Digitale Brieftasche der EU: Was Sie jetzt wissen müssen

Worum geht's überhaupt?

Die Europäische Union treibt die Digitalisierung weiter voran und führt die bereits 2022 angekündigte digitale Brieftasche (EU Digital Identity Wallet, EUDI-Wallet) ein. Sie gibt EU-Bürgern eine elektronische Identität und wird voraussichtlich ab 2026 verfügbar sein. Erste Pilotprojekte laufen bereits.

Was ist die EUDI-Wallet?

Die digitale Brieftasche der EU soll wie eine digitale Wallet funktionieren, die viele Verbraucher bereits von Unternehmen wie Google, Samsung oder Apple kennen. Der Unterschied: In der EUDI-Wallet lassen sich offizielle Identitätsnachweise wie Personalausweis oder Führerschein speichern. Außerdem sollen EU-Bürger mit der Wallet qualifizierte Unterschriften leisten können. Die EUDI-Wallet ist eine der Vorgaben aus der novellierten „Verordnung über elektronische Identifizierung und Vertrauensdienste für elektronische Transaktionen im Binnenmarkt“, kurz eIDAS 2.0 („electronic IDentification, Authentication and trust Services“). Die überarbeitete Verordnung verpflichtet die EU-Mitgliedsstaaten dazu, ihren Bürgern Zugang zu einer europaweit anerkannten digitalen Identität zu bieten.

Welche Anwendungsfälle gibt es für die EUDI-Wallet?

Für die neue digitale Brieftasche der EU gibt es verschiedene Anwendungsfälle. In erster Linie vereinfacht sie die Nutzung von öffentlichen und privaten Online-Diensten in ganz Europa. EU-Bürger werden mit der EUDI-Brieftasche unter anderem

• Bankkonten eröffnen
• Reisetickets verwalten
• Digiale Dokumente wie den elektronischen Personalausweis speichern

Eine wichtige Rolle wird die Wallet außerdem bei der Authentifizierung im Internet spielen. Große Plattformen wie Amazon und private Dienste, die zur Authentifizierung ihrer Nutzer verpflichtet sind, müssen die Wallet künftig akzeptieren. Private Dienstleister ohne Authentifizierungspflicht können die EUDI-Wallet ebenfalls akzeptieren, um zum Beispiel neue Geschäftsmodelle zu entwickeln.

Wie können Unternehmen mit der EUDI ihr Angebot verbessern?

In einem von vier EU-Pilotprojekten wird in Deutschland aktuell das Potenzial der EUDI-Brieftasche im Rahmen von sechs Anwendungsfällen erprobt, darunter die Anmeldung für eine SIM-Karte. An dem Projekt sind die deutschen Mobilfunkanbieter O2 Telefónica, Telekom und Vodafone beteiligt. Neben konkreten Projekten gibt es bereits zahlreiche weitere Ideen für den Einsatz der digitalen Brieftasche für EU-Bürger – einige davon sind im Rahmen des Innovationswettbewerbs „Schaufenster Digitale Identitäten“ entstanden:

• Login bei E-Mail-Providern
• Identifizierung beim Online-Shopping
• Nachweis der Fahrerlaubnis bei Mietwagen und Carsharing
• Anmeldung beim Finanzamt und Austausch mit Steuerberatern
• Check-in in Hotels
• Digitale Kur- und Gästekarten im Tourismus
• Digitale Identität auf Reisen: alle Dokumente an einem Ort
• Digitaler Ausweis für Mitarbeitende: Einfaches Zurücksetzen von Passwörtern oder die Zeiterfassung
• Management des individuellen CO2-Fußabdrucks

Gut zu wissen: Laut einer PwC-Umfrage ist etwa die Hälfte der Menschen in Deutschland – vor allem Menschen unter 45 Jahren – offen dafür, einen digitalen Identitätsnachweis nicht nur für Behördengänge, sondern auch für private Online-Geschäfte zu nutzen.

Wie funktioniert der Identitäsnachweis?

