Personalwesen

Das digitale Diplom:

Wie das MIT mit Blockchain Zeugnisse fälschungssicher macht

1. Ein Zeugnis in der Smartphone-App

Wer am MIT seinen Abschluss macht, kann seit 2017 neben der gedruckten Urkunde ein zweites Dokument erhalten: ein digitales Diplom, das per E-Mail verschickt und über eine App namens Blockcerts Wallet verwaltet wird. [1] Den Anfang machte im Sommer 2017 eine Kohorte von 111 Absolventinnen und Absolventen aus zwei Masterprogrammen, seither bietet die Hochschule die Option jedem Jahrgang an. [1][2] Der Hintergrund ist nüchtern. Mary Callahan, Registrar und Senior Associate Dean am MIT, beschreibt das Ziel so: „Dieses Pilotprojekt ermöglicht es den Studierenden, Eigentümer ihrer eigenen Unterlagen zu sein und diese sicher mit wem auch immer sie möchten zu teilen.“ [1] Chris Jagers, Mitgründer des Projektpartners Learning Machine, ergänzt: „MIT hat offizielle Unterlagen in einem Format ausgestellt, das fortbesteht, selbst wenn die Institution verschwindet, selbst wenn wir als Anbieter verschwinden.“ [1] Arbeitgeber und andere Hochschulen können die Echtheit eines solchen Diploms sofort und unabhängig vom MIT selbst überprüfen, indem sie einen Link öffnen oder die Datei in ein eigens dafür eingerichtetes Portal hochladen. [1] Was hier wie eine technische Spielerei einer einzelnen Universität wirkt, ist tatsächlich ein seit acht Jahren laufender Realbetrieb, der zeigt, wie Blockchain im Personalwesen einen sehr konkreten Streitpunkt entschärfen kann: die Frage, ob ein vorgelegter Abschluss echt ist.

2. Was ist Blockcerts?

Blockcerts ist ein offener Standard für digitale Zertifikate. Die Idee entstand 2015, als Philipp Schmidt vom MIT Media Lab begann, intern digitale Nachweise für sein Team auszustellen. 2016 entwickelten sein Team und das Softwareunternehmen “Learning Machine” daraus gemeinsam ein Open-Source-Toolkit, das jede Schule oder jeder Entwickler nutzen kann, um blockchainbasierte Bildungsnachweise auszustellen und zu prüfen. [1][3]

Technisch besteht Blockcerts aus vier Bausteinen: [3]

Issuer (Aussteller): Hochschulen erstellen digitale akademische Zertifikate, die eine Vielzahl von Aussagen über die Fähigkeiten, Leistungen oder Eigenschaften einer Person enthalten können, und registrieren sie auf der Bitcoin-Blockchain.

Certificate (Zertifikat): Die Zertifikate sind mit dem Open-Badges-Standard kompatibel. Das ist wichtig, weil es bereits eine ganze Gemeinschaft von Open-Badges-Ausstellern gibt, die Blockcerts unterstützen will, und weil Open Badges zu einem IMS-Standard wird.

Verifier (Prüfer): Jeder kann, ohne sich auf den Aussteller verlassen zu müssen, unabhängig prüfen, dass ein Zertifikat nicht manipuliert wurde, dass es von einer bestimmten Institution ausgestellt wurde und dass es an eine bestimmte Person ausgestellt wurde.

Wallet: Personen können ihre Zertifikate sicher speichern und mit anderen teilen, etwa mit einem Arbeitgeber.

Hier lässt sich „echte“ Nutzung von Marketing unterscheiden: Blockcerts ist seit 2016 Open Source, das MIT stellt seit 2017 jedes Jahr Diplome darüber aus, und auch die Commencement-Unterlagen der Jahre 2023, 2024 und 2026 bestätigen, dass das Angebot unverändert fortbesteht. [2][4] Es handelt sich nicht um eine Ankündigung, sondern um einen seit Jahren laufenden Betrieb. Wie diese vier Bausteine technisch zusammenspielen, zeigt Kapitel 4.

