Die Europäische Union baut mit der überarbeiteten eIDAS-Verordnung eine gemeinsame digitale Identitätsinfrastruktur auf. Die Verordnung (EU) 2024/1183 änderte das ursprüngliche eIDAS-Regelwerk und verpflichtet die Mitgliedstaaten, ihren Bürgerinnen und Bürgern bis Ende 2026 mindestens eine zertifizierte europäische Identitätsbrieftasche bereitzustellen. Für die Finanzbranche ist das mehr als ein technisches Detail: Banken, Sparkassen und Versicherer werden die Brieftasche als Mittel zur Identifizierung akzeptieren müssen.
Was die Identitätsbrieftasche ist
Die europäische Identitätsbrieftasche, im EU-Sprachgebrauch European Digital Identity Wallet oder kurz EUDI-Wallet, ist eine Anwendung auf dem Smartphone. Nutzer speichern darin zertifizierte digitale Nachweise: den Personalausweis, aber auch Führerschein, berufliche Qualifikationen oder amtliche Bescheinigungen. Entscheidend ist die Kontrolle des Nutzers. Er entscheidet bei jeder Abfrage selbst, welche Angaben er preisgibt und an wen.
Technisch unterscheidet sich die Brieftasche grundlegend vom heutigen Verfahren, bei dem ein Ausweisdokument fotografiert oder per Videochat geprüft wird. Statt ein vollständiges Dokument zu übermitteln, legt der Nutzer nur einzelne, kryptografisch signierte Attribute offen, etwa das Geburtsdatum oder die Bestätigung der Volljährigkeit. Die abfragende Stelle prüft diese Attribute gegen einen europaweiten Vertrauensrahmen, ohne das zugrunde liegende Ausweisdokument selbst zu speichern. Fachleute sprechen von selektiver Offenlegung.
Der Zeitplan
Die Verordnung setzt einen gestaffelten Zeitplan. Bis zum 24. Dezember 2026 muss jeder Mitgliedstaat mindestens eine zertifizierte Brieftasche anbieten. Etwa ein Jahr später, gegen Ende 2027, greift die Akzeptanzpflicht für regulierte private Stellen. Dann müssen Banken, Versicherer, Energieversorger, Telekommunikationsanbieter und sehr große Online-Plattformen die Brieftasche als Identifizierungsmittel zulassen.
Diese Akzeptanzpflicht ist keine Empfehlung, sondern unmittelbar geltendes EU-Recht. Für Institute bedeutet das: Wer bis dahin seine Onboarding- und Authentifizierungsprozesse nicht auf die Brieftasche vorbereitet hat, verstößt gegen eine gesetzliche Pflicht.
Bedeutung für die Geldwäscheprävention
Der größte Hebel liegt in der Kundenidentifizierung nach dem Geldwäscherecht. Nach dem deutschen Geldwäschegesetz müssen Institute die Identität ihrer Kunden bei Begründung einer Geschäftsbeziehung feststellen und überprüfen. Bisher geschieht das über den Präsenzabgleich, das eID-Verfahren des Personalausweises oder über Videoidentifikation. Die europäische Identitätsbrieftasche tritt als weiteres, europaweit anerkanntes Verfahren hinzu, das ein hohes Vertrauensniveau bietet.
Für Institute kann das die Kosten und die Reibung im Onboarding senken. Ein Kunde könnte ein Konto eröffnen, indem er die verlangten Attribute aus der Brieftasche freigibt, ohne Dokumente hochzuladen oder einen Videoanruf zu führen. Zugleich sinkt das Betrugsrisiko, weil die Attribute staatlich bestätigt und kryptografisch abgesichert sind. Die Bundesanstalt für Finanzdienstleistungsaufsicht und die Financial Intelligence Unit dürften die neuen Verfahren in ihre Auslegung des Geldwäscherechts einordnen.
Starke Kundenauthentifizierung
Neben der Erstidentifizierung ist die laufende Authentifizierung betroffen. Das Zahlungsdiensterecht verlangt eine starke Kundenauthentifizierung mit mindestens zwei unabhängigen Faktoren. Die Identitätsbrieftasche kann einen solchen Faktor bereitstellen und damit die Anmeldung im Online-Banking oder die Freigabe von Zahlungen absichern. Das verknüpft die neue Identitätsinfrastruktur mit dem bestehenden Regime für Zahlungssicherheit.
Uneinheitlicher Fortschritt in der EU
Der Aufbau verläuft nicht überall gleich schnell. Frankreich, Italien und Österreich betreiben bereits fortgeschrittene Pilotanwendungen. Andere Länder, darunter die Niederlande, Bulgarien und Malta, melden Verzögerungen oder eingeschränkte Funktionen. Deutschland entwickelt seine eigene Brieftaschenlösung und muss die technische Anbindung an die vorhandene eID-Infrastruktur des Personalausweises sicherstellen.
Für grenzüberschreitend tätige Institute ist gerade die europaweite Interoperabilität der eigentliche Gewinn: Eine in einem Mitgliedstaat ausgestellte Brieftasche muss in allen anderen anerkannt werden. Ein Kunde aus einem anderen EU-Land ließe sich damit ohne nationalen Sonderweg identifizieren.
Datenschutz und offene Fragen
Die Brieftasche verspricht mehr Datensparsamkeit, weil Nutzer nur einzelne Attribute statt ganzer Dokumente teilen. Datenschützer warnen dennoch vor Risiken. Sie verweisen auf die Gefahr, dass abfragende Stellen mehr Daten anfordern, als sie benötigen, und auf die Möglichkeit, Nutzer über verschiedene Dienste hinweg zu verketten. Die Verordnung enthält deshalb Vorgaben zur Zweckbindung und zur Registrierung der abfragenden Stellen. Diese müssen sich zertifizieren lassen und dürfen nur die für den jeweiligen Zweck erforderlichen Attribute verlangen. Für Banken bedeutet das eine zusätzliche Compliance-Ebene: Sie müssen dokumentieren, welche Attribute sie zu welchem Zweck abfragen, und dürfen das Prinzip der Datenminimierung nicht verletzen.
Was Institute jetzt tun sollten
Die Akzeptanzpflicht wirkt mit Ende 2027 noch fern, doch der Umbau der Identifizierungs- und Authentifizierungsstrecken braucht Vorlauf. Institute sollten prüfen, welche ihrer Prozesse auf die Brieftasche umgestellt werden, wie sich die selektive Offenlegung in ihre Systeme einfügt und welche Schnittstellen zum nationalen Vertrauensrahmen nötig sind. Wer früh pilotiert, kann die Brieftasche nicht nur als Pflicht erfüllen, sondern als Wettbewerbsvorteil im digitalen Vertrieb nutzen. Wer früh pilotiert, sichert sich zudem Einfluss auf die technischen Standards, die derzeit noch verhandelt werden.
Discussion
Sign in to join the discussion.
No comments yet. Be the first to share your thoughts.