Architektur & Funktionsweise

Datenschutz durch Technikgestaltung (Privacy by Design)

Wie UNONYM beweist, dass du ein echter, einzigartiger Mensch bist - ohne deine Identität zu kennen, zu speichern oder zu teilen.

1. Das Kernprinzip: Zero-PII & Provider-Attestation

Klassische Identitätsdienste fordern Klarnamen, Personalausweiskopien, Telefonnummern oder Kreditkartendaten an und speichern diese zentral in Datenbanken. Solche Datenbanken stellen dauerhafte Sicherheitsrisiken (Honeypots für Datenpannen und staatliche Überwachung) dar.

Die UNONYM-Invariante: Kein Empfang und keine Speicherung von Rohdaten

Das UNONYM-Kernbackend empfängt zu keinem Zeitpunkt rohe personenbezogene Daten (PII). Weder Telefonnummern, Meldeadressen, Klarnamen noch Ausweisdokumente erscheinen jemals in API-Anfragen, Logs oder Datenbanktabellen des Kernsystems.

Schritt 1Nutzer & Client

Challenge & Verifikation

Der Nutzer initiiert die Verifikation (z. B. SMS-OTP oder Ausweis-NFC). Rohdaten verbleiben im isolierten Provider-Kanal.

➔ Rohdaten verlassen Client nie unverschlüsselt

Schritt 2Quarantäne-Provider

Einweg-Hash & Signatur

Verifiziert die Challenge, berechnet HMAC-SHA256(data, PEPPER) und signiert ein kurzlebiges Proof-Token.

➔ Rohdaten sofort aus dem RAM gelöscht

Schritt 3UNONYM Core

Dublettenschutz & Trust

Prüft die Token-Signatur. Speichert ausschließlich den pseudonymen Hash (1:1 Schutz gegen Doppel-Accounts) und vergibt Trust-Punkte.

➔ Identität bleibt 100% unbekannt

2. Systemarchitektur & Hintergrund-Dienste

UNONYM ist modular aufgebaut. Die Trennung von Authentifizierung, Verifikation und Kernlogik stellt sicher, dass kein einzelner Dienst die vollständige Identitätskette besitzt.

Identity & AuthOry Kratos

Ory Kratos (Identity Engine)

Ein gehärteter, quelloffener Identitätsserver. Er verwaltet Benutzerkonten, Sessions, FIDO2/WebAuthn-Passkeys, TOTP-Zwei-Faktor-Authentifizierung und E-Mail-Verifikation. Passwörter werden niemals im UNONYM-Backend verarbeitet, sondern direkt über modernste Kryptografie (Argon2id) in Kratos gehasht.

Core APINestJS + PostgreSQL

UNONYM Core API & Trust Engine

Verwaltet Trust-Punkte, Reputations-Stufen (Tiers) und öffentliche Pseudonyme (z. B. uno_...). Alle Endpunkte sind über Kratos-Session-Tokens abgesichert. Die Datenbank speichert ausschließlich pseudonymisierte Hashes, kryptografische Nachweise und Punkte.

Quarantäne-DienstVerification Provider

Isolierter Verification Provider

Ein separater Quarantäne-Microservice (Port 3010, Docker-intern). Er schirmt externe Verifikationsschnittstellen (z. B. Firebase Phone Auth) vom Core-Backend ab. Er normalisiert Daten, berechnet HMAC-SHA256 Hashes mit geheimen Pepper-Schlüsseln, signiert ein kurzlebiges Proof-Token und verwirft die Rohdaten sofort.

Mobile ClientFlutter (Android & iOS)

Flutter Companion App

Ermöglicht hardwaregebundene Authentifizierung (Play Integrity, Apple App Attest, Passkeys via Credential Manager) und lokale biometrische Entsperrung (Fingerabdruck / Face ID) direkt im Secure Element des Smartphones. Dient als NFC-Schnittstelle für den Online-Ausweis (eID).

Infrastruktur & Hosting in der EU

Hosting: Betrieben auf dedizierten Cloud-Servern der Hetzner Online GmbH am Standort Nürnberg (Deutschland). 100% europäische Datenhoheit und strengste DSGVO-Konformität.
Netzwerksicherheit: Traefik Edge-Proxy mit automatischer TLSv1.3-Verschlüsselung (Let's Encrypt). Interne Dienste (Datenbank, Verification Provider, Kratos Admin) sind von außen nicht direkt erreichbar.
Cookielose Webanalyse: Selbstgehostetes Umami Analytics ohne Personenbezug, Fingerprinting oder Third-Party-Tracker.

3. Detaillierte Verifizierungs- und Schutzprozesse

A. Authentifizierung via Passkeys (FIDO2 / WebAuthn) & App

Passkeys ersetzen unsichere Passwörter durch asymmetrische Kryptografie. Beim Erstellen eines Kontos oder Hinzufügen eines Passkeys generiert das Endgerät (Smartphone, Laptop oder Hardware-Token) ein kryptografisches Schlüsselpaar:

Privater Schlüssel: Verbleibt unzugänglich in der Secure Enclave / StrongBox deines Geräts. Er wird niemals an UNONYM übertragen.
Öffentlicher Schlüssel: Wird an Ory Kratos übermittelt und dort gespeichert.
Biometrie (Face ID / Fingerabdruck): Schaltet lediglich den Zugriff auf den privaten Schlüssel im lokalen Gerät frei. Biometrische Merkmale verlassen dein Gerät zu keinem Zeitpunkt.

