Einführung zu OpenID

Wozu OpenID?

Sicher kennen Sie das: Sie wollen Ihre E-Mails abrufen, sich im Intranet Ihrer Bibliothek anmelden, bei amazon Bücher und CDs bestellen, über das Portal der Deutschen Bahn die Fahrkarte zum nächsten Bibliothekartag lösen und schließlich auch noch das elektronische Jahrbuch des VDB benutzen. Fünf verschiedene Web-Angebote, fünf einzelne Anmeldevorgänge. Fünfmal geben Sie einen Benutzernamen ein und jedesmal ein anderes Passwort. Dabei ist dieses Szenario noch harmlos, denn wer beschränkt sich im Web schon auf "nur" fünf anmeldepflichtige Angebote? Wie also soll man sich in diesem "Account-Dschungel" noch zurechtfinden?

Mit einer OpenID wird das Surfen im Netz sehr viel komfortabler. OpenID ist ein Projekt im Geist der OpenSource-Bewegung, das sich der Etablierung eines dezentralen digitalen Identifikationssystems verschrieben hat. OpenID ermöglicht das sogenannte Single-Sign-On, kurz SSO. Nach dem SSO-Prinzip meldet sich ein Anwender nur einmal an einem System an und hat dann - ohne weitere Anmeldungen - Zugriff auf alle Anwendungen und Dienste, die ihm zur Verfügung stehen. OpenID überträgt dieses Prinzip auf das Web: Eine einzige Anmeldung des Nutzers bei seinem OpenID-Provider genügt, und alle weiteren, OpenID-fähigen Web-Angebote können ohne zusätzliche Authentifizierungen genutzt werden.

Wie OpenID funktioniert

OpenID beruht auf dem Konzept der URL-basierten Identität. Eine OpenID ist also nichts anderes als ein URL, der den Nutzer weltweit eindeutig identifiziert. Die OpenID sieht somit genau wie eine Internetadresse aus, z.B.: http://xlogon.net/max.mustermann.

Eine solche OpenID erhält der User bei einem OpenID-Provider, wo er sich - hoffentlich zum letzten Mal - registriert und die Daten in seinem Benutzerkonto hinterlegt, die er an andere Websites weitergeben will. Im Mininalfall kann ein solches Profil auch leer bleiben. Sofern diese Angaben dem Betreiber des Web-Angebots ausreichen und z.B. kein Zahlungsverkehr notwendig ist, ist quasi Anonymität möglich.

Mit seiner eindeutigen ID meldet sich der Nutzer bei einem OpenID-fähigen Web-Angebot an. Von dort wird er zunächst zu seinem OpenID-Provider weitergeleitet, wo er durch einmalige Anmeldung den Besitz der OpenID und damit seine Identität nachweisen muss. Nach dieser Authentifizierung leitet der Provider den Nutzer zurück zum Web-Angebot, wo er nun angemeldet ist. Dieses Verfahren funktioniert auch, wenn der Benutzer noch nie bei einem Web-Angebot registriert war. Eine separate Erstanmeldung ist nicht mehr notwendig, denn der neue Account wird mit OpenID automatisch eingerichtet.

Gleichzeitig kann der User seine OpenID wie eine richtige Internet-Adresse verwenden und unter seinem persönlichen URL auch Informationen über sich veröffentlichen. Das ist aber kein Muss. Der Benutzer kann trotz OpenID weitgehend anonym bleiben, wenn er das will.

Vorteile von OpenID

OpenID ist nicht das erste und auch nicht das einzige SSO-Verfahren für das Web. Microsoft beispielsweise hat bereits 1998 sein eigenes SSO-System, MSN Passport, gestartet; dieses hat sich jedoch nicht durchgesetzt. Anders OpenID, dessen Etablierung als führendes SSO-System absehbar ist. Was spricht nun gerade für OpenID?

• Web Single Sign On: Nur noch eine Anmeldung beim OpenID-Provider, keine zusätzlichen Logins oder Registrierungen.
• Zentrale Identitätsverwaltung: Bequeme Verwaltung (mehrerer) Identiäten und sog. "Personas" (Ausprägungen persönlicher Daten), was ganz neue Möglichkeiten in Bezug auf den Aufbau und die Steuerung einer Online-Reputation eröffnet.
• Keine Kosten: Eine OpenID ist kostenlos.
• Mehr Sicherheit: Zwar bietet OpenID nicht per se Schutz z.B. vor Phishing-Attacken, das kann wohl kaum ein Webdienst heutzutage absolut sicher leisten. Dennoch gibt es wirksame Mechanismen, mit denen OpenID-Provider die Sicherheit für ihre User erhöhen können. Gerade auf diesem Gebiet wird sich in nächster Zeit viel tun.
• Dezentrales System: OpenID ist ein dezentrales System. Es gehört niemandem. Somit hat auch kein Unternehmen die alleinige Kontrolle über die OpenID-Technologie und über die Nutzerdaten.
• Freie Provider-Wahl: Allein der Nutzer entscheidet, welchem OpenID-Provider er sich anvertraut.
• Breite Unterstützung: OpenID hat die Unterstützung einiger namhafter Unternehmen der Internetbranche gefunden. Sogar Microsoft hat angekündigt, OpenID-Fähigkeit in die eigenen Produkte zu integrieren. Auch AOL und Sun sind auf den OpenID-Zug aufgesprungen und bieten bzw. kündigen OpenID-Unterstützung an.
• OpenSource-Philosophie: Die Entwicklung von OpenID wird wie bei einem großen OpenSource-Projekt betrieben. Dahinter steht eine Community von Experten, die Spezifikationen ausführlich diskutiert und abwägt und nur nach weitgehender, breiter Übereinstimmung verabschiedet.
• Einige Zahlen (Stand: Juli 2007): Derzeit haben bereits über 90 Mio. Nutzer weltweit eine OpenID. Es gibt über 3.500 Sites, die OpenID-fähig sind, und jeden Tag kommen ca. 30 hinzu. Die monatliche Wachstumsrate liegt bei ca. 8%.

Textvorlage: Daniela Schütte, xlogon.net. Zur Verfügung gestellt mit freundlicher Genehmigung durch xlogon.net. - Weitere Hinweise zu OpenID und Links zu weiteren OpenID-Providern finden Sie im Wikipedia-Artikel zu OpenID.