Was bedeutet Deprovisionierung von Identitäten?
Alles muss ein Ende haben. Diese Redewendung gilt für unser Leben und für alles, was wir tun, auch in der digitalen Welt. Vielleicht sind Sie Kunde(in) eines Webshops, richten dort ein Konto ein und bestellen in diesem Shop etwas. Und irgendwann, aus welchem Grund auch immer, hören Sie vielleicht auf, in diesem Shop zu bestellen. Es spielt dabei keine Rolle, warum Sie damit aufhören. Für den Webshop schon, denn er möchte Sie als Kunden(in) behalten. Aber für Sie ist es einfach nur eine Tatsache, dass Sie kein/e Kunde(in) mehr sein wollen. Und der Webshop sollte Ihnen das Verlassen erleichtern. Das Ganze nennt man Deprovisionierung der Identität, und diese Funktion bereitzustellen ist nicht optional, sondern gesetzlich vorgeschrieben.
Rechtlich gesehen ist die Deprovisionierung, also die Aufhebung der Identität, ein Nutzungsrecht nach Artikel 17 der DSGVO – Recht auf Vergessenwerden. Daher ist es für eine digitale Plattform unabdingbar, die Deprovisionierung für ihre Nutzer und Nutzerinnen gemäß den Vorschriften zu implementieren, insbesondere im EU-Gebiet oder wenn Sie Daten von EU-Bürger(inne)n verarbeiten.
Es gibt mehrere Möglichkeiten, wie die Deprovisionierung auf einer digitalen Plattform erfolgen kann.
- Identitäten oder Nutzer(innen) können ihr Benutzerkonto selbst deaktivieren/sperren – Diese Art der Deprovisionierung ist eine vorübergehende Deaktivierung des Kontos und der/die Nutzer(in) kann das Konto jederzeit wieder aktivieren. Beispiel: Facebook bietet die Möglichkeit, ein Konto vorübergehend zu deaktivieren, so dass es nicht mehr auffindbar ist, bis es wieder aktiviert wird.
- Identitäten oder Nutzer(innen) können ihr Konto selbst löschen – Diese Art der Deprovisionierung ist dauerhaft und der/die Nutzer(in) kann seine Identität in diesem Bereich nach der Löschung nicht mehr verwenden. Wenn er/sie zurückkehren möchte, muss er/sie sich erneut registrieren oder den Anmeldeprozess erneut durchlaufen wie zuvor.
- Der/Die Administrator(in) der Plattform kann ein Benutzerkonto löschen oder vorübergehend deaktivieren – Diese Möglichkeit sollte auf einer Plattform unbedingt vorhanden sein, um im Notfall oder auf Wunsch eines/einer Nutzers(in) zu handeln.
- Automatische Löschung von Benutzerkonten, die lange Zeit inaktiv waren – Jede Plattform hat ihre inaktiven und aktiven Benutzer(innen). Bei inaktiven Nutzer(inne)n könnte es sich um gelegentliche oder seltene Nutzer(innen) handeln, die Ihre Plattform zu Erprobungs- oder Testzwecken verwenden. Daher sollte es eine Möglichkeit geben, diese Erprobungs- oder Testnutzer(innen) zu bereinigen, um veraltete Daten zu entfernen und Ressourcen zu schützen.
Warum ist eine geeignete Deprovisionierung für ein IDM-System wichtig?
Viele Studien belegen, dass Ihre Kunden(innen) zu Ihnen zurückkehren, wenn Sie ein nahtloses Deprovisionierungsverfahren über Ihre Plattform anbieten können, weil sie Ihren von Anfang bis Ende durchorganisierten Prozess schätzen – Carbone, L.P. und Haeckel, S.H., 1994. Engineering customer experiences. Marketing management , 3 , S.8-19. Daher ist es ein MUSS für jede CIAM-Lösung, standardmäßige Funktionen zur Deprovisionierung bereitzustellen, die den von den gesetzlichen Behörden vorgegebenen Gesetzen entsprechen. Die Nichtbereitstellung der Deprovisionierung verstößt nicht nur gegen Vorschriften, sondern ist auch schlecht fürs Geschäft.
Auch wenn Sie die Daten inaktiver Benutzer(innen) vielleicht lieber aufbewahren möchten (sie könnten ja als Kunden(innen) zurückkommen), ist es besser, eine nahtlose Deprovisionierung anzubieten.
