Digitale Identität beschreibt, welche Merkmale und Nachweise eine Person, ein Gerät oder einen Dienst unterscheidbar machen.
Sie beantwortet, wer oder was sich vorstellt, und sie entscheidet nicht von selbst, welche Dateien dieses Subjekt öffnen darf.
So funktioniert es
Merkmale können ein Name, eine Personalnummer, ein Gerätezertifikat oder ein Dienstkontoname sein, auf den andere Datensätze zeigen.
Nachweise wie ein Passwort, ein Schlüssel oder ein Hardware Token helfen dem System zu glauben, dass die vorstellende Seite zur hinterlegten Identität passt.
Identität ist das Subjekt, Zugriffsverwaltung sind die Entscheidungen, was dieses Subjekt tun darf, und Identitätsdiebstahl ist die Straftat, das Subjekt einer anderen Person zu missbrauchen.
Wer diese drei Ideen vermischt, kauft eine Anmeldemaske, obwohl eigentlich eine verantwortliche Stelle für Eintritt, Wechsel und Austritt fehlte.
Konkrete Beispiele
- Eine Auftragnehmerin erhält einen Identitätsdatensatz mit Firmenpostfach und Startdatum, bevor irgendjemand Zugang zum Finanzordner gewährt.
- Ein Server zeigt ein Zertifikat, das den Dienst benennt, und das ist eine Identität für eine Maschine und nicht für einen Menschen.
- Ein Kundenprofil speichert eine Telefonnummer und einen Liefernamen, die diese einkaufende Person von einer anderen mit ähnlichem Namen unterscheiden.
Schutzmaßnahmen
- Führen Sie für jede Personen und Dienstidentität einen maßgeblichen Datensatz und hören Sie auf, Dubletten anzulegen, die niemand abgleichen kann.
- Binden Sie starke Nachweise an die Identität, statt das Passwort eines gemeinsamen Postfachs als Beweis für eine Person zu behandeln.
- Halten Sie fest, wann eine Identität entstand, wer sie veranlasst hat und wann sie auslaufen soll.
- Speichern Sie nicht zusätzliche personenbezogene Merkmale an einer Identität, nur weil ein Formular ein freies Feld hatte.