gesichert zusammenbringen muss. Ich muss also irgendwo diese Zuordnung machen, dass eine digitale Identität, die existiert, auch zu der realen Person gehört. Und das einfachste Verfahren ist das vor Ort Verfahren. Bleiben wir beim Beispiel Krankenversicherung. Ich gehe einfach dort in die lokale Geschäftsstelle. Stell mich dort vor, weise mich vielleicht dort aus mit einem Ausweis, mit einem Reisepass. Und sage, ich möchte dort einen entsprechenden digitalen Dienst beantragen, eben eine Patienten oder Krankenakte oder Gesundheitsakte nutzen. Und ich weise mich vor Ort in der entsprechenden lokalen Geschäftsstelle durch meinen Ausweis, den ich mitbringe aus. 

Die zweite Variante wäre stärker auf die EID Funktion des Personalauswises zu nutzen, dass ich also schon eine elektronische Komponente drin habe. Da ist sichergestellt durch die entsprechenden Bundesbehörden, dassich diesen Ausweis legal bekommen habe. Da gab es ja, wenn ich in dem Moment, wo ich diesen Ausweis bekomme, muss ich ja entsprechend ins Bürgerbüro gehen. Es wird abgeglichen mit dem Melderegister und so weiter. Da gibt es also ein standardisiertes Verfahren dahinter und ich könnte dann mit der elektronischen EID auf diesem Personalausweis eine Identifizierung vornehmen. Das wird allerdings stand heute noch viel zu weniggenutzt. Die Möglichkeiten des Auswises sind da, aber das wird eben vielfach noch nicht genutzt. 

Was viel häufiger genutzt wird, ist das Post-Eidentverfahren. Das kennen die aller meisten, die vielleicht schon mal irgendwie einen Mobilfunkvertrag oder eine Bankkonto oder vielleicht auch eine Krankenversicherung, wo abgeschlossen haben, wo es eben keine lokale Geschäftsstelle vor Ort gibt. Ich registriere mich irgendwo und zeige dann mein Ausweis beispielsweise bei der Post und wenn dort ein Identitätsabgleich stattgefunden hat, bekomme ich die entsprechende Dokumente, SIM-Karte oder eben die Lock-In-Daten für einen Bankkonto oder so was. Akteuell gerade vielfach Thema das Video-Eident verfahren. Das gibt es in zwei Varianten, also ich schalte meine Webcam ein und zeige dann in der Variante 1 einer Person auf der anderen Seite mein Gesicht und winke daneben mit meinem Personalausweis und dann gibt es eben verschiedene Möglichkeiten, dass ich irgendwie zeige, dass ich tatsächlich ein echter Mensch bin und dass ich tatsächlich einen echten Perso in der Hand habe. Das heißt, dass man den so ein bisschen kippt und dreht, dass man die Wasserzeichen sehen kann, dass ich den mal nach links und rechts schiebe, dass man da so sieht, dass er auch eine echte Person da vorne ist und dieser Ausweis nicht verändert ist und die Person nicht verändert ist und jetzt gerade ist ja in den Medien vor einem Monat ging es glaube ich richtig los, dass man dieses Verfahren eben auch automatisiert mit einer KI machen möchte und einführen wollte und da hat der Chaos Computer Club relativ schnell zeigen können, dass das vielleicht keine ganz gute Idee ist, weil sich dieses Verfahren sehr, sehr leicht austricksen ließ. Also man kann sich das vorstellen.

Ich habe also eine KI, die soll erkennen, ob ich eine echte Person bin. Die Webcam haben meist nicht so eine wahnsinnig gute Auflösung, das heißt man hat ohnehin ein nicht ideales Bildmaterial, weil ich kann ja schlecht von den benutzen verlangen, dass sie da alle eine 4K-Kamera über ihrem laptop kleben haben und ich glaube die haben ganz einfach die Hand ein bisschen dunkler angemalt, damit sie sie klar in der Videonachbearbeitung raus rettosieren konnten und mit so wenigen technischen Tricks, sage ich mal, es ist den gelungen diese KI zu überlisten. Ja, das ist raus als Verfahren, denke ich mal, zumindest wenn es um wirklich sichere Sachen geht und das Gesundheitswesen ist glaube ich ein solcher Bereich, wo man dann das Videoidentverfahren wahrscheinlich dem nicht mehr sehen wird. 

