eIDAS 2.0 & EUDI-Wallet: Was Unternehmen jetzt wissen sollten

Für Unternehmen eröffnet die EUDI-Wallet neue Möglichkeiten, Identitäten, Eigenschaften und Berechtigungen digital zu prüfen und in Geschäftsprozesse zu integrieren. Bestimmte Online-Dienste können künftig zudem verpflichtet sein, die EUDI-Wallet zu akzeptieren.

Was verändert sich dadurch für Unternehmen? Wir zeigen, wie die EUDI-Wallet funktioniert, welche Neuerungen eIDAS 2.0 bringt und welche Möglichkeiten sich für digitale Geschäftsprozesse eröffnen.

Für welche Unternehmen kann eIDAS 2.0 relevant werden?

Besonders relevant kann eIDAS 2.0 für Unternehmen werden, die in ihren digitalen Prozessen Identitäten, Eigenschaften oder Berechtigungen prüfen oder entsprechende Nachweise bereitstellen müssen. Eine wichtige Rolle kann die EUDI-Wallet beispielsweise im Know-Your-Customer-Prozess (KYC) beim Kunden-Onboarding spielen. Vergleichbare Anforderungen finden sich auch in B2B-, Vertrags- und Personalprozessen.

 Hinzu kommt eine regulatorische Perspektive: Bestimmte Anbieter von Online-Diensten können künftig verpflichtet sein, die EUDI-Wallet für die Identifizierung zu akzeptieren. Welche Unternehmen davon betroffen sein können, welche Voraussetzungen gelten und wann die Akzeptanzpflicht greift, erklären wir weiter unten.

Was ändert sich gegenüber eIDAS?

Die ursprüngliche eIDAS-Verordnung schuf bereits einen EU-weiten Rechtsrahmen für elektronische Identifizierung und Vertrauensdienste wie elektronische Signaturen, Siegel und Zeitstempel. eIDAS 2.0 baut diesen Rahmen aus und erweitert ihn insbesondere um eine europaweit nutzbare Infrastruktur für digitale Identitäten und elektronische Nachweise.

Zu den wichtigsten Neuerungen gehören:

• EUDI-Wallet: Bürgerinnen und Bürger erhalten neue Möglichkeiten, sich digital zu identifizieren und elektronische Nachweise zu verwalten und bereitzustellen.
• Digitale Nachweise und Attribute: Neben der Identität lassen sich auch einzelne Attribute, also Eigenschaften und Berechtigungen, elektronisch nachweisen.
• Erweiterte Vertrauensdienste: Der bestehende eIDAS-Rahmen wird um weitere Vertrauensdienste ergänzt und bestehende Regelungen werden weiterentwickelt.
• EU-weite Interoperabilität: Digitale Identitäten und Nachweise sollen grenzüberschreitend und zwischen unterschiedlichen nationalen Lösungen genutzt werden können.
• Mehr Kontrolle über persönliche Daten: Nutzer sollen gezielt steuern können, welche Informationen sie für einen bestimmten Vorgang bereitstellen.

Die EUDI-Wallet als zentrale Neuerung

Die European Digital Identity Wallet, kurz EUDI-Wallet, lässt sich vereinfacht als digitale Brieftasche für Identitätsdaten und elektronische Nachweise verstehen. Nutzer können damit ihre digitale Identität verwalten, Nachweise speichern und diese bei öffentlichen oder privaten Diensten bereitstellen.

Doch die EUDI-Wallet soll mehr sein als eine digitale Version des Personalausweises. In der Wallet lassen sich auch andere digitale Nachweise und Berechtigungen verwalten und bei Bedarf selektiv vorlegen. Denkbar sind beispielsweise Führerscheine, Ausbildungsnachweise oder andere Bescheinigungen.

Der entscheidende Gedanke dahinter: Nutzer sollen solche Nachweise EU-weit und über unterschiedliche Dienste hinweg einsetzen können. Statt für jeden Anbieter eine neue digitale Identität und ein eigenes Verfahren zu benötigen, schafft eIDAS 2.0 dafür einen gemeinsamen europäischen Rahmen.

