Podcast: Von der Blockchain zur SSI – ins Wallet

Ende April 2021 wurde ein 50-seitiges Whitepaper zu möglichen Einsatzszenarien von SSI (Self-Sovereign Identity) veröffentlicht, an dem mgm mitgearbeitet hat. Die Expertinnen und Experten der Forschungsgruppe sind der konkreten Frage nachgegangen, wie Händler auf Marktplätzen im Internet den verpflichtenden Steuernachweis mittels Blockchain-Technologie erbringen können. Herausgekommen ist unter anderem ein Prototyp, der das bekannte ELSTER-Zertifikat nutzt.

Ein Gespräch mit Ansgar Knipschild, der sich bei mgm neben Marketing mit Innovationsthemen beschäftigt, über die Studie, den Prototypen und vor allem über das Konzept SSI allgemein. Länge: 38 Minuten.

Transkript des Podcast-Gesprächs

Daniel Rasch: Hallo und herzlich willkommen zu einer neuen Folge des mgm-Podcasts. Heute haben wir ein Thema mit Hype-Faktor, würde ich sagen. Es geht um Blockchain. Genauer gesagt, um eine „Machbarkeitsstudie zum Einsatz von Blockchain in der Steuerverwaltung“, so der Titel. Und so viel sei verraten, es geht um SSI, Self-Sovereign Identity, also selbstbestimmte Identitäten in der digitalen Welt. Darüber gibt jetzt aktuell eine umfangreiche Studie. Seitens mgm hat Ansgar Knipschild an der Studie mitgewirkt. Mit ihm bin ich jetzt per Audio-Software verbunden. Wir wollen natürlich über die Studie sprechen, vor allen Dingen natürlich über die Ergebnisse und die Technologie. Hallo Ansgar.

Ansgar Knipschild: Hi Daniel, grüß’ dich.

Steigen wir direkt ein. Was war denn Gegenstand dieses Forschungsprojektes?

Der offizielle Titel der Studie ist ja SSI@LfSt, Self-Sovereign Identity im Kontext des Landesamts für Steuern in Bayern. Und klein steht darunter: „Einsatz der Blockchain-Technologie in der Steuerverwaltung“. Hört sich jetzt alles relativ sperrig an. Vielleicht sollten wir den fachlichen Use Case mal kurz nennen, unter dem das Ganze gestartet hat. Es geht nämlich um den Nachweis der steuerlichen Erfassung von Marktplatzhändlern. Seit 2019 sind Händler, die auf digitalen Marktplätzen handeln – da denkt natürlich jeder sofort an Amazon oder auch Ebay – dazu verpflichtet, einen Nachweis über steuerliche Erfassung zu erbringen. Streng genommen ist sogar der Marktplatz-Betreiber dazu verpflichtet. Und der wendet sich dann natürlich an die entsprechenden Marktplatz-Teilnehmer, die Händler.

Dieses Thema beschäftigt natürlich die Behörden: Wie kriegt man das organisiert? Vor allen Dingen, weil wir ja auch international unterwegs sind. Wir reden da nicht nur über deutsche Händler, die bei Amazon, Ebay und Co aktiv sind, sondern dort kann sich eigentlich jeder registrieren, um dann in Deutschland Handel zu treiben. Es können natürlich auch Händler aus China, Südamerika, wo auch immer her sein. Und hier geht es darum, diesen Teil ihrer Identität, ihr Identitätsmerkmal „steuerliche Erfassung“ zu untersuchen, wie man das digital machen könnte. Außer klassischen direkten Schnittstellen zwischen den verschiedenen Parteien, zum Beispiel von Steuerbehörden zu den Marktplätzen, tauchte dann noch die Idee auf: Mensch, gerade bei doch tendenziell immer mehr Beteiligten, sogar weltweit, kann uns da das Thema Blockchain nicht weiterhelfen? Und das war der Trigger, warum wir uns da zusammengesetzt haben.

Waren denn die Steuerfrage und der Nachweis der Ursprung des Forschungsprojektes oder Blockchain an sich und dann wurde der Case „Steuer“ hinzugenommen?

Ja, der Case war wirklich der Trigger dazu. Dazu die traditionelle Technik, sozusagen das Sich-Wenden an ein digitales System, um den Nachweis zentral zu erlangen. Und dann sollte parallel untersucht werden, wie das Ganze dann mit der Blockchain-Technologie funktioniert, weil wir spontan zumindest ein paar interessante Punkte gefunden haben, die dafürsprechen könnten. Und das sollte dann im Rahmen der Studie genauer untersucht werden. Aber, wie es dann so ist, im Laufe der Studie hat sich dann gezeigt, dass es doch auch relativ viele andere Ansetzungs- oder Anknüpfungspunkte geben könnte, weil es doch sehr viele Nachweise auch auf Unternehmensebene gibt. Sodass dann nachher der Scope ein bisschen breiter gefasst wurde, nicht nur dieser eine spezielle Case. Und da dann auch dieser etwas generischere Titel „Einsatz der Blockchain-Technologie in der Steuerverwaltung“.

Wer war an dem Projekt beteiligt?

Insgesamt waren es vier Parteien. Federführend war das Bayerische Landesamt für Steuern, das das Ganze letztendlich koordiniert hat. Und dann haben wir das Projekt von Seiten mgm zusammen mit den Kollegen von Fraunhofer-FIT und der Friedrich-Alexander-Universität in Nürnberg-Erlangen zusammen vorangetrieben.

