Das Management der digitalen Identität verändert sich. Lange Zeit auf die Authentifizierung bei Verwaltungsportalen beschränkt, wird es zu einem Infrastrukturbaustein, den private Unternehmen, Banken und Dienstleister in ihre Kundenprozesse integrieren müssen. Die Verordnung (EU) 2024/1183, die am 11. April 2024 verabschiedet wurde, verpflichtet die Mitgliedstaaten, bis Ende 2026 mindestens eine interoperable digitale Identitätsbörse anzubieten. Dieser Zeitplan definiert die verfügbaren Werkzeuge und die Anforderungen, die für ihre Einführung gelten.
Selektive Offenlegung: Was die Logik der verifizierten Attribute verändert
Die Vergleiche klassischer IAM-Tools konzentrieren sich auf Authentifizierung und Zugangsmanagement. Sie lassen einen zentralen Mechanismus des eIDAS 2.0-Rahmens außer Acht: die elektronischen Attributbescheinigungen. Das Prinzip ist einfach. Anstatt das gesamte Identitätsdokument zu übermitteln, um ein Recht nachzuweisen, teilt der Benutzer nur das notwendige Attribut (ein Alter, ein Diplom, eine Adresse).
Diese Logik der selektiven Offenlegung verändert die Art und Weise, wie Verifizierungstools gestaltet werden. Ein Online-Vermietungsdienst muss das vollständige Geburtsdatum eines Mieters nicht speichern: Es reicht aus, eine Bescheinigung zu erhalten, die bestätigt, dass die Person volljährig ist. Eine Bildungseinrichtung kann einen Qualifikationsgrad überprüfen, ohne auf das vollständige Zeugnis zuzugreifen.
Die Tools, die sich in diesem Bereich positionieren, zentralisieren ihre Ressourcen rund um das Identitätsmanagement und die Personalisierung der geteilten Daten. Um die verfügbaren Lösungen zu erkunden, kann man die Startseite von IdentiTools besuchen, die verschiedene Ansätze zum Management digitaler Identitäten zusammenfasst.
Die Rückmeldungen aus der Praxis variieren hinsichtlich der tatsächlichen Reife dieser Mechanismen. Während der regulatorische Rahmen festgelegt ist, variieren die technischen Implementierungen von Mitgliedstaat zu Mitgliedstaat, und die Interoperabilität bleibt ein laufendes Projekt.
Europäische digitale Identitätsbörse (EUDI Wallet): Zeitplan und Verpflichtungen
Die europäische digitale Identitätsbörse, oft als EUDI Wallet bezeichnet, bildet die strukturelle Achse der eIDAS 2.0-Verordnung. Jeder Mitgliedstaat muss bis Ende 2026 mindestens eine interoperable Wallet anbieten. Diese Börse ermöglicht es, verifizierte Attribute zu speichern und zu teilen: Identität, Adresse, Genehmigungen, Diplome.
Die Verpflichtung betrifft nicht nur die Verwaltungen. Die benannten Einrichtungen, insbesondere Banken und bestimmte Zahlungsdienstleister, müssen die Nachweise aus diesen Wallets akzeptieren. Dies verwandelt die digitale Identität eines administrativen Subjekts in eine Infrastruktur für Compliance und kommerzielle Onboarding-Prozesse.
Was das Wallet für die Anmeldeprozesse ändert
Ein klassischer KYC-Prozess bei Banken umfasst das Senden eines Scans eines Ausweisdokuments, eine manuelle oder halbautomatisierte Überprüfung und dann die Archivierung des Dokuments. Mit einem EUDI Wallet könnte der Prozess auf den Erhalt einer signierten, in Echtzeit überprüfbaren Bescheinigung reduziert werden, ohne dass das Unternehmen das Ursprungsdokument speichert.
Das Wallet verlagert die Verantwortung für die Speicherung auf den Benutzer. Das Unternehmen überprüft ein Attribut, ohne es zu behalten. Diese Änderung hat direkte Auswirkungen auf die Einhaltung der DSGVO: Weniger gespeicherte Daten bedeuten ein reduziertes Risiko im Falle eines Datenlecks.