3. Regulatorischer Rahmen: die EU-Ebene und die deutsche Erfahrung

Auf EU-Ebene verfolgt die European Blockchain Services Infrastructure (EBSI) der Europäischen Kommission einen ähnlichen Ansatz für Diplome. Im Rahmen des sogenannten Diploma Use Case tauschen beispielsweise die Universitäten der Allianz Una Europa – darunter die KU Leuven und die Universität Bologna – seit 2021 digitale, überprüfbare Studiennachweise (Verifiable Credentials) aus. [5] Die beteiligten Universitäten zählen laut EU-Kommission zusammen über 600.000 aktive Studierende pro Jahr. [5] Auch EBSI setzt dabei auf die W3C-Standards für Decentralized Identifiers und Verifiable Credentials – also dieselben offenen Standards, auf die auch Blockcerts inzwischen ausgerichtet ist. [5][6]

In Deutschland verlief der Versuch, ein vergleichbares System aufzubauen, deutlich holpriger – und die Gründe dafür sind für KMU lehrreich. Im Rahmen des Onlinezugangsgesetzes (OZG) übernahm Sachsen-Anhalt 2019 die Federführung für ein bundesweites „Digitales Zeugnis“, entwickelt gemeinsam mit der Bundesdruckerei und der Genossenschaft govdigital. Ziel war es laut Bundesdruckerei, ein Zeugnis zu schaffen, das „einfach, fälschungssicher und datenschutzkonform“ ist. [7] Auch hier sollten nur Prüfsummen (Hash-Werte), keine Klardaten, in eine Blockchain geschrieben werden, betrieben über öffentliche Rechenzentren der govdigital eG. Ein Pilotbetrieb startete im Sommer 2021 in Berlin, Nordrhein-Westfalen und Rheinland-Pfalz, mit dem Ziel eines bundesweiten Regelbetriebs ab 2023. [7]

Im Februar 2022 berichteten Sicherheitsforscher öffentlich über mehrere Schwachstellen in diesem frühen Entwicklungsstand. Die Bundesdruckerei bestätigte in einem Statement, dass es Unbefugten möglich gewesen sei, fiktive, nicht signierte Zeugnisse auszustellen, die Ausstellung echter Zeugnisse sei jedoch zu keinem Zeitpunkt möglich gewesen. [8] Die Konsequenz war dennoch grundsätzlicher Natur: „Der Auftraggeber hat entschieden, das ursprüngliche Lösungskonzept auf Basis der Blockchain-Technologie nicht weiterzuverfolgen“, heißt es in der offiziellen Stellungnahme der Bundesdruckerei. [8] Parallel dazu hatte die Berliner Beauftragte für Datenschutz und Informationsfreiheit das Konzept bereits grundsätzlicher kritisiert: Das in der DSGVO vorgesehene Recht auf Löschung oder Berichtigung nach Art. 17 DSGVO lasse sich auf einer klassischen Blockchain prinzipiell nicht umsetzen, da Einträge dort unveränderlich sind. [9]

Während das staatliche Projekt diesen Weg nicht weiterverfolgte, zeigt ein privater Anbieter aus derselben Region, dass das Grundprinzip in Deutschland durchaus funktioniert. Das Gelsenkirchener Unternehmen TrustCerts, eine Ausgründung des Instituts für Internet-Sicherheit, sichert seit 2019/2020 Hochschulzeugnisse per Blockchain ab, zunächst für die FOM Hochschule, inzwischen für weitere Institutionen. [10][11] Bis 2024 wurden auf diesem Weg über 20.000 Zeugnisse gegen Fälschung abgesichert, und das Unternehmen ist mit zwölf Mitarbeitenden weiterhin aktiv am Markt. [12] Die Architektur folgt demselben Muster wie Blockcerts: Nur ein Hash-Wert kommt auf die Blockchain, das eigentliche Zeugnis bleibt bei der Person beziehungsweise in einem externen System.

Die Lehre daraus ist differenzierter als ein einfaches „geht nicht“. Die Spannung zwischen Art. 17 DSGVO und der Unveränderlichkeit einer Blockchain wird in der Fachliteratur durchaus diskutiert, etwa im Faktenpapier von Bitkom. [13] Die dort empfohlene Lösung ist jedoch genau das Muster, das Blockcerts und TrustCerts bereits nutzen: Nur ein Hashwert wird auf der Blockchain abgelegt, das Original bleibt in einem klassischen, löschbaren System. Wird das Original gelöscht, verweist der Hash auf nichts mehr und ist nur noch eine bedeutungslose Zeichenkette. Für ein KMU heißt das: Die hashbasierte, datensparsame Architektur, wie sie Blockcerts und TrustCerts vorleben, ist ein in Deutschland bereits erprobter Weg.

