DE102023002170A1

DE102023002170A1 - procedure for authenticating a user

Info

Publication number: DE102023002170A1
Application number: DE102023002170.9A
Authority: DE
Inventors: Mark Gerban
Original assignee: Mercedes Benz Group AG
Current assignee: Mercedes Benz Group AG
Priority date: 2023-05-30
Filing date: 2023-05-30
Publication date: 2024-12-05

Abstract

Bei einem Verfahren zur Authentifizierung eines Nutzers zur Beanspruchung eines Dienstes mindestens eines Drittanbieters (6) registriert sich der Nutzer bei einem Identitätsvermittler (1), erfasst ein physisches Identitätsdokument und stellt dieses als elektronisches Identitätsdokument dem Identitätsvermittler (1) bereit. Der Nutzer stellt dem Identitätsvermittler (1) mindestens ein für einen Vergleich mit dem elektronischen Identitätsdokument eingerichtetes personenbezogenes Kennzeichen bereit. Der Identitätsvermittler (1) stellt das elektronische Identitätsdokument und das mindestens eine personenbezogene Kennzeichen einem Identitätsdienstleister (3) bereit. Der Identitätsdienstleister (3) überprüft die Übereinstimmung des mindestens einen personenbezogenen Kennzeichens mit dem elektronischen Identitätsdokument und erstellt bei Übereinstimmung ein öffentlich prüfbares Identitätstoken (4), das dem Nutzer zugeordnet und dem Identitätsvermittler (1) bereitgestellt wird. Der Identitätsvermittler (1) meldet den Nutzer bei mindestens einem Drittanbieter (6) mit einer für alle Drittanbieter (6) gemeinsamen Single Sign-on (SSO) Authentifizierung (7) an und stellt dabei das Identitätstoken (4) bereit. Der mindestens eine Drittanbieter (6) überprüft die Identität des Nutzers durch Überprüfung der Gültigkeit des Identitätstokens (4) bei dem Identitätsdienstleister (3) und/oder bei dem Identitätsvermittler (1). Der Identitätsvermittler (1), der Identitätsdienstleister (3) und der Drittanbieter (6) sind als computerimplementierte Verfahren bereitgestellt.In a method for authenticating a user to use a service from at least one third-party provider (6), the user registers with an identity agent (1), records a physical identity document and provides this as an electronic identity document to the identity agent (1). The user provides the identity agent (1) with at least one personal identifier set up for comparison with the electronic identity document. The identity agent (1) provides the electronic identity document and the at least one personal identifier to an identity service provider (3). The identity service provider (3) checks that the at least one personal identifier matches the electronic identity document and, if there is a match, creates a publicly verifiable identity token (4) that is assigned to the user and provided to the identity agent (1). The identity agent (1) registers the user with at least one third-party provider (6) with a single sign-on (SSO) authentication (7) common to all third-party providers (6) and provides the identity token (4). The at least one third-party provider (6) verifies the identity of the user by checking the validity of the identity token (4) with the identity service provider (3) and/or with the identity broker (1). The identity broker (1), the identity service provider (3) and the third-party provider (6) are provided as computer-implemented methods.

Description

Die Erfindung betrifft ein Verfahren zur Authentifizierung eines Nutzers gemäß dem Oberbegriff des Anspruchs 1.The invention relates to a method for authenticating a user according to the preamble of claim 1.

Bekannte Verfahren zur Identifikation eines Nutzers, der einen von einem Dienstanbieter angebotenen Dienst beispielsweise zur Abwicklung einer Zahlung, zur Erteilung einer Auskunft und/oder zur Veröffentlichung einer Information beanspruchen möchte, basieren auf der Vorlage eines physischen Identitätsdokuments, beispielsweise eines von nationalen Behörden ausgestellten Passes. Bei einer solchen Identifikation oder Authentifizierung werden tatsächliche Merkmale des Nutzers, die diesen Nutzer individuell und einzigartig kennzeichnen (im Folgenden als personenbezogene Kennzeichen bezeichnet) mit den Angaben des physischen Identitätsdokuments verglichen. Beispielsweise werden tatsächliche physikalische biometrische Kennzeichen (Fingerabdruck, Irisstruktur, Netzhautstruktur und/oder zwei- oder dreidimensional erfasste Gesichtszüge) mit der Beschreibung durch das physische Identitätsdokument verglichen. Das physische Identitätsdokument kann eine derartige Beschreibung in maschinenlesbarer Form umfassen. Es ist aber auch möglich, dass das physische Identitätsdokument mit einer an einer anderen Stelle (beispielsweise auf einem Server oder in einer Blockchain) gespeicherten Beschreibung persönlicher Kennzeichen assoziiert ist.Known methods for identifying a user who wishes to use a service offered by a service provider, for example for processing a payment, providing information and/or publishing information, are based on the presentation of a physical identity document, for example a passport issued by national authorities. During such identification or authentication, actual characteristics of the user that identify this user individually and uniquely (hereinafter referred to as personal characteristics) are compared with the information in the physical identity document. For example, actual physical biometric characteristics (fingerprint, iris structure, retina structure and/or two- or three-dimensionally recorded facial features) are compared with the description provided by the physical identity document. The physical identity document can include such a description in machine-readable form. However, it is also possible that the physical identity document is associated with a description of personal characteristics stored elsewhere (for example on a server or in a blockchain).

Der Vorgang einer derartigen Identifikation ist aufwändig und erfordert zudem üblicherweise technische Hilfsmittel, beispielsweise eine Kamera, einen Fingerabdruck-Leser oder einen Light Detection and Ranging (LiDAR) Sensor. Daher besteht für einen Nutzer, der Dienste verschiedener Dienstanbieter beanspruchen möchte, ein Bedarf an einem Verfahren zur Identifikation, das den Aufwand der mehrfachen Erfassung von personenbezogenen Kennzeichen und deren Abgleich mit einem ihm zugeordneten physischen Identitätsdokument vermeidet oder verringert.The process of such identification is complex and usually requires technical aids, such as a camera, a fingerprint reader or a Light Detection and Ranging (LiDAR) sensor. Therefore, a user who wants to use the services of different service providers needs an identification process that avoids or reduces the effort of repeatedly recording personal identifiers and comparing them with a physical identity document assigned to him.

Ferner sind Verfahren der Single Sign-on (SSO) Authentifizierung bekannt, mit denen sich ein Nutzer bei einem einzigen Vermittlerdienst registriert und authentifiziert, wobei die SSO Authentifizierung eine Identifikation des Nutzers voraussetzt. Gemäß diesen SSO Authentifizierungsverfahren delegieren Drittanbieter von weiteren Diensten die Authentifizierung an den Vermittlerdienst mit einem Anfragetoken, das Angaben zum Nutzer, insbesondere auch personenbezogene Kennzeichen, umfassen kann.Furthermore, single sign-on (SSO) authentication methods are known, with which a user registers and authenticates with a single intermediary service, whereby SSO authentication requires identification of the user. According to these SSO authentication methods, third-party providers of other services delegate authentication to the intermediary service with a request token, which can include information about the user, in particular personal identifiers.

Anhand dieser Angaben führt der Vermittlerdienst bei einer erstmaligen Beanspruchung eines Dienstes eines Drittanbieters die Authentifizierung des Nutzers durch, beispielsweise durch Abfrage eines Nutzernamens und eines Kennworts und/oder durch Abfrage eines Einmalkennworts (One-Time Password, OTP). Bei erfolgreicher Authentifizierung bestätigt der Vermittlerdienst die Authentizität des Nutzers, beispielsweise durch Rücksenden des vom Vermittlerdienst kryptographisch signierten Anfragetokens.Based on this information, the intermediary service authenticates the user when a third-party service is used for the first time, for example by requesting a user name and password and/or by requesting a one-time password (OTP). If authentication is successful, the intermediary service confirms the authenticity of the user, for example by returning the request token cryptographically signed by the intermediary service.

Bei nachfolgendem (wiederholtem) Beanspruchen desselben oder eines anderen Drittanbieters durch denselben Nutzer bestätigt der Vermittlerdienst lediglich die Authentizität des bereits geprüften Nutzers. Dadurch entfallen wiederholte Authentifizierungsvorgänge.If the same user subsequently (repeatedly) claims the same or another third-party provider, the intermediary service simply confirms the authenticity of the user who has already been verified. This eliminates the need for repeated authentication processes.

Derartige SSO Authentifizierungsverfahren weisen jedoch den Nachteil auf, dass sie auf einer herausgehobenen Vertrauensstellung des Vermittlerdienstes basieren. Ist der Vermittlerdienst kompromittiert (beispielsweise durch einen kryptographischen Angriff auf dessen privaten Schlüssel zur Signatur von Anfragetoken), so wird damit auch jeder einzelne der Drittanbieter kompromittiert, welche auf die korrekte Überprüfung der Authentizität des Nutzers durch den Vermittlerdienst vertrauen.However, such SSO authentication methods have the disadvantage that they are based on a high level of trust on the part of the intermediary service. If the intermediary service is compromised (for example, through a cryptographic attack on its private key for signing request tokens), each of the third-party providers who rely on the intermediary service to correctly verify the authenticity of the user is also compromised.

Daher sind derartige SSO Authentifizierungsverfahren für besonders schutzwürdige Dienste oder Dienste, die (beispielsweise zur Unterbindung von Geldwäsche) einer besonderen Regulierung hinsichtlich der Feststellung der Identität eines Nutzers unterliegen, nicht anwendbar.Therefore, such SSO authentication procedures are not applicable for services that require special protection or services that are subject to special regulation regarding the establishment of a user's identity (for example, to prevent money laundering).

