Digitale Identität: Wer Sie online sind und wer das bestimmt

Was ist eine digitale Identität? Zwei Bedeutungen im Vergleich

Die Verordnung (EU) Nr. 910/2014, kurz eIDAS-Verordnung, nennt den Vorgang „elektronische Identifizierung“. Gemeint ist der Prozess der Verwendung von Personenidentifizierungsdaten in elektronischer Form, die eine Person eindeutig repräsentieren.² Personenidentifizierungsdaten sind ein Datensatz, der nach Unionsrecht oder nationalem Recht ausgestellt wird und es ermöglicht, die Identität einer Person festzustellen.²

Für die zweite Bedeutung eignet sich als Begriffsgrundlage der Begriff der personenbezogenen Daten in der DSGVO. Das sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Als identifizierbar gilt, wer direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, einer Kennnummer, Standortdaten oder einer Online-Kennung, identifiziert werden kann.¹ Das ist keine gesetzliche Definition von „Online-Identität“, sondern eine brauchbare Arbeitsgrundlage. Diese Einordnung stammt von mir.

ID Austria: der österreichische elektronische Identitätsnachweis

In Österreich heißt der staatliche Identitätsnachweis ID Austria. Die offizielle Hilfeseite nennt sie „der österreichische elektronische Identitätsnachweis“, die Weiterentwicklung der Handy-Signatur und der Bürgerkarte, die diese abgelöst hat.⁵

Verwendet wird sie als elektronischer Identitätsnachweis für das Login in Online-Verfahren, laut Hilfeseite bei österreichischen Anwendungen der Verwaltung und von privatwirtschaftlichen Services. Dazu kommt die qualifizierte elektronische Signatur, mit der laut Hilfeseite überall in Europa elektronisch unterschrieben werden kann (Ausnahmen regelt das Signatur- und Vertrauensdienstegesetz). Mit der App „eAusweise“ lassen sich Dokumente wie der digitale Führerschein in Österreich vorzeigen.⁵

Voraussetzung sind laut Hilfeseite ein vollendetes 14. Lebensjahr, eine abgeschlossene Registrierung bei einer Behörde, die Ihre Identität feststellt, und ein Smartphone mit der App oder ein alternativer Authentifizierungsfaktor.⁵ Zwei Grenzen nennt dieselbe Seite ausdrücklich: Die ID Austria „ersetzt jedenfalls kein Reisedokument bei einem Grenzübertritt“. Und im Verwaltungsbereich sind andere EU-Länder verpflichtet, sie gleichwertig mit ihren eigenen eIDs in der höchsten Sicherheitsstufe anzuerkennen.⁵

Auch das österreichische E-Government-Gesetz kennt den „elektronischen Identitätsnachweis (E-ID)“. Nach § 2 Z 10 ist das eine logische Einheit, die eine qualifizierte elektronische Signatur mit einer Personenbindung verbindet.⁶ Nach § 4 Abs. 1 dient der E-ID dem Nachweis der eindeutigen Identität, weiterer Merkmale sowie des Bestehens einer Einzelvertretungsbefugnis eines Einschreiters, und zwar in Verfahren, für die ein Verantwortlicher des öffentlichen Bereichs eine dafür taugliche technische Umgebung eingerichtet hat. Nach § 4 Abs. 3 setzt seine Nutzung die vorherige Registrierung voraus.⁶

Die europäische Brieftasche für die digitale Identität: Was sie ist und was nicht

Die Verordnung (EU) 2024/1183 hat die eIDAS-Verordnung geändert und die „Europäische Brieftasche für die Digitale Identität“ eingeführt.³ Nach Art. 3 Nr. 42 ist sie ein elektronisches Identifizierungsmittel. Es ermöglicht dem Nutzer, Personenidentifizierungsdaten und elektronische Attributsbescheinigungen sicher zu speichern, zu verwalten und zu validieren, sie vertrauenden Beteiligten und anderen Nutzern zu präsentieren und mittels qualifizierter elektronischer Signaturen zu unterzeichnen oder mittels qualifizierter elektronischer Siegel zu besiegeln.³

Drei Festlegungen sind für Sie als Nutzer wesentlich:

