Digitale Identität im Metaverse

Liegt im Metaverse das Land der unbegrenzten Möglichkeiten oder droht die fehlende Regulierung zur Gefahr zur werden? Im Spannungsfeld zwischen neuen Möglichkeiten und Betrugsprävention müssen Regularien etabliert werden. Eine zentrale Rolle nimmt dabei die (digitale) Identität der Nutzer ein, wie Nik Fuchs, CEO von Swisscom Trust Services in seinem Beitrag beschreibt.

Als sich die amerikanischen Siedler von der Ostküste in die westlichen Territorien aufmachten, gehörten diese Gebiete mehr theoretisch als tatsächlich einem Staat an. Bis die staatlichen Institutionen dort Fuß fassen konnten und Recht und Gesetz durchgesetzt werden konnten, sollte es noch einige Zeit dauern. So lange blieb der „Wilde Westen“ das Land der Gesetzlosen – so kennen wir es zumindest aus zahlreichen Filmen. Droht uns im Neuland des Metaverse nun ein derartiges Szenario in der digitalen Welt? Werfen wir zunächst einmal einen Blick auf mögliche Gesetzlosigkeiten und Betrügereien.

Neue Qualität der Bedrohungen

Man könnte argumentieren, Online-Betrug sei fast so alt wie das Internet selbst und viele Maschen blieben im Prinzip über Jahre die gleichen und haben sich nur an die jeweils neuen Kanäle angepasst. Verhält es sich nun mit dem Metaverse genauso, oder wartet dort wirklich eine ganz neue Qualität der Bedrohung?

Leider spricht einiges für die letztere These. Eine Studie von Trend Micro prognostiziert beispielsweise die Zunahme von Belästigungen durch real wirkende Avatare, wenn die Grenzen zwischen virtueller und tatsächlicher Realität zunehmend verschwimmen. Skeptisch sind die Autoren der Studie auch hinsichtlich des Datenschutzes. Sie gehen davon aus, dass Metaverse-Angebote für Nutzer größtenteils kostenlos sein werden und sie dafür mit mehr Daten als jemals zuvor „bezahlen“. Erwähnt wird auch das wachsende Potenzial für Finanzbetrug. Dies komme vor allem dadurch zustande, dass die neuen Welten weniger reguliert seien.

Im finanziellen Bereich liegt auch meiner Meinung nach eine der größten Gefahren des Metaverse. Regulierungen der Gesetzgeber hinken neuen Innovationen in der Regel immer hinterher und man muss davon ausgehen, dass sich allein deshalb neue Spielräume für Kriminelle eröffnen werden. Noch wichtiger scheint aber die Verbreitung von „virtuellem Eigentum“ zu sein. An sich ist dies auch kein neues Phänomen. Bei Online-Spielen ist es seit langem üblich, echtes Geld in virtuelle Ausrüstungsgegenstände zu investieren. In letzter Zeit machten auch NFT-Kunstwerke von sich reden.

Der Bestand an virtuellem Eigentum könnte immens anwachsen, wenn sich das Metaverse zum Massenphänomen entwickelt und beispielsweise virtuelle Markenkleidung für den eigenen Avatar zum Must-have wird. In diesem Fall würde sich ein gewaltiger Markt virtueller Güter entwickeln, für den uns sowohl Erfahrungsbeispiele als auch ein gesetzlicher Rahmen völlig fehlen. Dieser Markt wäre dann natürlich direkt äußerst attraktiv für alle Arten von Kriminellen.

Weiterhin könnte künstliche Intelligenz eine neue Gefahr darstellen. Praktisch wöchentlich ist von neuen Errungenschaften und Innovationen auf dem Gebiet zu lesen. Das ist natürlich einerseits beeindruckend und chancenreich, andererseits lehrt uns leider die Geschichte, dass Technologie nicht immer nur zum Guten genutzt wird. Künstliche Intelligenz gepaart mit der immersiven Welt des Metaverse bietet den Hintergrund für dystopische Szenarien. Droht uns eine Zukunft, in der KI-Bots sich nicht mehr von den Avataren realer Menschen unterscheiden lassen? Schaut man sich das massive Bot-Problem an, das einige soziale Netzwerke bereits heute haben, ist dieser Gedanke gar nicht mehr so abwegig.

Identität im Netz muss reguliert werden

Für Betrugsprävention und/ oder Strafverfolgung spielt – in den hier skizzierten Fällen – Identität eine wesentliche Rolle. Wichtig ist eine eindeutige, verifizierbare und einer realen Person/ Institution/ etc. zugeordnete digitale Identität. So könnten einerseits Bots schnell erkannt werden, da ihnen eben keine reale Entität zugeordnet werden kann. Andererseits könnte man die reale Identität von Betrügern ermitteln, um sie zur Rechenschaft zu ziehen.