Self-Sovereign Identity (SSI) als Basis der digitalen Identität

Gehen wir direkt am besten zu SSI. In der Studie sind ja auch andere Szenarien kurz beschrieben und auch begründet verworfen, SSI dann weiter beleuchtet worden. Kannst du in Kürze zusammenfassen, was SSI ist und was es nicht ist?

Ich glaube, da bin ich jetzt echt mal so frei und switche mal hier in meinen Browser zu Wikipedia. Offiziell ist es nur ein Satz: SSI, Self-Sovereign Identity, in Deutsch die selbstbestimmte Identität. Das erlaubt einer Person oder Organisation, eine digitale Identität zu erzeugen und vollständig zu kontrollieren, ohne dass es der Erlaubnis eines Vermittlers oder einer zentralen Behörde bedarf. So, wenn man das mal sacken lässt, bedeutet das, du Daniel, ich Ansgar kann mir einfach mal selbst mal die Identität anlegen …

In dem Fall der Händler. Das war der Betrachtungsfall, oder?

Ganz genau, der Händler. Um es dann gegenüber Dritten nachzuweisen. Und jetzt kommen wir natürlich relativ schnell auf den Trichter: Selbst wenn man das technisch ohne eine zentrale Behörde hinkriegt, das ist ja der dezentrale Aspekt des Ganzen – wieso soll ich denn dem Daniel glauben, dass er der Daniel ist? Und dem Ansgar glauben, dass er der Ansgar ist? Oder dem Händler glauben, dass er der Händler ist? Und da kommt das Thema dazu, dass hier der Nachweis von Dritten sehr häufig erforderlich ist. Das heißt, man kann natürlich das Spiel der dezentralen Identitäten so denken, dass es wirklich komplett neue selbst erzeugte Identitäten sind. Oder man kann auch sagen: Ich lege dort die Kopie einer bereits existierenden Identität ab und lasse sie mir von einem Dritten, dem Aussteller der eigentlichen Identität betätigen und benutze dann diese Technologie nur als Transportmedium.

Ein konkretes Beispiel: Ich nehme meinen Personalausweis, hinterlege die Information, Name, Straße, Geburtsdatum, meinetwegen auch die Nummer dort und lasse mir sie dann von der ausstellenden Behörde in dieser Technologie bestätigen. Obwohl die Behörde selber im Betrieb damit gar nichts zu tun hat, ist sie dann auf die Rolle des Bestätigers reduziert, der das Ganze praktisch abstempelt, die beglaubigte Kopie, wie wir es auch in Papierform kennen.

Bei den Händlern und dem untersuchten Fall ist es jetzt die Umsatzsteuerpflichtigkeit der Händler?

Ja, beziehungsweise die steuerliche Erfassung. So heißt es dann ganz konkret. Das ist letztendlich klar, wir sind ganz nah an der Umsatzsteuernummer. Es wurde auch gesetzlich, rein fachlich, diskutiert, ob dafür eine eigene Ordnungsnummer eingeführt werden sollte. Das wurde aber verworfen. Ist, glaube ich, auch noch so ein bisschen in Diskussion, warum wir uns dann auch nachher so ein bisschen von dem Use Case wieder entfernt haben. Aber es ist trotzdem ein ganz gutes Beispiel, um auch nochmal herauszuarbeiten: Wir sehen SSI gerade im behördlichen Kontext nicht als eine Konkurrenz zu anderen zentralen Identifikationssystemen, klassisch der Personalausweis oder Gewerberegister, wo Unternehmen registriert sind, sondern als Transportmedium, um die Nachweise darüber elegant dezentral zu verteilen.

Digitale Nachweise mit vielen Vorteilen

Welchen Vorteil hat das gegenüber der bisherigen analogen Variante?

Spielen wir mal ganz kurz durch, welche Möglichkeiten es gibt beziehungsweise welche heute auch gelebt werden, weil das Thema ist ja seit 1.1.2019 sogar gesetzlich verpflichtend. Ich glaube, wir sind jetzt noch in irgendwelchen Übergangszeiten. Aber Stand heute ist, dass der Händler, der sich beim, nehmen wir ruhig das Beispiel, Amazon Marketplace registriert, verpflichtet ist, letztendlich ein Schriftstück, ein Papierstück, einzureichen, aus dem ersichtlich wird, dass er steuerlich erfasst ist. Das wird wirklich per Papier, vielleicht auch per Scan gemacht. Wobei natürlich jetzt auch beim Scan dann wieder das Problem besteht: Ist das verfälscht worden? Gerade, wenn jetzt jemand aus dem Ausland das Ganze einreicht. Der postalische Sitz vielleicht nicht 100 Prozent genau erklärt und nachvollziehbar ist, hat man hier die Tücken. Papierbeleg, Medienbruch, Fälschbarkeit, so wie man es mit jedem anderen Ding, wie meinetwegen auch zum Beispiel, ich nehme jetzt mal aus dem persönlichen Umfeld das Beispiel, bei der Kopie von seinem Diplomzeugnis oder seiner Doktorarbeit hat.

