neunetz.com

Nachdem wir uns letzte Woche die beiden deutschen OpenID Provider Xlogon und Meinguter.name in Bezug auf Datenschutz etwas näher angesehen haben, sind heute die beiden US Provider myOpenID und claimID an der Reihe.

Achtung! Wer den Artikel von letzter Woche nur in seinem Feed Reader gelesen hat, sollte noch einmal einen Blick darauf werfen. Mir ist da ein peinlicher Fehler unterlaufen und ich habe den Artikel deshalb noch einmal ergänzt bzw. zusammen gestrichen. Ich hoffe mal, dass ich diesen Artikel heute ohne Fehler schaffen werde.

myOpenID

Die Nutzungsbedingungen von myOpenID entsprechen in vielen Punkten denen von Xlogon. Das betrifft sowohl die Änderung der Nutzungsbedingungen (inkl. Benachrichtigung der Nutzer bei erheblichen Änderungen) als auch der Sorgfaltspflicht der Nutzer (unter Nutzernamen und OpenID verbreitete Inhalte gehen zu Lasten der Nutzer). myOpenID weist zwar darauf hin, welche Inhalte man nicht haben möchte, stellt aber klar, dass diese selbst nicht kontrolliert werden und man evtl. auch auf anstößige Inhalte stoßen kann.

Die Weitergabe von Namen und Kontaktinformationen an Dritte wird ausgeschlossen. Es erfolgt ebenso keine Überwachung und Weitergabe von Inhalten (Ausnahme wie eigentlich überall: Strafverfolgungsbehörden).

Bei Xlogon bin ich ja bereits auf die Beendigung des Nutzungsverhältnisses eingegangen. Bei myOpenID werden ebenfalls die Inhalte gelöscht; der Nutzername bleibt jedoch bestehen. Die Begründung ist auch sehr einleuchtend: Man will vermeiden, dass jemand anderes den gleichen Nutzernamen verwenden kann, den ich bei meinem alten myOpenID Account benutzt habe. Für andere Personen ist nämlich nicht erkennbar, dass ich selbst nicht mehr hinter dieser OpenID stehe, was unter Umständen zu bösen Überraschungen führen könnte.

claimID

claimID verfährt bei Änderung der Nutzungsbedingungen genauso wie Xlogon und myOpenID. Im Gegensatz zu allen anderen bislang genannten Providern darf claimID nur privat genutzt werden. Nutzer dürfen keine Services an Dritte aufgrund von mit claimID erstellter Daten verkaufen; Spam wird ausdrücklich verboten.

claimID verkauft oder verleiht keine persönlichen Daten der Nutzer an Dritte. Ausnahmen werden bei einer Übernahme der Firma und bei Strafverfolgungsbehörden gemacht. Desweiteren behält man sich vor, im Rahmen von Studien bei claimID selbst (die Betreiber haben Informationswissenschaften studiert) anonymisierte Daten von Nutzern zu verwenden. Alle von Nutzern eingestellte Daten unterliegen einer Creative Commons Attribution Share-Alike Lizenz.

Bei Beendigung des Nutzungsverhältnisses werden die Accounts gelöscht.

Fazit

Anhand der Nutzungsbedingungen lassen sich keine wirklich gravierenden Unterschiede zwischen deutschen und amerikanischen Providern festmachen. Meinguter.name fällt da sogar etwas aus dem Rahmen. Eins sollte auch klar sein: Strafverfolgungsbehörden haben in beiden Ländern Zugriff auf die Daten.

Ein wesentlicher Unterschied zwischen den USA und Deutschland besteht darin, dass es in den USA kein bundesweites Datenschutzgesetz gibt. Es gibt in den einzelnen Bundesstaaten aber wohl verschiedene Ansätze in dieser Richtung. Interessant scheint mir auch, dass es ausgerechnet aus der Wirtschaft Bestrebungen gibt, einen einheitlichen Datenschutz zu schaffen. Microsoft ist hier sogar Vorreiter. Auch haben sich viele US Firmen verpflichtet, die strengeren Datenschutzbestimmungen der EU zu beachten; solche Firmen sind in der Safe Harbor List des US Handelsministeriums aufgeführt.

Ruft man sich jetzt Stichworte wie Vorratsdatenspeicherung und Bundestrojaner ins Gedächtnis zurück, bin ich mir nicht sicher, ob es noch wesentliche Unterschiede zwischen beiden Ländern gibt. Also immer schön die Nutzungsbedingungen lesen.

OpenID und Datenschutz, ein Thema, das scheinbar irgendwie zusammen gehört. Ansonsten lässt sich kaum erklären, warum wir in den vergangenen Beiträgen doch auch immer mal wieder auf das Thema zu sprechen gekommen sind; und sei es auch nur in den Kommentaren. Marcel fand meine Aussage, dass man hinsichtlich des Datenschutzes mit einem europäischen bzw. deutschen Provider in der Regel besser fahren würde als mit einem US Provider, zu allgemein. Tja, irgendwie liegt er damit auch nicht wirklich falsch.