Ein guter Deprovisionierungs-Mechanismus bietet zahlreiche Vorteile
- Sie sparen Zeit und Geld – Eine geeignete Methode zur Deprovisionierung gemäß der DSGVO spart sowohl den Verbraucher(inne)n als auch den Plattformbetreiber(inne)n Zeit und Geld, da sie die Zahl der Datenschutzverletzungen und Gerichtsverfahren reduziert, die anfallen, wenn Daten offengelegt werden, nachdem die Identität die Plattform verlassen hat.
- Sie sparen Ressourcen und Speicherplatz – Unbenutzte oder deaktivierte Benutzerkonten für längere Zeit auf der Plattform zu belassen, ist Ressourcenverschwendung. Für diese Benutzerkonten muss zusätzlicher Speicherplatz bereitgestellt werden, was sich auch auf die Leistung der Suchvorgänge auf der Plattform auswirkt. Eine automatisierte Methode zur Entfernung dieser Konten ist daher die beste Möglichkeit, Ressourcen und damit Geld zu sparen.
- Sie verbessern die Benutzererfahrung auf der Plattform – Wenn Sie verschiedene Möglichkeiten der Deprovisionierung anbieten, zeigt dies den Benutzer(inne)n, dass das System ausgereift ist und die Verbraucher(innen) berücksichtigt und ihnen das anbietet, was für sie am besten ist.
- Sie reduzieren unnötige Datenlecks – Gemäß der DSGVO dürfen nur diejenigen Daten nach außen getragen werden, für die der/die Benutzer(in) seine/ihre Zustimmung gegeben hat. Daher ist das Entfernen inaktiver Nutzer(innen) nach einer Benachrichtigung der beste Weg, um die Privatsphäre von Personen zu schützen, die sich auf Ihrer Plattform registriert haben.
Abgesehen von den oben genannten Vorteilen sollte eine IDM-Lösung immer die Datenschutzbestimmungen wie die DSGVO einhalten.
Wie lauten die Bestimmungen der DSGVO in Bezug auf die Deprovisionierung?
Es gibt zwei Artikel im Allgemeinen Datenschutzgesetz, die berücksichtigt werden müssen, wenn Sie eine Deprovisionierungsplattform in Ihrem Unternehmen einführen. Nachfolgend finden Sie diese im Detail –
- Art. 17 – Recht auf Löschung.
Wenn der/die Nutzer(in) einer Plattformanwendung seine Zustimmung zur Verwendung seiner/ihrer Daten gibt, hat er/sie unter verschiedenen Bedingungen gemäß diesem Artikel das Recht, die Löschung der Daten zu verlangen.
Es ist ein MUSS für eine Plattform, alle Benutzertracker zu löschen, wenn der/die Nutzer(in) dies aufgrund eines Datenlecks oder eines Datenschutzverstoßes verlangt.
Entsprechend der DSGVO müssen Plattformen wie die des Gesundheitswesens diesen Artikel einhalten, wenn sie besondere Datenkategorien verarbeiten, z.B.: Gesundheitsdaten.
- Art. 19 – Mitteilungspflicht im Zusammenhang mit der Berichtigung oder Löschung personenbezogener Daten oder der Einschränkung der Verarbeitung
Wer auf einer Plattform personenbezogene Daten erhebt, ist verpflichtet, die betroffene Person oder den/die Nutzer(in) vor einer Löschung von personenbezogenen Daten über Folgendes zu informieren:
- Grund für die Löschung
- Welche Daten werden gelöscht?
- Welche Daten bleiben im System?
- Wann erfolgt die Datenlöschung?
- Zu befolgende Schritte, um der Datenlöschung zu widersprechen.
Zusammengefasst heißt das, dass Identitäten als Einzelpersonen das Recht haben, die Löschung ihrer Benutzerkonten und personenbezogenen Daten zu verlangen, und dass diese Daten überall gelöscht werden müssen, auch in Logdateien und anderen Datenbankressourcen. Auch wenn es sich um eine automatische Löschung handelt, muss die Plattform die Nutzer(innen) vor der Kontolöschung informieren oder benachrichtigen und Vorkehrungen treffen, um die Löschung bei Bedarf zu stoppen.
Die Implementierung des richtigen Deprovisionierungsverfahrens ist ein Muss.
Wie erfolgt die Deprovisionierung mit dem WSO2 Identity Server?