Die nächste Stufe, die wir kurz auch andiskutiert haben, wäre natürlich jetzt die: Man macht jetzt ein elektronisches Formular auf Seiten von Amazon. Aber das müsste natürlich bei jedem Marktplatz, Ebay und so weiter, eingerichtet werden. Dort tippt dann der Händler beim Onboarding seine Daten ein und tippt dann zum Beispiel die Umsatzsteuer-Identifikationsnummer ein. Wobei man damit das Problem nur ein bisschen verlagert hat, denn da kann ja auch wieder jeder seine Nummer eintragen, wie er will. Im Zweifel müsste der Marktplatz-Betreiber jedes Mal bei den entsprechenden Behörden nachfragen: Stimmt das, passen Unternehmensname, Sitz und Nummer überein? Und es müssen die Schnittstellen entsprechend gebaut werden. Dritte Variante: Man nimmt einen echten Identitätsprovider in der Mitte dazwischen, bei dem der Händler einmal nur zum Beispiel diesen Nachweis digital hinterlegt, um dann von dort das Ganze an die Marktplätze zu verteilen.

Dann hat man aber wieder den Dritten drin.

Ja, dann ist ein Dritter dabei. Und es gibt ja einige Initiativen, die aus der Wirtschaft, zum Teil ja auch von den Behörden getrieben werden. Elster zum Beispiel hat auch mit dem NEZO-Verfahren die Möglichkeit, Daten von Steuerpflichtigen an Dritte weiterzugeben. Diese Verfahren haben allerdings den Nachteil, so möchte ich es mal formulieren, dass sie in ihrer Datenstruktur relativ starr sind und nicht so leicht angepasst werden können. Das sind zentral gepflegte Schnittstellen, an denen viele Systeme dranhängen. Und wenn man jetzt für so einen fachlichen Case sagt, ich brauche mal ein Feld mehr, ich formuliere es jetzt mal so ganz salopp, oder vielleicht sogar mal ein paar mehr, sind entsprechend aufwendige Updates und ähnliche Verfahren notwendig. Und das Ganze wächst natürlich dann immer mehr.

Das führte dann bei unseren Untersuchungen dazu, zu sagen: Was wäre denn, wenn man diese Daten in einem sicheren, verschlüsselten Verfahren auf eine Blockchain hinterlegen könnte? Wenn man jetzt darauf vertraut, dass sich diese Art von Technologie vielleicht in den nächsten Jahren bis zu einem gewissen Grad durchsetzt, kann man dann auf offene Standards setzen und könnte jetzt sagen: Wenn jetzt die verschiedenen beteiligten Parteien, sowohl die Aussteller oder diejenigen, die praktisch ihren Stempel daruntersetzen und die Empfänger, die Marktplätze, diese Technologie akzeptieren und sie vielleicht auch für ganz andere Zwecke einsetzen, dass dann der Schnittstellenaufwand hier geringer ist, weil man praktisch auf allgemeinen Standard alles abwickeln kann.

Aber die Händler brauchen doch trotzdem eine Identität, mit der sie einmal sagen: ja, ich bin der und ich bin umsatzsteuerpflichtig oder steuerpflichtig erfasst?

Genau, richtig erkannt. Das sind eigentlich zwei Stufen. Erste Stufe: Ich bin der, der ich bin, die klassische Identität. Und wenn das bestätigt wurde, dann: Ich habe den Nachweis meiner Erfassung. Und als wir das mal auf Blockchain versucht haben, kamen wir relativ schnell zu dem Punkt, dass es wahrscheinlich keine gute Idee ist, wirklich die echten Nettodaten in die Blockchain zu schreiben. Denn man hat natürlich auch das Thema der Nicht-Veränderbarkeit von Blockchain-Daten, ein klassisches Merkmal der Blockchain. Dann ist natürlich Datenschutz auch ein Thema. Ich kann Daten auch nicht löschen. Ich muss sehr viel Aufwand in entsprechenden Architekturen betreiben, dass sie zumindest verschlüsselt sind und, und, und. Sehr aufwendig.

Dann kamen wir aber zu der Erkenntnis: Da gibt es schon etwas, zu dem sich auch schon viele andere Gedanken gemacht haben, nämlich unter dem Namen SSI. Und dort wird es so gelöst, dass nicht die Daten selber, in unserem Beispiel Unternehmensname, Straße, Postleitzahl und so weiter und auch die Nummer, auf der Blockchain, dieser Datenbank, gespeichert werden, sondern nur die, ich sage mal, Stempel, die Prüfverfahren da drauf. Das heißt aber, selbst wenn ich dann mal in dieser Blockchain nativ lese, was für Nachweise ja sogar gewünscht ist, wird man daraus nicht schlau, denn dort sind letztendlich nur Referenzen und verschlüsselte Hinweise auf die Originaldaten, die ganz wo anders liegen.

Und womit weist sich der Händler denn einmalig aus? Es muss doch trotzdem irgendwas geben.

Ja. Spielen wir es mal durch. Wir haben dazu einen Prototypen entwickelt, nach dem wir uns die Architektur und den Prozess aufgesetzt haben. Und da sieht es folgendermaßen aus: Da jedes Unternehmen steuerpflichtig ist, hat es in der Regel auch einen entsprechenden Elster-Steuerzugang. Ich kann mich dort in meinem Steuer-Onlineportal anmelden. Und kann jetzt vielleicht auf einen neuen Menüpunkt klicken, der da heißt: Bitte schicke mir eine beglaubigte Kopie meiner steuerlichen Erfassung auf digitalem Wege in die Blockchain.