Daher besteht ein Bedarf an einem Verfahren zur Authentifizierung eines Nutzers, das zugleich unabhängig von der Vertrauensstellung eines Vermittlerdienstes, insbesondere eines Identitätsvermittlers ist und den mehrfachen Abgleich eines physischen Identitätsdokuments mit personenbezogenen Kennzeichen eines Nutzers vermeidet oder verringert.There is therefore a need for a method for authenticating a user that is independent of the trust position of an intermediary service, in particular an identity intermediary, and that avoids or reduces the multiple comparison of a physical identity document with personal identifiers of a user.

Der Erfindung liegt die Aufgabe zu Grunde, ein verbessertes Verfahren zur Authentifizierung eines Nutzers zur Beanspruchung eines Dienstes mindestens eines Drittanbieters bereitzustellen.The invention is based on the object of providing an improved method for authenticating a user to use a service of at least one third-party provider.

Die Aufgabe wird erfindungsgemäß gelöst durch ein Verfahren mit den Merkmalen des Anspruchs 1.The object is achieved according to the invention by a method having the features of claim 1.

Vorteilhafte Ausgestaltungen der Erfindung sind Gegenstand der Unteransprüche.Advantageous embodiments of the invention are the subject of the subclaims.

Bei einem Verfahren zur Authentifizierung eines Nutzers, welcher den Dienst eines Drittanbieters beanspruchen möchte, registriert sich der Nutzer bei einem Identitätsvermittler. Sowohl der Identitätsvermittler als auch der Drittanbieter werden als computerimplementierte Verfahren bereitgestellt.In a process for authenticating a user who wishes to use the service of a third-party provider, the user registers with an identity intermediary. Both the identity Both the intermediary and the third-party provider are provided as computer-implemented processes.

Der Nutzer erfasst ein physisches Identitätsdokument elektronisch und stellt dieses als elektronisches Identitätsdokument dem Identitätsvermittler bereit. Unter einem physischen Identitätsdokument soll hier und im Folgenden ein physikalisch einzigartiges Dokument verstanden werden, das mittels der darin verzeichneten Angaben einem einzigen Nutzer zuordenbar ist. Beispielsweise kann ein physisches Identitätsdokument als Ausweis, Führerschein oder Reisepass von einer nationalen staatlichen Behörde ausgestellt sein. Physische Identitätsdokumente können aber auch von anderen, nicht-staatlichen Organisationen ausgestellt sein, beispielsweise als elektronische Gesundheitskarte oder als Werksausweis.The user records a physical identity document electronically and provides it to the identity agent as an electronic identity document. A physical identity document is understood here and below to be a physically unique document that can be assigned to a single user based on the information recorded therein. For example, a physical identity document can be issued as an ID card, driver's license or passport by a national government authority. However, physical identity documents can also be issued by other, non-governmental organizations, for example as an electronic health card or a work ID card.

Bevorzugt umfasst das physische Identitätsdokument elektronisch lesbare Angaben zur Kennzeichnung des zugeordneten Nutzers, beispielsweise ein elektronisch abgelegtes biometrisches Passbild, einen Datensatz mit mindestens einem Fingerabdruck oder ähnliches. Diese Angaben und/oder über einen vom physischen Identitätsdokument unabhängigen Ablageort dem Nutzer zuordenbare Angaben werden in das elektronische Identitätsdokument übernommen.Preferably, the physical identity document includes electronically readable information to identify the assigned user, for example an electronically stored biometric passport photo, a data set with at least one fingerprint or similar. This information and/or information that can be assigned to the user via a storage location independent of the physical identity document are transferred to the electronic identity document.

Der Nutzer stellt dem Identitätsvermittler mindestens ein für einen Vergleich mit dem elektronischen Identitätsdokument eingerichtetes personenbezogenes Kennzeichen bereit, bevorzugt ein biometrisches Kennzeichen (beispielsweise ein zweidimensionales Kamerabild der Gesichtszüge, ein dreidimensionales LiDAR Bild der Gesichtszüge und/oder einen Fingerabdruck). Bevorzugt werden solche personenbezogenen Kennzeichen erfasst und bereitgestellt, anhand derer eine Authentifizierung des Nutzers gemäß denjenigen geschäftlichen, rechtlichen oder normativen Vorgaben erfolgen kann, die für die Beanspruchung des Dienstes des Drittanbieters maßgeblich sind.The user provides the identity provider with at least one personal identifier set up for comparison with the electronic identity document, preferably a biometric identifier (for example a two-dimensional camera image of the facial features, a three-dimensional LiDAR image of the facial features and/or a fingerprint). Preferably, such personal identifiers are recorded and provided that can be used to authenticate the user in accordance with the business, legal or normative requirements that are relevant for using the third-party provider's service.

Bevorzugt werden die personenbezogenen Kennzeichen maschinell mittels eines dem Nutzer zugeordneten Nutzergeräts (Smartphone, Tablet, Computer mit Webcam oder ähnliches) erfasst.Preferably, the personal identifiers are recorded automatically using a user device assigned to the user (smartphone, tablet, computer with webcam or similar).

Der Identitätsvermittler stellt das elektronische Identitätsdokument und das mindestens eine personenbezogene Kennzeichen einem Identitätsdienstleister bereit. Der Identitätsdienstleister ist als ein computerimplementiertes Verfahren eines informationstechnisch besonders vertrauenswürdigen Dienstanbieters, bevorzugt eines staatlichen oder staatlich überwachten Dienstanbieters ausgebildet.The identity broker provides the electronic identity document and at least one personal identifier to an identity service provider. The identity service provider is designed as a computer-implemented process of a service provider that is particularly trustworthy in terms of information technology, preferably a state or state-supervised service provider.

Der Identitätsdienstleister prüft die Übereinstimmung des mindestens einen personenbezogenen Kennzeichens mit den Angaben im elektronischen Identitätsdokument. Bei Übereinstimmung erstellt der Identitätsdienstleister ein Identitätstoken, dessen Gültigkeit öffentlich prüfbar ist und das dem Nutzer zugeordnet ist. Beispielsweise kann das Identitätstoken mit einem privaten Schlüssel des Identitätsdienstleisters signiert und in einer Blockchain oder einer anderen Distributed Ledger Technology (DLT) abgelegt werden. Das Identitätstoken stellt der Identitätsdienstleister dem Identitätsvermittler bereit.The identity service provider checks that the at least one personal identifier matches the information in the electronic identity document. If there is a match, the identity service provider creates an identity token whose validity can be publicly verified and which is assigned to the user. For example, the identity token can be signed with a private key of the identity service provider and stored in a blockchain or another distributed ledger technology (DLT). The identity service provider provides the identity token to the identity broker.

Der Identitätsvermittler meldet den Nutzer bei mindestens einem Drittanbieter mit einer für alle Drittanbieter gemeinsamen Single Sign-on (SSO) Authentifizierung an und stellt dabei das Identitätstoken bereit.The identity broker registers the user with at least one third-party provider using a single sign-on (SSO) authentication common to all third-party providers and provides the identity token.

Der mindestens eine Drittanbieter prüft die Identität des Nutzers, indem er die Gültigkeit des Identitätstokens bei dem Identitätsdienstleister und/oder bei dem Identitätsvermittler überprüft.The at least one third party provider verifies the identity of the user by checking the validity of the identity token with the identity service provider and/or the identity broker.

Ein Vorteil des Verfahrens besteht darin, dass der Nutzer von wiederholtem Erfassen persönlicher Kennzeichen und/oder von wiederholtem Vergleichen persönlicher Kennzeichen mit einem physischen Identitätsdokument entlastet wird und zugleich eine von dem Identitätsvermittler unabhängige Vertrauenswürdigkeit bei der Authentifizierung erzielt wird. Dadurch ist das Verfahren auch für Drittanbieter besonders schutzwürdiger oder staatlich regulierter Dienste anwendbar.One advantage of the procedure is that the user is relieved of the burden of repeatedly entering personal identifiers and/or repeatedly comparing personal identifiers with a physical identity document, while at the same time achieving trustworthiness in authentication that is independent of the identity intermediary. This means that the procedure can also be used for third-party providers of particularly sensitive or state-regulated services.

Es ist möglich, jedoch nicht erforderlich, dass bei der erstmaligen Beanspruchung des Dienstes eines Drittanbieters und/oder des Identitätsvermittlers ein Nutzer bereits bei dem Identitätsdienstleister registriert ist, das heißt: mindestens ein personenbezogenes Kennzeichen unter Bezugnahme auf ein physisches und/oder elektronisches Identitätsdokument dort hinterlegt hat.It is possible, but not required, that when using the service of a third-party provider and/or the identity intermediary for the first time, a user is already registered with the identity service provider, i.e. has deposited at least one personal identifier with reference to a physical and/or electronic identity document.

Ferner ist es nicht erforderlich, dass der Identitätsdienstleister einem Nutzer nur ein einziges physisches Identitätsdokument zuordnet. Beispielsweise kann für eine initiale Zuordnung eines Nutzers ein Führerschein erfasst und als elektronisches Identitätsdokument dem Nutzerprofil des Nutzers zugeordnet werden. Basierend auf dieser Zuordnung kann der Identitätsdienstleister Authentifizierungsanfragen für Dienste von Drittanbietern bearbeiten, die nur einen vergleichsweise geringen Schutz erfordern.Furthermore, it is not necessary for the identity service provider to assign a user only a single physical identity document. For example, a driver's license can be recorded for an initial assignment of a user and assigned to the user profile as an electronic identity document. Based on this assignment, the identity service provider can process authentication requests for third-party services that require only a comparatively low level of protection.