Wie wird die Deprovisionierung auf dem WSO2 Identity Server also aktiviert?
Schauen wir uns zunächst an, was SCIM bietet. SCIM ist ein Akronym für System for Cross-Domain Identity Management (System für domänenübergreifendes Identitätsmanagement). Es ist im Identity Server enthalten und kann zur Verwaltung von Identitäten im Identity Server verwendet werden.
a) Identitäten oder Nutzer(innen) können ihr Benutzerkonto selbst deaktivieren/sperren.
Die Selbstdeaktivierung und Selbstsperrung eines Benutzerkontos kann durch die Verwendung einer bestehenden Kontodeaktivierung implementiert werden, indem ein Identitätsanspruch mit der Bezeichnung http://wso2.org/claims/identity/accountDisabled aktiviert wird.
Durch die Aktualisierung dieses Benutzeranspruchs/Attributs über die SCIM2-API wird das Konto im WSO2 Identity Server deaktiviert.
Gemäß der DSGVO muss der Benutzer nach der Deaktivierung des Kontos benachrichtigt werden. Sie können die interne Benachrichtigung standardmäßig einrichten, um den/die Nutzer(in) per E-Mail zu informieren, dass das Konto deaktiviert wurde.
b) Identitäten oder Nutzer(innen) können ihr Benutzerkonto selbst löschen.
Der WSO2 Identity Server ist eine CIAM-Lösung, die umfassende Managementfunktionen für den gesamten Lebenszyklus von Identitäten bietet. WSO2 Identity Server bietet einen SCIM2/Me Endpoint mit Löschfunktionalität an, und zwar DELETE ME (MICH LÖSCHEN).
DELETE /scim2/Me
DELETE https://localhost:9443/t/{tenant-domain}/scim2/Me
Diese API wird verwendet, um den aktuell authentifizierten Benutzer zu löschen. Bei erfolgreicher Löschung des Benutzers wird HTTP 204 angezeigt.
Musteranfrage
curl -v -k –user [username]:[password] -X DELETE https://localhost:9443/scim2/Me
Es ist ein MUSS, nach dem Löschen des Benutzerkontos eine Benachrichtigung zu senden. Sie können diese E-Mail versenden, indem Sie eine E-Mail-Benachrichtigung über userstore listeners – postDeleteUser() veranlassen. Sie müssen diese Funktion entsprechend Ihren Anforderungen anpassen.
c) Deaktivierung und Löschung über Admin-Benutzerkonten
Ein/e Administrator(in) hat die Möglichkeit, Nutzer(innen) zu deaktivieren oder bei Bedarf aus dem System zu löschen.
WSO2 Identity Server bietet eine Funktion zur Deaktivierung von Nutzer(inne)n, die Sie sofort aktivieren können. Damit kann jeder Admin bei Bedarf ein Benutzerkonto deaktivieren. Durch Aktualisieren des Attributs http://wso2.org/claims/identity/accountDisabled über die vom WSO2 Identity Serverbereitgestellte SCIM2-API
Zum Löschen von Benutzerkonten bietet der WSO2 Identity Server mehrere Optionen.
- Verwenden der Management/Admin-Konsole zum Löschen von Nutzer(innen).
- Verwenden der SCIM2/Users Rest API zum Löschen von Nutzer(innen).
Musteranfrage:
curl -v -k --user {IS_USERNAME}:{IS_PASSWORD} -X DELETE https:
//{IS_IP}:{IS_PORT}
/wso2/scim/Users/{SCIM_USER_ID} -H
„Accept: application/json“
- Using SOAP Admin Service to Delete users.
Musteranfrage:
<soap:Envelope xmlns:soap="http://www.w3.org/2003/05/soap-envelope" xmlns:ser="http://service.ws.um.carbon.wso2.org">
<soap:Header/>
<soap:Body>
<ser:deleteUser>
<!--Optional:-->
<ser:userName>nila@wso2support.com</ser:userName>
</ser:deleteUser>
</soap:Body>
</soap:Envelope>
Es ist wichtig, das Benutzerkonto zu löschen und den/die Nutzer(in) nach dem Löschen des Kontos wie zuvor beschrieben zu benachrichtigen.
d) Automatisches Löschen von inaktiven Benutzerkonten
Diese Anforderung ist von einer Organisation zur anderen unterschiedlich. Daher sollte dies durch eigene Anpassungen unter Verwendung der vorhandenen Funktionen von WSO2 Identity Server und seiner APIs erfolgen. Hier finden Sie ein Sequenzdiagramm, das zeigt, wie ein standardmäßiger automatischer Löschvorgang ablaufen sollte.