Hier ist es jetzt so, dass wir schon durch das Login im Elster-Steuer-Onlineportal und mit dem damit verbundenen Zertifikat sicher authentifiziert sind. Das ist ja die Grundlage beim Login bei Elster. Und wir können jetzt diese Information, der Händler ist authentifiziert, das reine Datum, Unternehmen, Straße, Postleitzahl in der Blockchain validiert, als erstes Datenpaket entsprechend hinterlegen. Es wäre die Kopie des Elster-Zertifikats, mit dem ich mich bei Elster angemeldet habe, in der Blockchain abgelegt. Oder besser: Der verschlüsselte Hinweis darauf wird auf der Blockchain abgelegt. Und im zweiten Step würde man separat davon das Kennzeichen „ist steuerlich erfasst“ ebenfalls mit der entsprechenden Verschlüsselung auf der Blockchain ablegen. Es werden nicht die Daten selber abgespeichert, wie dargelegt, sondern nur ein Hash, so eine Art Prüfsumme, eine Quersumme, auf der Blockchain, die zusammen mit den Originaldaten dafür sorgt, dass man schauen kann: sind es die Originaldaten oder nicht?

Walltes zur Verwaltung digitaler SSI-Nachweise

Wie weist der Händler das letztendlich nach? Da sitzt ja wahrscheinlich irgendwie eine Mitarbeiterin, ein Mitarbeiter, um die steuerlichen Aspekte zu regeln. Gibt es dann Token, eine E-Mail, eine Datei? Oder wie soll das aussehen?

Um diese beglaubigten Kopien vorhalten zu können, muss man verstehen, dass die bei dem SSI-Ansatz beim Anwender selbst sind. Ähnlich, wie man ja beglaubigte Kopien zuhause in seinem Papierordner hält. Da hat man dann vielleicht die Fotokopie von seinem Abiturzeugnis oder was auch immer. Und vielleicht noch daneben die ganz wertvolle von einem Amt beglaubigte Kopie. Genauso muss man diese digitalen Kopien selber bei sich vorhalten. Und nur der Stempel dazu, dass sie echt sind, der ist auf der Blockchain.

Das bedeutet, um auf deine Frage zurückzukommen, der Händler, der das so macht, braucht eine entsprechende Wallet. So nennt sich das da im Fachjargon. Also letztendlich ein Tool, in dem er jetzt seine Daten abspeichert und auch den entsprechenden Querverweis auf den Stempel in der Blockchain. Wir haben beim Prototypen das Ganze auf einem Handy entsprechend implementiert. Erstens, weil es dort schon relativ viele Wallets gibt, die diese offenen Standards unterstützen. Da ist auf der einen Seite das Portal, in unserem Beispiel hier Elster, das die Kopie der Identität und auch der steuerlichen Erfassung hier ausgibt. Und auf der anderen Seite haben wir, physisch wirklich getrennt diese Wallets, die die kopierten Daten dann enthält.

Das ist natürlich im Enterprise-Kontext langfristig nicht denkbar, dass das bei Unternehmen  alle Leute auf dem Handy machen. Das heißt, hier würde man dann beim entsprechenden Enterprise-Rollout auf Webtechnologie gehen und eine Web-Wallet bauen. Wobei man da dann klassischerweise immer so ein bisschen in diese Zwickmühle reinkommt. Wo werden jetzt die Daten gespeichert? Eigentlich muss man sie jetzt wieder in einem zentralen Ort, in einer Webapplikation, auf einem Server, abspeichern.

Über ein Cloud-Lösung mit Zugriffsbeschränkungen und Zugriffsregelungen.

Ganz genau. Und wo liegen denn jetzt die Daten? Und klar, hier würde sich jetzt auch wieder öffentliche Anbieter wie ebenfalls die Rechenzentren von den Steuerbehörden, Elster und Co anbieten, die hier den Speicherplatz zur Verfügung stellen. Damit dreht man sich am Anfang für diese relativ kleine Lösung vielleicht so ein bisschen im Kreis, weil man sagt: Das hätte man auch direkt über den nativen Zugriff zu Elster lösen können. Aber das ist sicherlich so ein bisschen das Henne-Ei-Problem, was man ganz am Anfang hat.

Wenn man versteht, dass diese Technologie, also sowohl die Blockchain als auch die Wallet vom Use Case her völlig unabhängig ist, auch beliebig andere Sachen aufnehmen kann, geht es eigentlich nur darum, dass man einmal eine oder mehrere solcher Blockchains und natürlich diese Wallets bereitstellt. Die Handynutzer kennen das von der iPhone-Fraktion zum Beispiel auch über die Apple-Wallet. Die ist zum Teil zwar zentral, zum Teil aber auch lokal. Jeder, der seine Flugtickets und Co. darin ablegt, kennt das. Die sind ja wirklich nur lokal bei mir abgespeichert, zum Teil dann auch per Cloud synchronisiert für die, die sich damit beschäftigt haben.

Aber auch hier geht es ja darum, dass sowohl auf der Kundenseite als auch bei der Ausgeberseite die Infrastruktur einmal da sein muss. Und dann kann man darauf aber natürlich verschiedene Applikationen aufsetzen.

Wenn der Händler jetzt einmal, bleiben wir bei dem Beispiel, auch am Prototypen Wallet am Smartphone von Elster sich die Verifizierung geholt hat, wäre die dann auch für andere steuerliche Aspekte gültig, die darauf zugreifen? Oder muss für die Umsatzsteuer einmal der eine Nachweis, für die nächste Steuer der andere Nachweis, für den Zoll der dritte Nachweis hinterlegt werden?

