Die EUDI-Wallet kommt: Das neue europäische Ökosystem für digitale Identitäten im Überblick

Die verlässliche digitale Identifizierung von Personen sowie der Nachweis bestimmter Eigenschaften und Berechtigungen, etwa des Alters, eines Bildungsabschlusses oder einer Fahrerlaubnis, sind zentrale Voraussetzungen für vertrauenswürdige Transaktionen im digitalen Raum. Die derzeit bestehenden Identitätslösungen sind jedoch stark fragmentiert. Nutzerinnen und Nutzer müssen wiederholt zeit- und ressourcenintensive Identifizierungsverfahren durchlaufen (z. B. VideoIdent) und sind auf eine Vielzahl nicht interoperabler Systeme angewiesen.

Mit der Europäischen Brieftasche für die digitale Identität (European Digital Identity Wallet, EUDI-Wallet), die durch die novellierte eIDAS-VO eingeführt wird, leitet der Unionsgesetzgeber einen Paradigmenwechsel ein: Die EUDI-Wallet soll es den rund 450 Millionen Unionsbürgerinnen und -bürgern ermöglichen, ihre Identität sowie weitere Nachweise, wie Bildungsabschlüsse, Führerscheine, Tickets oder Mitgliedschaften, digital und selbstbestimmt zu verwalten und einfach und interoperabel vorzuweisen. Darüber hinaus soll die Erstellung qualifizierter elektronischer Signaturen und Siegel unmittelbar aus der EUDI-Wallet heraus möglich sein.

Die praktischen Auswirkungen sind erheblich: Die EUDI-Wallet wird Identifizierungs-, Nachweis- und Signaturprozesse grundlegend vereinfachen. Für Unternehmen und Behörden erwachsen daraus nicht nur sektorspezifische Akzeptanzpflichten, sondern zugleich erhebliche Chancen zur Digitalisierung von Geschäftsprozessen und zur Entwicklung neuer Geschäftsmodelle. Die EU-Kommission beziffert den quantifizierbaren wirtschaftlichen Nutzen auf insgesamt 3,9 bis 9,6 Mrd. Euro.

EUDI-Wallet: So funktioniert das europäische Identitätsökosystem

Kernfunktionalität des EUDI-Wallets ist die Möglichkeit des Nutzers, seine Identität und weitere elektronische Nachweise, sog. (qualifizierte) elektronische Attributsbescheinigungen, elektronisch nachzuweisen. Das EUDI-Wallet ist dazu in ein europäisches Identitätsökosystem eingebettet, das auf einem Vertrauensdreieck zwischen drei zentralen Akteuren beruht:

• Nutzer und EUDI-Wallet: Der Nutzer ist der Inhaber der ihm zugeordneten EUDI-Wallet. In der EUDI-Wallet können zwei Arten digitaler Nachweise des Nutzers gespeichert werden, nämlich Personenidentifizierungsdaten und (qualifizierte) elektronische Attributsbescheinigungen. Personenidentifizierungsdaten sind ein Datensatz, der den Nutzer eindeutig repräsentiert (z. B. Vor- und Nachname, Geburtsdatum, Geburtsort und Staatsangehörigkeit) und die Feststellung seiner Identität, die sogenannte Identifizierung, ermöglicht. (Qualifizierte) elektronische Attributsbescheinigungen weisen demgegenüber einzelne Merkmale, Eigenschaften oder Berechtigungen des Nutzers nach. Beispiele sind Führerscheine, Qualifikationsnachweise wie Hochschulzeugnisse, Impfnachweise oder Zugangsberechtigungen. Der Nutzer entscheidet selbst, welche Daten er welchem Dienst selektiv offenlegt. Die Offenlegung kann sowohl online als auch offline möglich sein (etwa via QR-Code oder NFC).
• Ausstellende Institutionen (Issuer): Personenidentifizierungsdaten und (qualifizierte) elektronische Attributsbescheinigungen werden von ausstellenden Institutionen in Form kryptographisch gesicherter Datensätze an die EUDI-Wallet des Nutzers übermittelt. Personenidentifizierungsdaten werden durch notifizierte, von den Mitgliedstaaten benannte Stellen ausgestellt (in Deutschland ist eine Ausstellung über die Online-Ausweisfunktion des Personalausweises vorgesehen). (Qualifizierte) elektronische Attributsbescheinigungen werden demgegenüber von qualifizierten oder nicht qualifizierten Vertrauensdiensteanbietern ausgestellt. Als Aussteller kommt daher grundsätzlich jede private oder öffentliche Stelle in Betracht (z. B. eine Universität für Studiennachweise oder ein Fitnessstudio für einen Mitgliedschaftsausweis).
• Vertrauende Beteiligte (Relying Parties): Vertrauende Beteiligte sind diejenigen Akteure, die auf die ihnen über die EUDI-Wallet vorgelegten Personenidentifizierungsdaten und (qualifizierten) elektronischen Attributsbescheinigungen vertrauen. Zu denken ist etwa an eine Bank bei der Kundenauthentifizierung, eine Behörde beim Portalzugang oder einen Händler bei der Altersverifikation. Sie müssen sich vorab im Mitgliedstaat ihrer Niederlassung registrieren und dabei angeben, welche Daten sie von den Nutzern anfordern wollen. Andere als die angegebenen Daten dürfen sie später nicht verlangen. 

