Interview: Das Metaverse verspricht ein immersiveres Erlebnis, wo Kommunikation und Interaktion erlebbar gemacht und Transaktionen „wie im echten Leben“ durchgeführt werden können. Doch die Anonymität des virtuellen Raums ist gleichzeitig der perfekte Nährboden für kriminelle Aktivitäten. it&t hat mit Nik Fuchs, CEO der Swisscom Trust Services, über Chancen und Herausforderungen der Hype-Technologie gesprochen.

Foto: Swiss Trust Services Nik Fuchs, CEO der Swisscom Trust Services: „Ziel ist es, der virtuellen Repräsentation eine reale Identität zuzuordnen, ohne dass eine öffentliche, erzwungene Zurschaustellung von Klarnamen erfolgt.“ it&t business: Nicht erst seit Mark Zuckerberg den Facebook-Mutterkonzern in Meta unbenannt hat, ist das Metaverse in aller Munde. Wie beurteilen Sie die Technologie aktuell?

Nik Fuchs: Das Metaverse ist immer noch Neuland und wir befinden uns in einer Phase, in der wir herausfinden müssen, wie wir dieses innovative Umfeld so sicher und angenehm wie möglich machen können. Bereits heute stellt das Metaverse faszinierende neue Wege in Aussicht, miteinander zu kommunizieren und zu interagieren. Mithilfe von Virtual und Augmented Reality können wir neue Communities schaffen, in denen wir uns direkter austauschen und Ereignisse inklusiver und interaktiver gestalten können. Außerdem eröffnen sich für Unternehmen neue Chancen, ihre Zielgruppen zu erreichen und die Kauf-, Service aber auch Ausbildungserfahrung auf ein ganz neues Level zu heben. Trotzdem darf man die möglichen Gefahren nicht vernachlässigen.

it&t business: Welche Bedrohungen, Herausforderungen und Nachteile sind im Metaverse vorstellbar?

Nik Fuchs: Zunächst ist da der soziale Bereich: Das Metaverse macht nicht nur die positiven Online-Interaktionen und -Ereignisse hautnah erlebbar. Cyber-Mobbing, -Belästigung und -Betrügereien sind mindestens seit dem Aufkommen der sozialen Medien ein realer und trister Bestandteil des Internets und können durch die Mixed-Reality-Erfahrung neue Dimensionen annehmen.

Als nächstes dürften wir das Aufkommen neuer Finanzbetrugsmaschen sehen. Von Immobilien und virtuellen Grundstücken über Kunstwerke bis hin zu Markenkleidung: Im Metaverse ist der Handel mit virtuellem Eigentum möglich und auch willkommen. Einige Brands wie Nike oder Adidas nutzen NFTs, um Kundenloyalität aufzubauen. Je weiter dieser Trend fortschreitet, desto größer ist das Risiko, einem Betrug aufzusitzen, bei dem zum Beispiel Echtgeld in gefälschte virtuelle Assets investiert wird.

Diese beiden Bedrohungen haben einen gemeinsamen Nenner: Anonymität. Im Metaverse werden die Themen „Identität und Identitätsnachweis“ weiterhin eine große Rolle spielen. Die Herausforderung liegt also darin, eine Möglichkeit zu schaffen, wie wir eine sichere Identifikation von Usern vornehmen können, sobald zum Beispiel ein Straftatbestand vorliegt.

Zu guter Letzt: Nicht nur der Handel mit Eigentum, sondern auch mit Daten wird Thema bleiben – wenn nicht sogar noch „aggressiver“ als es bereits der Fall ist. Man wird nicht umhinkommen zu hinterfragen, wer welche Daten bezieht, verarbeitet und speichert. Kritisch wird es vor allem dann, wenn es um Identitätsdaten geht. Auch hier müssen entsprechende Maßnahmen ergriffen werden, um den Usern die Kontrolle über ihre eigenen Daten zu garantieren.

Bereits heute stellt das Metaverse faszinierende neue Wege in Aussicht, miteinander zu kommunizieren und zu interagieren. it&t business: Im Metaverse können User theoretisch jeden Namen und jedes Aussehen – also eine neue Identität – annehmen. Wie können wir verhindern, dass sich Betrüger und Belästiger hinter anonymen Profilen und Avataren verstecken? 

Nik Fuchs: Anonymität ist Fluch und Segen zugleich. Nehmen wir als Beispiel die sozialen Medien: Während ein anonymes Profil Regime-Gegner in diktatorischen Ländern vor politischer Verfolgung schützen kann, verschleiert es andernorts die wahre Identität eines Mobbers oder Scammers. Für die Aufklärung von Straftaten, die Strafverfolgung sowie die Betrugsprävention ist es allerdings essenziell, die reale Person hinter einem virtuellen Avatar oder Pseudonymen zu kennen. Deshalb werden jene Stimmen immer lauter, die eine Klarnamenpflicht, unter anderem in den sozialen Medien, fordern. Meta hat vor kurzem ein kostenpflichtiges Konzept angekündigt, mit dem Meta- und Instagram-User ihr Profil – ähnlich wie mit Twitter Blue – verifizieren können und ein blaues Häkchen zur Kenntlichmachung erhalten. Soziale Plattformen sind demnach zusehends gewillt, für eine Form der Identifikation und folglich mehr Vertrauen zu sorgen.