Das Schöne bei dem SSI ist, dass man sich die Nachweise einzeln bei den Sendern abholt. Ich war bei dem Beispiel Elster. Man könnte es sich vorstellen, dass sich das Unternehmen vielleicht auch den Nachweis über den Eintrag bei der IHK entsprechend bescheinigen lässt oder sich zum Beispiel, wenn es ein Architekt ist, vielleicht von der Kammer den Eintrag geben lässt, und, und, und. Da kann man sich jetzt eine Menge ausdenken. Und alles, die wirklich physischen Daten, wird in dieser Wallet gesammelt. Das ist dann wirklich wie in der Smartphone-Wallet, um bei dem Beispiel mal zu bleiben. Aber mit dem riesen Unterschied, sie haben alle einen Link auf einen entsprechenden Blockchain-Eintrag und können damit geprüft werden, dass sie nicht manipuliert worden sind. Und ich kann sie jetzt gegenüber Dritten, anderen Behörden hattet du gefragt, vielleicht aber auch Unternehmen oder ich habe einen Förderantrag zu leisten, in beliebiger Kombination zurückgespielt werden.

Das heißt, hier kommt genau der Vorteil der Technologie. Ich hatte vorhin erzählt, dass klassische Schnittstellen häufig relativ starr und nicht so leicht anzupassen sind. Einfach, weil so viel entsprechende Implementierung auch daranhängt und auch der Migrationsaufwand hoch ist. SSI ist eigentlich genau das Gegenteil. Es ist extrem flexibel. Es kann zum Beispiel, wenn man jetzt bei einer anderen Behörde vorstellig wird und die sagt: Ich brauche von dir a) eine Bestätigung über den Sitz deines Unternehmens, b) über deine Umsatzsteuererfassung und c) vielleicht noch, dass du auch wirklich bei der Kammer geführt bist. Dann kann das in einem Rutsch über die Wallet abgefragt werden.

Kern von SSI: Transparenz

Aber dann im Beispiel mit drei verschiedenen Nachweisen, die man dann anklickt?

Ja. Es ist so, dass bei SSI ein ganz starkes Prinzip ist, dass praktisch der, der an den Daten interessiert ist, nehmen wir mal an, es wäre so ein Förderantrag bei einer Behörde, der fragt wirklich beim Anwender, bei Unternehmen an, welche Daten er gerne hätte. Sagt dann: Ich hätte gerne von dir Name, Unternehmen, Straße, Postleitzahl. Die sehe ich dann in meiner Wallet auch als Anfrage. Achtung, Anfrage, das Unternehmen hätte gerne die und die und die Daten. Und das bestätigt man dann wirklich per Klick. Und dann sammelt sich die Wallet die Information eigentlich aus der eigenen Wallet zusammen und schickt sie in einem Rutsch zurück.

Das heißt, wichtig bei SSI ist diese Transparenz. Da kommen wir wieder zur Souveränität, zum souveränen Aspekt. Jeder Kontakt überhaupt zu einer neuen Behörde, wo man sich entweder neue Bescheinigungen einholt oder sie anderen gegenüber ausweist, wird transparent gemacht. Muss ich bestätigen. Man kann dann so ein bisschen, wie man das so aus Software kennt, mit so einem Kreuz auch automatisieren. Und beim initialen ersten Kontakt wird immer gefragt: Jetzt möchte bitte Behörde A mit dir sprechen. Erlaubst du das? Ja, Häkchen. Und b.) jede Datentransaktion wird wirklich individuell angefragt und auch nur die werden zurückgeschickt.

Es ist also nicht die Blackbox wie bei dem Dritten in der Mitte. Wenn man da vor allen Dingen mal an einen ganz extremen Gegenpol wie Google, Facebook, Amazon und Co denkt, die ja auch Registrierungen bei Onlinediensten anbieten, da weiß man nicht, was im Hintergrund passiert. Da fehlt ja genau diese Transparenz. Und das ist ein ganz anderer wichtiger Bestandteil. Weshalb auch in der Studie gerade der Aspekt Datenschutz, Transparenz für den Anwender ein ganz wichtiges Merkmal war und da auch sehr positiv bewertet wurde.

Ich persönlich komme bei meinen Einträgen im Wallet schon mal durcheinander. Dazu, jeder kennt das wahrscheinlich, inzwischen hunderte von verschiedenen Passwörtern. Und hier stelle ich mir jetzt gerade mit Blick auf Enterprise vor: Es muss irgendwo dann diese Cloud-Wallet mit eins bis n Identitäten geben, die verwaltet werden müssen. Das birgt ja nun auch ein Risiko, oder?

Ja. Das Risiko liegt aber, das kann man als Vor- und tatsächlich auch als Nachteil sehen, erstmal beim Anwender. Wichtig für das Verständnis: Die Daten liegen nur bei den webbasierten Lösungen dann in der Cloud auf dem Server. Und dann muss man sicherlich vertrauenswürdige Partner finden, wo man die Daten entsprechend hinterlegt, keine Frage. Wenn ich sie aber wirklich bei mir lokal ablege, was mit der Technologie ja auch durchaus denkbar ist, dann gibt es diesen Angriffspunkt eigentlich nicht mehr, weil das bei mir lokal liegt. Oder er ist zumindest deutlich erschwert.

Ich meinte gar nicht nur die Cloud, sondern generell die Gefahr des Durcheinanders und natürlich Mitarbeiter kommen und gehen, die das dann verwalten. So habe ich in der analogen Welt im Zweifelsfall einmal den Nachweis von zum Beispiel der Handelskammer im guten alten Leitz-Ordner. Den kopiere ich einmal, schicke ihn weg und stelle den Leitz-Ordner wieder weg. Und dann kann da auch der nächste Mitarbeiter ran. Das heißt, es muss natürlich dann auch von der Security so geguckt werden, dass allen Mitarbeiter da auch wieder Rechte entzogen bekommen werden müssen.

