ZURÜCK

Im Rahmen der Blockchain Strategy¹ plant die Europäische Kommission (KOM), eine Führungsrolle in der Blockchain-Technologie einzunehmen, um neue Vertrauensmodelle zwischen Bürgerinnen und Bürgern sowie Organisationen über die Distributed-Ledger-Technologie (DLT) Blockchain nach europäischen Werten grenzübergreifend aufzubauen.

Zuerst erschienen in der public Ausgabe 01/2023
von Gernot Bragenheim
 

Dazu haben alle 27 EU-Mitgliedsstaaten² gemeinsam mit Norwegen und Liechtenstein im Jahr 2018 die European Blockchain Partnership (EBP) als „Initiative zur Entwicklung einer EU-Strategie für Blockchain und zum Aufbau einer Blockchain-Infrastruktur für öffentliche Dienste“³ gegründet. Im Juni 2022 schloss sich mit der Ukraine ein weiteres Land an. Die EBP versteht sich dabei als technologische und regulatorische „Sandbox“, innerhalb derer Blockchain-Lösungen im Rahmen geltender EU-Regularien (siehe dazu auch den Beitrag „Distributed Ledger Technology – Chance oder Risiko?“ von Steffen Schwalm in Ausgabe 01-2022)⁴ erprobt werden können.

In den Kern ihres Handelns stellt die EBP die European Blockchain Services Infrastructure (EBSI)⁵ als erste EU-weite Blockchain-Infrastruktur, deren Funktionsweise sowie Projektstand in diesem Artikel näher erläutert werden. Um einer Inselbildung nationaler Blockchain-Projekte entgegenzuwirken, soll EBSI eine europäische Lösung bieten, von der Bürgerinnen und Bürger, Organisationen und Behörden profitieren.

Wie andere Initiativen plant EBSI dabei eine Reihe von Anwendungsfällen abzudecken, deren etablierte Lösungen immer das sogenannte „Phoning Home Problem“ mitbringen: Nachweise (wie Staatsbürgerschaft, Universitätsabschluss, Herkunft von Gütern) können selbst mit aktuell eingesetzten digitalen Verordnungen (etwa eIDAS 1.x) und Technologien (etwa OpenID Connect) nur durch Rücksprache mit der ausstellenden Institution auf Validität überprüft werden. Durch die entstehende Reibung und oft nicht vorhandene Möglichkeiten – wie grenzübergreifender Vorgänge – verzögern sich Prozesse. Um die Verzögerungen zu umgehen, könnten Akteure entscheiden, Verifikationsschritte auf Kosten der Sicherheit zu überspringen und damit dem Schwarzmarkt die Türen öffnen. Nachweise sind (insbesondere, aber nicht ausschließlich, im analogen Raum) leicht zu fälschen und nur schwer zu verifizieren.

EBSI verspricht in Kombination mit eIDAS 2.0⁶ und modernen Technologien eine elegante Möglichkeit, besagte Hürden im EU-Raum abzubauen und dadurch Bearbeitungsgeschwindigkeit und Sicherheit zu erhöhen. Der Antrieb ist dabei nichts weniger als das Vorhaben, das Nachweis-Verifikationssystem der EU zu revolutionieren.

Selbstsouveräne digitale Identität

Im Kern dieser Revolution steht das Konzept der Self Sovereign Identity (SSI). SSI befähigt Anwenderinnen und Anwender, Nachweise über ihre Identität und alle damit verbundenen Befugnisse zu besitzen und zu kontrollieren. Nachweise werden dadurch bei einzelnen Personen gebündelt, statt sie auf Dritte verteilt verwalten zu lassen. EBSI nutzt (neben anderen Initiativen) dieses Prinzip, indem anwendungsfallorientierte Nachweise pro Person in einer digitalen Börse (Wallet) gehalten werden. Für die Verifikation dieser Nachweise wird die ausstellende Institution nicht mehr benötigt, sie kann über EBSI durchgeführt werden. Anwenderinnen und Anwender besitzen somit innerhalb des Systems alleinige Souveränität über ihre persönlichen Daten. Ein Identitätsnachweis, beglaubigt durch eine zugelassene Behörde, befähigt Anwenderinnen und Anwender – vergleichbar mit einer eID –, sich gegenüber anderen Teilnehmenden auszuweisen. Darauf aufbauend können weitere Nachweise wie Lizenzen, Zeugnisse und Zertifikate durch Befugte ausgestellt werden. Es entsteht eine digitale Identität, die EBSI über das eigens dafür vorgesehene European Self Sovereign Identity Framework (ESSIF)⁷ umsetzt und in das Zentrum seiner Anwendungsfälle stellt. Mit eIDAS 2.0 werden aktuell die regulatorischen Weichen für SSI in der EU gestellt.