Das Vertrauen in die Echtheit und Unversehrtheit der vorgelegten Nachweise entsteht dabei nicht durch einen zentralen Intermediär, sondern dezentral über ein Geflecht kryptographischer Nachweise: Jede ausstellende Institution signiert die von ihr ausgestellten Daten mit ihrem privaten Schlüssel. Dass der zugehörige öffentliche Schlüssel tatsächlich dieser Institution zusteht, bestätigen Zertifikate, die über Zertifikatsketten auf sogenannte Vertrauensanker zurückführen, also auf oberste Instanzen, die in öffentlich zugänglichen Vertrauenslisten verzeichnet sind. Ein vertrauender Beteiligter kann Echtheit und Unversehrtheit (Authentizität und Integrität) eines ihm vorgelegten Nachweises darüber verifizieren, ohne dass der Aussteller hiervon Kenntnis erlangt.

EUDI-Wallet: Erstellung qualifizierter elektronischer Signaturen und Siegel

Ferner ermöglicht die EUDI-Wallet auch die Erstellung qualifizierter elektronischer Signaturen und Siegel. Qualifizierte elektronische Signaturen sind natürlichen Personen vorbehalten und der handschriftlichen Unterschrift gleichgestellt. Qualifizierte elektronische Siegel werden demgegenüber von juristischen Personen erstellt und begründen die Vermutung der Unversehrtheit der besiegelten Daten sowie, dass diese vom Aussteller stammen. 

EUDI-Wallet nach eIDAS: Die wichtigsten Anforderungen

• Kostenlose und freiwillige Nutzung: Die Nutzung der EUDI-Wallet ist kostenfrei (die kostenfreie Erstellung qualifizierter elektronischer Signaturen können die Mitgliedstaaten auf nichtgewerbliche Zwecke beschränken). Die Nutzung ist zudem freiwillig. Einschränkungen oder Benachteiligungen bei Nichtnutzung sind unzulässig, sodass der Zugang zu öffentlichen und privaten Diensten auch über alternative Identifizierungs- und Authentifizierungsmittel gewährleistet bleiben muss.
• Selektive Offenlegung und Datenkontrolle: Der Nutzer behält die uneingeschränkte Kontrolle über das Anfordern, Speichern, Kombinieren, Löschen, Weitergeben und Vorweisen seiner Daten. Nach dem Grundsatz der selektiven Offenlegung kann der Nutzer selbst bestimmen, welche Informationen er offenlegen möchte. Datensparsame Nachweise, bspw. über Zero-Knowledge-Proofs, sollen ermöglicht werden (etwa die Bestätigung „über 18“, ohne Offenlegung des Geburtsdatums). Ein änderungssicheres Datenschutz-Dashboard weist sämtliche Transaktionen transparent aus und unterstützt die Ausübung datenschutzrechtlicher Betroffenenrechte. EUDI-Wallet-Anbieter dürfen nur die für die Bereitstellung ihrer Dienste erforderlichen Nutzungsdaten erheben. Eine Kombination mit Daten aus anderen eigenen oder fremden Diensten ist nur auf ausdrückliches Verlangen des Nutzers zulässig.
• Pseudonyme: Die EUDI-Wallet muss Pseudonyme generieren und verwalten können, die, soweit rechtlich zulässig, anstelle des echten Namens verwendbar sind.
• Interoperabilität: Gemeinsame Schnittstellen und Protokolle sollen die unionsweite Interoperabilität der EUDI-Wallet gewährleisten.

EUDI-Wallet in der EU: Wer sie bereitstellt

Die Bereitstellung kann durch einen Mitgliedstaat selbst, durch private Anbieter in dessen Auftrag oder durch unabhängige private Anbieter mit staatlicher Anerkennung erfolgen. Die Mitgliedstaaten müssen binnen 24 Monaten nach Inkrafttreten der maßgeblichen technischen Durchführungsrechtsakte mindestens eine Wallet-Lösung bereitstellen.

EUDI-Wallet: Welche Unternehmen und Behörden sie akzeptieren müssen

Für bestimmte öffentliche und private Stellen sieht die eIDAS-VO Akzeptanzpflichten vor:

• Öffentliche Stellen der Mitgliedstaaten müssen die EUDI-Wallet voraussichtlich ab Januar 2027 akzeptieren, soweit sie für ihre Online-Dienste eine elektronische Identifizierung verlangen.
• Private Diensteanbieter in bestimmten regulierten Sektoren müssen die EUDI-Wallet auf Verlangen des Nutzers akzeptieren, sofern sie nach Unionsrecht, nationalem Recht oder vertraglicher Vereinbarung zu einer starken Nutzerauthentifizierung verpflichtet sind. Betroffen sind insbesondere die Bereiche Bankwesen und Finanzdienstleistungen, Verkehr, Energie, soziale Sicherheit, Gesundheit, Wasserversorgung, Postdienste, digitale Infrastruktur, Telekommunikation und Bildung.
• Anbieter sehr großer Online-Plattformen i. S. d. Art. 33 DSA (etwa Meta, Google oder Amazon) müssen die EUDI-Wallet zur Nutzerauthentifizierung im Rahmen des jeweiligen Online-Dienstes akzeptieren, soweit der Nutzer dies wünscht.