B. Handynummer-Verifikation (SMS OTP) ohne Speichern der Telefonnummer

Telefonnummern sind regulatorisch an SIM-Karten und Personen gebunden und eignen sich hervorragend als Sybil-Schutz (Verhinderung von Fake- und Bot-Accounts). Doch wie stellt UNONYM sicher, dass eine Nummer nur einmal verwendet wird, ohne sie abzuspeichern?

1. SMS-Challenge: Der Nutzer gibt seine Mobilnummer im Web oder der App ein. Firebase sendet per SMS einen Einmalcode (OTP) an das Telefon.

2. Bestätigung: Nach Codeeingabe stellt Firebase ein kryptografisch signiertes Firebase-ID-Token aus.

3. Quarantäne-Hashing: Der isolierte verification-provider empfängt das Token, extrahiert die verifizierte Nummer, normalisiert sie in das internationale E.164-Format (z. B. +49170...) und errechnet:

credentialHash = HMAC-SHA256(e164_phone, PHONE_PEPPER)

Die Telefonnummer wird unmittelbar nach der Berechnung aus dem Arbeitsspeicher gelöscht.

4. Dublettenprüfung & Trust-Gutgabe: Das Core-Backend empfängt ausschließlich ein signiertes Proof-Token mit dem credentialHash. Es prüft, ob dieser Hash bereits vergeben ist (Unique Index in PostgreSQL). Ist er neu, wird der Hash hinterlegt und +25 Trust-Punkte gutgeschrieben.

Ergebnis: Selbst bei einem vollständigen Datenbankabzug kann kein Angreifer Telefonnummern auslesen. Dennoch kann dieselbe Handynummer niemals für einen zweiten UNONYM-Account verwendet werden.

C. Deutscher Personalausweis (Online-Ausweis / eID via NFC)

Coming Soon

Der deutsche Personalausweis sowie der elektronische Aufenthaltstitel enthalten einen BSI TR-03110 zertifizierten RFID-Sicherheitschip. Mit der UNONYM Companion App lässt sich dieser kontaktlos per NFC auslesen.

Das Prinzip der Pseudonymen Identifikation (Restricted Identification):

Anders als herkömmliche Ausweisprüfer (die Video-Ident oder Scans verlangen) nutzt UNONYM die kryptografische Eigenschaft des Ausweischips:

Lokale PIN: Der Nutzer gibt seine 6-stellige Ausweis-PIN lokal im Smartphone ein. Weder UNONYM noch der Server erfahren diese PIN jemals.
Keine Abfrage persönlicher Merkmale: UNONYM fordert weder Namen, Geburtsdatum, Adresse noch Ausweisnummer an.
Karten- & dienste-spezifisches Pseudonym: Der Ausweischip berechnet mathematisch ein deterministisches Pseudonym, das ausschließlich für UNONYM gültig ist.
Mathematischer Beweis: Es wird kryptografisch garantiert, dass es sich um eine einzigartige, lebende Person mit amtlichem Ausweis handelt - ohne dass UNONYM erfährt, wer diese Person ist.
EUDI-Wallet Kompatibilität: Die Architektur ist für das künftige europäische Identity-Wallet (EUDI Wallet via OpenID4VP) ausgelegt.

D. Geräte-Integrität & Hardware-Attestation

Um Botnetze, manipulierte Emulatoren und automatisierte Farmen auszuschließen, nutzt die UNONYM-App die hardwarebasierten Integritätsdienste der Plattformbetreiber:

Google Play Integrity (Android)

Kryptografischer Nachweis, dass die App unverändert aus dem Google Play Store stammt und auf einem zertifizierten, nicht manipulierten Android-Gerät ausgeführt wird.

Apple App Attest (iOS)

Hardware-Attestierung über den Apple Secure Enclave Chip, die bestätigt, dass Anfragen von einer echten, unmodifizierten iOS-App gesendet werden.

4. Wie externe Dienste & Partner UNONYM nutzen

Webseiten, Community-Plattformen (wie Reddit-Subreddits) oder Kommentarbereiche von Medienportalen können UNONYM über das standardisierte OpenID Connect (OIDC) Protokoll anbinden.

Was erfährt ein Partner beim Login mit UNONYM?

✓ Der Partner erfährt:

Bestätigung: Es handelt sich um einen echten, einzigartigen Menschen.
Das verifizierte Vertrauenslevel (z. B. Level 2: Handy + Gerät verifiziert).
Einen partner-spezifischen pseudonymen Bezeichner (PPID), der verhindert, dass verschiedene Partner das Verhalten des Nutzers plattformübergreifend zusammenführen können.

✗ Der Partner erfährt NIEMALS:

Keinen Klarnamen oder Geburtsdatum.
Keine Telefonnummer oder E-Mail-Adresse.
Keine Ausweisdokumente oder Anschriften.
Keine IP-Adresse oder Geräteinformationen.