Perspektive eines Anwenders

Die International Data Spaces (Association), kurz IDS(A), hat sich das Ziel gesetzt, einen Standard für einen vertrauenswürdigen und selbstbestimmten Austausch von Daten zu etabilieren [1].

So hat sie das Reference Architecture Model, kurz RAM entwickelt, das in der aktuellen Version 4.0 aus 6 zentralen Bausteinen besteht, die jeweils eine bestimmte Funktion erfüllen müssen, und im Zusammenspiel einen minimum viable Dataspace ergeben.

Referenz-Architektur

Jeder Teilnehmer eines solchen Datenraums braucht einen Connector, eine Software, die ihn mit dem Datenraum verbindet. Über den Connector werden Käufe von Datensätzen und Apps durchgeführt, ebenso wie die Verhandlungen von Nutzungsverträgen selbiger. Kurz gesagt ist er unsere Schnittstelle zum Datenraum.

Aktuell arbeiten gleich mehrere Institutionen, Firmen, und Open-Source Projekte an der Implementierung eines solchen Connectors: laut dem aktuellen Data-Connector-Report der IDSA gibt es momentan 33 verschiedene Modelle.
Die IDSA zertifiziert die Connectoren im Hinblick auf Funktionalität, aber vor allem unter dem Aspekt der Datensicherheit.

Die weiteren im Schaubild gezeigten Komponenten werden pro Datenraum (mindestens) einmal benötigt, und sollen von privaten Anbietern betrieben werden, damit der Datenraum föderiert bleibt. Diese können im Gegenzug Nutzungsgebüren verlangen.

Der Metadata Broker erstellt einen Katalog mit allen im Datenraum angebundenen Datensätzen. Bezahlungsvorgänge beim Erwerben von Datensätzen oder Apps werden vom Clearing House abgewickelt. Es ist außerdem dafür zuständig, die im App Store angebotenen Apps zu zertifizieren und zu prüfen, dass sie nichts tun, was die Sicherheit der Daten gefährden könnte.

Der Identity Provider ermöglicht die sichere Identifikation eines jeden Teilnehmers. Wenn mit sensiblen Daten gehandelt wird, ist es unerlässlich zu wissen, wer sein Geschäftspartner ist.

Das Vocabulary dient der internen Datenraum-Kommunikation, und führt eine Liste mit gänigen Datenformaten und Datenraum-spezifischen Kommunikations-Protokollen. Es dient an dieser Stelle also als Informationsquelle für die anderen Komponenten.

Die Angebote

In Datenräumen wird natürlich mit Daten, zusätzlich aber auch mit Apps gehandelt.

Diese erfüllen verschiedene Funktionen von der Aufbereitung der Daten, bis hin zu ihrer Analyse. Damit sollen auch KMU, die selbst nicht über ein großes Know-How in der Software-Entwicklung verfügen, von der aktiven Teilnahme an Datenräumen profitieren können.

So bietet der App Store Apps für verschiedene Anwendungsfälle an:

• Data Apps verarbeiten Daten, oder werten sie aus. Das beinhaltet alles vom Umformatieren der Daten, über eine explorative Datenanalyse, bis hin zum Training eines Neuronalen Netzes zur Erkennung von Anomalien oder zur Vorhersage neuer Werte.

• Adapter Apps helfen bestehende Datenhaltungs-Systeme an den Datenraum anzubinden, die vom Connector standardmäßig nicht unterstützt werden. Mit einer passenden Adapter App kann jede beliebige Datenquelle verbunden werden.

• Control Apps ermöglichen die Nutzung/Steuerung eines Connectors aus anderen Anwendungen heraus. Wenn Ihre Firma also bereits über eine digitale Shopfloor-Management Lösung verfügt, kann diese mit einem Connector verbunden, und die Datenraum-Interaktionen aus der Anwendung heraus gesteuert werden. Diese Apps müssen jedoch spezifisch für ihre Infrastruktur angepasst und entwickelt werden. [3]

Ein weiteres Geschäftsmodell kann im Betrieb der Datenraum-Infrastruktur bestehen.

Wie werden meine Daten geschützt?

Die Sicherheit der Daten hat in einem Datenraum natürlich immer die höchste Priorität. Gleichzeitig sollen jedoch möglichst viele Use Cases ermöglicht werden. Wie können diese beiden Anforderungen gleichzeitig umgesetzt werden?

Nun, da gibt es mehrere Maßnahmen:

• Der Identity Provider überprüft die Identitäten jedes Datenraum-Teilnehmers, sodass jeder eine notariell beglaubigte, digitale Urkunde erhält, mit der er sich im Datenraum ausweisen kann. [9] [10]

• Jeder Connector, der das Zertifikat der IDSA erhält, implementiert einen sogenannten “Policy Enforcement Point”. Dieser unterbricht jeden Datenstrom im Connector, und überprüft ob er durch die für diese Daten festgelegten Nutzungsbedingungen gestattet ist. Nur wenn das der Fall ist, kann die Übertragung fortgesetzt werden.

• Verwendet der Käufer meiner Daten also einen solchen zertifizierten Connector, kann ich sicher sein, dass es ihm nicht möglich ist, die Daten anders als von mir bestimmt zu verwenden. [4, Seite 14ff.]

• Im Appstore angebotene Apps werden daraufhin überprüft, dass sie nicht dazu geeignet sind, Daten zu veruntreuen oder anders zu verwenden, als in ihrer Beschreibung angegeben. [11]

• Die Integritäten des Connectors, sowie der im Appstore angebotenen Apps können kryptographisch überprüft werden. Nur wenn ihre Checksumme mit der, die bei der IDSA bzw. beim Clearing House registriert wurde übereinstimmt, können Daten zum Connector oder der App übertragen werden. So kann vor einem Vertragsabschluss sichergestellt werden, dass der Connector des Vertragspartners nicht manipuliert wurde. [6] [7] [8]

• Die Datenübertragung selbst findet verschlüsselt statt, nach dem aktuell weit verbreiteten TLS-Protokoll, sodass ein Abhören der Übertragung sinnlos bleibt. [7]

Weitere Informationen

Quellen

1. International Data Spaces - fact sheet und Kernaussagen, 2019.

2. Der Data Connector Report der IDSA, Ausgabe 16 vom September 2024 (Englisch)

3. Kapitel 3.5.5 “App Store and App Ecosystem” des IDS-RAM in Version 4.0 (Englisch)

4. IDSA Position Paper: “Usage control in the international data spaces”, Version 3.0 aus dem März 2021 (Englisch)

5. IDS Communication Protocol (Englisch)

6. IDS-RAM Version 4.0 → Perspectives of the Reference Architecture Model → Security Perspective → Securing Applications (Englisch)

7. IDS-RAM Version 4.0 → Perspectives of the Reference Architecture Model → Security Perspective → Securing Interactions between IDS components (Englisch)

8. IDS-RAM Version 4.0 → Perspectives of the Reference Architecture Model → Security Perspective → Identity and Trust Management (Englisch)

9. IDS-RAM Version 4.0 → Layers of the Reference Architecture Model → System Layer → Identity Provider (Englisch)

10. Gaia-X Trust Framework, 22.10 Release, Kapitel “Trust Anchors” (Englisch)

11. IDS-RAM Version 4.0 → Layers of the Reference Architecture Model → Process Layer → Publishing and using Data Apps (Englisch)