EUDI-Wallet in der Praxis: Einsatzmöglichkeiten für Unternehmen

• Finanzsektor: Einsatzmöglichkeiten bestehen insbesondere bei KYC- und AML-Prüfungen, der Identifizierung bei Kontoeröffnung, der Freigabe von Zahlungsvorgängen sowie bei automatisierten Kreditwürdigkeitsprüfungen.
• Bildung und Beruf: Bildungsabschlüsse, Berufsqualifikationen und Beschäftigungsnachweise werden sich elektronisch ausstellen und über die EUDI-Wallet vorweisen lassen. Dies kann Bewerbungs-, Onboarding- und Berechtigungsprozesse erheblich beschleunigen.
• Gesundheitssektor: In der EUDI-Wallet könnten künftig das E-Rezept, Krankenversicherungskarten sowie gesundheits- oder sozialversicherungsrechtliche Nachweise hinterlegt und europaweit vorgezeigt werden. Die EUDI-Wallets könnte ferner die sichere Einbindung der elektronischen Patientenakte ermöglichen.
• Identitätsnachweise im B2C-Bereich: Die EUDI-Wallet kann Identitäts- und Eigenschaftsnachweise ermöglichen, etwa zur Altersverifikation beim Erwerb altersbeschränkter Waren oder beim Kinobesuch. Ferner werden sich Reisetickets, Hotelbuchungen, Mietwagenzugang und ÖPNV-Abonnements unmittelbar in der EUDI-Wallet speichern und über diese vorweisen lassen.
• Behörden und Verwaltung: Behördenvorgänge, die bislang ein persönliches Erscheinen erfordern, werden sich häufig digital und auch grenzüberschreitend abwickeln lassen. Beispielhafte Anwendungsfelder umfassen das elektronische Steuerverfahren, digitale Verwaltungsleistungen oder Bewerbungs- und Einschreibeverfahren an Hochschulen. Ferner soll der Führerschein unmittelbar in der EUDI-Wallet gespeichert und bei Verkehrskontrollen oder der Fahrzeuganmietung vorgezeigt werden können.
• Zugangsmanagement: Die EUDI-Wallet könnte zur Authentifizierung bei physischen Zutrittskontrollen, etwa in Fitnessstudios oder zu Industrie- oder Forschungseinrichtungen, sowie beim Zugriff auf geschützte IT-Systeme eingesetzt und in bestehende Sicherheitskonzepte integriert werden.
• Unternehmensorganisation: Innerhalb von Organisationen könnten Beschäftigten digitale Nachweise über Funktionen, Qualifikationen und Maschinenberechtigungen bereitgestellt werden. Unternehmen könnten beispielsweise Vertretungsbefugnisse ihrer Mitarbeiter als Nachweis hinterlegen lassen. Zudem ist eine Einbindung in automatisierte Mensch-Maschine-Prozesse denkbar.
• Jugendschutz: Ein großes Potenzial liegt auch in datensparsamen Altersnachweisen, die lediglich die Erfüllung einer Altersschwelle übermitteln, etwa die Bestätigung „über 18“ ohne Offenlegung des Geburtsdatums.
• Digitale Rechte- und Zugriffsverwaltung: Die EUDI-Wallet könnte zur Verwaltung und Prüfung von Nutzungs-, Lizenz- und Zugangsrechten an digitalen Inhalten wie E-Books, Musik oder Filmen eingesetzt werden.

EUDI-Wallet: Was Unternehmen jetzt prüfen sollten

Mit der EUDI-Wallet vollzieht der Unionsgesetzgeber den Wechsel von einer fragmentierten Identitätslandschaft hin zu einem nutzerzentrierten und interoperablen Identitätsökosystem. Neu ist zudem die Aufnahme von (qualifizierten) elektronischen Attributsbescheinigungen, die neben der Identifizierung auch den Nachweis von Eigenschaften und Berechtigungen ermöglichen. Unternehmen sollten jetzt prüfen, inwieweit Akzeptanzpflichten bestehen, welche Prozesse vereinfacht werden können und welche neuen Geschäftsmodelle denkbar sind.

Eine vertiefte rechtliche Darstellung der EUDI-Wallet findet sich in dem vom Autor mitverfassten Kapitel „Digitale Identitäten und Europäische Identitätsbrieftasche (EUDI-Wallet)“ im Rechtshandbuch Web3 (Verlag C.H. Beck).