Fordert in der Folge ein Dienst mit einem höheren Schutzbedürfnis eine Identitätsüberprüfung an, so kann ein weiteres physisches Identitätsdokument (beispielsweise ein Personalausweis) als elektronisches Identitätsdokument erfasst und dem Identitätsdienstleister bereitgestellt werden. Der Identitätsdienstleister ordnet dieses weitere elektronische Identitätsdokument dann dem bereits registrierten Nutzer zu. Das weitere elektronische Identitätsdokument kann zusätzlich zu einem oder an Stelle eines bisher erfassten und zugeordneten Identitätsdokument erfasst werden.If a service with a higher need for protection subsequently requests an identity verification, another physical identity document can be ment (for example an identity card) is recorded as an electronic identity document and made available to the identity service provider. The identity service provider then assigns this additional electronic identity document to the already registered user. The additional electronic identity document can be recorded in addition to or instead of an identity document that has already been recorded and assigned.

Ferner können, wenn vom Identitätsdienstleister physische Identitätsdokumente eines anderen Typs (Personalausweis statt Führerschein) ergänzt oder ersetzt wurden, oder wenn sich weitere, in dem zugeordneten Nutzerprofil erfasste Angaben geändert haben, beteiligte Parteien, insbesondere Drittanbieter und/oder der Identitätsvermittler, über eine derartige Änderung informiert werden.Furthermore, if physical identity documents of a different type (identity card instead of driving license) have been added or replaced by the identity service provider, or if other information recorded in the associated user profile has changed, parties involved, in particular third-party providers and/or the identity intermediary, may be informed of such a change.

Beispielsweise können sich Drittanbieter für eine Benachrichtigung darüber registrieren, dass ein Nutzer in eine Liste von so genannten Politically Exposed Persons (PEPs) aufgenommen wurde.For example, third parties can register to receive notification that a user has been included in a list of so-called Politically Exposed Persons (PEPs).

Diese Ausführungsform ist insbesondere für die Umsetzung von Maßnahmen gegen die Geldwäsche und zur Kontrolle von PEPs vorteilhaft, da sich derartige Maßnahmen beziehungsweise ein derartiger Personenkreis dynamisch verändern kann. Die vorgeschlagene Ausführungsform ermöglicht daher eine besonders prompte Umsetzung solcher Kontrollen in Echtzeit oder mit nur minimaler Verzögerung und trägt dadurch zur wirksamen Umsetzung von Anti-Geldwäsche und Anti-Terrorismus-Maßnahmen bei.This embodiment is particularly advantageous for the implementation of measures against money laundering and for controlling PEPs, since such measures or such a group of people can change dynamically. The proposed embodiment therefore enables a particularly prompt implementation of such controls in real time or with only minimal delay and thus contributes to the effective implementation of anti-money laundering and anti-terrorism measures.

Bei einer weiteren Ausführungsform erfasst der Identitätsvermittler das Geburtsdatum und/oder das aktuelle Lebensalter eines Nutzers und erstellt ein anonymisiertes Identitätstoken, das dieses Geburtsdatum und/oder das aktuelle Lebensalter umfasst, in dem jedoch weitere personenbezogene Angaben, insbesondere Angaben zu einem Namen, zu einem Vornamen und/oder einer Anschrift entfernt oder durch Pseudonyme ersetzt worden sind. Basierend auf einem derartigen anonymisierten oder pseudonymisierten Identitätstoken kann durch einen Drittanbieter eine Altersabfrage für den Nutzer in anonymisiert Form (beispielsweise ohne Preisgabe der namentlichen Identität des Nutzers) erfolgen. Dadurch sind besonders datensparsame Geschäftsanforderungen möglich.In a further embodiment, the identity agent records the date of birth and/or the current age of a user and creates an anonymized identity token that includes this date of birth and/or the current age, but in which other personal information, in particular information on a name, a first name and/or an address, has been removed or replaced by pseudonyms. Based on such an anonymized or pseudonymized identity token, a third-party provider can carry out an age query for the user in an anonymized form (for example, without revealing the user's identity). This enables particularly data-efficient business requirements.

Bei einer Ausführungsform des Verfahrens wird der Nutzer vom Identitätsvermittler oder von einem Drittanbieter zur Registrierung an den Identitätsdienstleister weitergeleitet. Beansprucht der Nutzer Dienste eines Drittanbieters und ist noch nicht bei dem Identitätsdienstleister registriert, kann die Weiterleitung über den Informationsvermittler erfolgen. Hierbei erfasst der Identitätsvermittler in der bereits beschriebenen Weise das physische Identitätsdokument und das mindestens eine personenbezogene Kennzeichen und leitet die daraus gewonnenen Daten an den Identitätsdienstleister weiter.In one embodiment of the method, the user is forwarded by the identity broker or a third-party provider to the identity service provider for registration. If the user uses the services of a third-party provider and is not yet registered with the identity service provider, the forwarding can take place via the information broker. In this case, the identity broker records the physical identity document and the at least one personal identifier in the manner already described and forwards the data obtained from this to the identity service provider.

In einer Weiterbildung dieser Ausführungsform ist es auch möglich, dass der Identitätsvermittler besondere Angaben und/oder personenbezogene Kennzeichen gemäß den Anforderungen des Identitätsdienstleisters erfasst und bereitstellt, vorzugsweise unter Verwendung des Nutzergeräts.In a further development of this embodiment, it is also possible for the identity agent to collect and provide special information and/or personal characteristics according to the requirements of the identity service provider, preferably using the user device.

Ein Vorteil dieser Ausführungsform besteht darin, dass eine zusätzliche Registrierung und, damit einhergehend, eine zusätzliche Erfassung von Nutzerdaten und personenbezogenen Kennzeichen bei dem Identitätsdienstleister eingespart werden kann.An advantage of this embodiment is that additional registration and, associated with this, additional collection of user data and personal identifiers by the identity service provider can be eliminated.

Ausführungsbeispiele der Erfindung werden im Folgenden anhand von Zeichnungen näher erläutert.Embodiments of the invention are explained in more detail below with reference to drawings.

Dabei zeigen:

1 schematisch eine Systemarchitektur für die Verteilung und Aktualisierung von Identitätstoken,
2 schematisch einen Ablaufplan für die Verteilung und Aktualisierung von Identitätstoken sowie
3 schematisch eine erweiterte Systemarchitektur für die Verteilung und Aktualisierung von Identitätstoken.

The following show:

1 schematically a system architecture for the distribution and updating of identity tokens,
2 schematically a flow chart for the distribution and updating of identity tokens and
3 schematically an extended system architecture for the distribution and updating of identity tokens.

Einander entsprechende Teile sind in allen Figuren mit den gleichen Bezugszeichen versehen.Corresponding parts are provided with the same reference numerals in all figures.

1 zeigt schematisch und überblicksartig eine Systemarchitektur für die Verteilung und Aktualisierung von Identitätstoken 4. Eine Ausführungsform eines Verfahrens zur Erstellung, Verteilung und Aktualisierung von Identitätstoken 4 umfasst acht Schritte S1 bis S8, welche in 1 teilweise dargestellt, jedoch erst nachfolgende anhand von 2 genauer erläutert werden. 1 shows schematically and in an overview a system architecture for the distribution and updating of identity tokens 4. An embodiment of a method for creating, distributing and updating identity tokens 4 comprises eight steps S1 to S8, which are described in 1 partially shown, but only subsequent ones based on 2 be explained in more detail.

Identitätstoken 4 werden von einem Identitätsdienstleister 3 generiert und einem Identitätsvermittler 1 bereitgestellt. Jedes Identitätstoken 4 ist einzigartig und einem einzigen (in 1 nicht dargestellten) Nutzer zugeordnet. Der Nutzer präsentiert sich gegenüber dem Identitätsdienstleister 3 mittels eines Nutzergeräts 2, das üblicherweise als mobiles Endgerät (Smartphone, Tablet, Notebook), im Prinzip aber auch als Personal Computer (PC) oder als beliebiges, mit dem Internet verbindbares Internet-of-Things (IoT) Gerät ausgestaltet sein kann. Die Erstellung und Bereitstellung von Identitätstoken 4 wird nachfolgend anhand von 2 noch genauer erläutert.Identity tokens 4 are generated by an identity service provider 3 and provided to an identity broker 1. Each identity token 4 is unique and assigned to a single (in 1 The user presents himself to the identity service provider 3 using a user device 2, which can usually be designed as a mobile device (smartphone, tablet, notebook), but in principle also as a personal computer (PC) or as any Internet-of-Things (IoT) device that can be connected to the Internet. The creation and provision of identi tätstoken 4 is described below using 2 explained in more detail.

Zur Erfassung der physischen Parameter weist das Nutzergerät 2 in 1 nicht näher dargestellte Sensoren auf, beispielsweise eine Kamera und/oder einen biometrischen Sensor (beispielsweise einen Finger- oder Handflächensensor). Ferner weist das Nutzergerät 2 nicht näher dargestellte Eingabemittel zum Auslesen von Daten des Identitätsdokuments auf, beispielsweise einen SmartCard-Reader oder eine Near Field Communication (NFC) Schnittstelle.To record the physical parameters, the user device 2 has 1 Sensors not shown in detail, for example a camera and/or a biometric sensor (for example a finger or palm sensor). Furthermore, the user device 2 has input means not shown in detail for reading data from the identity document, for example a smart card reader or a near field communication (NFC) interface.

