A. Kern der eIDAS-VO 2.0 und Einordnung
Die Verordnung (EU) Nr. 2024/1183 (eIDAS-VO 2.0)1 legt seit ihrem Inkrafttreten am 20.05.2024 verbesserte Bedingungen für die Entwicklung des unionsweiten Rahmens einer digitalen Identität fest,2 die in Teil 1 des Beitrags dargestellt wurden.
Der Kern der eIDAS-VO 2.0 sind die Vorschriften zur Schaffung einer europäischen Brieftasche für die Digitale Identität (sog. EUid-Brieftaschen), die den Schwerpunkt dieses Beitrags (Teil 2) bilden (B.I.). Zudem wird der harmonisierte Sicherheitsansatz für deren einheitliche technische Umsetzung dargestellt (sog. Toolbox-Prozess) (B.II.). Abschließend werden die Ansätze zur tatsächlichen Umsetzung des Rahmens auf europäischer und nationaler Ebene aufgezeigt (C.).
Die Vorschriften zu Vertrauensdiensten behandelt dieser kurze Beitrag nicht.
B. Die Schaffung einer europäischen Brieftasche für die digitale Identität
I. Harmonisierte Bedingungen für eine europäische Brieftasche für die digitale Identität
Kern des neuen Ansatzes ist die Schaffung einer europäischen Brieftasche für die digitale Identität (sog. EUid-Brieftasche) und die Verpflichtung aller Mitgliedstaaten diese bereitzustellen.3
Die EUid-Brieftasche wird in Art. 3 Nr. 42 eIDAS-VO-E definiert und die Bedingungen für deren Bereitstellung und Anerkennung in den Art. 5a ff. eIDAS-VO-E festgelegt, Art. 1 Buchst. a Halbsatz 2 eIDAS-VO-E.
1. eID-Funktion und zusätzliche Funktionalitäten
Die „Europäische Brieftasche“ für die Digitale Identität ist ein elektronisches Identifizierungsmittel, das es dem Nutzer ermöglicht, Personenidentifizierungsdaten (PID) und elektronische Attributsbescheinigungen (Art. 3 Nr. 44 eIDAS-VO-E) sicher zu speichern, zu verwalten und zu validieren, um sie vertrauenden Beteiligten und anderen Nutzern von europäischen Brieftaschen für die Digitale Identität zu präsentieren und mittels qualifizierter elektronischer Signaturen (Art. 3 Nr. 12 eIDAS-VO-E) zu unterzeichnen oder mittels qualifizierter elektronischer Siegel zu besiegeln (Art. 3 Nr. 27 eID AS-VO-E), Art. 3 Nr. 42 eIDAS-VO-E.
Die EUid-Brieftasche soll – schon nach der Begriffsdefinition – neben der Funktion als eID-Mittel (Art. 3 Nr. 2 eIDAS-VO-E), auf dem PIDs gespeichert sind, als weitere Funktionalität auch die Speicherung, Verwaltung und Weitergabe „elektronischer Attributsbescheinigungen“ (Art. 5a Abs. 4 Buchst. a eIDAS-VO-E) ermöglichen.
Die „elektronische Attributsbescheinigung“ ist eine in elektronischer Form vorliegende Bescheinigung, die die Authentifizierung von Attributen ermöglicht“, Art. 3 Nr. 44 eIDAS-VO-E. Nach der weiten Begriffsbestimmung ist das „Attribut“ ein Merkmal, eine Qualität, ein Recht oder die Erlaubnis einer natürlichen oder juristischen Person oder eines Objekts“, Art. 3 Nr. 43 eIDAS-VO-E.