Da sehe ich in Zukunft einen großen Markt, wenn sich die Technik für solche Enterprise-Wallet-Lösungen durchsetzt, wo man genau das abbildet, was du gerade beschreibst. Ein Unternehmen holt sich einmal die entsprechenden Daten, lässt sich bescheinigen, kann dann autark sagen, welcher Mitarbeiter Zugriff darauf hat, die entziehen kann man dann auch wieder mit SSI machen. Das könnte man dann vielleicht wirklich sogar per Handy regeln, dass man so eine Kette macht.

Es gibt an der Sperrspitze des Ganzen, gerade bei Technologieunternehmen, die ihren gesamten Login-Verkehr morgens beim Rechner damit schon machen. Sie sagen: Ich spare mir diese klassische zentrale Administration auch über Passwörter, sondern ich verlagere das auf so ein Wallet und klar, wenn ich als Mitarbeiter das verliere, wie jeder andere Schlüssel auch, dann kann ich den Schlüssel für ungültig setzen. Auch das ist im Standard vorgesehen. Das war auch etwas, das wir in der Studie untersucht haben, indem ein zweiter Stempel auf die Blockchain hinterhergeschickt wird, der den ersten negiert. Der erste ist immer noch da. Der sagt, das wurde ursprünglich mal für okay gefunden, aber es wird gleichzeitig immer wieder geguckt, ob es danach noch einen gibt, der den praktisch wieder aushebelt. Aber damit hätte man so eine Kette: Es ist erste Stufe beim Mitarbeiter für Authentifizierungen und entsprechende Logins. Und Stufe zwei auf Firmenebene dann für die entsprechenden Nachweise.

Gibt es noch andere Risiken jenseits von Datenschutz? Vielleicht in der Blockchain selber, weil dezentral Strom ausfallen kann? Ich spinne jetzt mal rum.

Vom Technischen her überwiegen ja die Vorteile einer dezentralen Technologie im Sinne von: Es sind mehrere Server, die dort betrieben werden. Und wenn die jetzt wirklich auch physisch auf mehrere Rechenzentren oder vielleicht sogar von ganz unterschiedlichen Betreibern verteilt sind. Und die Technologie unterstützt es, sehr einfach zu skalieren, also schlicht und ergreifen wirklich weitere Server ohne zentrale Administration dazu zu stellen. Das zeigt ja sogar das legendäre Bitcoin-Beispiel ganz schön. Unabhängig jetzt von Kryptowährungs-Diskussion, dass sowas an der Stelle wirklich skalieren kann.

Wie gut es skaliert ist, ist in der Tat wirklich noch ein Fragezeichen, was wir auch in dem Folgeprojekt nochmal genauer untersuchen wollen, wo wir dann entsprechende Lasttests auch fahren wollen. Speziell jetzt im Kontext von SSI, um zu schauen, an welche Grenzen es da stößt. Und das ist in der Tat auch noch ein Schwachpunkt, den wir da sehen und prüfen müssen und wo man schauen muss, wie viel Hardware-Kapazität man da wie verteilt braucht. Das war wiederum ganz interessant, dass für das Thema nicht unbedingt auch eine Blockchain geeignet ist, sondern man kann mehrere parallel betreiben.

Wenn man so ein bisschen schaut, was in Europa gerade passiert, dann sieht man gerade diverse Initiativen da so aus dem Boden sprießen, die sich mit dem Thema beschäftigen. Sogar auf EU-Ebene. Da ist bis Ende 2022 geplant, mit den EBSI-Projekten eine entsprechende Blockchain-Infrastruktur bereitzustellen. Wirklich im Sinne von Hardware und Netzwerk und dass man da als Bürger drauf zugreifen kann. Bis hin zu aus der Privatwirtschaft organisierten Blockchains. Und das sind dann getrennte Netze, die aber alle von einer Wallet aus zugreifbar sind.

Auch da wieder die Analogie, die ich eingangs zur E-Mail hatte, ich kann E-Mail-Client haben, mit der ich mehrere Postfächer abgreife, sehe sie aber in einem Nachrichtenstrom. So muss man sich das bei den Multi- oder mehreren Blockchains parallel auch vorstellen. Es muss nicht die eine Blockchain sein, die man skaliert. Man kann auch einfach über mehrere Blockchains gehen und dann verteilt sich der Traffic ja auch entsprechend.

SSI-Initialzündung aus Wirtschaftsanwendungen

Das hört sich aber so an, dass wahrscheinlich die Initialzündungen für viele produktive Systeme eher aus der Wirtschaft kommen und dann in den Privatbereich, weil du gerade Bürger sagtest, schwappt als umgekehrt, oder?

