neunetz.com

OpenID und Datenschutz, ein Thema, das scheinbar irgendwie zusammen gehört. Ansonsten lässt sich kaum erklären, warum wir in den vergangenen Beiträgen doch auch immer mal wieder auf das Thema zu sprechen gekommen sind; und sei es auch nur in den Kommentaren. Marcel fand meine Aussage, dass man hinsichtlich des Datenschutzes mit einem europäischen bzw. deutschen Provider in der Regel besser fahren würde als mit einem US Provider, zu allgemein. Tja, irgendwie liegt er damit auch nicht wirklich falsch.

Ich habe mir deshalb mal die Nutzungsbedingungen und, sofern vorhanden, die Datenschutzerklärungen von vier OpenID Providern angesehen: Xlogon (DE), Meinguter.name (DE), myOpenID (US) und claimID (US). Auf Provider wie AOL, WordPress.com, etc. werde ich nicht eingehen, weil 1) es sonst einfach zu viele würden, 2) ich sowieso kein Jurist bin und 3) diese nicht reine OpenID Provider sind. Heute werden wir uns erst einmal die beiden deutschen Provider ansehen und wahrscheinlich nächste Woche die beiden amerikanischen.

Xlogon

Update 25.04.2007: Da ich diesen Artikel und den am Sonntag folgenden über mehrere Tage hinweg geschrieben habe, habe ich wohl die Nutzungsbedingungen für den IdP und die für das Blog von Xlogon teilweise gemixt. So etwas darf nicht vorkommen. Ich möchte mich ausdrücklich für den Hinweis von Boris Erdmann (Xlogon) bedanken und gleichzeitig um Entschuldigung bitten.

Die Nutzungsbedingungen von Xlogon sind sehr umfangreich und detailiert. Sie können jedoch, von erheblichen Änderungen abgesehen, geändert oder ergänzt werden, ohne dass die Nutzer darüber informiert werden müssen. Das ist eine Klausel, die man bei den unterschiedlichsten Firmen und Dienstleistungen finden kann und auch nicht wirklich zu beanstanden ist. Ich stelle mir nur immer die Frage, wann eine Änderung erheblich ist. Ich denke mal, dass man das im Zweifelsfall von einem Gericht klären lassen kann.

Angaben des Nutzers erfolgen auf rein freiwilliger Basis und die Nutzerdaten dienen nur zur Bereitstellung des Angebots. Prinzipiell muss ich nicht eine einzige private Angabe machen, um Xlogon nutzen zu können. Eigentlich ganz praktisch. Sollte die Firma jedoch auf die Idee kommen, die Daten in anderer Form nutzen zu wollen, erfordert das die vorherige Zustimmung der Nutzer. Xlogon wird bei Beendigung des Nutzerverhältnisses alle personenbezogenen Daten löschen, was eigentlich sehr zu begrüßen ist. Es stellt sich mir jedoch die Frage, ob auch der Nutzername der OpenID gelöscht wird. Warum das interessant sein könnte, erfahrt Ihr, wenn wir uns myOpenID anschauen. Update: s. Kommentar von Boris Erdmann

Cookies werden nur während einer kontinuierlichen Anmeldung bei Xlogon pseudonymisiert gespeichert; loggt man sich aus, werden diese gelöscht. Finde ich sehr gut. Ansonsten gibt es die üblichen Klauseln, dass Nutzernamen, Nutzerbild und Inhalte (= Fotos, Videos, Texte,…) nicht gegen geltendes Recht, Rechte Dritter, gute Sitten, usw verstoßen dürfen. In diesem Zusammenhang ist vielleicht ganz interessant zu wissen, dass auch Codes - also Abkürzungen und Begriffe -, an denen sich Mitglieder extremistischer Szenen erkennen, ebenfalls verboten sind. Das habe ich in der Form noch nirgendwo sonst gelesen.
Standard ist die Klausel, dass alle unter dem Nutzernamen und der OpenID verbreiteten Inhalte zu Lasten des Nutzers gehen.

Inhalte selbst werden Xlogon zeitlich und räumlich unbeschränkt, jedoch nicht exklusiv, zur Verfügung gestellt und können auch öffentlich zugänglich und auf Abruf bereit gestellt werden. Das gilt auch für Strafverfolgungsbehörden.
Update: Daten werden ausdrücklich nicht an Dritte weiter gegeben; eine Ausnhame besteht nur bei Strafverfolgungsbehörden (s. § 14 Telemediengesetz) und um Schaden vom Betreiber selbst abzuwenden.

