Spätestens das Coronaimpfzertifikat hat gezeigt, wie wichtig fälschungssichere digitale Nachweise sind. Bundesbildungsministerin Anja Karliczek (CDU) hatte das aber offenbar schon vor der Pandemie erkannt. Sie wollte die Technologie, die bei Kryptowährungen für Sicherheit sorgt, auch bei Zeugnissen einsetzen. Vor genau zwei Jahren stellte Karliczek im Rahmen der Blockchain-Strategie der Großen Koalition das Projekt „IMPact Digital“ vor. Ein Ziel: Digitale Zeugnisse bei Bewerbungen oder auf dem Smartphone sicher teilen und zugleich verifizieren zu können. Denn Experten schätzen, dass etwa jede dritte Bewerbung falsche Angaben enthält. Was beim Impfzertifikat sehr schnell ging, scheint jedoch beim fälschungssicheren Zeugnis nicht so recht in die Gänge zu kommen.
Dabei hat das vom Bundesbildungsministerium (BMBF) geförderte Projekt unter Federführung der Technischen Hochschule Lübeck bereits eine praktische Anwendung entwickelt: ein Blockchain-Plugin, das als Open-Source-Software interessierten Hochschulen und anderen Bildungseinrichtungen zur Verfügung steht, die damit digitale Zertifikate erstellen und überprüfen können. „Hierzu wurde eigens ein Online-Schulungskurs entwickelt“, erzählt Stefanie Bock vom Institut für Interaktive Systeme der TH Lübeck.
Ihrer Ansicht nach liegen die Vorteile der Technik auf der Hand: „Eine Blockchain bietet die Möglichkeit, Datensätze in einem verteilten Netzwerk so zu speichern, dass sie nachträglich nicht mehr beziehungsweise nur nach genau festgelegten Regeln verändert werden können. So können beispielsweise Hochschulen, aber auch Arbeitgeber die Echtheit vorgelegter Nachweise unmittelbar überprüfen.“ Die TH Lübeck selbst hat erstmals im April 2020 eigene fälschungssichere Zertifikate im Internet vergeben und bislang rund 800 dieser Nachweise ausgestellt. „Die Technologie funktioniert“, versichert Bock.
Blockchain vs. PDF
Auf großes Interesse ist sie trotzdem nicht gestoßen. Sogar Elite-Hochschulen von internationalem Rang wie die Ludwig-Maximilians-Universität München geben ihre Zeugnisse bislang ausschließlich in Papierform aus. Wer die digital teilen möchte, muss also zum Scanner greifen. Oft sind Sicherheitsbedenken ein Argument gegen die neue Technologie. „Paradoxerweise wäre es aber gerade aus Datenschutzgründen viel sicherer, Dokumente nicht per E-Mail hin und her zu schicken, wie dies immer noch häufig der Fall ist, sondern komplett digital in einem kontrollierbaren Umfeld – wie auf der Blockchain – zu speichern“, gibt Lars Eichhof von der HR-Plattform Cornerstone OnDemand zu bedenken.
„Auch wenn gefühlt jeder schon einmal von der Blockchain gehört hat, haben doch die wenigsten ein Verständnis von der Technologie und ihren Möglichkeiten“, sagt er. „Außerdem ist es kein Geheimnis, dass gerade hier in Deutschland die Skepsis vor neuen Technologien höher ist als im angelsächsischen Raum.“ Dort sei es zudem gängige Praxis, die Angaben von Bewerbern durch Anrufe bei früheren Arbeitgebern zu überprüfen. In Deutschland würden Bewerber hingegen traditionell von vornherein ein Konvolut an Unterlagen als Nachweise beifügen, sagt Eichhof: „Das reicht vielen Unternehmen.”