Schlüsseltechnologie DID und Verifiable Credentials⁸

Grundlage für Identität und digitale Nachweise in EBSI (und anderen Lösungen) stellen die vom W3C spezifizierten Standards Decentralized Identifier (DID)⁹ und Verifiable Credentials (VC)¹⁰ dar.

Eine DID dient in Form einer URI als globaler Identifier eines DID Subjects (auch: DID Owner). Sie zeichnet sich – nicht exklusiv – durch Funktionalität in einer dezentralen Umgebung wie einer Blockchain aus, weil sie nicht durch eine zentrale Autorität registriert werden muss. Hinter jeder DID steht ein eindeutiges DID Document, welches das DID Subject nach außen beschreibt und insbesondere einen zugehörigen öffentlichen Schlüssel für kryptografische Operationen zugängig macht. DID Methods beschreiben, wie Paare aus DID und DID Document verwaltet werden, und ermöglichen so unterschiedliche Klassen von DID Subjects innerhalb eines Ökosystems.

Abb. 1: Rollen und Informationsflüsse eines VCs nach W3C¹⁰

Ein VC ist der digitale Nachweis eines Subjekts auf einen Anspruch, wie zum Beispiel eine staatlich anerkannte Identität, die Lizenz zum Führen eines Kraftfahrzeugs oder das Zeugnis eines Universitätsabschlusses. Es wird durch ein dazu autorisiertes Subjekt (als DID Subject repräsentiert) ausgestellt, harmoniert mit DIDs und kann so andere Subjekte (ebenfalls DID Subjects) innerhalb eines Ökosystems zu Aktionen berechtigen. Kryptografische Nachweise des Besitzes und der Erstellung eines VC (konzeptionell in etwa ähnlich der digitalen Signierung einer E-Mail) eliminieren die Notwendigkeit, VCs zentral und/ oder öffentlich zu verwalten. Ein DID Subject kann alleinige Kenntnis über seine VCs haben. Präsentiert es sie aber Dritten, können diese die Legitimität und die ausstellende Institution des VCs an einer öffentlichen Verifiable Data Registry verifizieren. Die Präsentation findet in Form einer Verifiable Presentation (VP) statt, die als Wrapper eines VC verstanden werden kann. Abbildung 1 stellt die W3C-Spezifikation bildlich dar. Für den Transport von VCs erarbeitet die OpenID Foundation beispielsweise das Protokoll OpenID for Verifiable Credentials (OID4VC)¹¹, das Anwendungsfälle einer SSI-Umgebung abdeckt.

Schlüsseltechnologie Blockchain

Eine Blockchain ist ein dezentrales Peer-to-Peer-Netzwerk und ermöglicht Teilnehmenden, einen gemeinsamen Datenbestand zu nutzen, ohne dabei von einer zentralen Autorität abhängig zu sein. Sie schafft in erster Linie Vertrauen mittels:

• Zugriffs- sowie Revisions-Sicherheit durch Kryptografie,
• Resilienz durch Verteilung,
• Transparenz durch öffentliche Verfügbarkeit.

Blöcke mit vorgegebenen Informationsstrukturen dürfen von denjenigen Teilnehmenden erstellt werden, die durch einen Konsensmechanismus dazu berechtigt sind. Die wohl bekannteste Anwendung einer Blockchain, Bitcoin¹², setzt dafür auf den – wegen seines hohen Energieaufwands umstrittenen – Proof-of-Work-(PoW-)Algorithmus und belohnt den Aufwand der Block-Erstellung in der nativen Kryptowährung Bitcoin. Die Regeln einer Blockchain sind allen Teilnehmenden bekannt und nur Blöcke, die diesen Regeln entsprechen, werden vom Netzwerk akzeptiert. Mit zunehmender Größe des Netzwerks werden Regelverstöße erschwert und somit wird die Sicherheit erhöht.

