Digitaler Identitätsdiebstahl: Neuer Lösungsansatz gegen Bots und Fake-Profile

In den digitalen Räumen der Philippinen, von sozialen Netzwerken über Online-Marktplätze bis hin zu Kommentarspalten unter Nachrichten oder Gewinnspielen, stellt die Unterscheidung zwischen echten Menschen und automatisierten Programmen oder Fake-Accounts eine wachsende Herausforderung dar. Es ist oft unmöglich zu erkennen, wer hinter einem Profil steckt: Ein Account, der einen Verkäufer lobt, könnte ein echter Kunde sein, aber ebenso gut der Verkäufer selbst. Bei Verlosungen bleibt unklar, ob hundert Einträge von hundert Menschen stammen oder von einer einzigen Person mit hundert Accounts. Selbst Diskussionen in sozialen Medien können durch Software statt durch Nachbarn oder Mitbürger manipuliert werden.

Dieses Problem beeinträchtigt nicht nur die Höflichkeit im Netz, sondern untergräbt das grundlegende Vertrauen in die digitale Wirtschaft. Jedes manipulierte Gewinnspiel, jede gekaufte Bewertung und jeder gefälschte Gewinner vermittelt die Botschaft, dass Vertrauen im Internet ein Zeichen von Naivität ist. Dies hat erhebliche wirtschaftliche Folgen für eine Gesellschaft, in der immer mehr alltägliche Prozesse über das Smartphone abgewickelt werden, etwa das Bezahlen von Rechnungen, der Verkauf von Waren wie Eiern auf lokalen Märkten, der Beitritt zu Gemeinschaftsgruppen oder das Einreichen von Anträgen. Während Betreiber von Bot-Netzwerken die Kosten für die Umgehung von Sicherheitsmaßnahmen als Teil ihres Geschäftsmodells kalkulieren, tragen ehrliche Nutzer die Last der Preisgabe ihrer Privatsphäre.

Bisherige Lösungen zur Verifizierung der Identität bergen jedoch eigene Risiken. Um zu beweisen, dass man eine reale Person ist, müssen Nutzer oft sensible Daten wie staatliche Ausweisdokumente, Selfies oder Telefonnummern an Unternehmen übermitteln, deren Sicherheitsstandards nicht immer überprüfbar sind. Während die Unehrlichen lediglich Zeit und Aufwand investieren, zahlen die Ehrlichen mit der Preisgabe ihrer persönlichen Daten, was das Risiko von Datenlecks massiv erhöht. Es findet ein ungerechter Tausch statt: Der ehrliche Kunde gibt hochsensible Dokumente an Firmen ab, deren Sicherheit er nicht kontrollieren kann.

Als Alternative zu dieser herkömmlichen Identitätsprüfung wurde das Konzept des sogenannten „Proof of Personhood“ entwickelt. Gene Son, der Gründer von XODE, stellt mit dem Dienst Xodian einen Ansatz vor, der nicht fragt, wer eine Person ist, sondern lediglich bestätigt, dass es sich um einen echten Menschen auf einem echten Mobilgerät handelt. Die Technologie nutzt die gesicherte Hardware moderner Smartphones von Anbietern wie Google oder Apple. Diese Geräte enthalten einen kleinen, von der restlichen Hardware getrennten Sicherheitsbereich, der einen nicht kopierbaren Schlüssel speichern kann. Sowohl Google als auch Apple bieten Möglichkeiten, dass eine App gegenüber einem Server nachweist, dass sie auf echter, unveränderter Hardware läuft und nicht in einem Emulator auf einem Serverfarm-Rack simuliert wird.

Dabei wird durch biometrische Merkmale wie Fingerabdruck oder Gesichtserkennung direkt auf dem Gerät selbst bestätigt, dass ein Mensch das Gerät gerade hält. Der entscheidende Vorteil ist der Ablauf: Die Prüfung findet auf dem eigenen Smartphone des Nutzers in der eigenen App statt. Der Nutzer sieht genau, was abgefragt wird, bevor er zustimmt. Die Webseite erhält lediglich eine digitale, signierte Bestätigung und einen Identifikator, der für jede Webseite unterschiedlich ist. Wenn dieselbe Person zwei verschiedene Seiten besucht, erhält jede Seite eine andere Nummer. Dadurch ist es für Unternehmen nicht möglich, Profile über verschiedene Plattformen hinweg zu erstellen, indem sie die Daten vergleichen. Die Webseite kann somit die Anzahl der echten Nutzer zählen, ohne diese einzeln tracken zu können. Es werden dabei weder Namen, Gesichter noch Dokumente, Telefonnummern oder Kontostände übermittelt.

Es ist jedoch wichtig zu betonen, dass diese Technologie keine vollständige Identitätsprüfung ersetzt. Sie erfüllt nicht die gesetzlichen Anforderungen an die Verifizierung von Name, Alter oder Nationalität, wie sie etwa bei Bankgeschäften notwendig sind, und erfüllt keine regulatorischen Verpflichtungen. Vielmehr fungiert sie als Filter für Bereiche des Internets, die keine strengen regulatorischen Prüfungen benötigen, aber dennoch vor der Manipulation durch Massen-Bots geschützt werden müssen. Zudem ist das System nicht unfehlbar: Ein entschlossener Akteur, der einen Raum voller echter Smartphones und echter Menschen nutzt, könnte das System dennoch überlisten. Das Ziel ist es nicht, Missbrauch unmöglich zu machen, sondern ihn so kostspielig zu gestalten, dass er sich wirtschaftlich nicht mehr lohnt und Betrug von einem Geschäftsmodell wieder zu einer bloßen Belästigung wird.

Angesichts der extrem hohen Online-Präsenz der philippinischen Bevölkerung ist die Entscheidung über die Art der digitalen Verifizierung von großer Bedeutung. Da die Standards für solche Systeme oft im Ausland gesetzt werden und die Datensammlung für die Unternehmen oft im Vordergrund steht, müssen diese Technologien kritisch hinterfragt werden. Ein entscheidendes Kriterium für die Bewertung sollte daher nicht nur die Komplexität der Kryptografie sein, sondern die Frage, welche Daten ein System bewusst nicht erhebt.