Wie funktioniert die EUDI-Wallet?

Die EUDI-Wallet ermöglicht den Austausch digitaler Nachweise zwischen dem Nutzer und einem Dienst, der bestimmte Identitätsdaten oder digitale Nachweise benötigt.

Der Dienst fordert die für einen Vorgang erforderlichen Informationen an. Die Wallet zeigt dem Nutzer, welche Daten bereitgestellt werden sollen.

Der Nutzer entscheidet, welche angeforderten Informationen er freigibt. Anschließend erhält der Dienst die entsprechenden Daten oder Nachweise und kann deren Herkunft und Gültigkeit elektronisch überprüfen.

Vereinfacht läuft ein solcher Vorgang in vier Schritten ab:

1. Ein Dienst fordert bestimmte Informationen oder Nachweise an.
2. Die EUDI-Wallet zeigt dem Nutzer, welche Daten angefragt werden.
3. Der Nutzer entscheidet über die Freigabe.
4. Der Dienst erhält die freigegebenen Informationen und kann den Nachweis überprüfen.

Identität oder einzelnes Merkmal: Welche Daten werden wirklich benötigt?

Nicht jeder digitale Vorgang erfordert die vollständige Identität einer Person. Oft genügt es, eine einzelne Eigenschaft oder Berechtigung nachzuweisen. Genau hier setzt die EUDI-Wallet an.

Ein einfaches Beispiel ist der Altersnachweis:
Statt das genaue Geburtsdatum zu übermitteln, kann für einen bestimmten Vorgang die Bestätigung genügen, dass die betreffende Person die erforderliche Altersgrenze erreicht hat.

Damit verändert sich auch die Perspektive auf digitale Identitäten: Es geht nicht mehr nur um die Frage „Wer bist du?“, sondern zunehmend auch um „Welche Eigenschaft oder Berechtigung kannst du nachweisen?“

Doch digitale Identitäten und Nachweise sind nur ein Teil von eIDAS 2.0.

Datenschutz: Wer kontrolliert die Daten der EUDI-Wallet?

Ein wichtiger Grundgedanke der EUDI-Wallet ist, dass Nutzer mehr Kontrolle darüber erhalten sollen, welche persönlichen Daten sie für einen bestimmten Vorgang bereitstellen. Ein Dienst soll nicht automatisch Zugriff auf sämtliche in der Wallet verfügbaren Informationen erhalten, sondern nur die für den jeweiligen Anwendungsfall angeforderten Daten oder Nachweise.

Dabei gilt das Prinzip der Datenminimierung:
Wo ein einzelnes Attribut ausreicht, muss nicht die vollständige Identität offengelegt werden. Das folgt zugleich dem Need-to-know-Prinzip: Bereitgestellt werden nur die Informationen, die für den jeweiligen Vorgang tatsächlich benötigt werden.

Die EUDI-Wallet ist dabei nicht als zentrale europäische Datenbank für persönliche Identitätsdaten konzipiert. Nutzer sollen nachvollziehen können, welche Informationen ein Dienst anfordert, und selbst entscheiden, welche davon sie freigeben.

Für Unternehmen verändert das auch die Perspektive auf digitale Identifizierungsprozesse: Statt möglichst viele Identitätsdaten abzufragen, rückt stärker die Frage in den Mittelpunkt, welche Informationen für einen konkreten Geschäftsvorgang tatsächlich erforderlich sind.

Erweiterte elektronische Vertrauensdienste

Digitale Nachweise sind vor allem dann nützlich, wenn sich ihre Herkunft und Integrität zuverlässig überprüfen lassen. Hier kommen die elektronischen Vertrauensdienste ins Spiel. Sie schaffen die Voraussetzungen dafür, elektronischen Informationen und Transaktionen vertrauen zu können.

