Source: https://www.aai.dfn.de/en/der-dienst/datenschutz/aspekte-des-datenschutzes/
Timestamp: 2019-05-25 07:16:05+00:00

Document:
DFN-AAI: Aspekte des Datenschutzes
DFN-AAI / Der Dienst / Datenschutz / Aspekte des Datenschutzes
1. Bisherige Verfahren
Für die bisherigen Verfahren ist kennzeichnend, dass die Authentifizierung und Autorisierung eines Nutzers jeweils durch den Anbieter vorgenommen wird. Hierbei benötigt der Anbieter Daten für die der Autorisierung eines Nutzers vorausgehende Authentifizierung.
a) IP-Adressenprüfung
Die geringste Intensität weist hierbei die reine IP-Adressenprüfung auf. Durch die Freischaltung geschützter Informationen beschränkt auf bestimmte IP-Adressbereiche, kommt es zu einer praktischen Verschmelzung von Authentifizierung und Autorisierung. Entscheidendes Datum ist somit allein die IP-Adresse, mit der das Angebot aufgesucht wird. Ohne weitere Kontrollmöglichkeit muss sich der Anbieter hierbei wegen der fehlenden Personalisierung des Zugangs darauf verlassen, dass die Informationen entsprechend den Lizenzvereinbarungen nur von berechtigten Personen hinter den jeweiligen IP-Adressen genutzt werden können. Der Nutzer trägt den Nachteil, dass er nicht ohne Weiteres außerhalb der Einrichtung auf die Inhalte zugreifen kann.
b) Benutzerkennung und Passwort
Verfahren anhand von Benutzerkennung und Passwort sind erkennbar zweistufig ausgestaltet. Die Autorisierung durch den Anbieter erfordert die vorherige Authentifizierung des Nutzers durch Benutzerkennung und Passwort. Somit ist zumindest die Speicherung der Anmeldedaten auf dem Server des Anbieters und deren Übermittlung bei der Anmeldung erforderlich. Die Datenintensität hält sich hierbei in Grenzen, solange Benutzerkennung und Passwort nach Prüfung der Berechtigung durch die eigene Einrichtung vergeben werden und somit eine gegenüber dem Anbieter der Inhalte anonyme Nutzung ermöglicht wird. Für den Anbieter hat dies jedoch den Nachteil, dass er keine regelmäßigen Informationen darüber hat, ob die ursprüngliche Berechtigung eines Nutzers bei Vergabe von Kennung und Passwort weiteren Bestand hat. Der Nutzer benötigt zudem für jeden Anbieter gesonderte Zugangsdaten, was im Hinblick auf seine Informationsversorgung durchaus unpraktikabel und aufwändig sein kann. Werden durch den Anbieter jedoch weitere, über die reine Organisationszugehörigkeit hinausgehende Attribute für den Zugang verlangt, erhöht sich die Datenintensität des Verfahrens beim Anbieter, wenn dieser von dem Nutzer weitere auf seine Person beziehbare Angaben anfordert. Neben den datenschutzrechtlichen Vorgaben bei der Erhebung und Verwendung von personenbezogenen Daten sind hierbei auch die Vorgaben zur Datensicherheit bei der Übermittlung der Daten zu beachten.
Für den Nutzer hat das Verfahren in jedem Fall den Nachteil, dass sich durch die Authentifizierung beim jeweiligen Anbieter eine für ihn zunehmend unkontrollierbare Datenansammlung bei verschiedenen Anbietern bilden kann.
2. DFN-AAI
Gegenüber den herkömmlichen Verfahren basiert die Infastruktur des Dienstes DFN-AAI auf der räumlichen und logischen Trennung von Authentifizierung und Autorisierung. Während die Authentifizierung durch die eigene Einrichtung erfolgt, die über die aktuellen personenbezogenen Daten des Nutzers verfügt, bleibt die Autorisierung und damit die Gewährung des Zugriffs auf die Informationen dem Anbieter überlassen. Aufgrund dieser Trennung durch die Übernahme der Authentifizierung durch die eigene Einrichtung entfällt das Bedürfnis nach einer Übermittlung personenbezogener Daten an den Anbieter, was eine anonyme Nutzung gegenüber diesem ermöglicht. Andererseits erhöht die Aktualität des Datenbestands bei der durchführenden Heimateinrichtung die Zuverlässigkeit der Authentifizierung für den Anbieter. Der Nutzer hat neben der fehlenden Ortsgebundenheit der Nutzung den Vorteil, dass er sich nicht gegenüber jedem einzelnen Anbieter mit verschiedenen Zugangskennungen authentifizieren muss. Aufgrund der Anonymität gegenüber dem Anbieter entfällt zudem der Personenbezug von gegebenfalls für den Zugriff erforderlichen weiteren Informationen. Die konzeptionelle Trennung zwischen Authentifizierung und Autorisierung ermöglicht somit allseitige Verbesserungen im Vergleich zu den bisherigen Verfahren.