Bevorzugt ist mindestens ein Sensor als Light Detection and Ranging (LiDAR) Sensor zur Erfassung dreidimensionaler, mindestens teilweise reflektierender Oberflächen eingerichtet. Mit einem LiDAR Sensor kann beispielsweise das Gesicht des Nutzers in seiner dreidimensionalen Struktur erfasst werden. Dadurch kann das Vortäuschen einer falschen physischen Identität durch Verwendung von Fotos oder Videos einer fremden Person verhindert werden.Preferably, at least one sensor is set up as a light detection and ranging (LiDAR) sensor for detecting three-dimensional, at least partially reflective surfaces. With a LiDAR sensor, for example, the user's face can be detected in its three-dimensional structure. This can prevent the feigning of a false physical identity by using photos or videos of a stranger.

Der Identitätsvermittler 1 ist dafür eingerichtet, sich mittels einer einzigen Single Sign-on (SSO) Authentifizierung 7 (beispielsweise mittels einer einzigen Kombination aus einem Nutzernamen und einem zugeordneten Passwort) bei einer Mehrzahl von Drittanbietern 6 anzumelden oder zur Inanspruchnahme von Diensten für einen Nutzer einzubuchen.The identity broker 1 is configured to log in to a plurality of third-party providers 6 or to register for the use of services for a user by means of a single single sign-on (SSO) authentication 7 (for example by means of a single combination of a user name and an associated password).

Die Drittanbieter 6 können beispielsweise Händler, Banken, Finanzinstitutionen oder Kontoinformationsdienste sein. Insbesondere können die Drittanbieter 6 auch (hinsichtlich einer Authentifizierung des Nutzers) besonders schützenswerte Dienste anbieten, beispielsweise Zahlungstransaktionen oder vertrauliche Auskünfte.The third-party providers 6 may, for example, be merchants, banks, financial institutions or account information services. In particular, the third-party providers 6 may also offer services that require particular protection (with regard to user authentication), such as payment transactions or confidential information.

Erfindungsgemäß übermittelt der Identitätsvermittler 1 zusammen mit der SSO Authentifizierung das Identitätstoken 4, welches er für den jeweiligen Nutzer von dem Identitätsdienstleister 3 bezogen hat. Ein Drittanbieter 6 kann daher der Registrierung oder Einbuchung eines Nutzers auch bei Verwendung einer SSO Authentifizierung 7 in demselben Maß vertrauen, in dem er auch der Überprüfung einer Identität basierend auf einem Vergleich eines physischen Identitätsdokuments mit der physischen Erscheinung des Nutzers durch den Identitätsdienstleister 3 vertrauen würde.According to the invention, the identity broker 1 transmits the identity token 4, which it has obtained for the respective user from the identity service provider 3, together with the SSO authentication. A third-party provider 6 can therefore trust the registration or logging in of a user, even when using SSO authentication 7, to the same extent that it would trust the verification of an identity based on a comparison of a physical identity document with the physical appearance of the user by the identity service provider 3.

Zur Erkennung und Verhinderung von Identitätsdiebstählen stellt die Systemarchitektur ferner ein Validierungs- und Risikoanalyseverfahren 8 bereit, das in nachfolgend noch genauer erläuterter Weise auf Anforderung des Identitätsdienstleisters 3 die Übereinstimmung einer von einem Nutzer beanspruchten Identität (gemäß einem vorgelegten physischen Identitätsdokument) mit seiner tatsächlichen Identität (gemäß biometrischen und anderen, mittels des Nutzergeräts 2 erfassten Parametern) überprüft.To detect and prevent identity theft, the system architecture further provides a validation and risk analysis procedure 8 which, at the request of the identity service provider 3, checks the correspondence of an identity claimed by a user (according to a presented physical identity document) with his actual identity (according to biometric and other parameters recorded by means of the user device 2) in a manner explained in more detail below.

Die Datenverbindungen zwischen dem Nutzergerät 2 und dem Identitätsvermittler 1, zwischen dem Identitätsvermittler 1 und dem Identitätsdienstleister 3 sowie zwischen dem Identitätsdienstleister 3 und dem Validierungs- und Risikoanalyseverfahren 8 sind bevorzugt als Cloud - Datenverbindungen 9 ausgebildet, das heißt: Mindestens ein Ende dieser Datenverbindung ist mit einem verteilten Cloud - Dienst verbunden.The data connections between the user device 2 and the identity broker 1, between the identity broker 1 and the identity service provider 3 and between the identity service provider 3 and the validation and risk analysis process 8 are preferably designed as cloud data connections 9, that is: at least one end of this data connection is connected to a distributed cloud service.

2 zeigt schematisch einen Ablaufplan für die Verteilung und Aktualisierung von Identitätstoken 4. 2 shows a schematic flow chart for the distribution and updating of identity tokens 4.

In einem ersten Schritt S1 registriert sich ein Nutzer zur Erstellung eines Identitätstokens 4 (das heißt: zur Erlangung einer digitalen Identität) bei einem Identitätsvermittler 1. Beispielhaft kann auf den Identitätsvermittler 1 über ein computerimplementiertes Verfahren auf einem Nutzergerät 2, beispielsweise über eine App auf einem mobilen Endgerät (Smartphone, Tablet oder Notebook) zugegriffen werden.In a first step S1, a user registers with an identity broker 1 to create an identity token 4 (i.e. to obtain a digital identity). For example, the identity broker 1 can be accessed via a computer-implemented method on a user device 2, for example via an app on a mobile device (smartphone, tablet or notebook).

In einem nachfolgenden zweiten Schritt S2 wird die physische Identität des Nutzers geprüft, indem ein physisches (das heißt: einzigartig vorliegendes), dem Nutzer eindeutig zugeordnetes Identitätsdokument erfasst wird. Beispielsweise kann das Identitätsdokument als ein Personalausweis, Führerschein oder Reisepass von einer staatlichen Behörde ausgestellt sein. Es sind jedoch auch von anderen Institutionen (beispielsweise Banken oder Krankenversicherungen) ausgestellte Identitätsdokumente möglich, sofern sie den Sicherheitsanforderungen genügen, welche sich aus dem Verwendungszweck der digitalen Identität ergeben.In a subsequent second step S2, the physical identity of the user is checked by recording a physical (i.e. unique) identity document that is clearly assigned to the user. For example, the identity document can be issued by a government authority as an identity card, driver's license or passport. However, identity documents issued by other institutions (e.g. banks or health insurance companies) are also possible, provided they meet the security requirements that arise from the intended use of the digital identity.

Zur Ermittlung der physischen Identität werden physische Parameter des Nutzers, beispielsweise und bevorzugt biometrische Parameter (Gesicht, Fingerabdruck, Struktur der Iris und/oder der Netzhaut) erfasst. Dazu korrespondierende Parameterwerte werden aus dem Identitätsdokument ausgelesen und mit den physisch erfassten Parametern verglichen.To determine the physical identity, the user's physical parameters, for example and preferably biometric parameters (face, fingerprint, structure of the iris and/or retina) are recorded. Corresponding parameter values are read from the identity document and compared with the physically recorded parameters.

Zur Erfassung der physischen Parameter weist das Nutzergerät 2 Sensoren auf, beispielsweise eine Kamera und/oder einen biometrischen Sensor (beispielsweise einen Finger- oder Handflächensensor). Ferner weist das Nutzergerät 2 Eingabemittel zum Auslesen von Daten des Identitätsdokuments auf, beispielsweise einen SmartCard-Reader oder eine Near Field Communication (NFC) Schnittstelle.To record the physical parameters, the user device 2 has sensors, for example a camera and/or a biometric sensor (for example a finger or palm sensor). Furthermore, the user device 2 has input means for reading data from the identity document, for example a SmartCard Reader or a Near Field Communication (NFC) interface.

Die physischen Parameter des Nutzers werden in dem Umfang und mit der Genauigkeit und Zuverlässigkeit erfasst, die für eine Identifikation nach den jeweils geltenden Vorgaben, Standards, Regularien oder gesetzlichen Festlegungen erforderlich sind. The user's physical parameters are recorded to the extent and with the accuracy and reliability required for identification in accordance with the applicable specifications, standards, regulations or legal requirements.

Stimmen die physisch erfassten Parameter mit den korrespondierenden Parameterwerten überein, die aus dem Identitätsdokument ausgelesen wurden, wird das Identitätsdokument als dem Nutzer zugeordnet anerkannt. Andernfalls wird die Anforderung des Nutzers auf Zuordnung des Identitätsdokuments zurückgewiesen.If the physically recorded parameters match the corresponding parameter values read from the identity document, the identity document is recognized as being assigned to the user. Otherwise, the user's request to assign the identity document is rejected.

Bei erfolgreicher Zuordnung des Identitätsdokuments zum Nutzer werden sämtliche oder einige aus dem Identitätsdokument auslesbare Daten, insbesondere darin umfasste Berechtigungen ausgelesen und in einem nachfolgenden dritten Schritt S3 an einen Identitätsdienstleister 3 gesendet. Derartige Daten können aus folgender beispielhafter und nicht abschließender Liste entnommen sein:

- Name, Vorname
- eine dem physischen Identitätsdokument zugeordnete Zeichenfolge oder Zahl (beispielsweise eine Ausweisnummer)
- Geburtsort
- Ausstellort des Identitätsdokuments
- Gültigkeitszeitraum des Identitätsdokuments
- Aussteller des Identitätsdokuments.