Konkret soll der Nutzer mit der EUid-Brieftasche, durch die Verknüpfung elektronischer Nachweise zu (akademischen) Qualifikationen und persönlichen Merkmalen (etwa Führerscheine und Bankkonten)4 mit den gespeicherten Identitätsdaten, Zugang zu privaten und öffentlichen Online- wie Offline-Diensten erhalten, die das Erbringen eines zusätzlichen digitalen Nachweises neben oder statt der Identifizierung erfordern – etwa beim Entleihen eines Mietwagens.5 Diese elektronischen Attributsbescheinigungen können unter den Voraussetzungen nach Art. 45b Abs. 2 eIDAS-VO-E die gleichen Rechtswirkungen wie Papierdokumente haben. Den Rahmen für ihre Governance legen die Vorschriften des neu eingefügten Kapitels Iva, Art. 46a ff. eIDAS-VO-E, fest. Damit wird die zunehmende Bedeutung solcher Identitätsattribute im digitalen Umfeld anerkannt.
Zudem soll die EUid-Brieftasche die Unterzeichnung mittels „qualifizierter elektronischer Signatur“ oder Siegeln mit „qualifizierten elektronischen Siegeln“ ermöglichen, Art. 5a Abs. 4 Buchst. e eIDAS-VO-E. Die Unterzeichnung mittels qualifizierter elektronischer Signatur muss kostenlos sein (Art. 5a Abs. 5 Unterabs. 1 Buchst. g eIDAS-VO-E), wobei die Mitgliedstaaten befugt sind, die Unentgeltlichkeit auf nichtgewerbliche Zwecke zu beschränken, Art. 5a Abs. 5 UA 2 eIDAS-VO-E.
2. Verpflichtung zur Bereitstellung und Anerkennung; Pseudonyme
Nach Art. 5a Abs. 1 eIDAS-VO-E werden die Mitgliedstaaten zur Bereitstellung einer EUid-Brieftasche innerhalb von 24 Monaten nach dem Tag des Inkrafttretens der Durchführungsrechtsakte nach Absatz 23 und Art. 5c Abs. 6 eIDAS-VO-E verpflichtet. Diese Rechtsakte legen einheitliche Referenzstandards, Spezifikationen und Verfahren für die technische Umsetzung der Kernfunktionen und zur Zertifizierung der EUid-Brieftaschen nach Art. 5c Abs. 1-3 eIDAS-VO-E fest.6 Die EUid-Brieftasche soll auf dem Sicherheitsniveaus „hoch“ (Art. 8 eIDAS-VO-E) implementiert werden, um ihre weite Verbreitung zu ermöglichen, Art. 5a Abs. 5 Unterabs. 1 Buchst. d eIDAS-VO-E.7 Dabei soll die Bereitstellung im Rahmen eines notifizierten eID-Systems mit der Sicherheitsstufe hoch (Art. 8 eIDAS-VO-E) erfolgen, Art. 5a Abs. 11 eIDAS-VO-E.
Die Mitgliedstaaten können die EUid-Brieftasche unmittelbar oder in ihrem Auftrag bereitstellen oder unabhängig von einem solchen Auftrag bereitgestellte Brieftaschen anerkennen, Art. 5a Abs. 2 eIDAS-VO-E. Das für die breite Akzeptanz erforderliche Vertrauen soll durch hohe Transparenz gefördert werden. Dazu schreibt Art. 5a Abs. 3 eIDAS-VO-E die Nutzung von Open-Source-Software vor.8
a) Grenzüberschreitende Verwendung (Anerkennungspflicht)
Für EUid-Brieftaschen, die den Anforderungen in Art. 5a eIDAS-VO-E entsprechen, nach den Art. 5c 5a eIDAS-VO-E (und dem Durchführungsrechtsakt zu Art. 5c Abs. 6 eIDAS-VO-E) zertifiziert und im Amtsblatt der EU veröffentlicht (Art. 5d Abs. 1 eIDAS-VO-E) sowie in der Liste der Kommission (Art. 5d Abs. 3 eIDAS-VO-E) eingetragen sind, besteht eine Anerkennungspflicht, Art. 5f Abs. 1 eIDAS-VO-E. Mitgliedstaaten haben diese dann als Mittel zur Identifizierung und Authentifizierung für den Zugang zu ihren öffentlichen Online-Diensten zu akzeptieren. Die Mitgliedstaaten haben die Kommission und die nach Art. 46e eIDAS-VO-E eingesetzte Kooperationsgruppe unverzüglich über die Bereitstellung und Zertifizierung einer EUid-Brieftasche zu unterrichten (Art. 5d Abs. 1, 2 eIDAS-VO-E).