Um die Anforderungen zu erfüllen, können Sie einige Funktionen des WSO2 Identity Servers nutzen, um diesem Anspruch gerecht zu werden.
- Der WSO2 Identity Server 6.1.0 verfügt standardmäßig über eine Funktion zum Sperren von Benutzerkonten, die über einen konfigurierten Zeitraum inaktiv sind. Außerdem kann vor der Kontosperrung eine automatische Benachrichtigung versendet werden.
- Wenn das Benutzerkonto nach der Sperrung gelöscht werden soll, muss die Anpassung analog erfolgen.
e) Entfernen der outbound provisionierten Benutzer
Mit CIAM 2.0 ist es erforderlich, Ihren Identitätsserver mit anderen Drittsystemen zu integrieren. Dazu müssen Sie einige der Nutzer(innen), die im WSO2 Identity Server-System erstellt wurden, für andere Systeme von Drittanbietern bereitstellen (Outbound Provisioning).
Zu diesem Zweck müssen Sie die standardmäßig bereitgestellten Outbound Provisioning-Konnektoren oder die benutzerdefinierten Outbound Provisioning-Konnektoren verwenden. Standardkonnektoren unterstützen die Erstellung, Aktualisierung und Löschung. Wenn Sie Ihre eigenen Konnektoren erstellen, sollten Sie daher darauf achten, alle Möglichkeiten zu unterstützen.
f) Option „Vergessenwerden“
Der WSO2 Identity Server hat ein Tool namens Forget Me Tool (Vergessenwerden-Tool) eingeführt, das Sie für gelöschte Nutzer(innen) ausführen können, um andere Informationen und Referenzen zu diesen Nutzer(inne)n in Protokollen und Sitzungsspeichern zu löschen. Dies ist notwendig, um die DSGVO einzuhalten, da alle Referenzen der gelöschten Nutzer(innen) entfernt werden müssen.
Das Tool ist laut WSO2 so konzipiert, dass es alle Vorkommen der Identität von gelöschten Nutzer(inne)n entweder durch einen zufällig generierten UUID-Wert oder durch ein Pseudonym ersetzt, das Sie beim Ausführen des Tools angeben. Daher bedeutet die Ausführung des Tools nicht, dass alle Daten eines/r gelöschten Benutzers(in) vollständig aus dem WSO2 Identity Server entfernt werden. Vielmehr wird jeder Datensatz, der zu einem/r gelöschten Nutzer(in) gehört, durch dasselbe Pseudonym ersetzt, damit die Verbindungsintegrität der Nutzerdatensätze erhalten bleibt. Daher kann der/die Systemadministrator(in) auch nach dem Entfernen aller Verweise auf die Identität eines/r gelöschten Nutzers(in) alle Ereignisse verfolgen, die von einem/r bestimmten Nutzer(in) durchgeführt wurden, ohne dass ein Verweis auf die Identität des/der Nutzers(in) vorliegt.
Dieses Tool ist eine externe Ressource, die von WSO2 bereitgestellt wird, daher kann es heruntergeladen und gemäß Ihren Anforderungen verwendet werden.
Zusammenfassung
Die Deprovisionierung von Identitäten (Identity Deprovisioning) ist nicht nur einer der wichtigsten Bestandteile des Identity Lifecycle Managements, sondern auch per Gesetz vorgeschrieben (das der DSGVO entspricht). Wenn sie richtig implementiert wird, minimiert sie nicht nur die Anzahl der manuellen Aufgaben, die damit verbunden sind, sondern sie kann auch für Sie als Unternehmen von Vorteil sein, da die Nutzer(innen) einen nahtlosen Prozess zur Deprovisionierung zu schätzen wissen und vielleicht sogar eine positive Meinung über Ihr Unternehmen gewinnen, zu dem sie gerne zurückkehren würden. Der WSO2 Identity Server ist eine führende CIAM-Lösung (anerkannt von Gartner und KuppingerCole), die Deprovisionierungsfunktionen bereitstellen kann, die mit Ihrer CIAM-Lösung zusammenarbeiten, um eine geeignete Deprovisionierung von Identitäten durchzuführen.