Elektronische Signaturen, Siegel und Zeitstempel existieren bereits unter der bisherigen eIDAS-Verordnung. eIDAS 2.0 ergänzt weitere Vertrauensdienste:

• Elektronische Attributsbescheinigungen: Sie bestätigen Eigenschaften oder Berechtigungen einer Person oder Organisation, etwa Alter, Qualifikation oder Vertretungsbefugnis. Solche Nachweise können auch über die EUDI-Wallet genutzt und vorgelegt werden.
• Elektronische Archivierungsdienste: Sie sichern die Integrität und Herkunft elektronischer Daten und Dokumente über längere Zeiträume nachweisbar ab.
• Elektronische Ledger: Sie ermöglichen es, die chronologische Reihenfolge und Integrität elektronischer Datensätze nachzuweisen.
• Verwaltung qualifizierter Fernsignatur- und Fernsiegelerstellungseinheiten: Sie ermöglicht die sichere Erstellung qualifizierter elektronischer Signaturen und Siegel aus der Ferne.

Damit erweitert eIDAS 2.0 den europäischen Vertrauensrahmen über die digitale Identifizierung hinaus. Eigenschaften und Berechtigungen lassen sich elektronisch belegen, digitale Informationen vertrauenswürdig austauschen und ihre Integrität langfristig absichern.

Wie spielen Wallet und Vertrauensdienste zusammen?

Gerade für Unternehmen ist das Zusammenspiel interessant: Die EUDI-Wallet ermöglicht es, digitale Identitäten und Nachweise zu verwalten und bereitzustellen. Vertrauensdienste schaffen die Grundlage dafür, die Herkunft und Integrität solcher elektronischen Informationen zuverlässig zu überprüfen.

So können digitale Geschäftsprozesse entstehen, in denen Unternehmen Informationen nicht nur elektronisch erhalten, sondern auch deren Vertrauenswürdigkeit überprüfen können.

Was bedeutet eIDAS 2.0 konkret für Unternehmen?

Mögliche Einsatzfelder finden sich überall dort, wo Unternehmen Identitäten, Eigenschaften oder Berechtigungen zuverlässig prüfen müssen. Beispiele sind:

• Kunden-Onboarding: Benötigte Identitätsdaten lassen sich digital bereitstellen und überprüfen. Statt vollständiger Dokumente können je nach Anwendungsfall auch einzelne Attribute genügen.
• Alters- und Berechtigungsnachweise: Unternehmen können gezielt prüfen, ob eine Person bestimmte Voraussetzungen erfüllt, ohne dafür weitere, für den Vorgang nicht erforderliche personenbezogene Daten abzufragen.
• Qualifikationsnachweise: Ausbildungsabschlüsse, berufliche Qualifikationen oder andere Bescheinigungen lassen sich digital vorlegen und auf ihre Gültigkeit prüfen.
• B2B-Prozesse: Im Geschäftsverkehr kann neben der Identität einer Person auch entscheidend sein, in welcher Rolle sie handelt und ob sie ein Unternehmen vertreten darf. Entsprechende Nachweise können solche Vertretungsbefugnisse elektronisch belegbar machen.
• Digitale Vertragsprozesse: Identitätsnachweise und elektronische Vertrauensdienste können zusammenspielen, um Prozesse von der Identifizierung bis zur elektronischen Signatur digital abzubilden.

Der eigentliche Mehrwert liegt damit nicht allein in einer neuen Form der digitalen Identifikation. Interessant wird die EUDI-Wallet vor allem dort, wo Unternehmen Nachweise heute über unterschiedliche Systeme, Dokumente und Prüfschritte verarbeiten.

Für Unternehmen stellt sich deshalb eine ganz praktische Frage: An welchen Stellen unserer Prozesse müssen Personen heute ihre Identität, bestimmte Eigenschaften oder Berechtigungen nachweisen und wie ließe sich dieser Schritt künftig digital abbilden?