Tatsächlich entsteht im Gespräch mit Personalexperten der Eindruck: Gefälschte Zeugnisse sind hierzulande für Arbeitgeber kein großes Thema. Um dreiste Lügner zu entlarven, setzen sie in erster Linie auf das persönliche Gespräch und sorgfältige Bewerbungsrunden. „Innerhalb Deutschlands ist das Problem in der Tat untergeordnet”, räumt auch Monique Janneck, Leiterin des Instituts für Interaktive Systeme der TH Lübeck, ein. Doch die Hochschulen seien gefordert, digitale Zertifikate auszustellen. „Und diese müssen dann natürlich auch sicher sein.” Der Druck kommt mit einer Deadline: Das Onlinezugangsgesetz (OZG) schreibt vor, dass Bürger und Unternehmen bis Ende 2022 alle Verwaltungsleistungen auf Bundes-, Länder- und kommunaler Ebene einfach und sicher auch online nutzen können müssen. „Es ist davon auszugehen, dass sich die Hochschulen im Rahmen der Umsetzung des OZG zunehmend intensiver mit digitalen Zertifikaten auseinandersetzen werden“, erwartet Janneck deshalb.
Datenschutz beim digitalen Zeugnis
Dabei wird es vor allem um zwei Dinge gehen: Sicherheit und Datenschutz. Die können bei fälschungssicheren Blockchain-Zeugnissen in Konflikt geraten. Denn die Technologie ist gerade deshalb so sicher, weil Informationen dort nicht entfernt werden können. Das aber kollidiert mit der Datenschutzgrundverordnung, die jeder Person die Kontrolle über ihre persönlichen Informationen zugesteht. „Da Sie Daten nicht löschen können, sollten auf einer Blockchain keine personenbezogenen Daten gespeichert werden, da Sie das Recht auf Löschung nicht umsetzen können“, erläutert Wolfgang Prinz, stellvertretender Leiter des Fraunhofer-Instituts für Angewandte Informationstechnik FIT. Um das Problem zu lösen, werde das Zertifikat nicht im Original auf der Blockchain hinterlegt. Stattdessen werden die sensiblen Daten laut dem Experten nur verschlüsselt als sogenannte Hashwerte gespeichert, mit denen allein Unbefugte nichts anfangen können.
Dieser Umweg macht die Technologie auch leichter umsetzbar. Denn das Zertifikat enthält zwar den Namen und möglicherweise das Geburtsdatum der betreffenden Person. Die braucht aber keine verifizierte digitale Identität, sondern weist sich, wenn nötig, mit einem Personalausweis aus. Das ist zwar in der Praxis umständlicher, setzt aber keine ausgefeilte digitale Infrastruktur voraus. „Dies entspricht dem Verfahren, das wir vom Impfzertifikat kennen”, erklärt Prinz.
Vergleichbar läuft zudem der Abruf des fälschungssicheren Zeugnisses ab. „Sie erhalten zum Beispiel nach Abschluss einer Prüfung oder nach der Teilnahme an einem Kurs ein digitales Zertifikat. Dies ist im Wesentlichen nichts anderes als ein PDF-Dokument oder ein Word-Dokument, es hat jedoch ein eigenes Format“, sagt der Mitgründer des Fraunhofer Blockchain-Labors. „Dieses digitale Dokument können Sie ausdrucken oder in einer App auf Ihrem Smartphone oder Rechner verwalten.“ Ob der Nachweis echt ist, kann überprüft werden, indem ein QR-Code gescannt oder das Dokument auf einer Prüfseite hochgeladen wird. Die gleicht die Angaben mit dem Originaleintrag in der Blockchain ab.
Es gibt auch Alternativen zur Blockchain. Beim Coronaimpfzertifikat und dem Online-Steuerprogramm Elster werden Angaben mithilfe der sogenannten Public-Key-Infrastruktur (PKI) digital signiert. Dieses Verfahren ist weithin erprobt. Prinz sieht jedoch einen entscheidenden Nachteil. Bei der PKI sei man an den jeweiligen Herausgeber des Zertifikats und dessen Regeln gebunden. „Entsprechend können Sie beispielsweise ein Impfzertifikat aus England nicht in die europäische CovPass-App übertragen oder prüfen, da die notwendigen englischen Schlüssel dort nicht hinterlegt sind.” Die Blockchain aber funktioniert weltweit.
