Wie eIDAS 2.0 die Identitätsprüfung in der EU verändern wird

Der Countdown läuft. eIDAS 2.0 trat am 20. Mai 2024 in Kraft, die zugehörigen Implementierungsbestimmungen für digitale Geldbörsen folgten im Dezember 2024. Bis Dezember 2027 müssen viele private Dienste, die bereits starke Benutzerauthentifizierung nutzen, sowie alle großen Online-Plattformen Wallet-Logins auf Anfrage des Nutzers akzeptieren. Für Compliance-, Produkt- und Risikoteams ist dies keine optionale Änderungsmaßnahme. Es handelt sich um eine neue operative Grundlage für Onboarding, Authentifizierung und elektronische Signaturen über Ländergrenzen hinweg.

Was ist die eIDAS 2.0-Verordnung?

eIDAS eIDAS steht für elektronische Identifizierung, Authentifizierung und Vertrauensdienste. Die eIDAS-2.0-Verordnung wurde eingeführt, um Interoperabilitätsprobleme im Zusammenhang mit elektronischen Identitäten (eIDs) zu beheben, die gemäß der früheren eIDAS-Verordnung ausgestellt wurden. Diese neue Verordnung zielt darauf ab, die technischen Standards für die Ausstellung, Verwendung und Authentifizierung von eIDs und innovativen Vertrauensdiensten zu harmonisieren.

Die aktualisierte eIDAS-Verordnung legt den Rahmen für digitale Interaktionen zwischen Nutzern und Unternehmen fest, um sicherzustellen, dass diese Geschäftstransaktionen nicht nur innerhalb der nationalen Grenzen, sondern auch in anderen EU-Mitgliedstaaten sicherer, schneller und bequemer ablaufen.

Die eIDAS-Verordnung legt Regeln für zwei Säulen fest. Die erste ist elektronische Identifizierung (eID), mit der Nutzer ihre Online-Identität nachweisen. Und zweitens gibt es Vertrauensdienste, die Folgendes umfassen: elektronische Signaturen, elektronische Siegel, elektronische Zeitstempel, elektronische registrierte Zustelldienste und qualifizierte Website-Authentifizierungszertifikate.

Diese Verordnung fördert die Interoperabilität von elektronischen Identitäten (eIDs) und Vertrauensdiensten in der Europäischen Union. Das bedeutet, dass in einem EU-Land ausgestellte und gemeldete eIDs in allen 27 EU-Mitgliedstaaten gültig sind. Ebenso stellt die Verordnung sicher, dass die im Rahmen dieser Verordnung angebotenen Vertrauensdienste vor Gerichten in der gesamten EU Rechtskraft besitzen.

eIDAS – Der Weg von der Idee zur Umsetzung

Die 2012 vorgeschlagenen eIDAS-Vorschriften wurden mehrfach aktualisiert und angepasst. Dies ist das Ergebnis eines kontinuierlichen Prozesses aus Diskussionen, Überprüfungen und Pilotprojekten, der die Ziele der EU-Politik „Weg zum digitalen Jahrzehnt“ und der Erklärung zu „Digitalen Rechten und Prinzipien“ erreichen soll. Der Weg zum digitalen Jahrzehnt sieht vor, dass bis 2030 80 % der EU-Bürger eine digitale Identität nutzen und 100 % der Bürger Zugang dazu haben. Im Folgenden einige wichtige Meilensteine ​​der eIDAS-Vorschriften:

Diese Meilensteine ​​haben die „eIDAS-Verordnung“ zu einem globalen Vorreiter gemacht, der die Diskussionen über digitales Vertrauen weit über die europäischen Grenzen hinaus beeinflusst.