a) Ablauf des Verfahrens
Der Anmeldewunsch eines Nutzers beim Anbieter wird zunächst zum Zwecke der Identifizierung zu seiner Heimateinrichtung umgeleitet. Dies erfolgt anonym mit Hilfe des durch den DFN-Verein betriebenen Lokalisierungsdienstes, indem der Nutzer eine Webseite angezeigt bekommt, aus der er seine Heimateinrichtung auswählen
kann. Nach Umleitung der Anfrage an die Heimateirichtung identifiziert sich der Nutzer dieser gegenüber mit dem dort üblichen Verfahren, z. B. mittels User-ID und Passwort, Chipkarte oder Token. Die Heimateinrichtung meldet dem Anbieter daraufhin die erfolgreiche Authentifizierung des Nutzers. Unter Umständen kann dies je nach den Nutzungsmodalitäten bereits für eine Autorisierung des Nutzers ausreichen.
Nach erfolgreicher Authentifizierung kann der Anbieter gegebenenfalls weitere Informationen über den Nutzer anfordern, wenn sich das Angebot etwa auf eine Personengruppe in der Einrichtung beschränkt (z. B. Studierende, Wissenschaftler). Dabei bietet das Verfahren den Vorteil, dass durch die räumliche und logische Trennung von Authentifizierung und Autorisierung, ein Personenbezug der weiteren Informationen bei gleichbleibender Sicherheit für den Anbieter ausgeschlossen werden kann. Die Anonymität des Nutzers gegenüber dem Anbieter bleibt somit trotz der für die Autorisierung erforderlichen weiteren Informationen erhalten. Anhand der erlangten anonymen Informationen über den Nutzer kann der Anbieter auf Basis der mit der Einrichtung des Nutzers geschlossenen Lizenzvereinbarung über die Gewährung des Zugriffs entscheiden.
Das Funktionieren der Infrastruktur ist jedoch an das Vorliegen weiterer Voraussetzungen geknüpft.
aa) Identity Management (IDM)
Grundlage für eine funktionierende Auslagerung der Authentifizierung auf die Anwendereinrichtung ist das Bestehen eines funktionierenden Identity-Management-Systems. Nur dann stehen die für die Authentifizierung benötigten aktuellen Personen- und Attributinformationen in Gestalt der jeweiligen digitalen Identität eines Nutzers zur Verfügung. Eine digitale Identität ist hierbei ein eindeutiger Name, eine Nummer oder eine Login-ID, mit der ein Computersystem eine Person identifiziert. Die digitale Identität kann weitere mit ihr verbundene Attribute besitzen. Solche weiteren Merkmale zur digitalen Identität können Gruppenzugehörigkeiten anknüpfend an Funktionen sein, die die Person innerhalb der Einrichtung ausübt.
Somit ermöglicht die digitale Identität im Rahmen des Dienstes DFN-AAI die Authentifizierung von zugriffsberechtigten Personen anhand der Zugehörigkeit zur Einrichtung und weitergehender Attribute.
In welcher Form und in welchem Umfang Identity-Management-Systeme rechtlich zulässig sind, bestimmt sich bei Hochschulen aus dem jeweiligen Landesrecht. Aufgrund des im Datenschutzrecht durchgängig geltenden Grundsatzes der Datensparsamkeit wird bei dem Umfang der zu einer Identität gespeicherten Attribute in aller Regel Zurückhaltung geboten sein.
bb) Nutzung des IDM zur Authentifizierung
Auf der Ebene der Einrichtungen stellt sich hierbei die Frage der rechtlichen Zulässigkeit der Verwendung der einrichtungsintern gespeicherten Daten zur Authentifizierung. Die hierzu verwendeten Daten wurden ursprünglich im Zusammenhang mit dem Beschäftigungs- bzw. dem Ausbildungsverhältnis erhoben, so dass sich die
Frage der datenschutzrechtlichen Zulässigkeit der Verwendung dieser Daten zu Authentifizierungszwecken stellt. Dies ist bei Hochschulen in der Regel nach dem Datenschutzrecht des jeweiligen Bundeslandes zu beurteilen. Soweit keine hochschulspezifschen Datenschutzvorgaben bestehen, kommt hierbei das jeweilige Landesdatenschutzgesetz (LDSG) zur Anwendung.