Meinguter.name

Die Nutzungsbedingungen bei Meinguter.name fallen dagegen recht übersichtlich aus. Zudem sind sie im Wesentlichen von E-Recht 24 übernommen worden.

Es wird die Haftung von Inhalten und Links geklärt und auf das Urheberrecht eingegangen; interessant ist lediglich der Absatz zum Datenschutz. Personenbezogene Daten werden (soweit möglich) nur auf freiwilliger Basis erhoben und der Dienst selbst soll auch möglichst ohne diese Daten erfolgen können. Diese Daten werden von Meinguter.name nicht an Dritte weiter gegeben. Wer seine E-Mail Adresse angibt, willigt allerdings ein, dass er E-Mails sowohl von Meinguter.name erhält als auch von anderen Diensten des gleichen Betreibers, also Solution Media.

Insgesamt würde ich mir hier durchaus weitere und vor allem genauere Angaben wünschen. Meinguter.name hängt meiner Meinung nach doch zu sehr an der Mustervorlage von E-Recht 24.

Beim nächsten Mal sind dann die Amis an der Reihe.

Nachdem wir in den vergangenen zwei Wochen geklärt haben, was OpenID Provider sind, wie Delegation funktioniert und dass es evtl. datenschutzrechtliche Probleme geben könnte, beschäftigen wir uns heute mal etwas näher mit zwei deutschen Providern. Beide sind erst in den letzten paar Wochen an den Start gegangen und bieten den Usern doch sehr differenzierte Konzepte an. Es gibt noch einen dritten deutschen OpenID Provider - Regged von Sebastian Egbers -, der jedoch eher privater Natur ist.

Meinguter.name

Meinguter.name ist ein OpenID Provider, der von der Firma Solution Media aus Kaiserslautern bereit gestellt wird. Solution Media beschäftigt sich mit verschiedenen Projekten aus den Bereichen Web 2.0 und Semantic Web. Die Firma steht auch hinter dem OpenID Directory und dem OpenID Blog Deutschland. OpenID kennen sie also. Die OpenID’s sind wie folgt aufgebaut:username.meinguter.name.

Zusätzlich bietet Meinguter.name auch einen interessanten Ansatz in Richtung Onlineidentität. Es wird regelmäßig das Netz nach dem eigenen Namen durchsucht und man braucht dann nur noch zu entscheiden, ob ein Beitrag einen selbst betrifft oder eben einen Namensvetter. Keine Vorstellung wie das aussehen soll? Mein Profil findet sich hier.
Datenschützer werden vermutlich Amok laufen, aber für den ein oder anderen kann es durchaus sinnvoll sein, das eigene Profil öffentlich zugänglich zu machen: zukünftige Arbeitgeber können sich schnell einen Überblick verschaffen, Bekannte finden einen wieder, Selbstdarstellung, Profilneurose. Alles ist möglich; entscheiden muss wieder mal jeder für sich selbst.

Xlogon

Xlogon wurde von der Firma 4commerce Technologies aus Hamburg gegründet, die sich auf Softwarelösungen im Bereich CRM und Informationsprozesse konzentriert.

Das Konzept ist hier ein anderes als bei Meinguter.name. Xlogon bietet seinen Nutzern die Möglichkeit, verschiedene Profile, sogenannte Personas, anzulegen. Dahinter steckt die Idee, dass ich nicht allen Webseiten, bei denen ich mich mit meiner OpenID anmelde, die gleichen Nutzerdaten übermitteln möchte. Beispielsweise kann es sinnvoll sein, für nicht regelmäßig genutzte Seiten und Dienste eine Persona anzulegen, die nur das nötigste enthält: einen Nutzernamen. Für Business Netzwerke hingegen können es dann schon mehr und detailiertere Angaben sein. So kann ich bei Xlogon also von Fall zu Fall entscheiden, welche Daten eine Seite zu sehen bekommt. Die OpenID ist in der Form xlogon.net/username aufgebaut.

Zu Xlogon siehe auch den Kommentar von Boris Erdmann zu dem Artikel von letzter Woche und den Artikel zu Personas im Xlogon Blog.

Schluss

Wie Ihr seht, verfolgen beide Provider doch sehr unterschiedliche Konzepte. Welches Konzept einem selbst am ehesten zusagt ist Geschmackssache. Zudem glaube ich nicht, dass die beiden die einzigen professionellen Provider in Deutschland bleiben werden, so dass die Auswahlmöglichkeiten in absehbarer Zeit weiter zunehmen dürften. Einfach mal die Augen offen halten und dann entscheiden.

