DFN-AAI

Was die DFN-AAI ist

AAI steht für Authentication and Authorization Infrastructure. Laut Dokumentation des DFN handelt es sich technisch um eine Form des webbasierten Single Sign-on: Nutzerinnen und Nutzer melden sich mit den Zugangsdaten, mit denen sie bei ihrer Heimateinrichtung registriert sind, auch bei internen und externen Diensten an. In Deutschland betreibt der DFN-Verein diese Föderation für Hochschulen und Forschungseinrichtungen. Technische Grundlage ist der Standard SAML, über den die Hochschulen als Identity Provider und die angeschlossenen Dienste als Service Provider Daten austauschen.

Die DFN-AAI gibt es seit Herbst 2007 im Regelbetrieb. Anfangs ging es vor allem um den Zugang zu lizenzierten Zeitschriften und Datenbanken der Bibliotheken, später kamen E-Learning, Software, Rechen- und Campusdienste hinzu.

Warum das für Veranstaltungen interessant ist

Für Karrieremessen, Firmenkontaktmessen und andere Formate, die sich nur an Studierende richten, löst die DFN-AAI ein altes Problem. Ohne sie lässt sich kaum prüfen, ob eine Anmeldung wirklich von einer eingeschriebenen Person stammt. Die Hochschule muss ihre Identitäten laut DFN aktuell halten: Wer die Einrichtung verlässt, verliert zeitnah die bisherigen Rechte, aus Studierenden werden etwa Alumni. Ein Dienst, der die Anmeldung über die DFN-AAI verlangt, kann sich darauf verlassen.

Unsere Einordnung: Für den Veranstalter heißt das weniger Fremdanmeldungen, verlässlichere Zahlen für den Bericht an Unternehmen und Hochschulleitung und weniger Arbeit beim Prüfen von Listen. Für Studierende heißt es ein Konto weniger, weil sie sich mit ihrem gewohnten Hochschul-Login anmelden.

Datenschutz bei der Anmeldung

Bei einer Anmeldung über die DFN-AAI überträgt die Hochschule Attribute an den Dienst, etwa die Zugehörigkeit als Studierende. Die Datenschutzhinweise des DFN empfehlen, nur die Attribute zu übertragen, die für den jeweiligen Dienst erforderlich sind, und in der Regel ein Einwilligungsmodul einzusetzen, mit dem Nutzerinnen und Nutzer sehen und steuern, was übertragen wird. Für Dienstanbieter gibt es im europäischen Rahmen eduGAIN einen Code of Conduct zum Datenschutz.

Unsere Einordnung: Für eine Veranstaltung reicht meist die Information, dass jemand an der Hochschule studiert. Wer mehr Angaben braucht, fragt sie besser im eigenen Anmeldeformular ab, mit klarer Zweckangabe, siehe Einwilligung.

Was vor dem Einsatz zu klären ist

Drei Punkte sollten vorher feststehen. Erstens, ob die eigene Hochschule an der DFN-AAI teilnimmt und die Attributfreigabe für den Veranstaltungsdienst erlaubt; das klärt das Rechenzentrum, oft gemeinsam mit der oder dem Datenschutzbeauftragten. Zweitens, für wen die Veranstaltung offen sein soll: Eine Beschränkung auf Studierende schließt Alumni, Schülerinnen und Gäste anderer Einrichtungen aus, wenn es für sie keinen zweiten Weg gibt. Drittens, wie Aussteller und Unternehmen sich anmelden, denn sie haben in aller Regel kein Hochschulkonto.

Wie sich eine Karrieremesse insgesamt plant, beschreibt der Beitrag Karrieremesse planen in acht Wochen.

Was ist die DFN-AAI?

Die Anmeldeinfrastruktur des Deutschen Forschungsnetzes. Angehörige teilnehmender Hochschulen melden sich mit den Zugangsdaten ihrer Hochschule bei angeschlossenen Diensten an, technisch über Single Sign-on mit dem Standard SAML.

Kann man eine Veranstaltung auf Studierende beschränken?

Ja, wenn der Anmeldedienst an die DFN-AAI angeschlossen ist und die Hochschule die Zugehörigkeit als Studierende übermittelt. Dann können sich nur Personen mit gültigem Hochschulzugang anmelden.

Welche Daten überträgt die Hochschule?

Nur die freigegebenen Attribute. Das DFN empfiehlt, nur zu übertragen, was der Dienst braucht, und in der Regel ein Einwilligungsmodul zu nutzen, mit dem Nutzerinnen und Nutzer die Übertragung sehen und steuern.