If the identity document is successfully assigned to the user, all or some of the data that can be read from the identity document, in particular the authorizations contained therein, are read out and sent to an identity service provider 3 in a subsequent third step S3. Such data can be taken from the following exemplary and non-exhaustive list:

- Name first Name
- a character string or number associated with the physical identity document (for example, an ID number)
- Place of birth
- Place of issue of the identity document
- validity period of the identity document
- Issuer of the identity document.

Ferner werden im dritten Schritt S3 die physisch erfassten Parameter (beispielsweise ein Foto des Gesichts, ein LiDAR Scan des Gesichts und/oder ein Fingerabdruck) an den Identitätsdienstleister 3 übermittelt.Furthermore, in the third step S3, the physically recorded parameters (e.g. a photo of the face, a LiDAR scan of the face and/or a fingerprint) are transmitted to the identity service provider 3.

Darüber hinaus können Daten übermittelt werden, die den Identitätsvermittler 1 oder den geographischen Ort, an dem die Identitätsüberprüfung gemäß dem ersten Schritt S1 erfolgte, identifizieren.In addition, data may be transmitted that identify the identity intermediary 1 or the geographical location where the identity verification was carried out according to the first step S1.

Ferner kann der Identitätsvermittler 1 ergänzende Daten bereitstellen, beispielsweise Daten, die das Einkaufsverhalten des Nutzers oder die Inanspruchnahme von Online-Diensten charakterisieren. Insbesondere kann der Identitätsvermittler 1 dabei solche Daten bereitstellen, die für eine Risikobewertung des Nutzers relevant sind, beispielsweise hinsichtlich des Risikos eines Zahlungsausfalls. Solche Daten können aus folgender beispielhafter und nicht abschließender Liste entnommen sein:

- über einen vorbestimmten Zeitraum gemittelte Ausgaben des Nutzers
- über einen vorbestimmten Zeitraum gemittelte Einbuchungen des Nutzers bei einem Online-Dienst
- über einen vorbestimmten Zeitraum gemittelte Nutzungszeiten bei einem Online-Dienst
- kryptographische Stärke eines vom Nutzer verwendeten Passworts
- Daten zur Bankverbindung und/oder Zahlungsabwicklung.

Furthermore, the identity agent 1 can provide additional data, for example data that characterizes the user's purchasing behavior or the use of online services. In particular, the identity agent 1 can provide data that is relevant for a risk assessment of the user, for example with regard to the risk of payment default. Such data can be taken from the following exemplary and non-exhaustive list:

- user expenses averaged over a predetermined period
- averaged bookings of the user for an online service over a predetermined period
- usage times for an online service averaged over a predetermined period
- cryptographic strength of a password used by the user
- Data on bank details and/or payment processing.

In einem darauffolgenden vierten Schritt S4 wird von dem Identitätsdienstleister 3 ein Identitätstoken 4 ausgestellt, das global (das heißt: über sämtliche Nutzer hinweg) eindeutig ist und das dem Nutzergerät 2 (und/oder einer weiteren, über das Internet verbindbaren Internet of Things (IoT) Hardware) sowie dem Identitätsvermittler 1 zugeordnet wird. Das Identitätstoken 4 kann beispielsweise mittels eines dezentralen Kontobuchs (Distributed Ledger Technology, DLT), beispielsweise mittels einer Blockchain, dem Nutzergerät 2 und dem Identitätsvermittler 1 zugeordnet werden.In a subsequent fourth step S4, the identity service provider 3 issues an identity token 4 that is globally unique (i.e. across all users) and that is assigned to the user device 2 (and/or another Internet of Things (IoT) hardware that can be connected via the Internet) and to the identity broker 1. The identity token 4 can be assigned to the user device 2 and the identity broker 1, for example, by means of a decentralized ledger (Distributed Ledger Technology, DLT), for example by means of a blockchain.

Das generierte Identitätstoken 4 wird an den Identitätsvermittler 1 übertragen. Der Identitätsvermittler 1 kann das Identitätstoken 4 auf seine Gültigkeit überprüfen, beispielsweise durch Abfrage eines DLT, und/oder speichern.The generated identity token 4 is transmitted to the identity broker 1. The identity broker 1 can check the validity of the identity token 4, for example by querying a DLT, and/or store it.

In einem nachfolgenden fünften Schritt S5 wird das generierte Identitätstoken 4 bei dem Identitätsvermittler 1 einem Nutzerprofil zugeordnet. Für einen Abgleich und/oder eine Überprüfung des Status und der Gültigkeit der bei dem Identitätsdienstleister 3 hinterlegten Nutzerangaben werden Daten zwischen dem Identitätsvermittler 1 und dem Identitätsdienstleister 3 über eine geeignete Datenschnittstelle 5 ausgetauscht.In a subsequent fifth step S5, the generated identity token 4 is assigned to a user profile at the identity broker 1. For a comparison and/or verification of the status and validity of the user information stored at the identity service provider 3, data is exchanged between the identity broker 1 and the identity service provider 3 via a suitable data interface 5.

Solche Datenschnittstellen 5 können beispielsweise als Cloud- oder Webzugriff, als Programmierschnittstelle (Application Programming Interface, API) oder als Entwicklungsschnittstelle (Software Development Kit, SDK), über Bluetooth, Wide Local Area Network (WLAN), eine Satellitenverbindung oder eine andere drahtlose Kommunikationsschnittstelle bereitgestellt sein.Such data interfaces 5 can, for example, be implemented as cloud or web access, as a programming interface (Application Programming Interface, API) or as a development interface (Software Development Kit, SDK), via Bluetooth, Wide Local Area Network (WLAN), a satellite connection or other wireless communication interface must be provided.

Insbesondere ist die Datenschnittstelle 5 für eine hohe Verfügbarkeit ausgelegt, so dass einen Nutzer betreffende Veränderungen bei dem Identitätsdienstleister 3, beispielsweise eine Revozierung eines Identitätsdokuments, unmittelbar vom Identitätsvermittler 1 erfasst werden können.In particular, the data interface 5 is designed for high availability, so that changes concerning a user at the identity service provider 3, for example a revocation of an identity document, can be recorded directly by the identity broker 1.

Dadurch kann der Identitätsvermittler 1 jederzeit die erfassten, gespeicherten Nutzerangaben mittels eines Standardprüfverfahrens überprüfen, das üblicherweise national einheitlich geregelte Sicherheitsanforderungen erfüllt. Solche Standardprüfverfahren können beispielsweise im nationalen Regelungsrahmen der Bundesrepublik Deutschland eine Prüfung gemäß den Vorgaben der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin), insbesondere eine Prüfung gemäß den Vorgaben nach dem Geldwäschegesetz (GWG) sein.This allows the identity broker 1 to check the recorded, stored user information at any time using a standard verification procedure that usually meets nationally uniformly regulated security requirements. Such standard verification procedures can, for example, be a check in accordance with the requirements of the Federal Financial Supervisory Authority (BaFin) in the national regulatory framework of the Federal Republic of Germany, in particular a check in accordance with the requirements of the Money Laundering Act (GWG).

Hierbei hat der Identitätsvermittler 1 die Möglichkeit, über eine einzige Single Sign-on (SSO) Authentifizierung 7 die elektronischen Dienste bei verschiedenen Drittanbietern 6 in Anspruch zu nehmen. Die Drittanbieter 6 können beispielsweise als weitere Vermittler, Händler, Banken oder Finanzinstitute auftreten.The identity agent 1 has the option of using the electronic services of various third-party providers 6 via a single single sign-on (SSO) authentication 7. The third-party providers 6 can, for example, act as additional agents, retailers, banks or financial institutions.

Bei der Beanspruchung von deren elektronischen Diensten übermittelt der Identitätsvermittler 1 das Identitätstoken 4, das in einer den Sicherheitsanforderungen genügenden Weise die physikalische Identität des Nutzers (das heißt: die Vorlage eines physikalischen Identitätsdokuments und dessen Abgleich mit den physikalischen, beispielsweise biometrischen, Merkmalen des Nutzers) ersetzt, in einem sechsten Schritt S6 an einen Drittanbieter 6. Das übergebene Identitätstoken 4 kann in Echtzeit oder mit einer für den jeweiligen Verwendungszweck ausreichend geringen Verzögerung bei dem Identitätsdienstleister 3 überprüft werden, beispielsweise durch eine Abfrage der Blockchain, in der die Zuordnung des Identitätstokens 4 verbucht ist.When using their electronic services, the identity broker 1 transmits the identity token 4, which replaces the physical identity of the user in a manner that satisfies the security requirements (i.e., the presentation of a physical identity document and its comparison with the physical, for example biometric, characteristics of the user), to a third-party provider 6 in a sixth step S6. The transferred identity token 4 can be verified by the identity service provider 3 in real time or with a delay that is sufficiently short for the respective intended use, for example by querying the blockchain in which the assignment of the identity token 4 is recorded.

Dadurch muss sich ein Nutzer nicht mehrfach (gegenüber jedem einzelnen Drittanbieter 6) einer Verifizierung seiner physikalischen Identität unterziehen, sondern lediglich einmalig gegenüber dem Identitätsvermittler 1. Zugleich wird dadurch sichergestellt, dass zum Zeitpunkt der Registrierung oder der Einbuchung eines Nutzers bei einem Drittanbieter 6 dessen physikalische Identität gemäß den geltenden Sicherheitsanforderungen (beispielsweise gemäß einer dem Geldwäschegesetz genügenden Überprüfung) verifiziert wurde.This means that a user does not have to undergo verification of his physical identity multiple times (to each individual third-party provider 6), but only once to the identity broker 1. At the same time, this ensures that at the time of registration or logging in of a user with a third-party provider 6, his physical identity has been verified in accordance with the applicable security requirements (for example, in accordance with a check that satisfies the Money Laundering Act).