Wie eIDAS 2.0 die EU-weite Identitätsprüfung ermöglicht

Vor eIDAS waren Vertrauensdienste und elektronische Identitäten (eIDs) in der EU fragmentiert, was die grenzüberschreitende Bereitstellung von Diensten verlangsamte und behinderte. Aufgrund fehlender einheitlicher Standards für die elektronische Identifizierung war deren Wiederverwendung außerhalb des eigenen Landes schwierig. Ein gemeinsamer Rahmen war erforderlich, um die Ausstellung, Nutzung und Akzeptanz von Identifizierungs- und Vertrauensdiensten über die digitalen Grenzen der EU hinweg zu harmonisieren. Die EU-Kommission erkannte die Notwendigkeit und den Nutzen und schlug 2012 einen Rechtsrahmen vor, der 2016 zur eIDAS-Verordnung wurde.

Wie sich eIDAS 2.0 von eIDAS 1.0 unterscheidet

eIDAS 2.0 bringt einige wichtige Änderungen mit sich, die für Compliance- und Produktteams relevant sind.

Obligatorische EU-Digitalidentitäts-Wallets (EUDI): Jeder Mitgliedstaat muss bis Ende 2026 mindestens eine zertifizierte Wallet bereitstellen. Die Mitgliedstaaten müssen die nutzerseitigen Softwarekomponenten der Wallet-App unter einer Open-Source-Lizenz veröffentlichen, mit wenigen Ausnahmen aus Gründen der öffentlichen Sicherheit. Ausgabe und Nutzung von Digitale Identität der EU Geldbörsen müssen für natürliche Personen kostenlos sein.

Verbesserte Benutzerkontrolle: eIDAS 2.0 ermöglicht es Nutzern, ihre Daten zu kontrollieren, indem sie auswählen, welche Attribute an anfragende Stellen weitergegeben werden dürfen (z. B. die Bestätigung des Alters über 18 Jahren ohne Offenlegung des Geburtsdatums und anderer Identitätsdaten). Wallet-Anbietern ist es untersagt, Wallet-Daten mit anderen Diensten zu kombinieren, es sei denn, der Nutzer wünscht dies ausdrücklich.

Neue und erweiterte Treuhanddienstleistungen: Die Liste umfasst nun auch elektronische Attributbescheinigungen. Sie ergänzt die Liste um qualifizierte elektronische Archivierung und erkennt elektronische Register an. Zudem präzisiert sie den qualifizierten Vertrauensdienst für die Verwaltung von Geräten zur Erstellung qualifizierter Fernsignaturen oder -siegel. Dadurch werden rechtsgültige digitale Interaktionen über reine Signaturen hinaus erweitert.

Obligatorische Akzeptanz der EUDI-Wallet für öffentliche und private Dienstleistungen: Die öffentlichen Dienste müssen die gemeldeten elektronischen Ausweise und die EUDI GeldbörseIm Privatsektor müssen alle Unternehmen außer Kleinst- und Kleinunternehmen, die bereits eine starke Benutzerauthentifizierung einsetzen (darunter Banken, Energieunternehmen, Gesundheitsunternehmen, Bildungsunternehmen und Telekommunikationsunternehmen), die Wallet auf Anfrage des Nutzers innerhalb von 36 Monaten nach Inkrafttreten der entsprechenden Rechtsakte (d. h. bis Dezember 2027) akzeptieren. Sehr große Online-Plattformen müssen die Wallet-Anmeldung auf derselben Grundlage unterstützen.

Neue Pflichten für vertrauende Parteien: Wenn Ihr Dienst bereits verwendet starke KundenauthentifizierungSie sollten sich als Wallet-Vertrauenspartner registrieren. Dazu müssen Sie Ihre juristische Person, den Verwendungszweck der Daten und Ihre technischen Kontaktdaten angeben. Außerdem müssen Sie die Verwendung von Pseudonymen für Wallet-Nutzer unterstützen, sofern eine Identifizierung nicht gesetzlich vorgeschrieben ist.

Sicherheit und Überwachung: Das Update orientiert sich an den umfassenderen EU-Cybersicherheitsvorschriften und führt spezifische Maßnahmen zum Umgang mit Sicherheitsvorfällen bei digitalen Geldbörsen ein. Es verschärft die Zertifizierung und Aufsicht von Vertrauensdiensteanbietern. Wallet-Software und -Ökosysteme müssen die in den Durchführungsgesetzen und Zertifizierungssystemen festgelegten technischen Standards erfüllen.

