OpenID: Digitales Passwort-Gedächtnis fürs Internet

OpenID: Erkennbar an dem grauen Pfeil Internetnutzer, die häufig im Netz unterwegs sind und auch viele verschiedene Dienste nutzen, müssen sich oft eine Vielzahl an Passwörtern merken. Zudem wächst mit jedem Dienst, für den sie sich registrieren, die Zahl der digitalen Identitäten. Da ist es nicht immer leicht, den Überblick über alle Daten zu behalten. Systeme wie OpenID, Facebook Connect und Google Friend Connect dienen als digitales Gedächtnis und sollen das Anmeldechaos beenden. Doch die Standards haben Tücken.

Die Grundidee hinter derartigen Systemen ist, dass Nutzer nicht mehr bei allen Online-Diensten ein eigenes Konto anlegen müssen, sondern eine einzige Identität verwenden können. "Single Sign-On" wird dieses Prinzip genannt. "Die Idee ist, seine eigene Identität mitzubringen", sagt Axel Nennker, Direktoriums-Mitglied der OpenID Foundation und im Hauptberuf Mitarbeiter der Deutschen Telekom.

Das entlastet nicht nur das Gedächtnis, sondern dient auch der Sicherheit: Wer sich nur ein Passwort merken muss, kann dieses kompliziert und somit sicherer gestalten.

OpenID: Dezentral angelegtes Anmeldesystem

Mittlerweile gibt es eine Vielzahl von Passwort-Helfern im Internet. Das 2005 entwickelte Protokoll OpenID galt aber lange als Standard unter den Einmal-Anmeldesystemen und wurde von Technikriesen wie Google, Yahoo, Microsoft und Paypal unterstützt. Die genaue Zahl der potenziellen Nutzer ist nicht bekannt, dürfte aber beachtlich sein.

Das Prinzip des dezentral angelegten Systems ist denkbar einfach: Nutzer können bei etlichen Anbietern ein OpenID-Konto anlegen - beispielsweise Google und Yahoo, aber auch Spezialisten wie MyOpenID. Nach den aktuellsten vorliegenden Zahlen der OpenID Foundation aus dem Jahr 2009 unterstützen derzeit weltweit mehr als neun Millionen Webseiten diesen Standard. Vor allem kleine Anbieter erlauben den Zutritt mit OpenID, während sich die meisten Großen darauf beschränken, Ausweise auszugeben.

Ob die besuchte Webseite das Anmeldesystem unterstützt, erkennt der Besucher durch einen halbrunden grauen Pfeil. Beim Anmelden wird er aufgefordert, seine "OpenID URL" einzugeben - am besten die Web-Adresse des Anbieters, bei dem das OpenID-Konto angelegt wurde. Es öffnet sich ein Fenster, in das wie gewohnt die Anmeldedaten eingegeben werden, in diesem Fall die fürs Yahoo-Konto. Der Server erzeugt eine Internet-Adresse (URL) und sendet sie an die Ausgangs-Website - die Anmeldung erfolgt dann automatisch.

Einige Websites fragen ein paar Basisdaten ab, zum Beispiel den Namen und die Mailadresse. Einige Foren erlauben auch eine anonyme Anmeldung. "Anbieter wie Google bestätigen nur: Hier meldet sich ein Open-ID-Nutzer", erklärt Nennker.

Dienst ist bisher noch relativ unbekannt

Trotz seiner Möglichkeiten hat OpenID bisher den großen Durchbruch noch nicht geschafft. Das liegt zum einen daran, dass der Dienst relativ unbekannt ist. "Viele Nutzer wissen gar nicht, dass sie eine OpenID haben", weiß Nennker. Google, Yahoo und Co weisen nur dezent auf die Möglichkeit hin - wenn überhaupt.

Um den Bekanntheitsgrad von OpenID zu steigern, will die Stiftung den Standard überarbeiten. OpenID Connect soll für Entwickler einfacher einzubinden sein und auch den Nutzer Erleichterungen bringen - etwa das Login mit einer einfachen E-Mail-Adresse. Zudem ist geplant, das System auch auf andere technische Plattformen auszuweiten, etwa Mobilfunk-Apps.

Doch auch die Konkurrenz arbeitet stetig an neuen Lösungen. So konnte das System Facebook Connect beispielsweise schon einige Nutzer für sich gewinnen. "Jeder weiß, was Facebook ist. Und es ist viel einfacher zu verstehen, dass Facebook die eigene Identität verwaltet als irgendein vages, unbekanntes Ding namens OpenID", schrieb das US-Magazin "Wired" kürzlich. Äußerlich ähneln sich Facebook Connect und OpenID: Mit einem Klick auf das Symbol geht ein neues Fenster auf, in dem man seine Daten eingibt. Doch das US-Unternehmen geht weiter. Anders als bei OpenID sehen Nutzer nach der Anmeldung - etwa in einem Diskussionsforum -, welche ihrer Kontakte aus dem Sozialen Netzwerk sich dort tummeln. Umgekehrt können Aktivitäten wie Kommentare in den Facebook-Ticker gespeist werden, so dass die eigenen Kontakte sie sehen. Dies sei ein Grund, warum viele Websites auf Connect setzen: "Sie bekommen ein Stück vom Nutzer-Kuchen."

Egal für welches Anmeldesystem sich der Nutzer schlussendlich entscheidet, der Schutz der eigenen Daten sollte auf jeden Fall beachtet werden. "Dienste, die wie Facebook Connect eine Single-Sign-On Lösung bereithalten, können durchaus Zeitersparnis für die Nutzer bedeuten. Erfolgreiche Angriffe auf das Nutzerkonto potenzieren jedoch die Gefahren des unmittelbaren Zugriffs und Missbrauchs auf alle Daten, die der Nutzer in den verschiedenen Diensten hinterlassen hat", erklärt Johannes Caspar, Datenschutzbeauftragter von Hamburg und für Facebook zuständig. Durch das Ausspähen von Zugangsdaten seien Fälle des Identitätsdiebstahls nicht auszuschließen.

Weitere Tipps für einen sicheren Umgang mit dem Internet finden Sie auch auf unserer Ratgeber-Seite.

Ratgeber: Sicherheit im Internet