Online-Identitäten sind gefährlich

^[1]Avatare ^[2] repräsentieren Online-Identitäten ^[3] ihrer Eigentümer aus der realen Welt als künstliche Persönlichkeiten mit einem grafischen Stellvertreter. In virtuellen Spielwelten bilden sie die Spielfiguren, welche das Eigenbild oder oft auch nur das eigene Wunschbild repräsentieren. Doch auch in sozialen Netzwerken erfreuen sie sich wachsender Beliebtheit – und hier sind die Identitäten mehrheitlich echt. Schliesslich gehört es schon fast zum guten Ton, der eigenen Person auch im Web ein Gesicht zu geben. Das macht Avatare auch für die Werbeindustrie besonders interessant, denn hier unterstützt der Avatar die Sammlung und Zusammenführung von Nutzungsdaten für das „Behavioral Targeting“, d.h. die verhaltensbasierte Einblendung von Werbung auf Webseiten.

Identitätsmanagement im Web geht aber noch weiter. OpenID zum Beispiel ist ein offener Standard zur einfachen Identifizierung und Authentisierung von Usern im Web. Damit soll für User die Notwendigkeit entfallen, sich für jede Website, die eine Registrierung verlangt, mit einem eigenen Benutzernamen und Kennwort zu registrieren und bei jedem Besuch separat anzumelden. OpenID ist ein dezentraler Dienst basierend auf dem Konzept der URL-basierten Identität unter dem Dach der OpenID Foundation (OIDF) ^[4]. Der User hat dabei die Wahl zwischen verschiedenen OpenID-Providern ^[5]. Unter einer OpenID kann der persönliche Steckbrief inklusive Foto hinterlegt werden. Unterstützt wird der OpenID-Standard unter anderem von Google, Yahoo, IBM, Microsoft, VeriSign, eBay, Twitter und MySpace. Er ist bereits auch in verschiedenen Content Management Systemen (CMS) und darunter vor allem auch in Blog-Systemen implementiert. OpenID ist das „Single Sign On“ (SSO) und zugleich auch die digitale Visitenkarte beziehungsweise der Personalausweis im Netz der grossen weiten Welt. Dazu gibt es bereits verschiedene Browser-Erweiterungen (Addons) für den Mozilla Firefox, welche beim Aufruf einer Website mit OpenID die Anmeldung gleich automatisch vornehmen.

OpenID ist somit quasi ein öffentliches Avatar-System, das in weiten Teilen auch die Rolle von Sicherheits-Zertifikaten für die Authentisierung übernimmt. Der OpenID-Provider nimmt dabei eine zentrale Rolle ein. Ihm gilt es zu vertrauen. Ob dies bei allen Anbietern gerechtfertigt ist, wage ich zu bezweifeln. Aus Sicht des Datenschutzes bestehen erhebliche Bedenken. Wer seine Meinung öffentlich zum Beispiel in Kommentaren auf Blogs unter Verwendung seiner OpenID publiziert, wird schnell gläsern. Nicht nur aus seinen verfassten Texten sondern auch über den Besuch von bestimmten Websites (inkl. Tageszeit und Häufigkeit) lassen sich Rückschlüsse ziehen auf seine politische und religiöse Gesinnung, seine Vorlieben und Neigungen sowie seinen Bildungsstand und damit auch auf sein ungefähres Einkommen. Das sind genau die Informationen, an denen Werbetreibende interessiert sind. Und jetzt soll mir bitte noch jemand behaupten, das sei alles gar kein Problem!? Warum wohl unterstützen Unternehmen wie Google, Yahoo und Microsoft OpenID? Natürlich nur, damit sie die Werbung ihrer Werbekunden streuverlustfrei an den Mann oder die Frau bringen können. Und dazu sammeln sie Daten über die Nutzung.

Auch hinsichtlich der Sicherheit gibt es Probleme, denn OpenID ist für Phishing-Attacken anfällig. Dem Identitätsdiebstahl werden für Betrüger und Diebe mit entsprechenden technischen Fachkenntnissen keine sehr grossen Hürden gesetzt. Gerät der Schlüssel zu einer Online-Identität einmal in falsche Hände ist das unter Umständen verheerender als der Verlust der Kreditkarte, denn diese kann innert Minuten mit einem einzigen Anruf gesperrt werden. Bei OpenID so etwas (noch) gar nicht vorgesehen.

Ebenso ist der Umzug zu einem anderen OpenID-Anbieter problematisch, denn die URL der Online-Identität ist fest mit dessen Domainnamen verbunden. Bei einem Wechsel muss eine neue OpenID erstellt und diese bei allen Plattformen an- beziehungsweise umgemeldet werden. Das ist äusserst aufwendig und manchmal sogar technisch gar nicht möglich weil nicht vorgesehen.

Die einzigen, die nur Vorteile aus solchen Online-Identitätssystemen ziehen sind die Werbetreibenden beziehungsweise Werbung vermittelnden Plattformen und ein bisschen auch die Betreiber von Blogs und Foren, weil hier dem Spam in Kommentaren weitgehend ein Riegel geschoben werden kann. Der Benutzer selber trägt hauptsächlich das Risiko, seiner (Online-) Identität beraubt zu werden. Sein Nutzen aus der vereinfachten Anmeldung relativiert sich dadurch bis zur Unkenntlichkeit.

Fazit: Nette Idee, aber noch gänzlich unausgereift und daher nicht zu empfehlen. Stell Dir vor, jeder hat OpenId, aber keiner gebraucht es! Oder willst Du wirklich freiwillig jedem im Web Deine digitale Hundemarke ^[6] zeigen?

Update vom 10.12.2008

Der italienische Ministerpräsident Silvio Berlusconi möchte gerne jedem Internetnutzer eine eindeutige Internet-Identifizierungsnummer verpassen ^[7]. Vordergründig soll damit der Pornografie und Pädophilie im Internet der Kampf angesagt werden. Wer den selbsternannten Duce kennt, wird sicherlich ahnen, was der haartransplantierte und geliftete Politiker im Schilde führt …