Maria Huber

Zurzeit wird Shibboleth an der Uni Göttingen für den Zugriff auf lizenzierte Verlagsinhalte eingeführt. Im Vortrag wird dargestellt, dass mitunter ein verlagsseitiges Tracking ermöglicht wird, falls der Identity Provider es nicht aktiv unterbindet.

Die SUB Göttingen führt derzeit Shibboleth ein, um Universitätsangehörigen den Zugriff auf lizenzierte Verlagsinhalte von überall aus mit persönlichem Login zu ermöglichen. Uns ist wichtig, dass der Zugriff über Shibboleth ermöglicht wird, ohne an Verlage personenbezogene Daten zu übermitteln, die dort zum Tracking genutzt werden können. Die Anbieter sollen nur Informationen zur allgemeinen Nutzerberechtigung erhalten, wie in der DFN-Dokumentation beschrieben (siehe doku.tid.dfn.de/de:shibidp:config-attributes-publishers). Die Service Provider einiger Anbieter fordern jedoch zusätzliche Informationen an, die zur Wiedererkennung der Personen verwendet werden können. Ein Beispiel ist die Anforderung einer 'pairwise persistenten NameID' während des Shibboleth-Anmeldeprozesses, die es ermöglicht, (zunächst anonyme) persönliche Profile beim Verlag zu erstellen. Außerdem können Anbieter, die dem 'Code of Conduct' beigetreten sind, zusätzliche personenbezogene Daten erhalten.