Welchen Nutzen haben Unternehmen von der eIDAS 2.0-Verordnung?

Der Finanzsektor, das Gesundheitswesen, professionelle Dienstleistungen und der E-Commerce sind mehr denn je auf vertrauenswürdige digitale Identitäten angewiesen. Menschen in ComplianceSowohl Fachkräfte im technischen als auch im kaufmännischen Bereich wissen, dass Regulierungen die betriebliche Effizienz maßgeblich beeinflussen können. Doch wie genau wirkt sich eIDAS auf Unternehmen aus?

Grenzüberschreitendes Onboarding wird einfacher

Unternehmen können Kunden nun anhand der übermittelten elektronischen IDs und Wallet-Zugangsdaten authentifizieren. Dies unterstützt eine schnellere Due Diligence Gleichzeitig wird die manuelle Prüfung von Ausweisdokumenten reduziert. Das bedeutet, dass ein Finanzdienstleister in Deutschland einen potenziellen Kunden aus den Niederlanden reibungslos aus der Ferne registrieren kann.

Qualifizierte elektronische Signaturen haben volle Rechtskraft.

Eine qualifizierte elektronische Signatur hat EU-weit die gleiche Rechtswirkung wie eine handschriftliche Unterschrift. Das schafft Rechtssicherheit für Fernabsatzverträge.

Datenminimierung durch Design

Wallets ermöglichen es Nutzern, nur die erforderlichen Attribute anzugeben. So können Wallet-Inhaber beispielsweise bestimmte Attribute wie ein Alter über 18 Jahren, ihren Wohnsitz oder eine Berufszulassung preisgeben. Für Unternehmen reduziert dies die Datenerfassung und senkt das Risiko von Datenschutzverletzungen. Dies hängt jedoch von der Technologie der IDV-Suite eines Unternehmens ab, sofern diese die selektive Offenlegung von Daten unterstützt.

Wie können Sie Ihr Unternehmen auf das eIDAS-Ökosystem vorbereiten?

Organisationen, die sich frühzeitig mit den eIDAS-Vorschriften auseinandersetzen, sind besser gerüstet, sich an digitale Trends anzupassen und nahtlose, sichere und konforme Dienstleistungen in den Bereichen Finanzen, Gesundheitswesen, Verwaltung und darüber hinaus anzubieten. In den folgenden Abschnitten stellen wir Ihnen einige praktische Schritte vor, mit denen Sie sicherstellen können, dass Ihre Organisation für die Auswirkungen der eIDAS-Vorschriften gerüstet ist.

Während kleinere Unternehmen die Wahl haben, ob sie EUDI-Wallets nutzen möchten oder nicht, sind größere Unternehmen verpflichtet, diese zu akzeptieren, wenn ihre Kunden dies wünschen. Wenn ein Unternehmen sich entscheidet, Benutzerdaten im eIDAS-Ökosystem zu verwenden, wird es als „vertrauende Partei“ bezeichnet und muss den Registrierungsprozess für vertrauende Parteien abschließen.

Um sich als vertrauende Partei zu registrieren, müssen Unternehmen Angaben wie Rechtsform, Steuer-ID, Umsatzsteuer-Identifikationsnummer oder Handelsregisternummer machen und erläutern, warum und welche Kundendaten (Alter, Name, Adresse usw.) sie abrufen/erfassen möchten. Dazu müssen sie jeden Authentifizierungs- und Onboarding-Prozess abbilden, bei dem eine starke Authentifizierung gesetzlich oder vertraglich vorgeschrieben ist.

Der nächste Schritt ist die Planung der elektronischen Bestätigung von Attributen. Legen Sie fest, welche Attribute Sie akzeptieren und wie Sie diese überprüfen. Wenn Sie beispielsweise ein/e … sind e-commerce Wenn Sie Waren mit Altersbeschränkung verkaufen, müssen Sie in diesem Fall das Alter des Käufers bestätigen. Überprüfen Sie Ihre Vorgehensweise bei der Unterzeichnung von Verträgen mit hohem Rechtssicherheitsbedarf und wie Sie qualifizierte Unterschriften akzeptieren.