Das wichtigste Stichwort ist also „Identität“. Ziel ist es, der virtuellen Repräsentation eine reale Identität zuzuordnen, ohne dass eine öffentliche, erzwungene Zurschaustellung von Klarnamen erfolgt. Eine solche eindeutige, verifizierbare digitale Identität könnte verschiedene Attribute beinhalten wie den Klarnamen, Kontoverbindungen sowie Benutzerkonten für unterschiedliche Online-Angebote, -Plattformen, -Shops und so weiter. All diese Daten sind zwar in der digitalen Identität hinterlegt, aber per se nicht für Dritte zugänglich. Nur der Anwender allein entscheidet, für wen er welche Daten freigibt. Mit diesem Prinzip der Datensparsamkeit haben Nutzer immer die Wahl, ob sie einen Service nutzen möchten und dafür bestimmte Daten freigeben, oder ob sie diesen Service nicht nutzen. Ein unbemerktes Abrufen von Daten durch die Anbieter wäre so praktisch nicht mehr möglich.

Die eindeutige Verknüpfung von Online-Konten mit realen Identitäten bringt noch weitere Vorteile: User, die auf einer Plattform gesperrt wurden, weil sie gegen Guidelines verstoßen haben, könnten sich nicht einfach einen neuen Account anlegen. Bots ließen sich effizienter identifizieren und entfernen. Außerdem könnten Strafverfolgungsbehörden im Falle eines Betrugs oder einer anderen Straftat schneller agieren, da sie die digitale Identität direkt zum realen Nutzer zurückverfolgen können.

Im Metaverse werden die Themen „Identität und Identitätsnachweis“ weiterhin eine große Rolle spielen. it&t business: Wie würde die technische Umsetzung einer solchen digitalen Identität aussehen?

Nik Fuchs: Für den Aufbau eines Identitätsökosystems bietet sich aus Praktikabilität und Erfahrung eine Public-Key-Infrastruktur an. Sowohl Halter als auch Provider der digitalen Identität verfügen jeweils über einen Public und einen Private Key, mit denen verschlüsselte Informationen versendet und entschlüsselt werden. Zusätzlich verknüpfen qualifizierte elektronische Zertifikate die einzelnen Attribute miteinander und beglaubigen sie. Im Metaverse-Kontext wäre es naheliegend, dass die jeweiligen Betreiber die Rolle der Identity Provider übernehmen. Das hat jedoch zwei entscheidende Nachteile: Die personenbezogenen Daten würden sich erneut bei einem Unternehmen ansammeln; damit ginge den Nutzern die Kontrolle über ihre Informationen verloren. Zudem wären Nutzer gezwungen, sich für jedes Metaverse-Angebot eine neue Identität anzulegen.

it&t business: Wie lässt sich dieses Problem umgehen? Und bei wem läge dann die Kontrolle über User- und Identitätsdaten?

Nik Fuchs: Eine Self-Sovereign Identity (SSI) – also eine selbstverwaltete (digitale) Identität – eignet sich am besten als Alternative. Das gesamte Konzept baut auf einem „Vertrauensdreieck“ zwischen dem Herausgeber der Identität, dem Besitzer und den Prüfern auf. Im Normalfall übernimmt der Staat die Herausgabe der Dokumente, die die Identität einer Person bestätigen und somit den Kern einer eID bilden. Weitere Attribute können beispielsweise von Institutionen wie Schulen oder Hochschulen in Form Zeugnissen hinzugefügt werden. Besitzer aller Dokumente sind die Bürger. Die Prüfer sind jene Einrichtungen, die Zugang zu bestimmten Informationen erhalten – wie in unserem Beispiel der Metaverse-Betreiber oder die Strafverfolgungsbehörde.

Wichtig ist, dass Besitzer selbst entscheiden, welche Attribute sie teilen möchten – frei nach dem Motto: „Je weniger, desto besser.“ Die Datenhoheit obliegt also in jedem Fall bei den Besitzern. Diese verwalten ihre Dokumente in einem eigenen ID-Wallet – ähnlich jener Wallets, die man aus dem Krypto-Bereich kennt. Da alle notwendigen Informationen hier zentral vorliegen, entfällt die Notwendigkeit, sich jedes Mal eine neue digitale Identität anzulegen.

Die technologische Grundlage existiert also bereits. Der Ball ist nun auf der Seite des Gesetzgebers, der für die notwendige Regulierung sorgen und Verantwortlichkeiten zuteilen muss – wobei hier insbesondere die EU mit eIDAS 2.0 aktuell eine tragende Rolle einnimmt. Es stellen sich im Zuge dessen nämlich wichtige regulatorische Fragen: Wer übernimmt die Identifizierung der Nutzer? Wer kümmert sich um die Verwaltung der Identitäten? Wann ist die entsprechende Stelle dazu verpflichtet, Klarnamen zum Beispiel im Rahmen von polizeilichen Ermittlungen offenzulegen?

it&t business: Wie sicher und zuverlässig ist die digitale Identität?

Nik Fuchs: Das Grundgerüst des Identitätsökosystems gilt aufgrund des oben beschriebenen Zwei-Schlüssel-Verfahrens – auch asymmetrische Kryptografie – als fälschungssicher. Kriminelle, die ein solches System angreifen und missbrauchen wollen, müssten sehr große Ressourcen aufbringen. Kritisch wird es an der Schnittstelle zwischen der analogen und digitalen Welt: der initialen Identifikation. Für die meisten Online-Dienste brauchen Nutzer lediglich eine E-Mail-Adresse, um sich zu registrieren. Diese ist frei wählbar – hier werden die meisten besonders kreativ – und lässt in der Regel keine Rückschlüsse auf die Identität des Nutzers zu. So reicht diese Methode für die Erstellung einer digitalen Identität nicht aus. Deshalb muss zwangsläufig ein vertrauenswürdiges Identifikationsverfahren implementiert werden – wie zum Beispiel über die Online-Ausweisfunktion des deutschen Personalausweises, eine Video- oder sogenannte Bank-Identifikation.