Umso mehr kann man sicher mal dieser EID-Funktion des Personalausweises widmen. Ich habe das mittlerweile übrigens auch gemacht, geht gar nicht so schwer, man hat irgendwann mal ein Brief von der Behörde bekommen, der ist eine TransportID und dann lett man sich einfach die Ausweis App 2 runter und bei mir war das eine Sache von fünf Minuten und ich war identifiziert hier hoch und ich glaube damit kann man jetzt tatsächlich einige Identitätsnachweise führen, also die Identifizierung durchführen und damit ist der erste Schritt gemacht und wenn die Identifizierung stattgefunden hat, dann geht es darum, dass man konthiliellig seine Identität nachweist und dafür gibt es dann wie vorhin schon gesagt solche Identitätsprovider und da gibt es verschiedene Verfahren mit denen man das macht oder die aufeinander aufbauen und miteinander zu tun haben.

Das was sicherlich am weitesten verbreitet und auch am wichtigsten in diesem Zusammenhang zu nennen, es ist OAuth oder OAuth, eine Kombination mit OpenID-Connect. Das ist auch das, was dann im Gesundheitswesen eingesetzt wird. Das ist ein Verfahren, das man vielleicht auch schon mal ansatzweise gesehen hat, wenn man sich zum Beispiel über einen anderen Dienst anmeldet, also wenn man zum Beispiel Google nutzt, um sich bei dem Webdienst xy anzumelden. Auch da wird häufig mit OAuth gearbeitet, also ich möchte mich irgendwo anmelden, dann sage ich mit meiner Google-ID anmelden oder genau natürlich auch mit der Apple-ID oder Facebook-Connect oder was es auch immer ist, dann werde ich auf eine Einlockseite von Google gebracht, dort identifiziere ich mich gegenüber Google, das kann dann entweder mit einem Passport-Sign oder eben auch hier mit zwei Fakterauthentifizierungen.

Und dann gibt mir Google ein Token, mit dem ich mich dann wieder bei dem ursprünglichen Dienst anmelden kann. Und ich kann das Ganze auch verlängern lassen, wenn ich mich länger dort anmelden möchte, da gibt es ein eigene Token-Zpür und das ist diese Kombination aus OAuth und OpenID-Connect in sehr abgespeckter Form. Da möchte ich jetzt technisch tatsächlich nicht so sehr ins Detail gehen. Vielleicht nur kurz der Hinweis, dass das auch das bevorzugte Verfahren in der FHIR-Definition ist. Also FHIR selber kümmert sich ja nicht um die Authentifizierung und dann sagt das, dann nutzen wir bekannte andere Identitätsverfahren oder Dienst. Und da gibt es eben Spezifikationen wie OAuth2.0 dort mit entsprechend eingebunden werden kann. Genau. Und dann gibt es noch andere Verfahren, SAML oder SAML, Security, Assertion, Mark-Up-Language. Der bekannte Spieler da ist wahrscheinlich Shibboleth. Auch hier möchte ich jetzt technisch nicht so sehr ins Detail gehen, weil ich die Details auch nicht so gut kenne, aber hier tauschen sich dann die einzelnen Provider untereinander aus.

 Also derjenige, der die Informationen hat, fragt dann bei dem Identitätsproweiter nach, ist der auch wirklich derjenige und kriegt dann eine Antwort dazu. Und schließlich, wenn man über das Thema Identitätssprich darf man glaube ich die Fido auch nicht vergessen, die Fast Identity Online (FIDO), die haben auch verschiedene Verfahren entwickelt. Mittlerweile sind wir bei Fido 2 und hier geht es darum sich zu identifizieren. Das Ganze passiert häufig mit einer zwei Faktor Authentifizierung, alle die schon mal so einen YubiKey in der Hand hatten, der basiert auch auf Fido. Und das kann man dann auch in Kombination verwenden, also OAuth und Open-IT Connect und sich dann zum Beispiel mit Fido bei dem Identitätsproweiter anzumellen. Das gibt dann nochmal eine zusätzliche Sicherheit. Und so Fido-Allianz gehören eben, Firmen wie Google, Mastercard, Microsoft, seit 2022 ist auch Apple dabei. Das heißt, die allermeisten von uns haben sich sicherlich schon mal irgendwo über Fido authentifiziert. Genau. Und dann kommen wir zu den Proweiter anzumachen. Ich habe ja schon ein paar genannt, also Google mit seinen Google-Sein-Innen oder Facebook mit Facebook Connect und Apple mit seiner Apple-ID, die sind bekannte Proweiter, die vielleicht der eine oder andere nutzt. Aber es gibt auch welche, die zumindest von sich behaupten, das nicht kommerziell zu machen und einer davon in Deutschland ist Verimi, da gehört die Telekom, die Allianz, die Deutsche Bank, Lufthansa, Springerverlage und so weiter dazu. Dann gibt es einen weiteren Identitätsproweiter, das ist netID, RTL, Pro7SAD 1 und eben der Internetdienst 1 und 1, die gehören dazu. Und dann gibt es noch weitere IDnow, ID.me. Aber wir reden hier nicht über das allgemeine Internet, sondern wir sprechen ja von der Gesundheit oder Medizininformatik.