Diese Woche hat OpenID von deutscher Seite etwas Gegenwind bekommen. Ralf Bendrath, Politikwissenschaftler und Aktivist im Arbeitskreis Vorratsspeicherung, hat sich OpenID angesehen und kommt zu dem Schluss, dass es schlicht nichts taugt. Ein weiterer Blogger hat sogar eine Kampagne gegen OpenID gestartet - OpenID, Nein Danke.

Profiling

Beide sehen das größte Problem von OpenID darin, dass die Provider ohne Probleme Nutzerprofile anlegen könnten. Jede Website, die ich mit OpenID nutzen möchte, muss bei meinem OpenID Provider anklopfen, damit dieser mich authentifiziert. Somit kennt mein Provider jedes Blog und jedes Social Network, das ich mit meiner OpenID nutze. Im Zweifelsfall kennt er mein Surfverhalten besser als ich selbst.

Ich gebe zu, dass das ein Problem darstellt und mir ist nicht bekannt, dass es hier eine zufriedenstellende Lösung gäbe. Momentan kann man sich als User nur auf die Datenschutzbestimmungen des Providers und die des Landes, in dem dieser seinen Sitz hat, verlassen. In der Regel ist man bei einem europäischen Provider in dieser Beziehung besser dran als bei einem in den USA ansässigen. Halt, es gibt doch noch eine weitere Möglichkeit: Man wird selbst OpenID Provider und nutzt dazu das eigene Blog oder die eigene Website.

Wird ein OpenID Provider aber überhaupt zu solchen Mitteln greifen? OpenID Provider dürften sicherlich die längste Zeit User gehabt haben, wenn bekannt werden sollte, dass mit den persönlichen Daten der User nicht sorgfältig umgegangen wird oder diese gar weiter gegeben werden. Die Reputation eines Providers wird auch im Hinblick auf die Gefahren durch Phishing sehr davon abhängen wie er es mit Datensicherheit und Datenschutz hält. Dieser Punkt dürfte bei weiterer Verbreitung von OpenID zu einem wesentlichen Kriterium der Wahl des Providers werden. Die Provider sollten also aus gewissem Eigeninteresse heraus eben nicht fröhlich Profile anlegen. Wunschdenken? Ok, kann auch sein.

Delegation

Was soll ich als User aber unternehmen, wenn ich meinem Provider nicht mehr traue? Eventuell habe ich mich bereits bei mehreren Sites mit einer OpenID von nichtvertrauenswuerdig.com angemeldet. Zwar kann ich zu einem anderen Provider wechseln, aber ich verliere dann z.B. meine Einstellungen und Freunde bei Social Networks. Die Lösung heißt Delegation.

Delegation bedeutet, dass ich z.B. die URI meines Blogs als OpenID nutze (in meinem Fall notsorelevant.com) und mich mit dieser bei OpenID unterstützenden Sites einlogge. Dazu muss ich aber nicht selbst OpenID Provider sein. In den Kopfbereich (Head) meines Blogs füge ich lediglich zwei bzw. drei Zeilen Code ein, der der anfragenden Site mitteilt, wer mein Provider ist und sie an diesen weiter leitet. Konkret? Ok, bei myopenid.com sieht das dann z.B. wie folgt aus:

<link rel="openid.server" href="http://www.myopenid.com/server" />
<link rel="openid.delegate" href="http://username.myopenid.com/" />
<meta http-equiv="X-XRDS-Location" content="http://username.myopenid.com/xrds" />

Da ich nichtvertrauenswuerdig.com kein Vertrauen mehr entgegen bringe, ersetze ich den Code dieses Providers z.B. durch den von myopenid.com. Fertig. Für mich ändert sich dadurch gar nichts; ich kann weiterhin notsorelevant.com als OpenID nutzen. Ganz einfach.

Schlussbemerkung

Wer OpenID nutzen möchte sollte sich informieren wie das funktioniert und welche Gefahren evtl. bestehen. Das gilt aber nicht nur für OpenID, sondern grundsätzlich immer, wenn ich mich im Netz bewegen möchte. Ich vertraue dem Admin meines Mailproviders, dass er meine Mails nicht liest, meinem ISP, den Betreibern der zahlreichen Social Networks, und, und, und. Ohne ein gewisses Maß an Vertrauen kann ich mich nicht im Netz bewegen.

Man mag jetzt einwenden, dass ich mit OpenID nicht unnötig noch einem weiteren Anbieter vertrauen muss. Aber ist die Alternative wirklich besser? Soll ich mich im Zweifelsfall bei hunderten von Sites mit meiner E-Mail Adresse und Passwort anmelden? Hunderte von Möglichkeiten, dass meine E-Mail Adresse an Spammer weiter gegeben wird.

