eIDAS 2.0 und die EU Digital Identity Wallet#
Der überarbeitete europäische Rahmen für die digitale Identität, allgemein bekannt als eIDAS 2.0, verpflichtet jeden EU-Mitgliedstaat, seinen Bürgern bis 2026 eine digitale Identitäts-Wallet anzubieten. Die European Digital Identity Wallet (EUDIW) wird es Bürgern ermöglichen, verifizierbare Nachweise zu speichern und vorzulegen, darunter nationale Identitätsattribute, Führerscheine, Diplome, berufliche Qualifikationen und mehr. Öffentliche Stellen und bestimmte Akteure des privaten Sektors werden verpflichtet sein, Wallet-basierte Identitätsvorlagen zu akzeptieren.
Dies stellt einen Paradigmenwechsel für die Identitätsprüfung dar. Heute verlangen KYC-Prozesse, dass der Kunde ein physisches Dokument vorlegt, das der Prüfer dann eigenständig authentifiziert. Mit digitalen Identitäts-Wallets legt der Kunde einen kryptografisch signierten Nachweis vor, der bereits von einem vertrauenswürdigen Aussteller, typischerweise einer staatlichen Behörde, verifiziert wurde. Der Prüfer kann die Echtheit des Nachweises und die Signatur des Ausstellers bestätigen, ohne die ursprüngliche Verifizierung erneut durchzuführen.
Verifizierbare Nachweise und SD-JWT#
Verifizierbare Nachweise (Verifiable Credentials, VCs) sind das technische Fundament digitaler Identitäts-Wallets. Ein VC ist ein manipulationssicheres, kryptografisch signiertes digitales Dokument, das eine Aussage über ein Subjekt trifft. So könnte eine Regierung beispielsweise einen VC ausstellen, der bestätigt, dass eine bestimmte Person den Namen „Elena Vasquez“ trägt, an einem bestimmten Datum geboren wurde und eine bestimmte Staatsangehörigkeit besitzt.
SD-JWT (Selective Disclosure JSON Web Token) ist ein Format, das den weit verbreiteten JWT-Standard um die Unterstützung selektiver Offenlegung erweitert. Wenn ein Inhaber einen SD-JWT-Nachweis vorlegt, kann er wählen, welche Aussagen er offenlegt und welche er zurückhält. Ein KYC-Prüfer, der nur die Staatsangehörigkeit und das Alter bestätigen muss, kann genau diese Aussagen erhalten, ohne den vollständigen Namen, die Adresse oder die Dokumentennummer des Inhabers zu erfahren.
SD-JWT entwickelt sich zum bevorzugten Nachweisformat für die Architektur der EU Digital Identity Wallet und wurde aufgrund seiner Kompatibilität mit der bestehenden Web-Infrastruktur, seiner kompakten Größe und seines unkomplizierten Mechanismus zur selektiven Offenlegung ausgewählt.
Mobiler Führerschein (mDL)#
Der mobile Führerschein, standardisiert nach ISO 18013-5, ist einer der ersten weit verbreiteten Typen verifizierbarer Nachweise. Mehrere US-Bundesstaaten und Länder, darunter Australien, die Niederlande und Südkorea, haben mDL-Programme eingeführt oder erproben sie. Der mDL wird in einem sicheren Element auf dem Gerät des Nutzers gespeichert und kann sowohl persönlich (per NFC oder QR-Code) als auch online vorgelegt werden.
Für KYC-Plattformen stellt die Einführung des mDL eine Vorschau auf das umfassendere Wallet-Ökosystem dar. Die Unterstützung der mDL-Verifizierung heute legt das technische Fundament, um künftig ein breiteres Spektrum verifizierbarer Nachweise zu akzeptieren, sobald sie aufkommen. Die für den mDL entwickelten Vorlageprotokolle, die Bewertung des Vertrauensrahmens und die Handhabung der selektiven Offenlegung sind direkt auf andere Nachweistypen übertragbar.
