Der SSI-PoC der etablierten Schweizer Unternehmen Orell Füssli und Swisscom gemeinsam mit AXA und SBB

In einem wegweisenden Schritt zur Erkundung des Potenzials von verifizierbaren digitalen Nachweisen im Privatsektor haben Orell Füssli und Swisscom gemeinsam mit AXA und SBB den ersten unternehmensübergreifenden Proof-of-Concept im Schweizer Privatsektor für Self-Sovereign Identity (SSI) erfolgreich abgeschlossen. Dies umfasste verschiedene Anwendungsfälle für Mitarbeitendenbestätigungen als digitaler Nachweis, welche auf der technischen Lösung von Orell Füssli’s Tochterfirma Procivis durchgeführt wurde.

Die Ziele des Proof-of-Concepts umfassten:

• Besseres Verständnis zu digitalen Nachweisen und ihrem Potenzial/ Mehrwert (z.B. Effizienz, Sicherheit) für das Unternehmen in ihren Business Prozessen
• Aufbau von SSI-Know-how gemeinsam mit anderen Unternehmen
• Definition der Mitarbeiterbestätigung und Abgrenzung von anderen digitalen Nachweisen anhand praktischer Use-Cases aus dem Privatsektor (PoC mit Schweiz-Fokus, internationale Fragen ausgeblendet)
• Definition der Prozesse und Schnittstellen beim Herausgeben, Einsetzen und Prüfen
• Identifikation der Möglichkeiten und Herausforderungen in Vorbereitung auf eine produktive Lösung
• Sammeln von Feedback von teilnehmenden Mitarbeitenden und Miteinbezug von internen Stakeholdern

Zunächst wurden relevante Anwendungsfälle zusammengetragen und für den PoC definiert, und im Anschluss der Pilot-Nachweis mitsamt den erforderlichen Attributen definiert.

Die vier Unternehmen gehören unterschiedlichen Branchen an, darunter Versicherungsdienstleistungen, Transport, Telekommunikation und Verlagswesen. Der PoC wurde entwickelt, um zu demonstrieren, wie digitale Nachweise am Beispiel der Mitarbeitendenbestätigung in verschiedenen Geschäftsumgebungen erfolgreich eingesetzt werden kann.

Vier verschiedene Anwendungsfälle der Mitarbeitendenbestätigung

• AXA: Das Unternehmen AXA nutzte den digitalen Nachweis, um die sichere und verifizierbare Mitarbeitendenbestätigung für den Antrag einer Zahlungsschutzversicherung via Webformular zu nutzen. Um nachzuweisen, dass der Versicherungsnehmer den Antragsvoraussetzungen entspricht (Arbeitspensum von mind. 60%), konnte der Mitarbeitende die Bestätigung eines verifizierten Arbeitgebers mittels digitaler Wallet präsentieren. AXA kann dadurch einen Versicherungsantrag unmittelbar prüfen und anbieten.
• SBB: Der PoC von SBB simuliert das Login (bzw. die Authentisierung und Autorisierung) auf das Vorgaben-Portal (V-App) der SBB, welches von SBB-Mitarbeitenden, aber auch von verschiedenen Partnerfirmen verwendet wird, um Vorgaben und Änderungen an Vorgaben aufzulisten. Der Zugang für die Partnerfirmen wurde im PoC mit dem digitalen Mitarbeitendenbestätigung realisiert und somit sichergestellt, dass diese Person wirklich für diese Partnerfirma arbeitet. Gleichzeitig werden dank den verifizierten Attributen aus der Mitarbeitendenbestätigung die Zugriffsrechte gesteuert – abhängig von der Firma und der Rolle.
• Swisscom: Swisscom testete die Umsetzung einer Onlinebestellung eines Smartphones mit Firmenrabatt mittels verifizierbarer Mitarbeitendenbestätigung. Die Tester, die Mitarbeitendenbestätigungen der am PoC teilnehmenden Firmen ausgestellt erhielten, konnten damit den vergünstigten Kaufprozess umgehend ohne Medienbruch simulieren.
• Orell Füssli: Orell Füssli hat für ihren Verlag-Shop einen Mitarbeitendenrabatt simuliert, wodurch Mitarbeitende von anerkannten Firmen einen Nachweis ihres Arbeitgebers für eine Reduzierung des Kaufpreises von Büchern im Onlineshop teilen können.

Resultate des PoC

• Sichere und verifizierbare digitale Identitätsnachweise: Mit SSI eröffnet sich die Möglichkeit, sich sicher und mit einer vertrauenswürdigen Methode im digitalen Raum als Mitarbeitende auszuweisen, unabhängig von einem weniger sicheren E-Mail-Konto. Bisher mussten Mitarbeitende oft auf ihre E-Mail-Konten oder physische Ausweise zurückgreifen, um ihre Identität zu verifizieren.
• Verifizierte Informationen: Ein wichtiger Vorteil von SSI ist die Verifizierbarkeit der bereitgestellten Informationen. Dies reduziert den Aufwand bei der Ausstellung und Prüfung von Identitätsnachweisen erheblich. Gleichzeitig eröffnet es neue Anwendungsmöglichkeiten, bei denen verifizierbare Informationen unmittelbar, sicher und effizient genutzt werden können, und steigert die Gesamtsicherheit.
• Technische Integration: Die technische Integration von SSI erwies sich als äusserst einfach und benutzerfreundlich. Durch die Implementierung der Procivis Lösung mittels API konnte das Identitätsmanagement nahtlos in den Arbeitsablauf integriert werden. Diese reibungslose Integration trug wesentlich zur Akzeptanz und Nutzung von SSI bei.
• Firmenübergreifende Standardisierung der Mitarbeitendenbestätigung: Damit ein digitaler Nachweis über verschiedene Firmen hinweg erfolgreich genutzt werden kann, ist eine Standardisierung Voraussetzung. Heutige Mitarbeitendenbestätigungen können von Firma zu Firma variieren und bedürfen einer manuellen Überprüfung. Als einer der ersten Meilensteine in diesem PoC war die Definition eines digitalen Nachweises mit den benötigten Attributen, die für die verschiedenen Anwendungsfälle notwendig, aber auch der Zweckmässigkeit dieser Bestätigung entsprechend waren. Für den Entwurf wurden die bereits in DIDAS als Koordinator von Wirtschaft und Forschung und Sparringpartner des Bundes in der Errichtung des gesamten E-ID-Ökosystems getätigten Arbeiten zur Mitarbeitendenbestätigung herangezogen.
• Interne Stakeholder-Aufklärung und Einbeziehung: Ein entscheidender Schritt des Projekts bestand darin, interne Stakeholder über die Vorteile von SSI aufzuklären und sie aktiv in den Prozess einzubeziehen. Die erfolgreiche Integration von verschiedenen Parteien (bspw. HR, Access Management, IT, Verkauf und Betrieb) eröffnete neue Erkenntnisse und Möglichkeiten für effiziente Prozesse innerhalb des Unternehmens und zwischen Unternehmen.