Der nächste Schritt besteht darin, die Anforderungen der IDV-Anbieter und die Integrationsanforderungen aufeinander abzustimmen, um die Akzeptanz von Wallet- und Vertrauensdiensten zu operationalisieren. Das EUDI Wallet Architecture and Reference Framework legt fest, dass vertrauende Parteien eine Schnittstelle zur EUDI Wallet bereitstellen müssen, um Bestätigungen (wie Alter, Adresse, Name usw.) zur Identitätsfeststellung einer Person mit gegenseitiger Authentifizierung anzufordern. Das Framework stellt klar, dass jede solche Instanz/Anfrage von der vertrauenden Partei authentifiziert werden muss. Dies erfordert wiederum eine Schnittstelle für die erforderlichen Authentifizierungsmethoden.

Wenn Sie als vertrauende Partei die Identität eines Kunden überprüfen müssen, sollten Sie vorher bestimmte Dinge prüfen:

• Welche Anforderungen/Pflichten bestehen bei Ihnen aktuell hinsichtlich der Identitätsprüfung, die von Folgendem abhängen:
  • Geschäftliche Erfordernisse und rechtliche Verpflichtungen
  • Geografische Ausdehnung Ihres aktuellen/potenziellen Kundenstamms
  • Bedürfnisse/Präferenzen Ihrer Kunden hinsichtlich der Verwendung unterschiedlicher Verifizierungsmethoden
• Ist Ihre aktuelle IDV-Suite anpassungsfähig genug, um verschiedene Verifizierungsmethoden wie Biometrie zu unterstützen? Dokumentenprüfung, NFC Lesevorgänge und Wallet-APIs?
• KYC- und AML-Kontrollen sollten parallel funktionieren. Eine umfassende IDV-Lösung kann die Wallet-basierte Registrierung nahtlos mit Sanktionen, PEP und anderen Maßnahmen verknüpfen. negative Medienpräsenz und fortlaufende Überwachung.

eIDAS 2.0 überführt die digitale Identität von national beschränkten elektronischen Ausweisen in einen harmonisierten europäischen Rahmen. Compliance- und Produktteams, die sich jetzt vorbereiten, werden eine schnellere Integration, ein geringeres Betrugsrisiko und eine stärkere Rechtssicherheit in der gesamten EU gewährleisten.

Wie Shufti Unternehmen in einem sich wandelnden IDV-Umfeld unterstützt

Bereiten Sie Ihr Onboarding auf eIDAS 2.0 vor, ohne den Neuaufbau.

Shufti unterstützt Compliance- und Produktteams bei der Operationalisierung von Wallet-fähigen Identitätsabläufen mit leistungsstarker Authentifizierung über LebendigkeitserkennungDie Lösung bietet außerdem ein umfassendes AML-Screening (PEP, Sanktionen, negative Medienberichterstattung), um die Compliance-Workflows in einer einzigen Benutzeroberfläche zu optimieren.

Wenn Ihr Unternehmen zum eIDAS-Ökosystem gehört, bilden Sie Benutzerjourneys ab, registrieren Sie sich als vertrauende Partei und verknüpfen Sie Attribute zur selektiven Offenlegung mit Ihren bestehenden Kennen Sie Ihren Kunden und kontinuierliche Überwachung, damit Sie Daten minimieren, Betrugsrisiken reduzieren und Fristen vor 2026/2027 einhalten.

Sprechen Sie mit den EU-Compliance-Spezialisten von Shufti. um eine Wallet-fähige Demo anzusehen.

Erfahren Sie mehr über Shufti's digitale Identitätslösungen und wie wir Unternehmen dabei unterstützen, sich auf die Zukunft von Vertrauen und Compliance vorzubereiten.