Während andere Konsensmechanismen ebenfalls auf Belohnung setzen, kann eine Blockchain auch ohne eine Kryptowährung existieren. Die Erstellung der Blöcke muss dann aus anderer Motivation erfolgen, eine Belohnung innerhalb der Blockchain findet nicht statt.

Die Funktionsweise der EBSI

Die EBSI orientiert sich stark an der grundsätzlichen Funktionsweise von SSI via VCs. Dazu definiert sie folgende Rollen:

• Trusted Accreditation Organisation (TAO) – staatliche oder europäische Behörde. Von der EBP beauftragt. Definiert Anwendungsfälle und erlaubt Issuern die Erstellung von Nachweisen.
• Issuer – von einer TAO berechtigt, Nachweise für Holder zu erstellen. In der Regel eine regionale Behörde oder öffentliche Einrichtung.
• Holder – besitzt einen oder mehrere Nachweise. In bisher vorgesehenen Anwendungsfällen Bürgerin oder Bürger der EU. Für zukünftige Anwendungsfälle sind aber auch juristische Personen, Maschinen oder Gegenstände vorstellbar.
• Verifier – Behörde oder Unternehmen, welches Interesse an Nachweisen eines Holders hat.
• Node Operator – von der EBP anerkannt. Stellt Rechenleistung zur Verfügung, um die Infrastruktur des Netzwerks zu betreiben. Wirkt inhaltlich nicht an den Daten mit. Stellt außerdem APIs bereit, anhand derer Stakeholder auf Funktionen des Netzwerks zugreifen können.

Abbildung 2 stellt das Zusammenspiel bildlich dar: TAOs und Issuers versorgen EBSI über Nodes mit Daten. Verifier nutzen diese Daten, um VCs verifizieren zu können, welche Holder durch Issuer ausgestellt wurden. Als Beispiel dient der Anwendungsfall Diplom.¹³ In einem deutschen Kontext kann er sich so darstellen: Das Bundesministerium für Bildung und Forschung (TAO) akkreditiert eine Universität (Issuer), Diplome an Absolventen und Absolventinnen (Holder) ausstellen zu dürfen, die diese einem Unternehmen (Verifier) zwecks Bewerbung auf einen Arbeitsplatz zur Verfügung stellen.

Eine TAO definiert dafür Trusted Schemas zu den Anwendungsfällen, zu denen ein Issuer Nachweise erstellen darf. Sie legt auch fest, welche Issuer diese erstellen dürfen, stellt diese Informationen öffentlich über EBSI zur Verfügung und versorgt Issuer mit passenden Verifiable Accreditations, einer speziellen Form von VCs, die dem Issuer das Ausstellen von Nachweisen zu dem Schema erlaubt. TAO und Issuer senden Trusted Schemas und gültige öffentliche Schlüssel an einen Node. Dieser schreibt die Daten in Abstimmung mit anderen Nodes als Block in die Blockchain und schafft dadurch eine vertrauenswürdige Datenbasis zugelassener Issuer: die Trusted Registry. Im Gegensatz zu PoW-Blockchains (wie Bitcoin) qualifiziert sich zur Erzeugung von Blöcken nicht, wer ausreichend Rechenleistung zur Verfügung stellt, sondern wer von der EBP anerkannt ist. Auch in diesem Proof-of-Authority-(PoA-) Verfahren überwachen sich Nodes gegenseitig, lehnen ungültige Blöcke ab und sichern somit die Integrität des Netzwerks.

