Projekte

Aktuelle Forschung:

In meiner Forschung befasse ich mich zurzeit hauptsächlich mit dem Themengebiet „Self-Sovereign Identity“ (SSI). Damit wird es Nutzern in Zukunft möglich sein, selbstbestimmt über die Preisgabe ihrer personenbezogenen Daten zu bestimmen. Die Daten liegen dabei nicht mehr – wie heute – bei zentralen Identitätsprovidern sondern sind lokal in Wallets gespeichert. Mit SSI wird starke Authentifizierung im Web möglich sein, bei gleichzeitig hohem Datenschutz für die Nutzer. Die Europäische Union hat 2024 die eIDAS 2.0-Verordnung verabschiedet, mit der die rechtlichen Rahmenbedingungen für SSI geebnet sind. Ich erforsche dabei die Nutzung von SSI in etablierten Protokollen der Informationstechnik: angefangen von der Umsetzung in Kerberos (und damit der Möglichkeit SSI-Authentifizierung in Windows-Netzwerken durchzuführen) über die Umsetzung im Extensible Authentication Protocol (und damit der Möglichkeit der SSI-Authentifizierung in professionellen (W)LAN-Umgebungen bis hin zur Nutzung von SSI für die Ausübung der Datenschutz-Betroffenenrechte. 

Projekte zur E-Mail-Sicherheit:

In den letzten Jahren habe ich mich intensiv mit dem Thema „E-Mail-Verschlüsselung“ beschäftigt. Die Vorgaben der Datenschutz-Aufsichtsbehörden in Bezug auf Ende-zu-Ende-Verschlüsselung sind wenig zielführend. Für Verantwortliche würde die Umsetzung Zeit und Geld kosten – ohne, dass damit den Betroffenen geholfen wäre. Kaum jemand nutzt S/MIME oder PGP. 

Ich trete für eine allgemeine Verbesserung des Sicherheits-Niveaus in der E-Mail-Kommunikation ein: die Mail-Server sollen nach dem Stand der Technik konfiguriert werden (nur die neuesten TLS-Versionen, DANE, SPF/DKIM/DMARC). Damit wäre allen geholfen: E-Mails können sicher und datenschutzgerecht versendet werden, ohne dass die Nutzer hierfür aktiv werden müssen. Leider zeigt sich, dass die Mail-Provider die technischen Maßnahmen häufig nicht ordentlich umsetzen und damit die Sicherheit nicht gewährleistet ist. In einer Studie haben wir ermittelt, dass nur 1 % der Mail-Server deutscher Gesundheitseinrichtungen so konfiguriert sind, dass Ärzte Gesundheitsdaten per E-Mail mit anderen Ärzten bzw. mit ihren Patienten austauschen dürften. Zusammen mit Kollegen habe ich unterschiedliche Verfahren entwickelt, die für mehr Transparenz in der E-Mail-Kommunikation sorgen. Unter https://www.mail-sicherheit.jetzt berichten wir regelmäßig über unsere Fortschritte in diesem Bereich. 

Website-Prüfung für den LfDI Baden-Württemberg:

Für den LfDI Baden-Württemberg habe ich eine Prüfplattform entwickelt, mit der wir von 2016-2018 in regelmäßigen Abständen die Umsetzung von HTTPS auf rund 40.000 Websites von Unternehmen in Baden-Württemberg geprüft haben. In dieser Zeit hat sich die Verbreitung von HTTPS von rund 5 % auf 22 % erhöht. Für diesen Anstieg war nach unserer Analyse maßgeblich die Initiative „Let’s Encrypt“ verantwortlich. Die Veröffentlichungen hierzu finden sich unter „Ausgewählte Publikationen“.