Das ist jetzt wirklich Glaskugel. Ich glaube, es bedarf einfach, ja, wahrscheinlich so einiger Use Cases, um bei diesem Henne-Ei-Problem einfach eine entsprechende Akzeptanz zu schaffen. Ich glaube, dass bei Firmen bei doch jetzt zunehmender Digitalisierung der Bedarf nach solchen digitalen Bescheinigungen einfach exponentiell zunimmt. Das ist ja nicht nur ein Behördenthema. Das hat man ja auch durchaus im Intercompany-Bereich, von Frachtbriefen bis Orderbestätigungen et cetera

Supply Chain…

Ja, Supply Chain, selbst IoT. Wenn man sich sagt: Devices sollen Daten sicher übertragen und es soll nachweisbar sein, dass es wirklich passiert ist. Das kann man, ja, alles über diese oder artverwandte Technologien machen. Und wenn sich damit natürlich auch einfach vom Begriff, vielleicht auch von der Technik her das ein bisschen breiter durchsetzt, dann entsteht auch Vertrauen. Und dann schwappt das vielleicht auch in den Privatbereich rüber. Vielleicht gibt es aber auch im Privatbereich die Killer-Applikation, die sagt: Hey, wir haben jetzt schon Kreditkarten virtualisiert, Apple-Pay, Samsung-Pay mal als Beispiel, aber die können nur das. Theoretisch kann man da exakt das gleiche auch wieder mit dieser Technik machen. Eine Kreditkarte ist letztendlich auch nur ein Strom von Zahlen, die Nummer, Prüfsumme, mehr brauche ich nicht. Das kennt jeder, der ein Kreditkartenformular mal online ausgefüllt hat. Und wenn ich jetzt sicherstellen kann, dass ich die Daten nicht nur einfach reintippe, sondern sie wirklich aus einer unverfälschten digitalen Quelle kommen, aus einem SSI-Wallet, ist man sogar sicherer als vorher.

Mit dem Beispiel will ich nur aufzeigen, wenn sich sowas durchsetzen sollte, vielleicht auch für andere Bezahlverfahren, Loyalty-Verfahren. Weil ich glaube, die Bürger oder Anwender, besser gesagt, sind es ab einem gewissen Punkt bestimmt auch Leid, für all ihre digitalen Sammlungen, Punkte und sowas überall die eigene App zu haben.

Definitiv!

SSI kann da ein spannender Punkt sein. Und er ist wirklich von den Anbietern entkoppelt. Das muss man immer wieder unterstreichen. Wie bei E-Mail, ohne dass jemand auch genau versteht.

Wie aufwendig ist es, da so ein System zu installieren? Es gehört im Prinzip ja auch zum Henne-Ei-Prinzip. Hat ein Anbieter einen Vorteil davon? Von der Höhe des Investments abhängig und um nachher irgendwann zu einem Return on Invest zu kommen?

Ich würde da zwei Ebenen beleuchten wollen. Das ist einmal die Infrastruktur, die Blockchain selber. Da haben wir uns zum Beispiel auch im Rahmen des Piloten bewusst dagegen entschieden, selber eine aufzubauen. Und wir sind auf öffentlich zugänglich gegangen, die es gibt, die man einfach nutzen kann. Zum Teil sogar auch kostenlos, weil sie von Universitäten oder Forschungseinrichtungen bereitgestellt werden. Und das kann man ja, das ist ja wieder das interessante, ja auch ganz gefahrfrei machen, weil ja gerade wiederum die Idee ist, dass dort nicht die Originaldaten gespeichert werden, sondern nur die entsprechenden Schlüssel und Verweise, die unkritisch sind.

Deshalb kann man eigentlich auf jeder öffentlich zugänglichen SSI-Blockchain völlig gefahrlos auch einfach seine Information abspeichern, wenn man wiederum natürlich den Grundmechanismus vertraut. Da sind dann, wenn man so will, die Kosten null. Klar, wenn man entsprechende Performance haben will, vielleicht auch selber ausfallsicher sein will, dann braucht man entsprechende Rechenzentren, Server oder schließt sich einfach einem Netzwerk an. Aber nehmen wir mal an, dass das Thema in Zukunft vielleicht gelöst ist, dann verbleibt vor allen Dingen für Unternehmen die Frage: Wie binde ich auf meiner Applikationsseite? Zum Beispiel meinem SAP oder anderen ERP-System, das dort anbinden will. Wie kann ich das an die Blockchain anschließen? Und da bin ich bei klassischen Schnittstellenthemen, Schnittstellen-Projekten, wo ich relativ einfach mit vertretbarem Aufwand, glaub ich, auch ankomme.

Ja, ich höre raus, dass du davon zumindest überzeugt bist. Das wäre eine Frage gewesen. Deswegen die andere Frage: Glaubst du denn, dass es zum Standard, du sagtest Glaskugelblick, für solche Nachweisprozesse wird? Es ist ja doch sehr offensichtlich eine gute digitale Lösung.

Ich muss ganz klar sagen, wir reden hier über aktuell eine absolute Nische. Ich würde es auch bewusst mal so nennen, über eine Nerd-Technologie. Vergleichbar mit bestimmten digitalen Bezahlverfahren. Von Bitcoin will ich jetzt gar nicht reden. Aber ich glaube, selbst klassisches digitales Bezahlen ist wahrscheinlich bei 0,X Prozent der Bevölkerung angekommen. Kreditkarten oder kontaktloses Bezahlen kommen so langsam. Von daher wage ich da wirklich keine Prognose. Ich glaube aber in der Tat, dass rein vom Technischen her, vom Design her vieles für diese Lösung spricht. Die Standards, die schon drin, die im W3C, der zum Beispiel auch für viele Internetstandards zuständig ist, dort abgesegnet ist, Open-Source-Pakete, die auch schon einen gewissen Reifegrad haben, Hyperledger muss man da mal als ein Produkt nennen, auf dem unser Pilot im Kern basiert, der auch eine weite Verbreitung in der Industrie hat. Nicht nur im SSI-Blockchain-Kontext, sondern auch wo anders.