EUDI-Wallet: Wo für Unternehmen Handlungsbedarf entsteht

Die EUDI-Wallet eröffnet Unternehmen nicht nur neue Möglichkeiten für digitale Geschäftsprozesse. Unter bestimmten Voraussetzungen verpflichtet eIDAS 2.0 private Anbieter künftig auch dazu, die EUDI-Wallet für die Online-Identifizierung zu akzeptieren.

Entscheidend ist dabei nicht allein die Branche. Relevant ist insbesondere, ob ein Unternehmen einen Online-Dienst anbietet, bei dem eine starke Nutzerauthentifizierung gesetzlich oder vertraglich vorgeschrieben ist. Kleinst- und kleine Unternehmen sind von dieser Verpflichtung ausgenommen.

Zu den in Artikel 5f der eIDAS-Verordnung genannten Bereichen zählen unter anderem Verkehr, Energie, Bankenwesen, Finanzdienstleistungen, soziale Sicherheit, Gesundheit, Trinkwasser, Postdienste, digitale Infrastrukturen, Bildung oder Telekommunikation.

Muss mein Unternehmen die EUDI-Wallet akzeptieren?

Unternehmen sollten deshalb drei Fragen klären:

• Ist für einen Online-Dienst eine starke Nutzerauthentifizierung gesetzlich oder vertraglich vorgeschrieben?
• Fällt der konkrete Online-Dienst unter die Akzeptanzpflicht von eIDAS 2.0?
• Welche technischen und organisatorischen Anpassungen sind erforderlich, um die EUDI-Wallet in den Identifizierungsprozess einzubinden?

Fällt ein Online-Dienst unter die Akzeptanzpflicht, muss das Unternehmen auf freiwilliges Verlangen des Nutzers die EUDI-Wallet für die betreffende Online-Identifizierung akzeptieren. Für sehr große Online-Plattformen gelten gesonderte Vorgaben zur Akzeptanz der EUDI-Wallet.

Welche Fristen für eIDAS 2.0 sollten Unternehmen im Blick behalten?

Die Einführung der EUDI-Wallet erfolgt schrittweise. Für Unternehmen sind insbesondere vier Etappen relevant:

• Seit 20. Mai 2024: Die novellierte eIDAS-Verordnung ist in Kraft.
• 2025: Durchführungsrechtsakte konkretisieren die technischen und organisatorischen Anforderungen an die EUDI-Wallet und das europäische Wallet-Ökosystem.
• Bis Ende 2026: Die EU-Mitgliedstaaten müssen mindestens eine EUDI-Wallet nach den gemeinsamen europäischen Vorgaben bereitstellen.
• 36 Monate nach Inkrafttreten der maßgeblichen Durchführungsrechtsakte: Die Akzeptanzpflicht für bestimmte private Anbieter greift. Voraussetzung ist unter anderem, dass für den jeweiligen Online-Dienst eine starke Nutzerauthentifizierung gesetzlich oder vertraglich vorgeschrieben ist.

Unternehmen müssen deshalb nicht abwarten, bis die EUDI-Wallet im Alltag etabliert ist. Wer potenziell unter die Akzeptanzpflicht fällt, kann bereits heute die eigenen Identifizierungsprozesse analysieren: Wo findet eine starke Nutzerauthentifizierung statt? Welche Identitäts- oder Berechtigungsnachweise werden benötigt? Und welche Systeme müssten künftig mit einer EUDI-Wallet zusammenspielen?

Auch für Unternehmen ohne Akzeptanzpflicht lohnt sich dieser Blick auf die eigenen Prozesse. Denn unabhängig von regulatorischen Verpflichtungen kann die EUDI-Wallet dort interessant werden, wo Identitäten, Eigenschaften und Berechtigungen heute noch dokumentenbasiert oder über separate Verfahren geprüft werden.

Hinweis: Dieser Beitrag dient der allgemeinen Information und stellt keine Rechtsberatung dar. Ob und in welchem Umfang einzelne Anforderungen von eIDAS 2.0 für ein Unternehmen gelten, hängt vom jeweiligen Anwendungsfall ab.