Bestehen hochschulspezifische Datenschutzvorgaben ist zunächst zu prüfen, ob die mit der Authentifizierung verfolgten Zwecke der Datenverarbeitung unter eventuell bestehende Erlaubnisnormen für Hochschulen fallen.
Bestehen keine hochschulspezifischen Datenschutzvorgaben kommt es für die rechtliche Beurteilung auf das jeweilige LDSG an. Hierbei gilt zunächst der durchgängige datenschutzrechtliche Grundsatz, dass bei einer fehlenden gesetzlichen Erlaubnis für die Datenverarbeitung eine Einwilligung des Betroffenen erforderlich ist. Die Landesdatenschutzgesetze der Länder enthalten in aller Regel eine dem § 14 BDSG vergleichbare Regelung, nach der eine zweckändernde Verarbeitung von ursprünglich zu anderen Zwecken erhobenen Daten unter bestimmten Voraussetzungen zulässig ist. Eine zweckändernde Verarbeitung bei der Authentifizierung wird in aller Regel vorliegen, da die hierzu verwendeten Daten streng genommen nicht für den Zweck der Authentifizierung erhoben wurden, sondern für die Studierendenverwaltung im Rahmen der Ausbildung oder die Durchführung eines Beschäftigungsverhältnisses.
Ohne eine auf diese abweichende Verwendung gerichtete gesetzliche Erlaubnis ist grundsätzlich die Einwilligung des Betroffenen erforderlich.
Unter Umständen ist jedoch die Einholung einer auf den abweichenden Verwendungszweck bezogenen Einwilligung entbehrlich. § 14 Abs. 2 Nr. 3 BDSG und die inhaltsgleichen Vorgaben in den Landesdatenschutzgesetzen ermöglichen die Nutzung zu einem anderen Zweck auch ohne eine explizite Einwilligung, wenn offensichtlich ist, dass dies im Interesse des Betroffenen liegt und kein Grund zu der Annahme besteht, dass er in Kenntnis des anderen Zwecks seine Einwilligung verweigern würde.
Dies setzt voraus, dass die Maßnahme erkennbar positiv im Interesse des Betroffenen liegt. Hierfür kann bereits genügen, wenn durch den Verzicht auf eine weitere Einwilligung eine verfahrensmäßige Belastung des Betroffenen reduziert wird (Dammann in: Simitis, BDSG, 6. Aufl. 2006, § 14, Rn. 58). Durch die Authentifizierung durch die eigene Einrichtung gegenüber einem Pool von Anbietern wird dem Nutzer die Anmeldung und Authentifizierung gegebenenfalls gegenüber mehreren Anbietern und die damit verbundene Übermittlung von persönlichen Zugangsdaten erspart. Darüber hinaus leitet der Nutzer den für ihn erkennbaren Authentifizierungsvorgang bei seiner Einrichtung durch den Anmeldewunsch bei einem Anbieter selbst ein. Aufgrund der Erkennbarkeit und der für den Nutzer bestehenden Vorteile durch den Wegfall des Erfordernisses der Übermittlung von Zugangsdaten an die jeweiligen Anbieter besteht ohne das Vorliegen besondere Anhaltspunkte kein Grund zu der Annahme, dass der Nutzer in Kenntnis des anderen Zwecks seine Einwilligung verweigern würde. Letztlich ermöglicht die Vorschrift damit die Möglichkeit, auf eine aus Sicht des Betroffenen unnötige Beteiligung in Form eines Einwilligungserfordernisses zu verzichten. Somit besteht unter diesen Umständen die Möglichkeit des Verzichts auf eine Einwilligung zur Verwendung der Daten zur Authentifizierung, was jedoch vor dem Hintergrund möglicher landesrechtlicher Besonderheiten auf der Einrichtungsebene geklärt werden muss.
cc) Sichere Kommunikation durch PKI
Der Betrieb der Infrastruktur setzt an mehreren Stellen gesicherten Datenverkehr zwischen dem Anbieter, dem Anwender und gegebenenfalls dem Nutzer voraus. Dies dient nicht nur der Datensicherheit im Zusammenhang mit dem technischen Datenschutz bei der Datenübermittlung, sondern auch dem Schutz der übermittelten Information vor unberechtigten Zugriffen. Zur Sicherung der Kommunikation zwischen den beteiligten Rechnern kommen hierbei Server-Zertifikate zum Einsatz. Für bestimmte Anwendungen kann es zudem notwendig sein, dass sich der Nutzer an seiner Heimateinrichtung unter erhöhten Sicherheitsanforderungen identifiziert, wobei personenbezogene Zertifikate zum Einsatz kommen.