Mein OpenID Provider kennt die Social Networks und Blogs, die ich besuche und bei denen ich Kommentare hinterlasse. Aber wer Profile zu welchem Zweck auch immer anlegen will, kann das bereits ohne Probleme tun. Google kennt die Daten auch alle (und noch ein paar mehr).

Also informieren, Chancen/Risiken abwägen, entscheiden.

Risiken OpenID:

OpenID Security Considerations
OpenID Phishing Brainstorm
Sicherheitsprobleme bei OpenID

Marcel hat ja bereits angekündigt, dass ich auf neunetz.com regelmäßig über OpenID schreiben werde. Wie das im Einzelnen aussehen wird, wird sich wohl von Woche zu Woche eher spontan ergeben. Ich finde das Thema OpenID und Single Sign-On sehr spannend, bin aber selbst nur Nutzer. Erwartet also bitte keine ausführlichen technischen Hintergründe; die können andere wesentlich besser erklären.

OpenID dürfte zumindestens für regelmäßige Leser von - hauptsächlich englischsprachigen - Blogs zu einem Begriff geworden sein, wenn auch eine Mehrheit es (noch) nicht nutzt. Ein paar interessierte Menschen werden aber sicherlich trotzdem darunter sein, die das Thema ebenfalls spannend finden und einfach einmal ausprobieren möchten wie das funktioniert.

OpenID Provider

Um OpenID nutzen zu können, benötigt man erst einmal einen Account bei einem OpenID Provider, der die User gegenüber einer OpenID unterstützenden Website authentifiziert. Was liegt also näher, als sich gleich mal bei myopenid.com, claimID oder einem anderen Provider eine OpenID zu besorgen? Nun vielleicht einfach mal schauen, ob man nicht bereits eine funktionierende OpenID hat. Das ist nicht immer für jeden so offensichtlich wie man vielleicht denken könnte, da eine immer größer werdende Anzahl von Diensten User Accounts in OpenID’s umwandelt. Nachfolgend mal eine kleine Auswahl:

• AOL/AIM: openid.aol.com/username
• WordPress.com: username.wordpress.com
• Typekey: profile.typekey.com/username/
• Ziki: my.ziki.com/username
• Technorati: technorati.com/profile/username

Wie man sieht, sollte eigentlich fast jeder Blogger mittlerweile eine OpenID haben. Aber wohin jetzt mit der schönen ID? Wo kann man die nutzen und die blöden Username und Passwort Kombinationen hinter sich lassen?

OpenID Consumer

Websites, die ein Login mit OpenID akzeptieren nennt man OpenID Consumer. Jetzt könnte man ziemlich schnell auf die Idee kommen, einfach auf WordPress.com ein Blog mit Hilfe der AOL OpenID zu starten. Tja, die Geschichte mit Theorie und Praxis drängt sich wieder auf: leider ist nicht jeder OpenID Provider auch gleichzeitig OpenID Consumer. WordPress.com ist zumindestens momentan nur ein Provider. Das ist ganz klar ein Nachteil von OpenID.

Es bleibt abzuwarten, wie sich große Firmen verhalten werden, sollten sie eines Tages OpenID unterstützen. Eine OpenID ist ja rein äußerlich betrachtet nichts anderes als eine URI, die den Namen des Providers enthält und somit durchaus einen Werbeeffekt für diesen darstellt. Nehmen wir mal an Yahoo und Google unterstützten OpenID sowohl als Provider als auch als Consumer, wäre es auf den ersten Blick durchaus komisch, wenn z.B. neue User mit einer Yahoo URI bei Google einen Account erstellten. Es bleibt abzuwarten, ob und wie OpenID dort eingesetzt wird. Könnte jedenfalls spannend werden.

Es gibt aber auch positive Beispiele. So unterstützt Netscape, nun wirklich kein kleiner unbekannter Dienst, seit Montag dieser Woche OpenID als Consumer. Überhaupt scheint man bei AOL - Netscape gehört bekanntlich zu AOL - das Thema ernst zu nehmen. So hat man vor kurzen Ficlets gelauncht, ein Service mit dem man winzige Geschichten schreiben kann, die andere User weiter entwickeln können. Ficlets akzeptiert ebenfalls OpenID und das AOL Branding ist auch noch kaum sichtbar. Aber das nur am Rande.

Wer sich nun fragt, welche Dienste, Blogs,… eine OpenID akzeptieren, findet in Form des OpenID Directory einen guten Überblick. Die Dienste sind in verschiedene Kategorien eingeteilt, was einem die Orientierung sehr erleichtert. Einfach mal schauen.