In einem optionalen siebten Schritt S7 werden die bei dem Identitätsdienstleister 3 hinterlegten Daten aktualisiert, beispielsweise, indem eine zusätzliche Identität (entsprechend einem zusätzlichen physikalischen Identitätsdokument) hinzugefügt oder eine bestehende Identität (beispielsweise in einem Namensteil) geändert wird.In an optional seventh step S7, the data stored with the identity service provider 3 are updated, for example by adding an additional identity (corresponding to an additional physical identity document) or changing an existing identity (for example in a part of a name).

Bei einer solchen Aktualisierung oder Ergänzung ist eine erneute Registrierung des Nutzers bei dem Identitätsvermittler 1 gemäß dem ersten bis dritten Schritt S1 bis S3 nicht erforderlich. Auch ist eine erneute Registrierung bei irgendeinem der bereits beanspruchten Drittanbieter 6 nicht nötig. Stattdessen werden die neuen oder geänderten Nutzerdaten bei dem Identitätsdienstleister 3 gespeichert und in der bereits beschriebenen Weise (beispielsweise mittels Blockchain oder einer anderen DLT) dem Nutzer zugeordnet. Insbesondere kann die Zuordnung öffentlich (das heißt: auch für jeden beliebigen Drittanbieter 6) einsehbar und prüfbar sein.In the case of such an update or addition, a new registration of the user with the identity agent 1 according to the first to third steps S1 to S3 is not necessary. A new registration with any of the third-party providers 6 already used is also not necessary. Instead, the new or changed user data is stored with the identity service provider 3 and assigned to the user in the manner already described (for example using blockchain or another DLT). In particular, the assignment can be publicly visible and verifiable (i.e. also for any third-party provider 6).

In einem (auf den sechsten Schritt S6 oder den siebten Schritt S7) nachfolgenden achten Schritt S8 wird das Identitätstoken 4 überprüft, beispielsweise durch einen der Drittanbieter 6. Dabei wird in Echtzeit oder mit einer für den jeweiligen Verwendungszweck ausreichend geringen Verzögerung die Gültigkeit des Identitätstokens 4 überprüft und vom Identitätsdienstleister 3 das Risiko eines Identitätsbetrugs ermittelt. Abhängig vom ermittelten Risiko wird eine erneute Überprüfung der physikalischen Identität des Nutzers veranlasst.In an eighth step S8 (following the sixth step S6 or the seventh step S7), the identity token 4 is checked, for example by one of the third-party providers 6. The validity of the identity token 4 is checked in real time or with a delay that is sufficiently short for the respective intended use, and the risk of identity fraud is determined by the identity service provider 3. Depending on the risk determined, the user's physical identity is checked again.

Das Validierungs- und Risikoanalyseverfahren 8 führt eine Validierung der Identität und eine Bestimmung des Risikos eines Identitätsbetrugs beispielsweise anhand von (auf den jeweiligen Nutzer bezogenen) Parametern durch, die der nachfolgenden, nicht abschließenden Liste entnommen sein können:

- zeitlicher Verlauf zurückliegender Transaktionen
- Umfang zurückliegender Transaktionen (beispielsweise Geldwert gekaufter Waren oder bezogener Barauszahlungen)
- Häufigkeit zurückliegender Transaktionen
- geografischer Ort oder Bereich, an dem sich der Nutzer gemäß der Anfrage zur Prüfung des Identitätstokens 4 aufhält,
- potenziell von der Validierung des Identitätstokens 4 betroffene politisch exponierte Personen
- Aktivitäten bezogen auf das Nutzerkonto des Nutzers (beispielsweise Meldungen über ein verlorenes oder gestohlenes Passwort)
- Häufigkeit der Einbuchung
- von Dritten, beispielsweise von einem oder mehreren Drittanbietern 6, bereitgestellte Risikometriken oder Kenngrößen zur Erfassung potenziellen böswilligen Verhaltens.

The validation and risk analysis procedure 8 carries out a validation of the identity and a determination of the risk of identity fraud, for example on the basis of parameters (related to the respective user) which may be taken from the following non-exhaustive list:

- chronological history of past transactions
- Volume of past transactions (e.g. monetary value of goods purchased or cash payments received)
- Frequency of past transactions
- geographical location or area where the user is located according to the request to verify the identity token 4,
- politically exposed persons potentially affected by the validation of the identity token 4
- Activities related to the user's account (for example, reports of a lost or stolen password)
- Frequency of booking
- risks provided by third parties, such as one or more third party providers 6 metrics or indicators to detect potential malicious behavior.

Ein Vorteil des vorgeschlagenen Verfahrens besteht darin, dass Anwendungsfälle, die eine besonders hohe Zuverlässigkeit der Authentifizierung erfordern, beispielsweise mit Zahlungstransaktionen verbundene Anwendungsfälle mit einer durch nationale oder branchenspezifische Standards wie BaFin oder GWG Konformität festgelegten erforderlichen Zuverlässigkeit, mit einem Single Sign-on Verfahren umsetzbar sind, das nur vergleichsweise geringen Anforderungen an die Zuverlässigkeit einer Authentifizierung genügen muss.An advantage of the proposed procedure is that use cases that require a particularly high level of authentication reliability, for example use cases associated with payment transactions with a required level of reliability specified by national or industry-specific standards such as BaFin or GWG conformity, can be implemented with a single sign-on procedure that only has to meet comparatively low requirements for the reliability of authentication.

Normalerweise ist der Zugriff auf Dienste von verschiedenen Banken, Finanzinstitutionen oder Auskunftsdiensten beispielsweise Kontoinformationsdiensten nicht über eine SSO Authentifizierung 7 möglich. Die vorgeschlagene Systemarchitektur ermöglicht es Identitätsvermittlern 1, sich mittels einer SSO Authentifizierung 7 auch für die Inanspruchnahme derartiger besonders schutzwürdiger Dienste einzubuchen.Normally, access to services from various banks, financial institutions or information services, for example account information services, is not possible via SSO authentication 7. The proposed system architecture enables identity intermediaries 1 to log in using SSO authentication 7 to use such particularly sensitive services.

Für einen Nutzer entfällt die Notwendigkeit einer physikalischen Überprüfung seiner Identität durch eine Mehrzahl von Diensten, indem das austauschbare Identitätstoken 4 von einem (bevorzugt: einem einzigen) Identitätsvermittler 1 verteilt und durch Anfrage an den Identitätsdienstleister 3 validiert werden kann.A user no longer needs to undergo physical verification of his identity by a plurality of services, as the exchangeable identity token 4 can be distributed by one (preferably a single) identity agent 1 and validated by request to the identity service provider 3.

Drittanbietern 6, beispielsweise Händlern, wird ermöglicht, validierte Identitätstoken 4 zu erhalten, ohne dass es dazu der Sichtbarkeit personenbezogener Daten bedarf. Dadurch wird den Drittanbietern 6 die Einhaltung der Datenschutzvorschriften, in der Bundesrepublik Deutschland beispielsweise die Einhaltung der Datenschutzgrundverordnung, erleichtert.Third-party providers 6, such as merchants, are enabled to receive validated identity tokens 4 without requiring visibility of personal data. This makes it easier for third-party providers 6 to comply with data protection regulations, for example compliance with the General Data Protection Regulation in the Federal Republic of Germany.

Das vorgeschlagene Verfahren ermöglicht somit die Ausstellung von Identitätstoken 4 gemäß einer mit einem physischen Identitätsdokument beanspruchten Identität basierend auf (beispielsweise mit Kameras, LiDAR Sensoren und/oder anderen biometrischen Sensoren) von dem tatsächlichen Nutzer erfassten Daten. Derartige Identitätstoken 4 können an Drittanbieter 6 verteilt und auch aktualisiert werden, die eine SSO Authentifizierung 7 des Identitätsvermittlers 1 verwenden. Hierfür ist keine Interaktion des Identitätsvermittlers 1 und/oder der Drittanbieter 6 erforderlich.The proposed method thus enables the issuance of identity tokens 4 according to an identity claimed with a physical identity document based on data collected from the actual user (for example with cameras, LiDAR sensors and/or other biometric sensors). Such identity tokens 4 can be distributed to and also updated by third parties 6 who use an SSO authentication 7 of the identity broker 1. No interaction of the identity broker 1 and/or the third parties 6 is required for this.

Mit dem Validierungs- und Risikoanalyseverfahren 8 wird der Status, insbesondere der Gültigkeitsstatus von Identitätstokens 4 überprüft. Damit kann Missbrauch, insbesondere Identitätsdiebstahl verhindert werden.The validation and risk analysis procedure 8 is used to check the status, in particular the validity status, of identity tokens 4. This can prevent misuse, in particular identity theft.