Abb. 2: Überblick über die Funktionsweise von EBSI

Stellt ein Issuer einem Holder ein VC aus, so wird dieses nicht öffentlich über die Blockchain zugängig gemacht, sondern allein in dem Wallet des Holders gespeichert. Dies schützt nicht nur die Daten des Holders, er erhält auch die alleinige Souveränität darüber, diese mit Dritten zu teilen. User Wallets werden von Drittanbietern bereitgestellt, folgen aber einer von EBSI vorgegebenen Spezifikation. Erhält ein Verifier ein VC (verpackt in eine VP), so kann er anhand dessen und der öffentlichen Daten der Trusted Registry über die von den Nodes zur Verfügung gestellten APIs alle notwendigen Aspekte überprüfen, um die Echtheit des Nachweises sicherzustellen:

• Entspricht das Schema des VC dem erhobenen Anspruch?
• Ist der Gültigkeitszeitraum des VC unter-/überschritten?
• Wurde die gelieferte VP durch den Holder erstellt?
• Ist die VP vom Holder signiert?
• Ist der VC vom Issuer signiert?
• Ist der Issuer des VC in EBSI registriert und das verwendete Schlüsselpaar gültig?

Projektstatus

EBSI befindet sich noch in der Entwicklung von Prototypen und Konzepten. 20 Universitäten aus 15 EU-Ländern forschten seit Juli 2021 im Rahmen des Early Adopters Programme¹⁴ an verschiedenen Anwendungsfällen und stellten diese am 31.05.2022 beim EBSI Demo Day¹⁵ vor. Pierre Marro (KOM, DG CNECT¹⁶) stellte in dessen Rahmen eine Produktivsetzung des Netzwerks bis Ende des Jahres in Aussicht. Zum Demo Day existierten bereits 45 Nodes in 23 teilnehmenden Staaten. Elf Drittanbieter stellten konforme Wallets zur Verfügung, im Oktober waren es bereits 15.¹⁷ Für den Zeitpunkt nach Go-live kündigte Marro die weitere Forschung und Pilotierung an bestehenden oder neuen Anwendungsfällen begleitend zum Betrieb des Netzwerks an.

Parallel beauftragte die KOM ein Pre-Commercial Procurement¹⁸ zur Evaluierung zukünftiger Blockchain-Lösungen für die noch offene Zukunft von EBSI. Das Ziel ist, zukünftige Anwendungsfälle zu unterstützen, die höhere nichtfunktionale Anforderungen beispielsweise an Skalierbarkeit, Interoperabilität und Energieeffizienz stellen. Nach offiziellen Angaben befindet sich diese Initiative noch in Phase 2A (prototype development and lab testing), bevor sie in Phase 2B (further solution development/ finalisation und field testing) übergeht.

KOM und EBP rufen zur Mitwirkung auf, neue Anwendungsfälle in Abstimmung mit der EBP zu pilotieren. Das Early Adopters Programme wird fortgesetzt. Das Digital Europe Programme (DIGITAL)¹⁹ ruft kontinuierlich in verschiedenen Themenbereichen dazu auf, sich mit Vorschlägen zur Weiterentwicklung des Netzwerks um eine Finanzierung zu bewerben.

Herausforderungen

So groß das Vorhaben ist, so groß sind auch die Herausforderungen, mit denen sich EBSI konfrontiert sieht und sehen wird. Neben Regulatorien und der offensichtlichen Mammutaufgabe einer EU-weiten infrastrukturellen Revolution sind weitere Hürden zu erwarten:

Akzeptanz
SSI erfordert als neues Paradigma Bereitschaft und Willen bei Bürgerinnen und Bürgern, Unternehmen und Behörden. Neue Gesetze werden benötigt, um legale Personen zur Unterstützung zu verpflichten – für große Plattformen ist dies im Rahmen von eIDAS 2.0 bereits vorgesehen.²⁰ Sollten die Vorteile für Nutzerinnen und Nutzer nicht überwiegen, droht ein Verharren auf klassischen Vorgehensmustern und die Verkümmerung des Ökosystems. User Experience wird ein Schlüssel sein, um für diese neue Welt zu begeistern. Anwendungsfälle müssen Grenzen der Vergangenheit überwinden und neue Möglichkeiten eröffnen.