Und da ist der aktuell noch einzige Identitätsproweiter, meines Bissens nach RISE, also RIS, das sind diejenigen, die auch Konnektoren herstellen. Und im Rahmen der Einführung des E-Rezeptes wurden sie als Identitätsproweiter ausgewählt in einem Ausschreibungsverfahren. Und die sind aktuell jetzt noch die einzigen und auch die Basieren auf OpenID Connect und OAuth2 und identifizieren so die Teilnehmer in der Telematikinfrastruktur, die am E-Rezept teilnehmen wollen. So, haben wir noch Teilnehmer, haben wir noch höherer Rinnen und höherer in der Leitung, die wir mit der Self-Sovereign Identity belasten können, oder? Ja, wir machen es ganz kurz. Self-Sovereign Identity ist jetzt etwas, was in einem Gesundheitswesen keinen Fuß gefasst hat und ist wahrscheinlich auf absehbare Zeit auch nicht wirkt. Aber weil es aktuell ein Thema ist, das immer mehr aufkommt, möchte ich es ganz kurz ansprechen. Es geht darum, dass diese Identitäten eben nicht zentralverwaltet werden von einem Google, von einem Facebook, von Apple oder wegen mir auch von RIS, sondern dass jeder seine Identitäten selbst verwaltet. Und die Informationen, die man braucht, dann herausgeben kann, wenn sie angefragt werden. Natürlich muss man auch sicherstellen, dass die Informationen, die dann sich dort drin befinden, dass die richtig sind, dafür sorgen Zertifikate und Signaturen und so weiter. Aber ich bin in Besitz meiner eigenen Identität, das Ganze kommt so ein bisschen aus der Ecke, wo auch die Kryptowährungen verordnet sind, also ein bisschen in Richtung Bitcoin und Ethereum. Aber der grundsätzliche Ansatz ist natürlich verständlich im Gesundheitswesen, glaube ich, wird sich das nicht durchsetzen. Von der Idee her gibt es Holder, Issuer und Verifier, die Holder sind diejenigen, die die Informationen besitzen. Also ich zum Beispiel als jemand, der einen Abitur gemacht hat, dann gibt es einen Issuer.

Das wäre dann zum Beispiel meine Schule, die mir über eine Signature bestätigt, dass ich ein Abitur habe und welche Note ich habe. Und dann gibt es die Verifier, das sind diejenigen, die zum Beispiel wissen wollen, wie mein Abiturzeugnis ist. Und dann zum Beispiel die Uni, die herausfinden will, ob ich wirklich ein Abitur habe und welche Note ich habe. Und auch hier spielen gewisse kryptografische Verfahrenrolle. Es gibt auch sowas wie eine Blockchain, die damit rein spielen kann in einigen Gedankenkonstrukten und über ein solches Konstrukt werden, dann eben Identitäten bereitgestellt, verwaltet und können abgerufen werden. 

Aber bevor dein Abiturzeugnis jetzt irgendwie gefährdet wird, würde ich sagen, das war schon eine ganze Reihe an Technik-Krempel für heute und wir machen den Sack zu und beenden die Folge, oder? 

So machen wir es. Ich glaube, wir sind schon nah an die halbe Stunde ran. Wir hoffen, dass so ein bisschen was den geblieben ist, obwohl wir sehr technisch geworden sind am Ende. Und wir werden aber sehen, dass das Thema Identität eher von der Wichtigkeit noch zunimmt, deswegen ist das hier schon mal eine ganz gute Grundlage, vielleicht werden wir das eine oder andere Mal noch mal auf diese Folge verweisen müssen.