• Pflicht für die Mitgliedstaaten: Nach Art. 5a Abs. 1 stellt jeder Mitgliedstaat innerhalb von 24 Monaten nach dem Tag des Inkrafttretens der in Absatz 23 und Artikel 5c Absatz 6 genannten Durchführungsrechtsakte mindestens eine solche Brieftasche bereit. Die Europäische Kommission nennt dafür das Ende des Jahres 2026.³⁴
• Kostenlos: Ausstellung, Verwendung und Widerruf erfolgen für alle natürlichen Personen kostenlos (Art. 5a Abs. 13).³
• Freiwillig: „Die Nutzung von europäischen Brieftaschen für die Digitale Identität ist freiwillig“ (Art. 5a Abs. 15).³

Bereitstellen müssen die Mitgliedstaaten die Brieftasche nicht unbedingt selbst. Nach Art. 5a Abs. 2 kann sie unmittelbar von einem Mitgliedstaat, im Auftrag eines Mitgliedstaats oder unabhängig von ihm, aber von ihm anerkannt, bereitgestellt werden.³

Meine Einordnung: Die Brieftasche betrifft die erste Bedeutung von digitaler Identität, den Nachweis. Sie ändert nichts daran, was eine Suchmaschine zu Ihrem Namen anzeigt oder was Dritte über Sie schreiben. Wer sich von ihr ein Reputationswerkzeug erwartet, erwartet das Falsche.

Digitale Identität im zweiten Sinn: Was über Sie vorhanden ist

Die zugeschriebene Online-Identität setzt sich aus Bausteinen zusammen, von denen Sie nicht alle selbst gesetzt haben:

• die eigene Domain und Website, sofern Sie eine betreiben,
• Profile auf Plattformen, auch längst vergessene,
• Erwähnungen Dritter in Artikeln, Foren und Bewertungen,
• Einträge in Branchen- und Firmenverzeichnissen,
• Datensätze bei Händlern und Auskunfteien, die im Netz nicht auffindbar sind.

Der letzte Punkt ist leicht zu übersehen, weil er im Netz nicht sichtbar ist. Hier gibt Ihnen das Recht ein konkretes Instrument in die Hand: Nach Art. 15 Abs. 1 DSGVO kann die betroffene Person vom Verantwortlichen eine Bestätigung darüber verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden. Ist das der Fall, hat sie ein Recht auf Auskunft über diese Daten, unter anderem über die Verarbeitungszwecke, die Kategorien der Daten und die Empfänger.¹ Wie weit dieses Recht trägt und wo es endet, behandelt der Beitrag Auskunft, Löschung, Auslistung.

Wer bestimmt Ihre digitale Identität online?

Vier Akteure wirken mit. Wie viel Einfluss Sie haben, unterscheidet sich je nach Akteur erheblich:

• Sie selbst: Sie bestimmen den Inhalt Ihrer Website und Ihrer Profile und die Angaben, die Sie dort machen.
• Plattformen: Sie setzen die Regeln, nach denen Einträge gelten. Bei Unternehmensprofilen von Google ist die Bestätigung des Unternehmens nötig, um Angaben wie Name oder Öffnungszeiten zu bearbeiten. Welche Bestätigungsmethoden angeboten werden, bestimmt Google automatisch, und sie lassen sich nicht ändern.⁸
• Dritte: Sie schreiben über Sie und verlinken auf Sie. Das wirkt auf die Darstellung zurück: Zu den Quellen, aus denen Google den Titellink eines Suchergebnisses bestimmt, gehört auch der Ankertext von Links, die auf die Seite zeigen.⁷
• Algorithmen: Den Titellink eines Suchergebnisses bestimmt Google nach eigener Aussage automatisch aus mehreren Quellen und ändert ihn nicht manuell für einzelne Websites.⁷ Auch Wissenspanels entstehen automatisch, wenn im offenen Web genügend Informationen vorhanden sind.⁹

Das Muster dahinter: Je weiter eine Fläche von Ihnen entfernt ist, desto weniger bestimmen Sie. Das gilt für fremde Plattformen ebenso wie für die Auswahl und Darstellung durch Suchsysteme. Wie diese Systeme Erwähnungen einer bestimmten Person oder Marke zuordnen, erklärt der Beitrag Entität statt Fundstelle.

