Identity Layer

Fast jeder Online-Dienst muss zwei Dinge wissen: Wer sitzt gerade davor, und was darf diese Person? Ein Identity Layer ist genau der Teil eines Systems, der diese beiden Fragen beantwortet. Er nimmt Anmeldedaten entgegen, prüft sie und stellt danach eine Art digitalen Ausweis aus. Alle anderen Teile des Systems verlassen sich auf diesen Ausweis und prüfen nicht selbst nach. Man kann sich das wie den Empfang in einem großen Bürogebäude vorstellen. Dort zeigt man einmal seinen Ausweis, bekommt eine Karte, und mit dieser Karte öffnen sich danach die Türen, für die man freigeschaltet ist.

Warum Anmeldung nicht jede App selbst lösen sollte

Ein Unternehmen betreibt selten nur ein Programm. Es hat ein Mailsystem, eine Buchhaltung, ein Kundenverwaltungstool und ein Dutzend interner Werkzeuge. Wenn jedes davon eigene Passwörter speichert, entstehen ein Dutzend Stellen, an denen etwas schiefgehen kann. Passwörter sicher zu speichern ist außerdem überraschend schwierig, und jeder Entwickler, der es neu versucht, macht die gleichen Fehler noch einmal.

Ein gemeinsamer Identity Layer bündelt das an einer Stelle. Kündigt ein Mitarbeiter, wird sein Zugang einmal deaktiviert und ist damit überall gesperrt. Ohne zentrale Schicht bleiben oft Konten in vergessenen Systemen übrig, und genau die werden später zum Einfallstor. Auch Vorgaben wie Zwei-Faktor-Anmeldung lassen sich zentral einmal einschalten statt zwanzigmal.

Im Zusammenhang mit KI hat das Thema neue Bedeutung bekommen. Immer mehr Software handelt selbstständig: Programme rufen andere Programme auf, buchen, bestellen oder lesen Datenbanken aus. Auch solche automatischen Akteure brauchen eine Identität und klar begrenzte Rechte. Ein Assistenzprogramm, das Termine liest, sollte keine Überweisungen auslösen können.

Ausweis, Token und die Frage der Berechtigung

Technisch trennt man zwei Schritte. Die Authentifizierung klärt, ob jemand wirklich die Person ist, die er vorgibt zu sein, meist über Passwort, Code auf dem Handy oder Fingerabdruck. Die Autorisierung klärt danach, welche Aktionen dieser Person erlaubt sind. Beide Schritte sitzen im Identity Layer, sind aber getrennte Entscheidungen.

Nach erfolgreicher Prüfung stellt das System ein Token aus. Das ist eine kleine, digital unterschriebene Datei mit Angaben wie Benutzername, Rollen und Ablaufzeit. Der Browser oder die App schickt dieses Token bei jeder weiteren Anfrage mit. Der angesprochene Dienst prüft nur die Unterschrift und muss die Anmeldedaten nie sehen. Tokens laufen bewusst schnell ab, oft nach Minuten, damit ein gestohlenes Token wenig nützt.

Damit verschiedene Anbieter zusammenarbeiten, gibt es Standards. OAuth regelt, wie ein Dienst begrenzten Zugriff auf Daten bei einem anderen Dienst bekommt. OpenID Connect baut darauf auf und ergänzt die eigentliche Identitätsprüfung. Deshalb funktioniert der Knopf „Mit Google anmelden“ auf tausenden Webseiten nach demselben Muster.

Vom Login-Knopf bis zur Personalausweis-App

Am sichtbarsten wird ein Identity Layer bei der Anmeldung über ein fremdes Konto. Wer sich mit Google, Apple oder Microsoft bei einem Spiel oder Shop einloggt, benutzt deren Identitätsschicht. Der Shop erfährt dabei nur das Nötigste, etwa Name und Mailadresse, aber nie das Passwort. In Schulen und Firmen ist das Prinzip als Single Sign-on bekannt: eine Anmeldung morgens, danach laufen alle Programme.

Auch staatliche Systeme gehören dazu. Die Online-Ausweisfunktion des deutschen Personalausweises und die geplante europäische Identitäts-Wallet sind Identity Layer für Behördendienste. Bei Banken kommen gesetzliche Prüfungen hinzu, etwa der Nachweis der Identität bei der Kontoeröffnung.

In Wirtschaftsnachrichten taucht der Begriff auf, wenn es um Marktmacht geht. Wer die Identitätsschicht kontrolliert, sitzt an der Tür zu vielen anderen Diensten. Ein verbreiteter Irrtum ist, ein Identity Layer mache ein System automatisch sicher. Er bündelt Risiko nur an einer gut geschützten Stelle. Fällt diese Stelle aus oder wird sie geknackt, sind alle angeschlossenen Dienste betroffen.