Bei jeder Abfrage eines Identitätstokens 4 wird mittels des Validierungs- und Risikoanalyseverfahrens 8 das Risiko eines Missbrauchs überprüft. Die Überprüfung erfolgt mittelbar (auf Anfrage des Identitätsvermittlers 1) durch den Identitätsdienstleister 3 oder durch den Identitätsvermittler 1 direkt. In die Überprüfung und Risikobewertung können nachfolgende, lediglich beispielhaft und nicht abschließend aufgeführte Daten eingehen:

- Zeitverlauf bisheriger Transaktionen
- Umfang bisheriger Transaktionen
- Häufigkeit bisheriger Transaktionen
- geografischer Ort
- das Risiko, dass von einer Transaktion politisch exponierte Personen betroffen sind
- die dem Nutzerkonto zugeordneten Aktivitäten, insbesondere Meldungen zum Verlust oder zum Diebstahl von Passwörtern
- Häufigkeit des Einbuchens
- durch Dritte bereitgestellt Risikometriken / Bewertungsmetriken zur Bewertung böswilliger Aktivitäten
- Aktivitäten und/oder Veröffentlichungen in sozialen Medien.

Each time an identity token 4 is queried, the risk of misuse is checked using the validation and risk analysis procedure 8. The check is carried out indirectly (at the request of the identity broker 1) by the identity service provider 3 or directly by the identity broker 1. The following data, which is only listed as an example and is not exhaustive, can be included in the check and risk assessment:

- Timeline of previous transactions
- Volume of previous transactions
- Frequency of previous transactions
- geographical location
- the risk that a transaction may affect politically exposed persons
- the activities associated with the user account, in particular reports of loss or theft of passwords
- Frequency of logging in
- Risk metrics / assessment metrics provided by third parties to evaluate malicious activities
- Activities and/or publications on social media.

Bei einer Ausführungsform des Verfahrens wird basierend auf einer derartigen Risikobewertung ein nutzerbezogener Vertrauenswert bestimmt, beispielsweise zwischen 0 und 100. Bei einem Vertrauenswert unterhalb einer vorbestimmten Schwelle (beispielsweise von 20 oder weniger) wird der Nutzer beim Einbuchen bei einem Drittanbieter 6 von dem Identitätsvermittler 1 oder von dem Identitätsdienstleister 3 aufgefordert, eine erneute physische Identitätsüberprüfung zu durchlaufen (das heißt: erneut das physische Identitätsdokument vorzulegen und seine für einen Vergleich hiermit erforderlichen tatsächlichen, beispielsweise biometrischen, Daten zu erfassen). Dadurch wird die Übereinstimmung der tatsächlichen Identität mit der beanspruchten Identität erneut geprüft.In one embodiment of the method, a user-related trust value is determined based on such a risk assessment, for example between 0 and 100. If the trust value is below a predetermined threshold (for example 20 or less), the user is asked by the identity broker 1 or the identity service provider 3 when logging in with a third-party provider 6 to undergo a new physical identity verification (that is: to present the physical identity document again and to record his actual data, for example biometric data, required for comparison with this). This checks again whether the actual identity matches the claimed identity.

Diese Ausführungsform ist vorteilhaft bei der Beanspruchung von Kredit durch Nutzer, für die Zahlungsverzug und/oder Zahlungsausfall registriert wurde/n und die auf diese Weise rechtssicher identifiziert und zur Zahlung gezwungen werden können.This embodiment is advantageous when credit is claimed by users for whom late payment and/or default has been registered and who can thus be legally identified and forced to pay.

3 zeigt schematisch eine Systemarchitektur für eine Ausführungsform des Verfahrens, bei der abweichend von der in 1 dargestellten Systemarchitektur eine direkte Kommunikation zwischen dem Identitätsdienstleister 3 und den Drittanbietern 6 vorgesehen ist. 3 shows schematically a system architecture for an embodiment of the method, in which, deviating from the 1 The system architecture shown provides for direct communication between the identity service provider 3 and the third-party providers 6.

Gemäß dieser Ausführungsform sendet ein Drittanbieter 6 in einem zusätzlichen neunten Schritt S9 ein Identitätstoken 4 (welches ihm bei der Einbuchung eines Nutzers vom Identitätsvermittler 1 übermittelt wurde) zusammen mit einem Identifikator des Identitätsvermittlers 1 (beispielsweise einer Zeichenkette) mit einer Abfrage an den Identitätsdienstleister 3.According to this embodiment, in an additional ninth step S9, a third-party provider 6 sends an identity token 4 (which was transmitted to it by the identity agent 1 when a user registered) together with an identifier of the identity agent 1 (for example a character string) with a query to the identity service provider 3.

Zusätzlich können mit dieser Abfrage auch weitere Daten über den Nutzer gesendet werden, beispielsweise eine E-Mail-Adresse und/oder andere personenbezogene Daten. Es können auch dem Nutzer zuzuordnende Hardware-Identifikatoren übermittelt werden, beispielsweise eine dem Nutzer zugewiesene International Mobile Subscriber Identity (IMSI) Nummer eines Subscriber Identity Module (SIM), eine Media Access Control (MAC) Adresse eines Netzwerkadapters des Nutzergeräts 2 oder einer anderen Hardware des Nutzers, eine Vehicle Identification Number (VIN) eines Fahrzeugs des Nutzers oder einen anderen, auf eine Hardware eindeutig bezogenen Hardware-Identifikator.In addition, further data about the user can be sent with this query, for example an email address and/or other personal data. Hardware identifiers that can be assigned to the user can also be transmitted, for example an International Mobile Subscriber Identity (IMSI) number of a Subscriber Identity Module (SIM) assigned to the user, a Media Access Control (MAC) address of a network adapter of the user device 2 or another hardware of the user, a Vehicle Identification Number (VIN) of a vehicle of the user or another hardware identifier that is uniquely related to a hardware.

Bei der erstmaligen Registrierung eines Nutzers bei einem Drittanbieter 6 über den Identitätsvermittler 1 werden derartige Daten erfasst und/oder (insoweit sie bereits erfasst und bei dem Identitätsvermittler 1 hinterlegt sind) ausgetauscht und nachfolgend vom Identitätsvermittler 1 an den Identitätsdienstleister 3 übermittelt sowie den zum jeweiligen Nutzer gespeicherten Daten und dem jeweiligen Drittanbieter 6 zugeordnet.When a user registers for the first time with a third-party provider 6 via the identity agent 1, such data is recorded and/or (insofar as it has already been recorded and stored with the identity agent 1) exchanged and subsequently transmitted by the identity agent 1 to the identity service provider 3 and assigned to the data stored for the respective user and the respective third-party provider 6.

Wenn ein Drittanbieter 6 aktualisierte Daten zu einem Nutzer benötigt, sendet er dessen Identitätstoken 4 mit einem Identifikator an den Identitätsdienstleister 3. Optional werden zusätzliche Daten des Nutzers in der bereits beschriebenen Form an den Identitätsdienstleister 3 gesendet.If a third-party provider 6 requires updated data about a user, it sends the user's identity token 4 with an identifier to the identity service provider 3. Optionally, additional data about the user is sent to the identity service provider 3 in the form already described.

Der Identitätsdienstleister 3 kann in analoger Weise für einen Nutzer einen oder mehrere Datensätze zuordnen und speichern, beispielsweise zwei oder mehr Anschriften, Telefonnummern oder aus dem Nutzergerät 2 oder einer anderen, vorliegend nicht näher dargestellten Hardware bezogene identifizierende Daten wie eine International Mobile Subscriber Identity (IMSI) Nummer eines Subscriber Identity Module (SIM), eine Media Access Control (MAC) Adresse eines Netzwerkadapters, eine Vehicle Identification Number (VIN) eines Fahrzeugs oder einen anderen, auf eine Hardware eindeutig bezogenen Identifikator. Eine Zuordnung eines Nutzers kann durch Abgleich sämtlicher solcher Datensätze mit den von dem Drittanbieter 6 bereitgestellten Identifikator erfolgen.The identity service provider 3 can assign and store one or more data records for a user in an analogous manner, for example two or more addresses, telephone numbers or identifying data obtained from the user device 2 or other hardware not shown in detail here, such as an International Mobile Subscriber Identity (IMSI) number of a Subscriber Identity Module (SIM), a Media Access Control (MAC) address of a network adapter, a Vehicle Identification Number (VIN) of a vehicle or another identifier that is uniquely related to a hardware. A user can be assigned by comparing all such data records with the identifier provided by the third-party provider 6.

Zudem kann der Drittanbieter 6 veranlassen, dass die Abfrage eines Einmalkennworts (One-Time Passwort, OTP) und/oder einer als Persönliche Identifikationsnummer (PlN) ausgebildeten Einmalkennung und/oder Passphrase (beispielsweise als Abfrage des Geburtsdatums des Nutzers) von dem Identitätsdienstleister 3 an den Nutzer gesandt wird. Anhand der Antwort des Nutzers auf diese Abfrage kann der Identitätsdienstleister 3 die Übereinstimmung der tatsächlichen mit der beanspruchten Identität des Nutzers zum Zeitpunkt der Anfrage (das heißt: unmittelbar vor der vom Nutzer beim jeweiligen Drittanbieter 6 angeforderten Transaktion) überprüfen.In addition, the third-party provider 6 can arrange for the identity service provider 3 to send a request for a one-time password (OTP) and/or a one-time identifier and/or passphrase in the form of a personal identification number (PIN) (for example, a request for the user's date of birth) to the user. Based on the user's response to this request, the identity service provider 3 can check whether the user's actual identity matches the user's claimed identity at the time of the request (i.e. immediately before the transaction requested by the user from the respective third-party provider 6).