Selektive Offenlegung und Zero-Knowledge-Beweise#
Die selektive Offenlegung erlaubt es dem Inhaber, nur die für einen bestimmten Verifizierungszweck notwendigen Mindestinformationen vorzulegen. Zero-Knowledge-Beweise (ZKPs) gehen noch weiter, indem sie es dem Inhaber ermöglichen, eine Aussage über seine Daten zu beweisen, ohne die zugrunde liegenden Daten überhaupt preiszugeben.
Betrachten Sie ein Szenario der Altersverifizierung: Herkömmliches KYC verlangt die Vorlage eines vollständigen Identitätsdokuments und legt damit Name, Geburtsdatum, Adresse und Dokumentennummer offen – weit mehr Informationen als nötig. Bei der selektiven Offenlegung gibt der Inhaber nur sein Geburtsdatum preis. Mit einem Zero-Knowledge-Beweis beweist der Inhaber „Ich bin über 18“, ohne sein tatsächliches Geburtsdatum preiszugeben. Der Prüfer erhält einen kryptografischen Beweis dafür, dass die Aussage wahr ist, gestützt auf die Autorität des Ausstellers, ohne zusätzliche personenbezogene Informationen zu erfahren.
- Bereichsbeweise (Range Proofs): Beweisen, dass ein Wert innerhalb eines Bereichs liegt (z. B. Alter über 18), ohne den genauen Wert preiszugeben.
- Zugehörigkeitsbeweise (Membership Proofs): Beweisen die Zugehörigkeit zu einer Menge (z. B. Staatsangehörigkeit innerhalb der EU), ohne preiszugeben, um welches konkrete Mitglied es sich handelt.
- Prädikatsbeweise (Predicate Proofs): Beweisen beliebige logische Aussagen über Nachweise (z. B. Einkommen über einem Schwellenwert UND Beschäftigungsdauer über einem Schwellenwert).
Wie Wallets den Verifizierungsablauf verändern#
Die Einführung digitaler Identitäts-Wallets verändert den KYC-Verifizierungsablauf grundlegend. Im herkömmlichen Modell führt der Prüfer alle Verifizierungsschritte durch: Dokumentenerfassung, OCR, Echtheitsprüfungen, biometrischer Abgleich und Screening. Der Prüfer trägt die vollen Kosten und die Komplexität der Verifizierung und speichert die erhobenen Nachweise.
Im Wallet-Modell wurde ein Großteil dieser Verifizierung bereits vom Nachweisaussteller durchgeführt. Die Rolle des Prüfers verschiebt sich von der Durchführung der Primärverifizierung hin zur Bewertung der Vertrauenswürdigkeit des Nachweises, des Ausstellers und der Vorlage. Der Verifizierungsablauf wird zu: Anfordern bestimmter Nachweise aus der Wallet des Nutzers; Empfangen der kryptografisch signierten Vorlage; Verifizieren der Signatur des Ausstellers und der Gültigkeit des Nachweises (nicht widerrufen, nicht abgelaufen); Extrahieren der offengelegten Aussagen; sowie Durchführen etwaiger zusätzlicher, gesetzlich vorgeschriebener Prüfungen (wie des Sanktions-Screenings).
Der Übergang von der dokumentenzentrierten zur nachweiszentrierten Verifizierung wird nicht über Nacht geschehen. Auf absehbare Zeit müssen KYC-Plattformen beide Modelle gleichzeitig unterstützen: die herkömmliche Dokumentenverifizierung für Kunden ohne Wallets und die nachweisbasierte Verifizierung für jene, die Wallets eingeführt haben.
