Passwortmanager, Log-in-Dienste und Identitätsplattformen. Einfach nur verschiedene Bezeichnungen für ein- und dasselbe? Nein. Es sind grundverschiedene Systeme. Aber welches eignet sich wofür?
Passwortmanager sind Anwendungen, die sichere Passwörter vorschlagen und verschlüsselt speichern können. Zum Teil werden sie auch Passwortsafes genannt. Der große Vorteil: Nutzerinnen und Nutzer brauchen sich viele komplexe Passwörter nicht mehr merken und können problemlos für jeden Dienst ein individuelles Passwort nutzen, wie es empfohlen wird.
«Man muss nur das Zugangspasswort zu seinem Passwortmanager wissen, das sogenannte Masterpasswort», erklärt Rebekka Weiß, Referentin für Vertrauen und Sicherheit beim IT-Branchenverband Bitkom. Darum erhöhe ein Passwortmanager die Sicherheit im Internet, sagt Weiß. Voraussetzung sei natürlich, dass man ein besonders starkes Masterpasswort wählt.
Ein Log-in für viele Seiten
Auf den ersten Blick scheint es, als erfüllten Log-in-Dienste, oft auch als «Single Sign-on» (SSO) bezeichnet, die gleiche Aufgabe wie Passwortmanager. Beides unterscheide sich aber grundsätzlich, sagt Weiß. Ein SSO-Dienst sei quasi eine Einmalanmeldung, dank derer man sich danach nicht mehr extra bei bestimmten weiteren Diensten anmelden muss. Beispiele für SSO-Dienste seien etwa Apple-, Google- oder Microsoft-Konten.
Für alle, die nicht möchten, dass seine Log-ins über US-Tech-Riesen laufen, gibt es SSO-Alternativen. Etwa in Gestalt von Log-in-Allianzen wie netID, ID4me oder Keyp. Auch und gerade hier steht und fällt die Praxistauglichkeit natürlich mit der Zahl der Dienste, die mitmachen.
Genau wissen, wer sich anmeldet
Noch einmal anders funktionieren sogenannte Identitätsplattformen. Bei Passwortmanagern und SSO-Diensten kommt es im Prinzip nicht darauf an, wer genau die Nutzerin oder der Nutzer ist. Anders verhält es sich bei den Identitätsdiensten, die genau darin ihren Zweck haben. «Diese Dienste überprüfen die Identität ihrer Nutzerinnen und Nutzer», erklärt Christian Wölbert vom «c’t»-Fachmagazin.
Zwischen den verschiedenen Anbietern gebe es aber Unterschiede. Verimi etwa biete zum einen den klassischen SSO-Dienst an. Man könne sich dort aber auch mit dem Video-Ident-Verfahren oder mit dem elektronischen Personalausweis identifizieren. «Eine weitere Möglichkeit ist die Übertragung der Identitätsdaten durch einen Partner», sagt Wölbert.
Der Vorteil: «Das Verimi-Konto kann man immer wieder verwenden. Wenn man beispielsweise ein neues Bankkonto eröffnet will, muss man nicht erneut einen aufwendigen Identifizierungsprozess durchlaufen, sondern kann sich mit dem Verimi-Konto identifizieren», sagt Wölbert.
Einmal geprüft, weiter benutzen
Eine andere Identitätsplattform ist etwa Yes, die im Gegensatz zu Verimi selbst keine Daten speichert. «Yes bietet hingegen eine Art Schnittstelle, über die man die Identitätsdaten der eigenen Bank wiederverwendet», erklärt Wölbert. Denn bei der Eröffnung des Bankkontos wurde die Identität durch die Bank bereits überprüft. Yes verwendet genau diese Identitätsprüfung wieder für die Registrierung und Identitätsüberprüfung bei anderen Diensten und Partnern.
Eine weitere Möglichkeit, die Identität im Netz zu überprüfen, bietet der elektronische Personalausweis. Hier funktioniert die Identifizierung wieder anders: «Die Ausweisdaten liegen nicht auf einem Server, sondern in der Hand des Nutzers», so Wölbert.
Klassisches Henne-Ei-Problem
Das Feld der Identitätsdienste sei aber in Deutschland insgesamt noch in der Entwicklung. «Bisher ist es so, dass man die digitale Identitätsüberprüfung kaum einsetzen kann», sagt Wölbert. Hier bestehe das klassische Henne-Ei-Problem.
«Die aufwendige Integration in ein Online-Angebot lohnt sich erst dann, wenn man damit auch viele potenzielle Kunden erreicht. Bislang gibt es aber keinen umfassenden technischen Standard, der alle Funktionen der Identitätsprovider abdeckt», so Wölbert. Der Experte ist sich aber sicher, dass die Zahl Angebote zunehmen wird.