Was Sie in der Hand haben und was nicht

In Ihrer Hand liegen drei Dinge, solange Sie sie betreiben und pflegen:

1. Die eigene Domain: Eine Adresse unter Ihrem Namen, auf der Sie bestimmen, was steht, und die sich nicht ändert, wenn Sie eine Plattform wechseln.
2. Die eigenen Profile: Sie entscheiden über Name, Beschreibung und Foto, sofern Sie Zugriff haben. Fehlt der Zugriff, ist das Profil nicht Ihre Fläche, auch wenn Ihr Name darauf steht.
3. Die strukturierte Auszeichnung: Der Katalog schema.org beschreibt den Typ „Person“ als „A person (alive, dead, undead, or fictional)“. Die Eigenschaft „sameAs“ ist dort als Adresse einer Referenzseite beschrieben, die die Identität des Gegenstands eindeutig angibt.¹⁰

Nicht in Ihrer Hand liegt, was daraus gemacht wird. Google weist ausdrücklich darauf hin, dass es nicht garantiert, dass strukturierte Daten in den Suchergebnissen erscheinen, auch wenn die Auszeichnung korrekt ist.¹¹ Ob eine Auszeichnung zu einem Wissenspanel führt, ob Dritte Sie richtig darstellen oder ob ein Eintrag bei einer Plattform Ihnen zugeordnet wird, entscheiden andere.

Daraus folgt eine nüchterne Strategie: die eigenen Flächen vollständig, einheitlich und auf dem Laufenden halten, die fremden beobachten und dort handeln, wo ein Anspruch besteht. Mehr verspricht keine seriöse Quelle.

Bestandsaufnahme in sieben Schritten

Dokumentieren Sie jeden Schritt der folgenden Checkliste schriftlich, damit Sie später Veränderungen erkennen:

1. Namen sammeln: Notieren Sie alle Schreibweisen, unter denen man Sie finden kann, auch frühere Namen, Titel und gebräuchliche Kurzformen.
2. Suchen: Suchen Sie nach jeder Schreibweise in einer Suchmaschine und halten Sie fest, was auf den ersten Seiten erscheint.
3. Profile auflisten: Erfassen Sie alle Profile, die Sie je angelegt haben, mit Adresse, Anmeldeadresse und Datum der letzten Änderung.
4. Zugriff prüfen: Klären Sie je Profil, ob Sie sich anmelden können und ob die hinterlegte Wiederherstellungsadresse noch Ihnen gehört.
5. Einträge finden: Prüfen Sie Verzeichnisse und Plattformen auf Einträge zu Ihrer Person oder Organisation, die Sie nicht selbst angelegt haben, und notieren Sie, ob sie als Ihr Eintrag bestätigt sind.
6. Angaben abgleichen: Vergleichen Sie Name, Beruf, Anschrift und Foto über alle Flächen hinweg und markieren Sie jede Abweichung.
7. Auskünfte einholen: Fragen Sie bei Händlern und Auskunfteien, bei denen Sie Daten vermuten, nach Art. 15 DSGVO an.¹

Fällt Ihnen dabei ein Profil auf, das nicht von Ihnen stammt, aber Ihren Namen trägt, führt der Beitrag Fake-Profile erkennen weiter.

Wo ein YIIO-Werkzeug ansetzt und wo nicht

YIIO Profile setzt bei den Flächen an, die Ihnen gehören: Es stellt unter einer stabilen Adresse maschinenlesbar bereit, wer Sie sind, und verbindet Ihre Profile über „sameAs“-Verweise zu einer Entität. Eine Zusage, dass daraus ein Wissensfeld einer Suchmaschine oder eine KI-Antwort wird, gibt es nicht. Ein Profil über eine dritte Person darf nicht angelegt werden.

YIIO Claim führt Sie als geführter Ablauf mit Statusverfolgung durch das Beanspruchen und Verifizieren Ihrer Einträge. Vollautomatisch geht das nicht: Wo eine Plattform keine Schnittstelle zum Beanspruchen anbietet, bereitet Claim vor und verfolgt nach, den Nachweis erbringen Sie selbst.

Keines der beiden Werkzeuge stellt einen staatlichen Identitätsnachweis aus oder ersetzt die ID Austria.