Ein OTP kann auch in Form eines biometrischen Merkmals, beispielsweise eines als FacelD bezeichneten, aus einer fotografischen Aufnahme des Gesichts des Nutzers biometrischen Merkmals, abgefragt werden. Hierbei kann ein Backend des Drittanbieters 6 einen Datensatz an den Identitätsdienstleister 3 übermitteln, in dem das jeweilige tatsächlich erfasste biometrische Merkmal umfasst ist, so dass der Identitätsdienstleister 3 dieses tatsächlich erfasste mit einem bei ihm hinterlegten biometrischen Merkmal vergleichen kann.An OTP can also be requested in the form of a biometric feature, for example a biometric feature known as FaceID, which is derived from a photograph of the user's face. In this case, a backend of the third-party provider 6 can transmit a data set to the identity service provider 3, which includes the respective biometric feature actually recorded, so that the identity service provider 3 can compare this actually recorded biometric feature with a biometric feature stored with it.

Nach der Verifizierung des Identitätstokens 4 und dem Abgleich mit dem Identifikator übermittelt der Identitätsdienstleister 3 dem Drittanbieter 6 aktualisierte Informationen und Angaben zu dem Nutzer, anhand derer der Drittanbieter 6 die Übereinstimmung der tatsächlichen mit der beanspruchten Identität prüfen kann, ohne dass es hierzu einer physischen Identitätsüberprüfung oder einer zusätzlichen Sicherheitsüberprüfung bedarf.After verifying the identity token 4 and comparing it with the identifier, the identity service provider 3 transmits to the third-party provider 6 updated information and details about the user, which the third-party provider 6 can use to check whether the actual identity matches the claimed identity, without the need for a physical identity check or an additional security check.

Wenn ein Identitätstoken 4 seine Gültigkeit verliert, beispielsweise infolge einer Risikoüberprüfung durch das Validierungs- und Risikoanalyseverfahren 8, bei welchem außergewöhnlich hohe Transaktionsvolumina oder -häufigkeiten oder die Berührung politisch exponierter Personen festgestellt werden, wird der Nutzer zur Wiederholung und/oder Vervollständigung seiner physikalischen Identifikation beim Identitätsvermittler 1 oder beim Identitätsdienstleister 3 umgeleitet. Dabei kann der Drittanbieter 6 die Übermittlung von erfassten (beispielsweise biometrischen) und/oder physisch überprüften Daten veranlassen oder unterstützen.If an identity token 4 loses its validity, for example as a result of a risk check by the validation and risk analysis procedure 8, which detects exceptionally high transaction volumes or frequencies or contact with politically exposed persons, the user is redirected to the identity broker 1 or the identity service provider 3 to repeat and/or complete his physical identification. The third-party provider 6 can initiate or support the transmission of recorded (for example biometric) and/or physically verified data.

Unter den in der Bundesrepublik Deutschland geltenden Regelungen beispielsweise zur Geldwäsche ist es erforderlich, eine PlN, eine Einmal-Verifizierung (Einmal-Passwort oder Einmal-Pin) und/oder ein biometrisches Merkmal zur Bestätigung der Nutzeridentität zu erfassen. Hierzu kann der Drittanbieter 6 den Nutzer zur Eingabe derartiger bestätigender Angaben direkt auffordern. Die Aufforderung kann direkt oder indirekt, abhängig vom Übertragungsweg des Identitätstokens 4 über den Identitätsdienstleister 3 und anhand der von diesem erfassten Daten übermittelt werden.Under the regulations applicable in the Federal Republic of Germany, for example on money laundering, it is necessary to record a PlN, a one-time verification (one-time password or one-time PIN) and/or a biometric feature to confirm the user's identity. To do this, the third-party provider 6 can directly request the user to enter such confirming information. The request can be made directly or indirectly, depending on the transmission path of the identity token 4 via the Identity service provider 3 and based on the data collected by it.

Beispielsweise kann anhand beliebiger beim Identitätsdienstleister 3 gespeicherter Daten eine Bestätigung der Identität erfolgen (beispielsweise durch Angabe des Geburtsdatums, des Geburtsorts, einer Ausweis- oder Steueridentifikationsnummer oder eines ähnlichen Identifikators). Zusätzlich können vom Identitätsdienstleister 3 weitere, zufällig generierte PINs über verschiedene Kommunikationswege (Kurzmitteilung (SMS), einen Messengerdienst, eine proprietäre digitale Umgebung des Drittanbieters 6, einen QR Code oder ähnliches) über den Identitätsvermittler 1 an den Drittanbieter 6 versendet werden.For example, identity can be confirmed using any data stored by the identity service provider 3 (for example by specifying the date of birth, place of birth, an ID or tax identification number or a similar identifier). In addition, the identity service provider 3 can send additional randomly generated PINs to the third party provider 6 via various communication channels (short message (SMS), a messenger service, a proprietary digital environment of the third party provider 6, a QR code or similar) via the identity broker 1.

Wenn der Nutzer eine solche Anfrage bestätigt (das heißt: die korrekte Antwort auf die Anfrage eingibt oder bereitstellt), so wird diese Antwort dem Kommunikationsweg des Identitätstokens 4 entsprechend direkt an den Identitätsdienstleister 3 oder über den Identitätsvermittler 1 an den Identitätsdienstleister 3 übertragen.If the user confirms such a request (i.e. enters or provides the correct answer to the request), this answer is transmitted directly to the identity service provider 3 or via the identity intermediary 1 to the identity service provider 3, depending on the communication path of the identity token 4.

Bekannte Verfahren der Nutzeridentifikation erfordern die Verwendung einer separaten, dezidierten Anwendung, beispielsweise einer auf einem Smartphone installierten App wie der App TruelD des Anbieters WeblD, die in einer besonders geschützten Laufzeitumgebung als Wallet-App abläuft.Known methods of user identification require the use of a separate, dedicated application, for example an app installed on a smartphone such as the TruelD app from the provider WeblD, which runs as a wallet app in a specially protected runtime environment.

Mittels einer solchen Anwendung kann der Nutzer einen Code (oder eine ähnliche Antwort auf eine Anfrage zur Identitätsbestätigung, beispielsweise ein Geburtsdatum und/oder einen Geburtsort) eingeben.By means of such an application, the user can enter a code (or a similar response to a request for identity confirmation, such as a date of birth and/or place of birth).

In vorteilhafter Weise ermöglicht die vorgeschlagene Ausführungsform einem Drittanbieter 6 oder einem Identitätsvermittler 1 eine Nutzeridentifikation unabhängig von einer solchen separaten Anwendung innerhalb seiner jeweiligen eigenen Infrastruktur beziehungsweise innerhalb seines eigenen Informationstechnik (IT) - Ökosystems. Dadurch wird dem Nutzer die Identifikation erleichtert, insbesondere die Anzahl der für eine Identifikation erforderlichen Nutzerinteraktionen verringert. Zudem wird die Robustheit der Nutzeridentifikation verbessert, da diese unabhängig von der Verfügbarkeit einer zusätzlichen Anwendung ermöglicht wird.The proposed embodiment advantageously enables a third-party provider 6 or an identity agent 1 to identify the user independently of such a separate application within their own infrastructure or within their own information technology (IT) ecosystem. This makes identification easier for the user, in particular reducing the number of user interactions required for identification. In addition, the robustness of the user identification is improved, since this is possible independently of the availability of an additional application.

Bezugszeichenlistelist of reference symbols

11: Identitätsvermittler (ID-Merchant)identity broker (ID merchant)
22: Nutzergerätuser device
33: Identitätsdienstleister (ID Provider)identity service providers (ID providers)
44: Identitätstokenidentity token
55: Datenschnittstelledata interface
66: Drittanbieterthird-party providers
77: Single Sign-on (SSO) AuthentifizierungSingle Sign-on (SSO) authentication
88: Validierungs- und Risikoanalyseverfahrenvalidation and risk analysis procedures
99: Cloud-Datenverbindungcloud data connection
S1 bis S9S1 to S9: erster bis neunter Schrittfirst to ninth step

Claims

Method for authenticating a user to use a service of at least one third-party provider (6), characterized in that - the user registers with an identity broker (1), - the user electronically records a physical identity document and provides it to the identity broker (1) as an electronic identity document, - the user provides the identity broker (1) with at least one personal identifier, preferably a biometric identifier, set up for comparison with the electronic identity document, - the identity broker (1) provides the electronic identity document and the at least one personal identifier to an identity service provider (3), - the identity service provider (3) checks that the at least one personal identifier matches the electronic identity document and, if there is a match, creates a publicly verifiable identity token (4), assigns it to the user and provides it to the identity broker (1), - the identity broker (1) registers the user with at least one third-party provider (6) with a single sign-on (SSO) authentication (7) common to all third-party providers (6), thereby Identity token (4) is provided, - the at least one third-party provider (6) verifies the identity of the user by checking the validity of the identity token (4) with the identity service provider (3) and/or with the identity intermediary (1), wherein the identity intermediary (1), the identity service provider (3) and the third-party provider (6) are provided as computer-implemented methods.

procedure according to claim 1 , characterized in that the identity agent (1) and/or a third party provider (6) via the identity intermediary (1) forwards the user to the identity service provider (3) for registration.

Method according to one of the preceding claims, characterized in that the identity service provider (3), when checking the conformity of the personal identifiers with the electronic identity document, determines by means of a validation and risk analysis procedure (8) whether updated and/or additional personal identifiers of the user are to be recorded.

Method according to one of the preceding claims, characterized in that at least one third-party provider (6) checks the identity of the user by transmitting the user's identity token (4) and an identifier assigned to the identity agent (1) to the identity service provider (3).

Method according to one of the preceding claims, characterized in that at least one personal identification number is designed as a feature of a vehicle assigned to the user.