Auswirkungen auf KYC-Plattformen#
KYC-Plattformen, die digitale Identitäts-Wallets unterstützen möchten, müssen mehrere neue Fähigkeiten entwickeln:
- Bewertung des Vertrauensrahmens: Die Fähigkeit, einzuschätzen, welche Nachweisaussteller vertrauenswürdig sind und auf welchem Sicherheitsniveau. Dies erfordert die Integration mit Vertrauensregistern, die von eIDAS-Vertrauensankern oder gleichwertigen Behörden geführt werden.
- Unterstützung von Nachweisformaten: Parsen und Validieren mehrerer Nachweisformate, darunter SD-JWT, mdoc (ISO 18013-5) und potenziell W3C Verifiable Credentials im JSON-LD-Format.
- Erstellung von Vorlageanforderungen: Aufbau spezifischer Anforderungen, die genau die für den Verifizierungszweck benötigten Aussagen anfordern und so Datenminimierung von vornherein ermöglichen.
- Widerrufsprüfung: Verifizieren, dass Nachweise seit ihrer Ausstellung nicht widerrufen wurden, mithilfe von Statuslisten-Mechanismen oder ähnlicher Widerrufsinfrastruktur.
- Hybride Verifizierungsabläufe: Unterstützung sowohl der herkömmlichen dokumentenbasierten als auch der nachweisbasierten Verifizierung innerhalb desselben Fallmanagement-Workflows.
- Anpassung des Nachweismodells: Speicherung von Nachweisvorlagen als Verifizierungsnachweis neben herkömmlichen Dokumentenbildern und biometrischen Erfassungen.
Vorbereitung Ihrer Infrastruktur#
Schon bevor digitale Identitäts-Wallets eine breite Akzeptanz erreichen, können sich Plattformen vorbereiten, indem sie zukunftsgerichtet konstruieren. Bauen Sie Ihr Verifizierungsdatenmodell so, dass es nachweisbasierte Nachweise neben dokumentenbasierten Nachweisen aufnehmen kann. Implementieren Sie modulare Verifizierungs-Pipelines, in die neue Nachweistypen als Plugins hinzugefügt werden können. Entwickeln Sie eine Verwaltungsschicht für den Vertrauensrahmen, die sich mit neuen Vertrauensankern konfigurieren lässt, sobald diese etabliert werden.
Beginnen Sie damit, die mDL-Verifizierung in den Rechtsräumen zu unterstützen, in denen sie verfügbar ist. Dies verschafft praktische Erfahrung mit nachweisbasierten Verifizierungsabläufen, der Handhabung der selektiven Offenlegung und der Bewertung des Vertrauensrahmens, während das umfassendere Wallet-Ökosystem heranreift.
Zeitplan und Akzeptanzausblick#
Das EU-Mandat zur Verfügbarkeit digitaler Identitäts-Wallets setzt eine klare Frist, doch die Akzeptanz wird schrittweise erfolgen. Eine frühe Akzeptanz wird in öffentlichen Diensten, im Bankwesen (getrieben durch die eIDAS-2.0-Vorgaben für die Online-Authentifizierung) und in grenzüberschreitenden Anwendungsfällen innerhalb der EU wie der Studierendenmobilität und der Anerkennung beruflicher Qualifikationen erwartet.
Außerhalb der EU sind die Akzeptanzzeitpläne weniger sicher, doch die Dynamik wächst. Die Vereinigten Staaten treiben den mDL-Einsatz Bundesstaat für Bundesstaat voran. Australien, Kanada und Singapur verfügen über aktive Programme für die digitale Identität. Das Zusammentreffen regulatorischer Vorgaben, einer zunehmenden Reife der Standards und der wachsenden Vertrautheit der Verbraucher mit digitalen Wallets für Zahlungen legt nahe, dass die nachweisbasierte Identitätsprüfung innerhalb der nächsten drei bis fünf Jahre zum Mainstream werden wird. KYC-Plattformen, die jetzt mit der Vorbereitung beginnen, werden einen erheblichen Wettbewerbsvorteil haben, wenn dieser Wendepunkt erreicht ist.