Sicherheit des Ökosystems
Sensible Daten, Kommunikation und Zugriffe müssen vor bösartigen Angriffen geschützt sein. Die Konzepte von EBSI sind vielversprechend, aber die Geschichte der IT hat oft bewiesen, dass Angreifende auch in sehr sicheren Systemen Lücken ausfindig machen. Das BSI hat bereits 2019 auf kritische Angriffsszenarien bei einer Blockchain hingewiesen.²¹ Ein Misserfolg wie der des ID Wallet muss vermieden werden.²²

Sicherheit der Identität
SSI nimmt Anwenderinnen und Anwender in die Verantwortung, ihre Identität vor Verlust wie auch vor Diebstahl zu schützen. Der Verlust des Zugangs zum Wallet (der private Schlüssel) käme einem Verlust der digitalen Identität gleich und dürfte nur aufwändig und unter Einbindung vorheriger Issuer wiederherzustellen sein. Da VCs exklusiv in dem Wallet des Endgeräts gespeichert sind, setzen sie sich der Gefahr aus, bei Defekt des Geräts ebenfalls verlorenzugehen. Unheimlicher noch mutet der Gedanke an, Angreifende könnten sich (etwa durch Social Engineering) Zugang zu einem Wallet und den darin befindlichen VCs verschaffen und sich somit die Identität ihrer Opfer aneignen. EBSI thematisiert diese Herausforderungen nicht (öffentlich), wird sich aber damit auseinandersetzen müssen und kann hier die Verantwortung nicht allein auf die Wallet-Anbieter übertragen.

Dezentralisierung
EBSI hat sich mit der Blockchain für eine dezentrale Infrastruktur nicht nur des Ledgers, sondern auch der APIs entschieden, legt dabei bisher aber keine Details offen, wie beides gestaltet wird. Weder sind Informationen über die Abstimmung von Block-Kandidaten öffentlich noch darüber, wieviele Nodes auf welche Art und Weise bei der Bearbeitung von API-Anfragen beteiligt sind. Sollte ein Verifier bei Zugriff auf die Trusted Registry nur mit einem Node kommunizieren, so ist er von dessen Wohlwollen abhängig. Zwar ist jeder Node Operator von der EBP anerkannt, dennoch besteht die Gefahr schädlicher Absichten. Eine echte Dezentralisierung kann dem entgegenwirken.

Fazit und Ausblick

Die Vision eines EU-weit einheitlichen Nachweissystems nach europäischen Werten, mit selbstsouveränem Zugang in der Hosentasche aller Bürgerinnen und Bürger, verifiziert an einem infrastrukturell dezentralen und funktional doch so zentralen System, das Fälschungen nahezu unmöglich macht und gleichzeitig eine nie dagewesene Effizienz verspricht, mutet im europäischen Behördenwesen nahezu utopisch an. Dabei wirkt sie durch die Ambitionen der KOM, die bereits erarbeiteten Konzepte und Umsetzungen, die ansprechende – wenn auch noch unvollständige – Dokumentation und den inspirierenden Ausblick sehr greifbar und geradezu mitreißend.

Mit steigender Expansion in weitere Anwendungsfälle zeigen sich aber auch dystopische Schreckensszenarien: Sicherheitslücken können etwa zu Datenraub und zum Zugang Unbefugter führen und so hohen Schaden anrichten. Systemausfälle gefährden die Funktion ganzer Branchen. Ein PoA-Ökosystem ist nur so dezentral wie die Autorität, die es betreibt. Ein Extremereignis könnte KOM und EBP dazu zwingen, den Betrieb zumindest temporär auszusetzen. Eine bundesweite Störung bei der Kartenzahlung wie im Juli 2022²³ wirkt im Vergleich harmlos. Die Vorstellung entspannt sich allerdings, da EBSI nicht als alleinige Infrastruktur dieser Anwendungsfälle ausgelegt ist. Nicht nur wegen der Aktenführungspflicht, sondern auch um ihre eigenen Prozesse betreiben zu können, werden Issuer weiterhin Register und vergleichbare Ablagen führen und andere etablierte Mechanismen zur Verifikation von Nachweisen unterstützen. In das Zentrum ihres Handelns stellt die EBP die VC-gestützte SSI. Der Einsatz von Blockchain-Technologie für die Trusted Registry rückt dabei fast in den Hintergrund. Funktional könnte die Infrastruktur ebenso von einer zentralen EU-Behörde betrieben werden, dort bliebe ihr Inhalt aber verborgen. Die Blockchain legt – volle Transparenz vorausgesetzt – den Inhalt offen. Sie ermöglicht so Interessierten, die Historie nachzuvollziehen und garantiert dadurch Fälschungssicherheit. Nebenbei entsteht durch Georedundanz ein ausfallsicheres Netzwerk, das durch Wachstum an Sicherheit gewinnt. EBSI bleibt hier aber noch Konzepte schuldig, die diese Sicherheit durch echte Dezentralität garantieren.