Ich habe mir deshalb mal die Nutzungsbedingungen und, sofern vorhanden, die Datenschutzerklärungen von vier OpenID Providern angesehen: Xlogon (DE), Meinguter.name (DE), myOpenID (US) und claimID (US). Auf Provider wie AOL, WordPress.com, etc. werde ich nicht eingehen, weil 1) es sonst einfach zu viele würden, 2) ich sowieso kein Jurist bin und 3) diese nicht reine OpenID Provider sind. Heute werden wir uns erst einmal die beiden deutschen Provider ansehen und wahrscheinlich nächste Woche die beiden amerikanischen.

Xlogon

Update 25.04.2007: Da ich diesen Artikel und den am Sonntag folgenden über mehrere Tage hinweg geschrieben habe, habe ich wohl die Nutzungsbedingungen für den IdP und die für das Blog von Xlogon teilweise gemixt. So etwas darf nicht vorkommen. Ich möchte mich ausdrücklich für den Hinweis von Boris Erdmann (Xlogon) bedanken und gleichzeitig um Entschuldigung bitten.

Die Nutzungsbedingungen von Xlogon sind sehr umfangreich und detailiert. Sie können jedoch, von erheblichen Änderungen abgesehen, geändert oder ergänzt werden, ohne dass die Nutzer darüber informiert werden müssen. Das ist eine Klausel, die man bei den unterschiedlichsten Firmen und Dienstleistungen finden kann und auch nicht wirklich zu beanstanden ist. Ich stelle mir nur immer die Frage, wann eine Änderung erheblich ist. Ich denke mal, dass man das im Zweifelsfall von einem Gericht klären lassen kann.

Angaben des Nutzers erfolgen auf rein freiwilliger Basis und die Nutzerdaten dienen nur zur Bereitstellung des Angebots. Prinzipiell muss ich nicht eine einzige private Angabe machen, um Xlogon nutzen zu können. Eigentlich ganz praktisch. Sollte die Firma jedoch auf die Idee kommen, die Daten in anderer Form nutzen zu wollen, erfordert das die vorherige Zustimmung der Nutzer. Xlogon wird bei Beendigung des Nutzerverhältnisses alle personenbezogenen Daten löschen, was eigentlich sehr zu begrüßen ist. Es stellt sich mir jedoch die Frage, ob auch der Nutzername der OpenID gelöscht wird. Warum das interessant sein könnte, erfahrt Ihr, wenn wir uns myOpenID anschauen. Update: s. Kommentar von Boris Erdmann

Cookies werden nur während einer kontinuierlichen Anmeldung bei Xlogon pseudonymisiert gespeichert; loggt man sich aus, werden diese gelöscht. Finde ich sehr gut. Ansonsten gibt es die üblichen Klauseln, dass Nutzernamen, Nutzerbild und Inhalte (= Fotos, Videos, Texte,…) nicht gegen geltendes Recht, Rechte Dritter, gute Sitten, usw verstoßen dürfen. In diesem Zusammenhang ist vielleicht ganz interessant zu wissen, dass auch Codes - also Abkürzungen und Begriffe -, an denen sich Mitglieder extremistischer Szenen erkennen, ebenfalls verboten sind. Das habe ich in der Form noch nirgendwo sonst gelesen.
Standard ist die Klausel, dass alle unter dem Nutzernamen und der OpenID verbreiteten Inhalte zu Lasten des Nutzers gehen.

Inhalte selbst werden Xlogon zeitlich und räumlich unbeschränkt, jedoch nicht exklusiv, zur Verfügung gestellt und können auch öffentlich zugänglich und auf Abruf bereit gestellt werden. Das gilt auch für Strafverfolgungsbehörden.
Update: Daten werden ausdrücklich nicht an Dritte weiter gegeben; eine Ausnhame besteht nur bei Strafverfolgungsbehörden (s. § 14 Telemediengesetz) und um Schaden vom Betreiber selbst abzuwenden.

Meinguter.name

Die Nutzungsbedingungen bei Meinguter.name fallen dagegen recht übersichtlich aus. Zudem sind sie im Wesentlichen von E-Recht 24 übernommen worden.

Es wird die Haftung von Inhalten und Links geklärt und auf das Urheberrecht eingegangen; interessant ist lediglich der Absatz zum Datenschutz. Personenbezogene Daten werden (soweit möglich) nur auf freiwilliger Basis erhoben und der Dienst selbst soll auch möglichst ohne diese Daten erfolgen können. Diese Daten werden von Meinguter.name nicht an Dritte weiter gegeben. Wer seine E-Mail Adresse angibt, willigt allerdings ein, dass er E-Mails sowohl von Meinguter.name erhält als auch von anderen Diensten des gleichen Betreibers, also Solution Media.

Insgesamt würde ich mir hier durchaus weitere und vor allem genauere Angaben wünschen. Meinguter.name hängt meiner Meinung nach doch zu sehr an der Mustervorlage von E-Recht 24.

Beim nächsten Mal sind dann die Amis an der Reihe.

