eIDAS 2.0 und die Verkaufsstelle: Was die europäische Wallet im Geschäft verändern wird (und was noch abzudecken bleibt)

Bis Ende 2026 stellt jeder Mitgliedstaat der Europäischen Union seinen Bürgerinnen und Bürgern eine Europäische Wallet für digitale Identität zur Verfügung. In Frankreich zählt France Identité bereits über 4,5 Millionen Nutzer. Die Wallet wird oft als reines Online-Werkzeug dargestellt. Das ist unzutreffend: Die Verordnung eIDAS 2.0 sieht auch Präsenzabläufe vor. Doch zwischen dem, was der Text vorsieht, und dem, was tatsächlich am Schalter eingeführt wird, liegen eine Frist, ein Umfang und eine Einführung von Fall zu Fall. Hier ist, was die Wallet an der physischen Verkaufsstelle verändern wird, und was bis dahin in Ihrer Verantwortung bleibt.

‍

Die Wallet sieht auch die Präsenz vor

‍

Der Architektur- und Referenzrahmen der EUDI Wallet (ARF) definiert zwei Modi der persönlichen Interaktion. Der überwachte Nahfeldablauf setzt die Anwesenheit eines menschlichen Bedieners voraus, zum Beispiel eines Verkäufers am Schalter. Der unüberwachte Nahfeldablauf richtet sich an ein Terminal oder einen Kiosk, ohne menschliches Eingreifen. In beiden Fällen erfolgt der Austausch von Identitätsattributen lokal, über NFC oder Bluetooth, auf Grundlage der Norm ISO/IEC 18013-5, derselben wie beim mobilen Führerschein.

‍

Mit anderen Worten: Die Wallet ist von Natur aus nicht «nur online», die Präsenz gehört zum Rahmen. Aber Vorsicht, das bedeutet nicht überall verfügbar. Ein Nahfeldablauf funktioniert nur, wenn die Handelskette sich dafür entschieden hat, sich auszustatten und ihn zu akzeptieren. Ihre Präsenz im Geschäft wird daher Kette für Kette, Verkaufsstelle für Verkaufsstelle erfolgen, und für viele nicht vor langer Zeit.

‍

Ein rechtlicher Punkt bekräftigt diese Feststellung: Die Pflicht, die Wallet zu akzeptieren (article 5f, Ende 2027), betrifft nur Fernabläufe, die einer starken Authentifizierung unterliegen. Sie gilt nicht für persönliche Transaktionen. An der physischen Verkaufsstelle zwingt somit nichts dazu, die Wallet zu akzeptieren: die Präsenz bleibt eine Wahl, kein Zwang.

‍

Wie die Terminals und Kioske funktionieren würden

‍

Der unüberwachte Modus beruht auf einer Maschine mit einem Lesegerät, ohne jemanden dahinter. Das Terminal zeigt an, was es verlangt, zum Beispiel den Nachweis, dass der Kunde über 18 Jahre alt ist. Der Kunde hält sein Telefon per NFC daran oder scannt einen QR code, die Wallet legt genau das angeforderte Attribut vor, der Kunde bestätigt per Code oder Biometrie, und das Terminal überprüft die kryptografische Signatur. Das alles in wenigen Sekunden, ohne menschliches Eingreifen, und ohne dass der Kunde mehr preisgibt als nötig (er kann «volljährig» nachweisen, ohne sein Geburtsdatum zu offenbaren). Es ist dieselbe Norm wie beim mobilen Führerschein (ISO/IEC 18013-5).

‍

Man muss jedoch nüchtern bleiben: Diese Terminals und Kioske sind zum jetzigen Zeitpunkt nur eine von der Norm vorgesehene Möglichkeit, keine eingeführte Realität. Ihre flächendeckende Verbreitung ist keineswegs sicher. Sie setzt voraus, dass jeder Akteur in die Hardware investiert und sie in seine Abläufe integriert, ohne jegliche Verpflichtung dazu. Und selbst dann überprüft das Terminal nur eine Identität oder ein Attribut: weder die Bonität, noch den Betrug, noch die Stimmigkeit eines Vorgangs.

‍

Doch die Einführung am Schalter wird Zeit brauchen und sich auf die Identität beschränken

‍

Zwei wichtige Vorbehalte relativieren dieses Versprechen.

Der erste betrifft den Zeitplan. Ein Nahfeldablauf setzt voraus, dass die vertrauende Partei, die Handelskette, das Autohaus oder das Vermietungsunternehmen, mit einem kompatiblen Terminal ausgestattet und im Register der vertrauenden Parteien eingetragen ist. Diese Ausstattung vor Ort wird schrittweise und ungleichmäßig erfolgen, deutlich nach der Bereitstellung der Wallet auf Bürgerseite. Während einer langen Übergangsphase wird ein Teil der Kunden eine Wallet besitzen, ein anderer nicht, und nicht jede Verkaufsstelle wird bereit sein, sie zu akzeptieren.

‍

Der zweite betrifft den Umfang. Die Wallet zertifiziert die Basisidentität (die PID: Name, Vorname, Geburtsdatum, Staatsangehörigkeit). Sie enthält weder die Bonität noch die Betrugserkennung. Der Führerschein, bei der Vermietung unverzichtbar, kommt als digitale Bescheinigung (mDL) später, nicht im ursprünglichen Kern. Ergebnis: Selbst wenn sie am Schalter vorhanden ist, wird die Wallet nur einen Teil der Prüfung lösen.

‍

Die betroffenen Anwendungsfälle an der Verkaufsstelle

‍

Drei Gruppen von Anwendungsfällen müssen heute abgesichert werden, ohne auf die Wallet zu warten.