Eine entsprechende Infrastuktur für die Verteilung und Verwaltung von Zertifikaten wurde in den vergangenen Jahren erfolgreich im DFN aufgebaut (DFN-PKI) und kann für AAI-Zwecke sofort eingesetzt werden. Die hierbei zum Einsatz kommenden fortgeschrittenen Zertifikate nach § 2 Nr. 2 SigG erfüllen zwar anders als die qualifizierten Signaturen nicht die Anforderungen der gesetzlichen Schriftform gem. § 126a BGB oder § 3a VwVfG. Für den Rechtsverkehr im Zivilrecht verbleibt für die fortgeschrittene Signatur dennoch ein beachtlicher Anwendungsbereich, da vergleichsweise wenige Willenserklärungen dem gesetzlichen Schriftformerfordernis genügen müssen. Für die Gewährleistung eines gesicherten Datenverkehrs spielt dies allerdings keine Rolle, sondern nur die diesbezügliche Zuverlässigkeit der eingesetzten Zertifikate. Aufgrund des hohen technischen und organisatorischen Standards innerhalb der DFN-PKI eignen sich die eingesetzten fortgeschrittenen Zertifikate zur Gewährleistung einer vertrauenswürdigen Kommunikation im Rahmen des Dienstes DFN-AAI.
dd) Vereinbarungen zu DFN-AAI
Der Dienst DFN-AAI setzt Vereinbarungen voraus, durch die Verantwortungen und Modalitäten der Kommunikation zwischen den beteiligten Partnern geregelt werden. Dies geschieht mit Hilfe von vertraglichen Vereinbarungen zwischen DFN-Verein, Anwendern und Anbietern, die die Verlässlichkeit der Kommunikationsbeziehungen und des Datenaustauschs zum Gegenstand haben und somit die technischen Vorkehrungen ergänzen.
Hierdurch nicht berührt wird die jeweilige Lizenzsituation in Bezug auf die Nutzung urheberrechtlich geschützter Inhalte. Die Vereinbarungen zum Dienst DFN-AAI ersetzen von daher nicht Lizenzverträge zwischen Anbietern und Anwendern. Die Nutzungsmodalitäten von Inhalten bedürfen somit weiterhin einer gesonderten Regelung.
Aus rechtlicher wie praktischer Sicht, stellt der Aufbau einer einheitlichen Infrastruktur für Authentifizierung und Autorisierung durch den Dienst DFN-AAI einen wesentlichen Fortschritt gegenüber den bisherigen Einzellösungen zwischen Anbietern und Anwendern dar. Der für eine vertrauenswürdige Kommunikation erforderliche Aufwand beim Aufbau der Infrastruktur zahlt sich im Vergleich zu den bisherigen Verfahren gleich
mehrfach aus:
Eine erhöhte Benutzerfreundlichkeit, indem die bisher erforderliche Authentifizierung des Nutzers bei mehreren Anbietern durch eine einheitliche Authentifizierung bei der eigenen Einrichtung abgelöst wird.
Indem das Erfordernis der Übermittlung von Zugangsdaten zu mehreren Anbietern entfällt, stellt die Authentifizierung über die eigene Einrichtung zudem einen wesentlichen Fortschritt im Hinblick auf den Datenschutz der Nutzer dar.
Mit der mit DFN-AAI verbundenen Vereinheitlichung profitieren auch die Anwender durch einen insgesamt verringerten Administrationsaufwand und die Möglichkeit von gegebenenfalls gezielteren Lizenzvereinbarungen mit den Anbietern.
Den Anbietern kommt eine für die Übermittlung ihrer Inhalte vertrauenswürdige Infrastruktur entgegen, bei der die Authentifizierung durch die Einrichtungen anhand des IDM eine größere Gewähr für die lizenzgerechte Nutzung der Inhalte bietet als die bislang eingesetzten Verfahren.
(Der Text ist entnommen aus dem Artikel „Aspekte des Datenschutzes“ aus den DFN-Mitteilungen Heft 72 vom Juni 2007, Autor: Jan Köcher)
print version updated:27. November 2008 18:00

References: § 14
 § 14
 § 14
 § 2
 § 126
 § 3