Die verfügbaren Daten erlauben es noch nicht, die tatsächlichen Auswirkungen auf die Compliance-Kosten zu messen. Der effektive Rollout wird von der Geschwindigkeit der Akzeptanz durch private Anbieter und der Qualität der von nationalen Wallet-Anbietern bereitgestellten APIs abhängen.
Passkeys und passwortlose Authentifizierung: Wo stehen die Standards?
Passkeys sind mittlerweile in Sicherheitsreferenzen als Alternative zu traditionellen Passwörtern integriert. Sie basieren auf asymmetrischer Kryptographie und verknüpfen einen privaten Schlüssel, der auf dem Gerät des Benutzers gespeichert ist, mit einem öffentlichen Schlüssel, der vom Dienst registriert wird. Der Benutzer authentifiziert sich über lokale Biometrie (Fingerabdruck, Gesichtserkennung) oder einen PIN-Code, ohne dass ein gemeinsames Geheimnis über das Netzwerk übertragen wird.
- Widerstand gegen Phishing: Der private Schlüssel verlässt niemals das Gerät, was Phishing-Angriffe über diesen Vektor unwirksam macht
- Wachsende Kompatibilität mit wichtigen Browsern und Betriebssystemen, was die Bereitstellung ohne dedizierte Anwendung erleichtert
- Möglichkeit der Synchronisation zwischen Geräten desselben Ökosystems, wodurch das Risiko eines Zugangsverlusts bei einem Gerätewechsel verringert wird
Im Gegensatz dazu bleibt die Synchronisation zwischen Ökosystemen (zum Beispiel der Wechsel von einer Apple-Umgebung zu einer Android-Umgebung) ein dokumentierter Reibungspunkt. Die vollständige Interoperabilität von Passkeys zwischen Plattformen ist noch nicht erreicht.
Frankreich Identität und FranceConnect: Verbindung zwischen staatlicher Identität und privaten Diensten
In Frankreich ermöglicht die Anwendung Frankreich Identität die Erstellung einer zertifizierten digitalen Identität auf Basis des neuen nationalen Personalausweises im Kreditkartenformat. Diese Identität kann dann verwendet werden, um sich über FranceConnect oder FranceConnect+ bei Diensten anzumelden, je nach erforderlichem Garantieniveau.
Die Verbindung zwischen diesen Bausteinen ist für den Endbenutzer nicht immer klar. FranceConnect aggregiert mehrere Identitätsanbieter (impots.gouv.fr, Ameli, La Poste), während Frankreich Identität ein höheres Vertrauensniveau anstrebt, das für sensible Verfahren geeignet ist.
Konkrete Anwendungen und aktuelle Grenzen
Die Anwendungen nehmen zu: Online-Identitätsnachweis, vereinfachtes Boarding, Übermittlung von Nachweisen ohne Fotokopie. Frankreich Identität hat die Marke von 5 Millionen Nutzern überschritten.
- Seine Identität bei einer administrativen Angelegenheit nachzuweisen, ohne physisch anwesend zu sein
- Ein von einem Dritten (Vermieter, Arbeitgeber) überprüfbares Identitätsdokument direkt aus der Anwendung zu generieren
- Die zertifizierte Identität als Grundlage für die zukünftige französische EUDI-Wallet zu nutzen
Die Hauptgrenze bleibt die materielle Voraussetzung: Man benötigt den neuen Personalausweis im europäischen Format und ein NFC-kompatibles Smartphone. Ein Teil der Bevölkerung bleibt de facto ausgeschlossen.
Die digitale Identität in Frankreich und Europa wird schichtweise aufgebaut, wobei jede Schicht ein höheres Maß an Vertrauen und Granularität beim Datenaustausch hinzufügt. Die Tools, die sich durchsetzen werden, sind diejenigen, die es schaffen, regulatorische Compliance, Benutzerfreundlichkeit und effektive Kontrolle durch den Benutzer zu kombinieren. Der Zeitplan bis Ende 2026 für die EUDI-Wallet wird einen ersten konkreten Maßstab für diesen Übergang liefern.