Vertrauende Beteiligte aus privaten Sektoren sind zur Anerkennung verpflichtet, wenn sie nach Unionsrecht oder nationalem Recht zur Vornahme einer Online-Identifizierung mit starker Nutzerauthentifizierung verpflichtet sind – wie Finanzdienstleister (§ 11 Abs. 1 GwG) oder Anbieter von Telekommunikationsdiensten (§ 172 Abs. 4 Satz 2 TKG) – also Anwendungsfälle des sog. Know-Your-Customer-Prinzips, die eine Überprüfung der Identität erfordern.9 Diese Verpflichtung gilt spätestens 36 Monate nach dem Tag des Inkrafttretens der oben genannten Durchführungsrechtsakte (nach den Art. 5a Abs. 23, 5c Abs. 6, 5f Abs. 2 eIDAS-VO-E).
Zudem werden Anbieter sog. großer Online-Plattformen bzw. sehr großer Online-Suchmaschinen nach Art. 33 Abs. 1 DSA (wie Google und Meta)10 verpflichtet, auf freiwilliges Verlangen des Nutzers auch eine EUid-Brieftasche als Mittel zur Nutzerauthentifizierung zu akzeptieren, Art. 5f Abs. 3 eIDAS-VO-E. Dabei dürfen nach dem Grundsatz der Datenminimierung aber nur die für den spezifischen Online-Dienst erforderlichen Mindestdaten abgefragt werden, Art. 5f Abs. 3 eIDAS-VO-E. Das Recht auf die Verwendung eines frei gewählten Pseudonyms ist zu wahren.11
b) Pseudonyme
Zur Vermeidung einer sog. Überidentifikation durch das unberechtigte Anfordern einer elektronischen Identifizierung und Authentifizierung muss die Verwendung eines Pseudonyms auch in anderen Fällen möglich sein – mit Ausnahme der Dienste zu deren Zugang eine Identifizierung des Nutzers gesetzlich verpflichtend ist (sog. Know-Your-Customer-Fälle), Art. 5 eIDAS-VO-E.12 Die EUid-Brieftasche selbst muss dazu über eine Funktion zum Generieren von Pseudonymen und deren verschlüsselte, lokale Speicherung verfügen, Art. 5a Abs. 4 Buchst b eIDAS-VO-E.
3. Freiwilligkeit der Nutzung und Mindestanforderungen für Akzeptanz
Die Nutzung der EUid-Brieftasche ist kostenlos (Art. 5a Abs. 13 eIDAS-VO-E) und bleibt freiwillig, was durch ein Verbot von Nachteilen oder Benachteiligungen im Falle der Nichtnutzung abgesichert wird, Art. 5a Abs. 15 eIDAS-VO-E. Den Nutzern muss die uneingeschränkte Kontrolle über die Anforderung, Verwaltung und Weitergabe der gespeicherten Nachweise und Identitätsdaten eingeräumt werden, Art. 5a Abs. 4 Buchst. a eIDAS-VO-E. Der Grundsatz der selektiven Offenlegung, wonach der Nutzer selbst darüber bestimmt, welche Teile größerer Datensätze er für den Zugang zum Online-Dienst des Empfängers übermittelt, soll in Bezug auf persönliche Attribute umfassend technisch realisiert werden, Art. 5a Abs. 4 Buchst. a a.E. eIDAS-VO-E.13
Um die Akzeptanz der EUid-Brieftasche durch Nutzer und damit ihre Verbreitung zu fördern, werden bestimmte Mindestanforderungen zum Schutz der hinterlegten personenbezogenen Daten und der Privatsphäre definiert, die zugleich die Benutzerfreundlichkeit sicherstellen sollen.14 Dabei lässt die eIDAS-VO-E die DSGVO unberührt (Art. 2 Abs. 4 eIDAS-VO-E).