Gerade mit dieser universellen Gültigkeit wirbt auch die Blockchain-Allianz DigiCerts für ihre fälschungssicheren Zertifikate. Die werden laut Prinz bislang nur von den DigiCerts-Partnern TH Lübeck und Fraunhofer Academy ausgestellt. Weitere europäische Partner gebe es bislang noch nicht. Interessenten könnten das System aber in einem Testnetzwerk erproben. DigiCerts bringt sich auch als Dienstleister für Bund, Ländern und Kommunen beim Onlinezugangsgesetz in Stellung. „Wir sind hier im Austausch mit den zuständigen Landesministerien”, sagt TU-Professorin Janneck.
Bund und Länder bremsen nach Ansicht von Prinz derzeit aber häufig die Digitalisierung. „Im öffentlichen Sektor gibt es immer noch Vorschriften, die bei Zertifikaten eine Papierform oder ähnliches vorschreiben”, sagt er. Der Forscher erwartet daher, dass eher private Bildungseinrichtungen bei den fälschungssicheren Zeugnissen die Treiber sein werden. „Andere werden dann automatisch nachziehen.” Bock vom Institut für Interaktive Systeme der TH Lübeck glaubt, dass es verschiedene Zertifizierungssysteme geben wird. Entscheidend sei für die Bürger, dass diese kompatibel sind, damit die Zertifikate unterschiedlicher Herkunft in einer einzigen digitalen Geldbörse verwaltet werden können - nicht wie einst beim Videorekorder mit VHS und Betamax.
Wer kontrolliert digitale Zeugnisse?
An einheitlichen, internationalen Standards feilt derzeit unter anderem die Velocity Network Foundation, der sich unter anderem SAP, Oracle und Cornerstone angeschlossen haben. Und auch auf öffentlicher Ebene bewegt sich etwas: Die Bundesdruckerei hat im Sommer einen Testbetrieb zur Ausstellung digitaler Abiturzeugnisse via Blockchain mit einem Prototypen gestartet.
Die Fälschungssicherheit spielt dabei für Eichhof sogar nur eine untergeordnete Rolle: „Die Phasen mit einem Arbeitgeber werden kürzer, Gigs, Praktika, freiberufliche Tätigkeiten – teilweise mehrere gleichzeitig – werden immer normaler.” Hinzu kämen immer wieder neue Jobbezeichnungen. „Eine elektronische Wallet, die alle meine erworbenen Qualifikationen speichert und mich mein Leben lang begleitet, ist hier das ideale Medium”, findet der Experte. „Mein neuer Arbeitgeber hat die Möglichkeit, auf dem aufzubauen, was ich bisher an Skills erwerben konnte. Das kann der klassische Lebenslauf nicht leisten, ob korrekt oder gefälscht.”
Letztlich benötigen aber auch Blockchain-Zeugnisse Vertrauen. Die Hoheit über die Zertifikate würde nicht bei einer staatlichen Instanz, sondern bei der ausgebenden Institution liegen. „Die Sicherheit ergibt sich aus der Zusammensetzung der DigiCerts-Netzwerkpartner, die sämtlich vertrauenswürdige Institutionen sind und auch darüber wachen, dass keine 'schwarzen Schafe' ins Netzwerk gelangen und Zertifikate signieren können“, erklärt Janneck für ihre Allianz. Fraunhofer-Experte Prinz ergänzt: „Der Vorteil der Blockchain-Lösung liegt darin, dass diese Daten in einem dezentral organisierten Netzwerk verwaltet werden. Sollte also ein Zertifikatsherausgeber seine Tätigkeit beenden, so sind diese Zertifikate immer noch in der Blockchain registriert und können in Zukunft geprüft werden.“
Mehr zum Thema: Sind Bitcoin und Co. das neue Gold?