Das sind alles Argumente, die dafürsprechen würden, das voranzutreiben. Aber ich glaube, jeder weiß, der in der digitalen Branche zuhause ist, rationale Argumente oder Logik ist das eine. Das andere ist natürlich Politik. Politik im Sinne von Identitätsmanagement ist natürlich ein Thema, das auch noch durch die alte Brille betrachtet nach dem Motto „wer die Daten hat, gewinnt“ gespielt wird. Von daher wird der Kampf aktuell immer noch so geführt, dass möglichst viele probieren, ihre Daten eher zentral zusammenzuhalten. Ob das geknackt wird, vielleicht auch durch eine stärkere Regulatorik, die dort natürlich immer stärker reingeht, DSGVO und Folgen, das stelle ich mir eigentlich als die Hauptkatalysatoren vor, die vielleicht zu einer Beschleunigung für SSI bewegen.

Ob es dann genau diese Technologie oder was Artverwandtes ist, das sei mal dahingestellt. Aber ich glaube, der Trend, dass man auch als User und Bürger ein bisschen mehr in die Verantwortung mitreingenommen wird, auf der anderen Seite dafür dann mehr Transparenz bekommt, hat vieles für sich. Und ich glaube, in die Richtung wird es schon gehen.

Zeithorizont: fünf bis zehn Jahre

Hast du grob einen Zeithorizont? Ich nagele dich nicht drauf fest.

Okay, danke. Die Initiativen, die ausgerollt werden sollen, sowohl Privatwirtschaft als auch, ich habe ja die EU-Initiative zum Beispiel genannt, haben so Zeithorizont 2022/23. Leg nochmal ein Jahr drauf, weil vielleicht der eine oder andere Delay da ist, dann ist die Technik da. Dann würde ich sagen, bis dafür die Use Cases dann darauf wachsen, nochmal zwei, drei Jahre. Das heißt, rein logisch reden wir hier über fünf bis zehn Jahre, dass sich signifikant überhaupt etwas bewegen kann. Alles davor wäre, glaube ich, Glück oder in bestimmten Nischen, da wo es vielleicht schneller gehen kann, in der Tat, übrigens vielleicht noch als so Ausblick und Sidenote auch zum Thema Corona wurde die Technologie durchaus diskutiert. Das Thema: Wie kann ich es schaffen, anonym unter Kontrolle von zum Beispiel einem Bürger zu protokollieren, wo ich wann war? Das heißt, auch solche Außeneinflüsse können natürlich solche Technologien immer beschleunigen, aber das wollen wir alle nicht hoffen. Und von daher, glaube ich, die fünf bis zehn Jahre sind da vielleicht schon eher ein optimistischer Ausblick.

Ja, aber könnte passen. Unser elektronischer Personalausweis beziehungsweise der mit der elektronischen Nachweisfunktion hat ja gerade zehnjähriges gehabt. Und da war ja die Diskussion auch immer ein Henne-Ei-Prinzip. Keiner macht es, weil es nur irgendwie 100 oder ein bisschen mehr Anwendungen gibt. Der startete vor zehn Jahren. Das war eine andere digitale Welt als heute. Wir werden sehen.

Ja, gut, und wir haben zwei Seiten. Auf der einen Seite, ist ein gutes Beispiel mit dem Ausweis, welche Verfahren unterstützt denn das? Und auf der anderen Seite, der Kundenseite: Wie einfach ist denn das einzusetzen. Vor zehn Jahren hatte man diesen monströsen …

…Kartenleser.

Ja, den Kartenleser.

Ein Showstopper!

Showstopper. Das iPhone kann es, glaube ich, Pi mal Daumen erst seit einem Jahr. Vorher ging es nur über Samsung. Jetzt die Virtualisierung des Ausweises? Ich glaube, das ist für 2021 auch nur Samsung-Telefone erstmal in der ersten Ausbaustufe gedacht, dass ich jetzt nicht immer auch den Ausweis noch dazu haben will. Und eigentlich ist ja diese Virtualisierung.

Dann kann es eigentlich ja so richtig losgehen.

Aber ist ja auch wieder SSI. Das ist wieder genau das gleiche. Ich nehme das Original und lege es lokal so sicher ab, dass ich das dann wiederum beim Nachweis gegenüber Dritten zumindest bis zum gewissen Vertraulichkeitslevel verwenden kann. Und vielleicht kommen bei diesen Sachen auch der eine oder andere Hersteller auf die Idee: Mensch, statt da jedes Mal für jeden Case, mal ist es der Personalausweis, mal die Gesundheitskarte, dass man da eher auf einen Standard geht, weil der Rollout natürlich, wie es der Ausweis zeigt, echt teuer ist und jedes Mal Apps und ähnliches bedeutet. Und für den Bürger und User natürlich auch die entsprechende Vielfalt und Chaos.

Na, wir werden sehen. Gut, vielen Dank. Die Studie verlinken wir natürlich in den Shownotes. Die beteiligten Partner ebenfalls und noch weitere Informationen. Dann ist alles am Ort des Podcasts. Ich sage ganz vielen Dank für die spannenden Einblicke, Ansgar. Und werden wir mal sehen, du sagtest im Halbsatz mal, Folgeprojekt oder Folgeforschungsprojekt, was sich da ergibt. Und dann werden wir vielleicht nochmal sprechen. Danke sehr.

 

Die Projektpartner:

• Bayerisches Innovationsnetzwerk Steuer (BISt/SZS) beim Bayerischen Landesamt für Steuern
• Projektgruppe Wirtschaftsinformatik des Fraunhofer FIT
• Friedrich-Alexander-Universität Erlangen-Nürnberg (FAU), Lehrstuhl für Steuerrecht und Öffentliches Recht
• mgm technology partners