Zum einen ist für die Nachverfolgbarkeit des Verlaufs durch den Nutzer eine Protokollierung aller über die EUid-Brieftasche vorgenommenen Transaktionen in einem gemeinsamen Dashboard, mit bestimmten Mindestdaten und dem jeweiligen vertrauenden Beteiligten, vorgesehen, Art. 5a Abs. 4 Buchst. d Ziff. i eIDAS-VO-E.15 Über das Dashboard soll der Nutzer die unverzügliche Löschung nach Art. 17 DSGVO verlangen und einen vertrauenden Beteiligten einfach und direkt an die zuständige nationale Datenschutzbehörde melden können, Art. 5a Abs. 4 Buchst. d Ziff. ii und Ziff. iii eIDAS-VO-E. Das Recht auf Datenportabilität nach Art. 20 DSGVO soll über die EUid-Brieftasche einfach ausgeübt werden können, Art. 5a Abs. 4 Buchst. g eIDAS-VO-E.
Zudem gilt das Verbot der Weitergabe von Daten an Aussteller von elektronischen Attributsbescheinigungen, Art. 5 Abs. 5 Buchst. b eIDAS-VO-E. Der technische Rahmen muss die Nachverfolgbarkeit der Transaktionen oder des Nutzerverhaltens und die Verknüpfung von Attributsbescheinigungen mit der Identität, sofern keine Identifizierung erforderlich ist, ausschließen, Art. 5a Abs. 16 Buchst. a und b eIDAS-VO-E.
Zum Schutz der Privatsphäre sollen kryptographische Technologien (z.B. ein Zero-Knowledge-Proof) eingesetzt werden, die die Validierung einer bestimmten Angabe auf Grundlage der Identifizierungsdaten und Attributsbescheinigungen in der EUid-Brieftasche ermöglichen, ohne dass die jeweiligen Daten preisgegeben werden.16
4. Pflicht zur Registrierung für vertrauende Beteiligte
Zur erhöhten Transparenz und um das Vertrauen bei der Verwendung der EUid-Brieftasche zu stärken, verpflichtet Art. 5b Abs. 1 eIDAS-VO-E vertrauende Beteiligte, die beabsichtigen Daten aus der EUid-Brieftasche abzufragen, zur Registrierung unter Angabe von Mindestinformationen nach Art. 5b Abs. 2 eIDAS-VO-E.17 Andere als bei der Registrierung angegebene Daten (Art. 5b Abs. 2 Buchst. c eIDAS-VO-E) dürfen beim Nutzer der Brieftaschen nicht abgefragt werden, Art. 5b Abs. 3 eIDAS-VO-E.
Dies soll dadurch sichergestellt werden, dass sich der vertrauende Beteiligte bei der Anfrage einer Übermittlung von Daten aus der EUid-Brieftasche gegenüber dem Nutzer identifizieren muss, Art. 5b Abs. 8 eIDAS-VO-E. Dazu sind EUid-Brieftaschen mit einem Mechanismus zur kostenlosen Validierung für die wechselseitige Authentifizierung der EUid-Brieftasche und des vertrauenden Beteiligten (Art. 5a Abs. 8 eIDAS-VO-E) auszustatten, der auch die eindeutige Identifizierung des Nutzers ermöglicht, Art. 5a Abs 4 Buchst. f, Abs. 5 Unterabs. 1 Buchst. f eIDAS-VO-E.