4. Technische Umsetzung im Detail

Entscheidend ist, was tatsächlich auf der Blockchain landet: nicht das Diplom selbst, sondern nur ein einseitiger Hash-Wert und der Zeitstempel der Ausstellung. [1] Das eigentliche Dokument bleibt eine Datei, die die Person selbst verwaltet. Damit lässt sich nachträglich beweisen, dass genau diese Datei zu einem bestimmten Zeitpunkt vom MIT ausgestellt wurde, ohne dass persönliche Daten auf der Blockchain gespeichert werden.

Gewählt wurde dafür die Bitcoin-Blockchain. Jagers begründet das damit, dass es zwar inzwischen viele Arten von Blockchains gebe, Bitcoin für Learning Machines Zwecke aber weiterhin der Goldstandard sei, weil sie Sicherheit über Geschwindigkeit, Kosten oder Bequemlichkeit stelle: „Wir glauben, das ist immer noch die richtige Wahl für offizielle Dokumente, die ein Leben lang halten und überall auf der Welt funktionieren müssen.“ [1]

Im Zusammenspiel der vier Bausteine aus Kapitel 2 läuft der Prozess beim MIT konkret so ab: [1]

Die Absolventin oder der Absolvent installiert die Blockcerts-Wallet-App und erzeugt darin ein kryptografisches Schlüsselpaar.
Der öffentliche Schlüssel wird an das MIT übermittelt und in den digitalen Datensatz aufgenommen.
Das MIT erstellt das Zertifikat als JSON-Datei, berechnet daraus einen Hash-Wert und sendet eine Bitcoin-Transaktion, die diesen Hash enthält.
Die Person erhält das Zertifikat per E-Mail als Anhang und kann es in der Wallet speichern.
Wer die Echtheit prüfen will, lädt die Datei hoch oder folgt einem Link zum Verifizierungsportal. Das System lokalisiert die Transaktion auf der Blockchain, prüft die Schlüssel und bestätigt, dass nichts verändert wurde.

5. Bedeutung für KMU

Für Personalverantwortliche in KMU ist die Kernfrage des MIT-Beispiels unmittelbar relevant: Wie viel Zeit und Vertrauen kostet es heute, einen vorgelegten Abschluss zu prüfen, und was, wenn er gefälscht ist? Die von TrustCerts zitierte Größenordnung von rund zehn Prozent gefälschter oder manipulierter Hochschulzeugnisse in Deutschland betrifft, sofern sie zutrifft, auch Bewerbungen, die regionale Unternehmen erreichen. [10]

Daraus ergeben sich für die Region drei praktische Anknüpfungspunkte: Erstens nutzt mit der FOM bereits eine der größten privaten Hochschulen Deutschlands eine Blockchain-gestützte Echtheitsprüfung über den Anbieter TrustCerts. [10][11] Bewerbungen von Absolventinnen und Absolventen solcher Hochschulen lassen sich ohne Medienbruch und ohne Rückfrage bei der Hochschule verifizieren, ein kleiner, aber realer Effizienzgewinn im Bewerbungsprozess.

Zweitens stellt sich für KMU, die selbst Qualifikationen ausstellen, etwa Weiterbildungszertifikate, interne Schulungsnachweise oder Ausbildungszeugnisse, die Frage, ob ein offener Standard wie Blockcerts oder ein kommerzieller Anbieter eine Alternative zu Papier und PDF wäre. Die rechtliche Einordnung aus Kapitel 3 gilt hier in gleicher Weise: Solange personenbezogene Daten oder daraus ableitbare Informationen betroffen sind, lohnt sich eine hashbasierte, datensparsame Architektur, wie sie Blockcerts oder TrustCerts vorsehen, als sicherer Ausgangspunkt für eigene Lösungen.

Drittens zeigt der Abbruch des deutschen Pilotprojekts, dass eine zentrale, staatlich getragene Lösung für Zeugnisechtheit in absehbarer Zeit nicht zu erwarten ist. [8] KMU, die heute Effizienzgewinne bei der Qualifikationsprüfung suchen, sind also auf etablierte private Anbieter und auf Hochschulen verwiesen, die bereits eigene Lösungen einsetzen, nicht auf eine künftige Bundeslösung.

6. Fazit

Das MIT zeigt mit Blockcerts seit 2017 einen Blockchain-Anwendungsfall, der ohne Kryptowährungs-Hype auskommt und einen klar umrissenen Zweck erfüllt: den fälschungssicheren, selbstständig überprüfbaren Nachweis eines Abschlusses.

Die Architektur, nur ein Hash auf der Blockchain, das Dokument selbst bei der Person, ist bewusst datensparsam und seit Jahren im Realbetrieb, nicht nur als Ankündigung.