Diese Woche hat OpenID von deutscher Seite etwas Gegenwind bekommen. Ralf Bendrath, Politikwissenschaftler und Aktivist im Arbeitskreis Vorratsspeicherung, hat sich OpenID angesehen und kommt zu dem Schluss, dass es schlicht nichts taugt. Ein weiterer Blogger hat sogar eine Kampagne gegen OpenID gestartet - OpenID, Nein Danke.

Profiling

Beide sehen das größte Problem von OpenID darin, dass die Provider ohne Probleme Nutzerprofile anlegen könnten. Jede Website, die ich mit OpenID nutzen möchte, muss bei meinem OpenID Provider anklopfen, damit dieser mich authentifiziert. Somit kennt mein Provider jedes Blog und jedes Social Network, das ich mit meiner OpenID nutze. Im Zweifelsfall kennt er mein Surfverhalten besser als ich selbst.

Ich gebe zu, dass das ein Problem darstellt und mir ist nicht bekannt, dass es hier eine zufriedenstellende Lösung gäbe. Momentan kann man sich als User nur auf die Datenschutzbestimmungen des Providers und die des Landes, in dem dieser seinen Sitz hat, verlassen. In der Regel ist man bei einem europäischen Provider in dieser Beziehung besser dran als bei einem in den USA ansässigen. Halt, es gibt doch noch eine weitere Möglichkeit: Man wird selbst OpenID Provider und nutzt dazu das eigene Blog oder die eigene Website.

Wird ein OpenID Provider aber überhaupt zu solchen Mitteln greifen? OpenID Provider dürften sicherlich die längste Zeit User gehabt haben, wenn bekannt werden sollte, dass mit den persönlichen Daten der User nicht sorgfältig umgegangen wird oder diese gar weiter gegeben werden. Die Reputation eines Providers wird auch im Hinblick auf die Gefahren durch Phishing sehr davon abhängen wie er es mit Datensicherheit und Datenschutz hält. Dieser Punkt dürfte bei weiterer Verbreitung von OpenID zu einem wesentlichen Kriterium der Wahl des Providers werden. Die Provider sollten also aus gewissem Eigeninteresse heraus eben nicht fröhlich Profile anlegen. Wunschdenken? Ok, kann auch sein.

Delegation

Was soll ich als User aber unternehmen, wenn ich meinem Provider nicht mehr traue? Eventuell habe ich mich bereits bei mehreren Sites mit einer OpenID von nichtvertrauenswuerdig.com angemeldet. Zwar kann ich zu einem anderen Provider wechseln, aber ich verliere dann z.B. meine Einstellungen und Freunde bei Social Networks. Die Lösung heißt Delegation.

Delegation bedeutet, dass ich z.B. die URI meines Blogs als OpenID nutze (in meinem Fall notsorelevant.com) und mich mit dieser bei OpenID unterstützenden Sites einlogge. Dazu muss ich aber nicht selbst OpenID Provider sein. In den Kopfbereich (Head) meines Blogs füge ich lediglich zwei bzw. drei Zeilen Code ein, der der anfragenden Site mitteilt, wer mein Provider ist und sie an diesen weiter leitet. Konkret? Ok, bei myopenid.com sieht das dann z.B. wie folgt aus:

<link rel="openid.server" href="http://www.myopenid.com/server" />
<link rel="openid.delegate" href="http://username.myopenid.com/" />
<meta http-equiv="X-XRDS-Location" content="http://username.myopenid.com/xrds" />

Da ich nichtvertrauenswuerdig.com kein Vertrauen mehr entgegen bringe, ersetze ich den Code dieses Providers z.B. durch den von myopenid.com. Fertig. Für mich ändert sich dadurch gar nichts; ich kann weiterhin notsorelevant.com als OpenID nutzen. Ganz einfach.

Schlussbemerkung

Wer OpenID nutzen möchte sollte sich informieren wie das funktioniert und welche Gefahren evtl. bestehen. Das gilt aber nicht nur für OpenID, sondern grundsätzlich immer, wenn ich mich im Netz bewegen möchte. Ich vertraue dem Admin meines Mailproviders, dass er meine Mails nicht liest, meinem ISP, den Betreibern der zahlreichen Social Networks, und, und, und. Ohne ein gewisses Maß an Vertrauen kann ich mich nicht im Netz bewegen.

Man mag jetzt einwenden, dass ich mit OpenID nicht unnötig noch einem weiteren Anbieter vertrauen muss. Aber ist die Alternative wirklich besser? Soll ich mich im Zweifelsfall bei hunderten von Sites mit meiner E-Mail Adresse und Passwort anmelden? Hunderte von Möglichkeiten, dass meine E-Mail Adresse an Spammer weiter gegeben wird.

Mein OpenID Provider kennt die Social Networks und Blogs, die ich besuche und bei denen ich Kommentare hinterlasse. Aber wer Profile zu welchem Zweck auch immer anlegen will, kann das bereits ohne Probleme tun. Google kennt die Daten auch alle (und noch ein paar mehr).

Also informieren, Chancen/Risiken abwägen, entscheiden.

Risiken OpenID:

OpenID Security Considerations
OpenID Phishing Brainstorm
Sicherheitsprobleme bei OpenID