Single Sign-on Made in Germany: Verimi, NetID oder ID4me?

Welche der deutschen Single-Sign-on-Lösungen ist am vielversprechendsten? Golem.de erläutert die Unterschiede zwischen Verimi, NetID und ID4me.

Eine Analyse von Monika Ermert veröffentlicht am 11. September 2018, 12:12 Uhr

Wettlauf um die Nutzer: Single-Sign-on-Lösungen Made in Germany (Bild: Montage: Golem.de)

Alle drei werben damit, dass sie eine Alternative zu den IT-Konzernen Google und Facebook anbieten wollen, "Made in Germany" und mit der Datenschutz-Grundverordnung (DSGVO) in Einklang. Alle drei fußen auf den gleichen technischen Vorgaben, dem auf Standards der Internet Engineering Task Force (IETF) basierenden OpenID Connect. Dennoch unterschieden sich die drei Single-Sign-on-Lösungen, deren Macher sich gerade auf den Panels deutscher Onlinekonferenzen das Mikrofon in die Hand geben.

Macht am Ende Verimi, NetID oder ID4me das Rennen? Das ist noch offen. Am heutigen Dienstag haben die Deutsche Bahn und der Autokonzern Volkswagen angekündigt, bei Verimi mitzumachen. NetID gewann laut Turi2.de den Spiegel-Verlag, Gruner+Jahr, die Süddeutsche Zeitung und Ippen-Digital. Dass einzelne Partner wie United Internet (NetID und ID4me) oder die Deutsche Telekom (Verimi und ID4me) bei mehreren der Projekte aktiv sind, unterstreicht nur: Auch innerhalb der Konzerne wird auf unterschiedliche Konzepte gewettet. Damit Nutzer bewusster entscheiden können, hier ein Blick auf Gemeinsamkeiten und Unterschiede.

Sign-on with me, me, me

Was die drei Bewerber gemeinsam haben, ist schnell zusammengefasst: Alle drei reagieren auf die Single-Sign-on-Lösungen der nicht erst mit dem Facebook-Skandal in Europa ins Gerede gekommenen US-Internetkonzerne. Der Siegeszug der "Sign in mit Google"- oder "Sign in mit Facebook"-Buttons straft diejenigen Lügen, die meinen, das zentrale Hinterlegen von Nutzer-IDs sei für die mehr oder weniger datenschutzbewegten Europäer abschreckend. Es ist einfach zu bequem, nicht für zig Dienste, gerade auch solche, die man nicht dauernd nutzt, eigene Profile anzulegen und der langen Liste verstreut eingesetzter Passwörter ein neues hinzuzufügen.

Ein sicherer, datenschutzfreundlicher Single Sign-on (SSO), der Nutzern die Hoheit über ihre Nutzerdaten zurückgibt und transparent macht, welche Dienste wie viele Daten wollen und wie oft, das versprechen die innerhalb der vergangenen knapp zwei Jahre angetretenen SSO-Projekte. Die Macher von Verimi, ID4me und NetID präsentieren gerne ihre Buttons - Sign-on mit Verimi, Sign-on mit ID4me, Sign-on mit NetID.

Standardprotokoll Oauth

Offene Standards zur Identifizierung von Nutzern quer über verschiedene Dienste gibt es schon seit geraumer Zeit, und auch die großen Plattformen bedienen sich dieser Standards. Mit RFC 5842 wurde innerhalb der IETF 2010 das Standardprotokoll für den Zugriff eines Dienstes auf die anderswo liegenden Daten eines neuen Nutzers verabschiedet: Oauth 1.0.

Mittlerweile ist der Oauth-Framework kräftig weiterentwickelt worden und bei RFC 8252 und Version 2.0 angekommen. Auf diese Standardsuite setzt das 2014 ebenfalls aus verschiedenen Vorgängerversionen entstandene OpenID Connect auf. Alle drei deutschen SSO-Anbieter, Verimi, NetID und ID4me, setzen darauf auf.