OpenID: Probleme, Lösungswege und Zukunft

OpenID scheint dieses Jahr langsam im (Web-)Mainstream anzukommen. Die Meldungen dieses Jahr über große Unternehmen die (zugegeben oft erst einmal halbherzig) OpenID anfangen zu unterstützen, brechen nicht ab. Wenn auch die meisten großen Seiten OpenID nur als Provider nicht als Consumer zunächst unterstützen (heißt man kann sich mit ihren Accountdaten anderenorts einloggen nur bei ihnen anmelden mit einer OpenID geht nicht, siehe hier zur näheren Erklärung).

Markus hat nun vor ein paar Tagen einen interessanten Text über OpenID geschrieben und ist dort besonders auf Probleme eingegangen:

Leider ist openID aber wie eine Kreditkarte bei der man dann auch nicht mehr mit Bargeld bezahlen kann, wenn man in einem Geschäft einmal mit ihr bezahlt hat, und leider kann man den Kreditkartenbetreiber dann auch nicht mehr wechseln.

Er erwähnt dann Delegation als Lösung dieses Problems (Zu Delegation siehe diesen Artikel von Carsten hier auf neunetz.com, außerdem wird im Agenturblog die Bedeutung von Delegation nochmal unterstrichen).

Ein weiterer Punkt, der sich durchsetzen wird mMn, ist, dass sowohl auf Consumer als auch auf Providerbasis unabhängige Emailadressen hinterlegt werden können. Mit diesen lässt sich dann im Notfall der Account sperren, wiederherstellen, whatever.

Markus:

Das Problem mit openID ist nicht, dass es zu Problemen kommen kann, sondern dass die Konsequenzen der Probleme unangenehmer sind als man sie sonst so antrifft.

Das Problem gibt es auch heute schon. Wenn man nämlich zum Beispiel einen Googleaccount hat und alles von Email über Feeds, Bookmarks, Fotos, SocialNetwork (Orkut) und Onlineoffice über Googledienste abwickelt. Deshalb gibt es seit geraumer Zeit die Möglichkeit in den Settings des Googleaccounts weitere Emailadressen neben der Gmail-Adresse zu hinterlegen. Im Falle des Passwortklaus kann man dieses ja nicht zurücksetzen und an Gmail senden lassen..

Außerdem wird es sich beim Großteil der Webdienste einbürgern, dass neben OpenID (oder welches webglobale Loginsystem sich auch durchsetzen mag) immer auch ein seitenexklusives Login angeboten wird, das sich wahlweise nachträglich zum Account hinzufügen lässt. Heißt, man wird die Wahl haben, ob man auf die Seite immer nur via OpenID zugreift oder aus Sicherheitsgründen oder warum auch immer einen separaten Zugang einrichtet. Das würde dann zB auf die sich aus jahrelangem Gebrauch herauskristallisierenden Lieblingsseiten zutreffen. (Ja, die Ironie ist mir durchaus bewusst.)

Oder aber es kommt ganz anders und eine Seite wie Facebook -oder Facebook selbst *gasp*- wird sich zum Rückgrat für das soziale Web entwickeln und mit der Öffnung in alle Richtungen in ein globales Loginsystem mutieren (evolutionieren?). [Das mag noch leicht lächerlich klingen, die Wahrscheinlichkeit dafür ist aber gar nicht so gering.]

Denn ehrlich gesagt: Vor ziemlich genau einem Jahr war ich sehr optimistisch, was OpenID anging. Der große Durchbruch, den ich für 2007 phantasierte, scheint nun dieses Jahr zu kommen. Aber ich sehe keine Lösungen für immer noch bestehende schwerwiegende Probleme:

Nachwievor ist die Usability nicht sonderlich gut -freundlich ausgedrückt. Alles ist viel zu kompliziert und schwer zu durchschauen für Normalnutzer. Datenschutz bleibt ein Problemfeld. Und auch die Securityprobleme sind nicht zu unterschätzen:

The problem(s) with OpenID « The Identity Corner

Dieser Artikel ist mit Vorsicht zu geniessen, da der Verfasser an einem konkurrierenden System zu OpenID arbeitet. Nichtsdestotrotz ist die Fülle an Problemen nicht gerade gering. Inwiefern einige der angesprochenen Probleme mit dem neuen OpenID2.0 behoben sind, kann ich nicht beurteilen. Zumindest kommt OpenID2.0 mit Verschlüsselung. (siehe zu OpenID2.0 auch diesen Artikel auf centernetworks vom November ’07)

Wie auch immer OpenID sich entwickelt, an einem seitenübergreifenden Identifikationsmechanismus für die Nutzer geht kein Weg vorbei. Die Anzahl nützlicher und damit regelmäßig genutzter Webdienste wird eher noch zu- denn abnehmen. Von nur temporär genutzten bzw. ausgetesteten Seiten ganz zu schweigen. Auch deswegen wird die Webevolution an einem weit verbreiteten Single-SignOn nicht vorbeikommen: Neue Dienste können leichter User akquirieren, wenn sie ihnen den Login so einfach wie möglich machen. Diese Mikrointeressen führen zwangsläufig zu einem Makrozustand der weitgehenden Flächenabdeckung.

Ich hoffe nur, wir implementieren hier nicht einen Standard, der uns in der Zukunft irgendwann aufgrund unzureichend beachteter Probleme in die Knie zwingt; und dann zum Bücken. Das reicht schon in Sachen in Email.

Wer sich für OpenID interessiert, dem sei nochmal die neunetz.com-Artikelserie von Carsten Pötter über OpenID vom letzten Jahr ans Herz gelegt. Carsten betreibt mit Thomas Huhn zusammen die Infoseite Spread OpenID. Thomas Huhn ist unter Anderem bekannt vom deutschen OpenID-Blog OpenID Blog Germany, vom OpenIDDirectory und dem OpenID-Provider meinguter.name.

(Link out like your life depends on it – that’s my motto :))