Die EUDI-Wallet und die darin gespeicherten digitalen Identitätsnachweise sollen bequem per Smartphone verwaltet und genutzt werden können. Die Nachweise werden von qualifizierten Vertrauensdienstanbietern oder einer staatlichen Stelle geprüft und elektronisch signiert. EU-Bürger müssen der Weitergabe ihrer Daten an sogenannte Relying Parties zustimmen – also Banken, Autoverleiher, Behörden oder anderen Stellen, denen gegenüber sie ihre Identität nachweisen möchten. Nur dann können diese Stellen über eine Vertrauensliste der EU prüfen, ob die Nachweise von der ausstellenden Instanz verifiziert wurden. Um die Privatsphäre der Dateninhaber zu schützen, wird die Instanz nicht über die Abfragen informiert.

Was sagen Datenschützer?

Um den Datenschutz für EU-Bürger zu gewährleisten, sollen die Wallet-Inhaber selbst über die Weitergabe ihrer Daten entscheiden können. Die EU sieht außerdem ein Datencockpit vor, über das die Nutzer alle Transaktionen ihrer Wallet einsehen und mutmaßliche Datenschutzverletzungen melden können. Zudem soll die EUDI-Wallet datensparsam arbeiten: Bei einer Altersüberprüfung soll zum Beispiel nur bestätigt werden, dass ein bestimmtes Alter überschritten ist und nicht, wie alt die überprüfte Person ist. Trotz der Sicherheitsmaßnahmen stehen viele Datenschützer der digitalen Brieftasche der EU kritisch gegenüber. Sie fürchten, dass eine Infrastruktur geschaffen werde, die theoretisch eine Überwachung von EU-Bürgern durch die Staaten und Unternehmen ermöglichen könnte. Das sei aus zwei Gründen problematisch:

• Die Nutzung der EUDI-Wallet ist zwar mit einem Pseudonym (Zero-Knowledge-Proof) möglich – dieser Schutzmechanismus ist allerdings nicht verpflichtend und könnte ausgehebelt werden.
• Die von der EU geplanten Authentifizierungszertifikate für Websites könnten es staatlichen Stellen im Besitz eines kryptographischen „Generalschlüssels“ ermöglichen, den Internetverkehr mitzulesen.

So geht es weiter mit der digitalen Brieftasche

In Sachen Datenschutz gibt es also noch Diskussionsbedarf. Hier kommt es darauf an, die IT-Architektur so sicher wie möglich aufzusetzen, zum Beispiel nicht als Open Source. Darüber hinaus müssen die EU-Bürger stärker für das Thema Datenschutz sensibilisiert werden. Aktuell wird im Plenum des Europaparlaments über die digitale Identität und die eIDAS 2.0 abgestimmt. Sie tritt dann voraussichtlich noch im Frühjahr 2024 in Kraft und die Mitgliedsstaaten müssen dann im Laufe des Jahres 2026 eine Wallet bereitstellen. Bis dahin sind unter anderem die technischen Spezifikationen zu klären.

Was müssen Unternehmen jetzt wissen?

Die Einführung der EU Digital Identity Wallet betrifft nicht nur Behördengänge von EU-Bürgern, sondern auch Unternehmen, die gesetzlich zur Authentifizierung ihrer Kunden verpflichtet sind. Die Nutzung der Wallet ist für Bürger zwar freiwillig. Trotzdem müssen bestimmte Einrichtungen und Unternehmen die Identifizierung per Wallet anbieten. Verschiedene Pilot- und Schaufensterprojekte zeigen, welche Anwendungsfälle möglich sind. Unternehmen, die offen für die EUDI-Wallet sind, können die Zeit bis zur Einführung für die Entwicklung neuer Geschäftsmodelle nutzen. Dabei ist es wichtig, die Vorgaben der eIDAS 2.0 und der DSGVO zu beachten. Auf der sicheren Seite sind Sie, wenn Sie bei Digitalprojekten auf die Expertise eines externen Datenschutzbeauftragten vertrauen.