Der Abbau nationaler Grenzen im digitalen Raum sowie eine beschleunigte europäische Bürokratie lassen einen hoffnungsvollen Blick in die Zukunft zu und laden ein, mitzuwirken.

Quellen

¹ Europäische Kommission: Blockchain Strategy, digital-strategy.ec.europa.eu (abgerufen am 18.11.2022).
² Ausgenommen das Vereinigte Königreich Großbritannien und Nordirland, das zu diesem Zeitpunkt bereits den Austritt aus der EU beschlossen hatte.
³ Europäische Kommission: Europäische Blockchain-Partnerschaft, digital-strategy.ec.europa.eu (abgerufen am 18.11.2022).
⁴ Schwalm, Steffen: Distributed Ledger Technology – Chance oder Risiko? www.msg.group/public-magazin, 2022 (abgerufen am 18.11.2022).
⁵ Europäische Kommission, EBSI: Experience cross-borders services with EBSI, ec.europa.eu (abgerufen am 11.10.2022).
⁶ Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates zur Änderung der Verordnung (EU) Nr. 910/2014 im Hinblick auf die Schaffung eines Rahmens für eine europäische digitale Identität. COM (2021) 281 final.
⁷ Decentralized Identity: ESSIF – European Self Sovereign Identity Framework, decentralized-id.com (abgerufen am 18.11.2022).
⁸ Europäische Kommission, EBSI: EBSI Verifiable Credentials, ec.europa.eu (abgerufen am 18.11.2022).
⁹ W3C: Decentralized Identifiers (DIDs) v1.0, www.w3.org, 2022 (abgerufen am 18.11.2022).
¹⁰ W3C: Verifiable Credentials Data Model v1.1, www.w3.org, 2022 (abgerufen am 18.11.2022).
¹¹ Open ID: OpenID for Verifiable Credentials, openid.net, 2022 (abgerufen am 18.11.2022).
¹² Bitcoin: Bitcoin ist ein innovatives Zahlungsnetzwerk und eine neue Art von Geld, bitcoin.org/de (abgerufen am 18.11.2022).
¹³ EBSI: Meet #EUBlockchain: The European Blockchain Services Infrastructure (EBSI), www.youtube.com, 2020 (abgerufen am 18.11.2022).
¹⁴ Europäische Kommission, EBSI: Early Adopters Programme, ec.europa.eu (abgerufen am 18.11.2022).
¹⁵ Europäische Kommission, EBSI: EBSI Demo Day, ec.europa.eu, 2022 (abgerufen am 10.11.2022).
¹⁶ Europäische Kommission: Generaldirektion Kommunikationsnetze, Inhalte und Technologien, ec.europa.eu, 2022 (abgerufen am 18.11.2022).
¹⁷ Europäische Kommission, EBSI: Wallets, ec.europa.eu (abgerufen am 18.11.2022).
¹⁸ Europäische Kommission: European Blockchain Pre-Commercial Procurement, digital-strategy.ec.europa.eu, 2022 (abgerufen am 18.11.2022).
¹⁹ Europäische Kommission: The Digital Europe Programme, digital-strategy.ec.europa.eu (abgerufen am 18.11.2022).
²⁰ Europäische Kommission: Kommission schlägt vertrauenswürdige und sichere digitale Identität für alle Europäerinnen und Europäer vor, ec.europa.eu, 2021 (abgerufen am 18.11.2022).
²¹ BSI: Blockchain sicher gestalten – Konzepte, Anforderungen, Bewertungen, www.bsi.bund.de, 2019 (abgerufen am 18.11.2022).
²² Laaf, Maike: Sind ja nur die Ausweisdaten, www.zeit.de, 2021 (abgerufen am 18.11.2022).
²³ Clodius, Steffi: Probleme bei Kartenzahlung gelöst, www.tagesschau.de, 2022 (abgerufen am 18.11.2022).