Das Thema Identität im Netz ist allerdings immer auch ein zweischneidiges Schwert und wirft direkt neue Fragen auf. Mit einer Art Klarnamenpflicht würde schließlich sehr viel der Kultur verloren gehen, die das Internet der Nicknames geprägt hat. In sozialen Netzwerken, Chats, Online-Spielen und so weiter ist die Anonymität auch wiederum ein Schutz für Nutzer.

Der Gesetzgeber wird Wege finden müssen, um dieses Dilemma aufzulösen. Eine mögliche Lösung wäre eine eindeutige digitale Identität, die über mehrere Attribute verfügt. Dies könnten neben dem Klarnamen der Person, einer oder mehrere Nicknames, Benutzerkonten für verschiedene Angebote oder ähnliches sein. Durch diese Verknüpfung ließe sich beispielsweise verhindern, dass sich gesperrte Personen einfach mit einem neuen Konto wieder anmelden. Strafverfolgungsbehörden könnten zudem bei Betrugsvorwürfen direkt einsehen, welche Person hinter welchem Pseudonym steckt.

Technisch ließe sich ein solches System umsetzen. Am besten mittels einer Public Key Infrastructure (PKI) und mit qualifizierten elektronischen Zertifikaten, die die Verknüpfung der Attribute herstellen und beglaubigen. Allerdings bleibt die Frage offen, wer die Rolle des Identity Providers übernimmt.

Monopole, Datenschutz und Datensicherheit

Einerseits wäre es naheliegend, diese Rolle beim Betreiber des Metaverse zu verorten. Auf den zweiten Blick ist das allerdings sehr kritisch zu sehen. Zunächst wird es vermutlich mehrere Metaversen verschiedener Betreiber geben, sodass Nutzer bei jedem eine neue Identität anlegen müssten. Abgesehen davon droht eine Monopolisierung der Daten. Die neue Welt des immersiven Internets wird ohnehin eine Goldgrube für Datensammler werden. Da scheint es fragwürdig, auch noch die Verwaltung der Nutzeridentitäten in die Hände der Betreiber zu legen.

So stellt sich die Frage nach Alternativen. Eine mögliche Lösung könnte die Self Sovereign Identity (SSI) sein. Dabei verbleibt die Datenhoheit beim Nutzer selbst. Möglich wird dies durch das sogenannte „Vertrauensdreieck“ zwischen Herausgeber, Besitzer und Prüfer. Herausgeber von Identitätsdokumenten ist der Staat, Besitzer ist der Bürger. Der Prüfer kann beispielsweise der Metaverse-Betreiber sein. Interessant an diesem Konzept ist, dass der Nutzer selbst entscheidet, welche Attribute seiner digitalen Identität er für wen freigibt. Bei der SSI gibt es auch ein Wallet, ähnlich der von Mobile Payment und Kryptowährungen, in welcher Nutzer diverse Dokumente digital ablegen können. Sie müssen allerdings nicht den kompletten Zugriff darauf gewähren, um sich irgendwo mit ihrer Identität anzumelden. Dadurch wird der Grundsatz der Datensparsamkeit umgesetzt.

Eine Frage bleibt allerdings immer noch offen, und zwar die der initialen Identifizierung der Nutzer, also der Verknüpfung von realer Identität mit digitaler Identität. Diese Schnittstelle zwischen analoger und digitaler Welt ist besonders kritisch. Die asymmetrische Kryptografie, die hinter dem Ökosystem der digitalen Identitäten steckt, kann prinzipiell als fälschungssicher gelten. Das System als solches anzugreifen, würde immense Ressourcen erfordern, was es für Kriminelle schlicht unrentabel macht. Viel einfacher ist es für sie, nach Hintertüren Ausschau zu halten. Ein solcher Ansatzpunkt könnte die Schnittstelle zwischen analoger und digitaler Welt sein. Für verlässliche und prüfbare digitale Identitäten muss zunächst eine vertrauenswürdige Identifikation erfolgen. Eine simple Anmeldung mit einer E-Mail-Adresse reicht selbstverständlich nicht aus. Stattdessen kommen beispielsweise die Online-Ausweisfunkton des deutschen Personalausweises oder die Identifizierung über ein bestehendes Bankkonto in Betracht.

Das Metaverse verspricht spannende neue Möglichkeiten für Unterhaltung, Business, Bildung und noch viel mehr. Doch damit Nutzer diese neuen Welten genießen können, ohne sich in einen rechtsfreien Raum zu begeben, müssen verbindliche Regularien erarbeitet werden und die Identitätsfrage muss gelöst werden.

---