‍

Die Finanzierung im Autohaus. Ein vor Ort abgeschlossener zweckgebundener Kredit setzt eine Identitätsprüfung und eine Bonitätsbewertung im persönlichen Kontakt voraus. Die Wallet wird morgen die Identität des ausgestatteten Kunden zertifizieren, aber nicht seine Rückzahlungsfähigkeit, die eine gesonderte Pflicht bleibt.

‍

Die Fahrzeugvermietung und das Leasing. Am Schalter geht die Prüfung der Identität und des Führerscheins der Übergabe der Schlüssel voraus. Es ist ein wesentlicher Kontrollpunkt gegen Betrug: gefälschte Dokumente, Identitätsmissbrauch, fiktive Vorgänge. Der mobile Führerschein kommt nur schrittweise, und ein Teil der Kunden wird sich noch lange mit einem physischen Dokument ausweisen.

‍

Der regulierte Verkauf im Geschäft. Bestimmte Transaktionen erfordern eine verstärkte Identitätsprüfung. Solange nicht alle Kunden ausgestattet und nicht alle Verkaufsstellen angebunden sind, muss die Kontrolle für alle funktionieren, mit oder ohne Wallet.

‍

Das eigentliche Risiko: eine Sicherheit der zwei Geschwindigkeiten während des Übergangs

‍

Die Gefahr besteht nicht darin, dass die Wallet im Geschäft «nicht funktioniert». Es ist die zeitliche Verschiebung. In dem Maße, wie die Wallet die Online-Abläufe stärkt und dann schrittweise die ausgestatteten Präsenzabläufe, stützt sich die noch nicht angebundene Verkaufsstelle weiterhin auf eine Sichtprüfung eines Ausweisdokuments durch einen nicht spezialisierten Verkäufer. Doch der Betrug geht am Schalter nicht zurück, nur weil er online zurückgeht: Er verlagert sich auf den am wenigsten geschützten Kanal.

‍

Der französische Einzelhandel verliert jährlich mehrere Milliarden Euro durch Betrug, von dem ein Teil an der physischen Verkaufsstelle geschieht: gefälschte Dokumente, missbrauchte Identitäten, betrügerische Abschlüsse im persönlichen Kontakt. eIDAS 2.0 wird zuerst den digitalen Kanal absichern. Das Feld hingegen muss ohne Verzögerung abgesichert werden.

‍

Die Antwort: die Verkaufsstelle schon heute absichern, als Ergänzung zur Wallet

‍

Die Wallet bietet zwei Garantien: eine zuverlässige kryptografische Auslesung der Identität und ein nahezu sofortiges Ergebnis. Nichts hindert daran, diese gleichen Garantien schon heute ins Geschäft zu bringen, mit einem für den Schalter geeigneten Werkzeug.

‍

Konkret geschieht dies durch das Auslesen des NFC-Chips des Ausweisdokuments direkt vom Smartphone des Verkäufers, ohne dedizierte Hardware, gekoppelt mit einer Dokumentenanalyse und einem Betrugsscore, der in weniger als 2 Sekunden geliefert wird und sich auf eine gemeinsam genutzte Betrugsdatenbank stützt. Es ist genau der Vertrauensbaustein, auf dem die Wallet selbst beruht (das Auslesen des Chips nach der ICAO-Norm), und er bleibt unverzichtbar für alle Kunden ohne Wallet, heute wie während des gesamten Übergangs.

‍

Checkliste Verkaufsstelle im Hinblick auf eIDAS 2.0

‍

• Sie wissen, welche Abläufe in Ihrem Netz physisch bleiben und welche die Wallet langfristig abdecken wird.
• Ihre Identitätsprüfung im Geschäft beruht nicht ausschließlich auf einer Sichtkontrolle.
• Ihre Verkäufer verfügen über ein einfaches Werkzeug zum Scannen von Dokumenten, ohne dedizierte Hardware.
• Ihr Ablauf akzeptiert sowohl ein physisches Dokument als auch eine Wallet, je nachdem, was der Kunde vorlegt.
• Ihr Betrugsscore an der Verkaufsstelle wird in wenigen Sekunden geliefert, gestützt auf eine gemeinsam genutzte Datenbank.
• Ihr System hält Bonität und Betrugserkennung unabhängig vom Identitätskanal.

‍

Fazit

‍

Die Europäische Wallet wird auch ins Geschäft kommen: Die Präsenz ist im Text vorgesehen. Doch sie wird später als online kommen, ungleichmäßig, und sie wird nur die Identität zertifizieren. Die Prüfung an der Verkaufsstelle bleibt daher ein eigenständiges Thema, mit eigenen Werkzeugen und eigenen Risiken, während des gesamten Übergangs. Die richtige Strategie besteht nicht darin, auf die Wallet zu warten, sondern den Schalter schon heute auszustatten und bereit zu sein, sie morgen zu empfangen.

‍

Meelo stattet Netze von Autohäusern, Vermietungsagenturen und Geschäften mit einer Identitätsprüfung vor Ort aus, die so schnell und zuverlässig ist wie das Digitale, als Ergänzung zur Wallet. Fordern Sie eine Demo an, um die Sicherheit Ihrer Verkaufsstellen zu bewerten.

‍

Quellen: Verordnung (EU) 2024/1183 (eIDAS 2.0); EUDI Wallet, Architecture and Reference Framework (überwachte und unüberwachte Nahfeldabläufe, ISO/IEC 18013-5); Europäische Kommission, European Digital Identity Wallet, «Identification in proximity scenarios»; France Identité (französisches Innenministerium); Adyen / CEBR, Retail Report (Betrug im Einzelhandel).

‍