In technischer Hinsicht soll die Authentifizierung des vertrauenden Beteiligten mittels der EUid-Brieftasche und Überprüfung der Befugnis zur Anforderung spezifischer Daten durch das Ausstellen und Verwenden von Berechtigungszertifikaten ermöglicht werden.18 Dieser Mechanismus stellt, einen für die weite Verbreitung der EUid-Brieftaschen zentralen vertrauensbildenden Schutzmechanismus vor unbefugter Datenabfrage dar. Daher ist es beachtlich, dass der Entwurf des Durchführungsrechtsaktes zu Art. 5b Abs. 11 eIDAS-VO-E keine Verpflichtung der Mitgliedstaaten zur Ausstellung solcher Bescheinigungen vorsieht („may require“). Im Hinblick auf die Ziele der Verordnung ist daher eine deutliche Nachbesserung zu fordern19
II. Toolbox-Ansatz zur technischen Umsetzung
Die technische Umsetzung des harmonisierten Rahmens soll nach der Empfehlung der Kommission parallel zum Gesetzgebungsprozess koordiniert werden (Toolbox-Ansatz).20 Konkret haben die Mitgliedstaaten in enger Abstimmung mit der Kommission und weiteren Akteuren aus dem öffentlichen und privaten Sektor ein gemeinsames Instrumentarium (Toolbox) erarbeitet, das den Rahmen für die Schaffung der EUid-Brieftaschen auf Basis gemeinsamer Standards bilden soll. Diese Toolbox umfasst einen technischen Architektur- und Referenzrahmen (ARF), gemeinsame Normen und technische Spezifikationen sowie eine Reihe gemeinsamer Leitlinien und bewährter Verfahren, die technisch und funktionale Anforderungen an die EUid-Brieftasche sowie die Rolle verschiedener Akteure des eID-Ökosystems festlegen.21 Am 10.02.2023 wurde eine erste Version der Toolbox einschließlich des ARF veröffentlicht.22
C. Wirksamkeit in der Anwendung und Ausblick
I. Large-Scale-Pilot-Projekte der EU-Kommission
Um neben der einheitlichen technischen Umsetzung die Wirksamkeit der EUid-Brieftasche sicherzustellen, werden auf Basis eines gemeinsam entwickelten Prototyps vier Large-Scale-Pilot-Projekte durchgeführt. Um eine sichere und reibungslose Einführung zu ermöglichen, testen diese Projekte die technischen Spezifikationen und Softwareprototypen in relevanten Anwendungsszenarien. Deutschland beteiligt sich mit Frankreich an dem Konsortium POTENTIAL, das Anwendungsszenarien in sechs Bereichen, u.a. Banken, Telekommunikation und Gesundheit, erprobt, wie die Eröffnung eines Bankkontos.23
II. Nationale Umsetzung und Ausblick für Deutschland
Nachdem die fünf Durchführungsakte, die die Frist nach Art. 5a eIDAS-VO-E in Gang setzen, von der EU-Kommission angenommen und am 04.12.2024 im Amtsblatt der EU veröffentlicht wurden,24 haben die Mitgliedstaaten auf dieser Basis innerhalb von 24 Monaten nach deren Inkrafttreten25 eine EUid-Brieftasche bereitzustellen.
Die EUid-Brieftasche hat auf nationaler Ebene in Deutschland das Potenzial, die höhere Verbreitung einer eID zu fördern, da sie das digitale Ausweisen direkt – ohne zusätzliche Ausweiskarte und AusweisApp2 – über das Smartphone ermöglichen soll. Damit kann das mit der sog. Smart-eID26 verfolgte Ziel einer nutzerfreundlichen, appbasierten Alternativlösung doch realisiert werden.
Damit dies gelingt und die Ziele der eIDAS-VO 2.0 erfolgreich implementiert werden leitete das BMI im Juni 2023 einen Architektur- & Konsultationsprozess zur Konzeption und Entwicklung einer prototypischen, eIDAS 2.0-konformen Infrastruktur für digitale Identitäten in Deutschland ein, an dem verschiedene Akteure aus dem Privatsektor, Verbände und Vertreter der Zivilgesellschaft beteiligt werden. Ein begleitender SPRIND-Innovationswettbewerb, der nun mit vier Teams in die letzte Runde geht,27 soll durch stufenweise Entwicklung sicherer Prototypen zu einem hohen Datenschutzniveau beitragen und die Nutzerfreundlichkeit in verschiedenen Anwendungsszenarien sicherstellen.28
Ob die EUid-Brieftasche die hohen Erwartungen erfüllen wird, hängt maßgeblich davon ab, ob es gelingt, eine für ihre weite Verbreitung erforderliche, einfache und anwenderfreundliche Lösung zu schaffen und dennoch ein hohes Sicherheits- und Datenschutzniveau zu gewährleisten. Nur dann wird eine echte Alternative zu bequemen eID-Lösungen privater Anbieter, v.a. zu den sog. SSO-Diensten, geschaffen, die volle Souveränität über die digitale Identität gewährt.
