EUDI Wallet: das Vokabular einfach erklärt (PID, QEAA, selektive Offenlegung)

Kurz gesagt: Die europäische Brieftasche für digitale Identität (EUDI Wallet) kommt mit ihrem eigenen Vokabular, oft auf Englisch und voller Abkürzungen. PID, EAA, QEAA, Aussteller, vertrauende Partei, selektive Offenlegung: Hinter diesen Begriffen verbergen sich einfache Ideen. Dieses Glossar gibt Ihnen Begriff für Begriff die klare Definition jedes Bausteins der Wallet, damit Sie verstehen, wovon die Rede ist, bevor Sie Ihre Prozesse vorbereiten.

‍

Die Verordnung eIDAS 2.0, offiziell die Verordnung (EU) 2024/1183, führt eine europäische Brieftasche für digitale Identität ein, oder EUDI Wallet (European Digital Identity Wallet). Jede europäische Bürgerin und jeder europäische Bürger wird darin Identitätsdaten und verschiedene Nachweise speichern und vorlegen können, direkt vom Smartphone aus, überall in der Union.

Das Problem, wenn man sich mit dem Thema beschäftigt, ist der Fachjargon. Die offiziellen Dokumente und technischen Artikel reihen Abkürzungen aneinander, ohne sie immer zu erklären.

Dabei ist das Verständnis dieses Vokabulars die Voraussetzung, um zu wissen, was die Wallet konkret in Ihren Onboarding-Prozessen verändern wird. Hier sind die wichtigsten Begriffe, einfach definiert.

‍

Die Bausteine der Wallet

Die Wallet (Brieftasche)

‍

Die Wallet, oder europäische Brieftasche für digitale Identität, ist eine App auf dem Smartphone der Bürgerin oder des Bürgers. Sie funktioniert wie eine echte physische Brieftasche: Statt einen Personalausweis, einen Fahrzeugschein oder einen Studierendenausweis aus Plastik hineinzulegen, legt die Nutzerin oder der Nutzer deren digitale, überprüfbare und signierte Entsprechungen hinein.

‍

Die zentrale Idee ist die Kontrolle durch die Nutzerin oder den Nutzer: Sie oder er entscheidet, was geteilt wird, mit wem und wann. Nichts verlässt die Brieftasche ohne die Einwilligung. Die Wallet wird von jedem Mitgliedstaat (oder von einer von ihm beauftragten Stelle) kostenlos bereitgestellt und muss ein hohes Vertrauensniveau erreichen (siehe weiter unten).

‍

Das PID (Person Identification Data)

‍

Das PID, für Person Identification Data, bezeichnet die grundlegenden Identitätsdaten der Person: Name, Vorname, Geburtsdatum und je nach Fall Geburtsort, Staatsangehörigkeit oder nationale Kennung.

‍

Was den Wert des PID ausmacht, ist seine Herkunft: Es wird vom Staat ausgestellt (oder von einer von ihm bestimmten Behörde), auf Grundlage der amtlichen Register. Es ist die digitale Entsprechung, in der Wallet, dessen, was heute ein Personalausweis belegt. Das PID ist der erste Baustein, der in die Brieftasche gelegt wird, derjenige, der die Frage „Wer sind Sie?" beantwortet.

‍

Das EAA und das QEAA (Attributsnachweise)

‍

Sobald die grundlegende Identität vorhanden ist, kann die Wallet weitere Nachweise aufnehmen. Man nennt sie elektronische Attributsbescheinigungen, oder EAA (Electronic Attestation of Attributes).

‍

Ein Attribut ist ein bestimmtes Merkmal der Person: eine Adresse, ein Abschluss, ein Führerschein, eine berufliche Eigenschaft, ein Anspruch auf einen ermäßigten Tarif. Ein EAA ist also ein digitaler und überprüfbarer Nachweis eines Attributs, in der Wallet neben dem PID abgelegt.

‍

Das QEAA (Qualified Electronic Attestation of Attributes) ist dessen verstärkte Version: eine qualifizierte Bescheinigung, ausgestellt von einem qualifizierten Vertrauensdiensteanbieter, der strengen Anforderungen unterliegt und beaufsichtigt wird. Konkret bietet ein QEAA einen verstärkten rechtlichen Wert und ein höheres Vertrauensniveau im Vergleich zu einem klassischen EAA. Die Unterscheidung ist wichtig: Je nach Verwendung kann ein Unternehmen eine qualifizierte Bescheinigung statt einer einfachen Bescheinigung verlangen.

‍

Der Aussteller (Issuer)

‍

Der Aussteller, oder Issuer, ist die vertrauenswürdige Stelle, die das PID oder die Bescheinigungen in der Wallet ausstellt. Beim PID ist das der Staat oder die von ihm bestimmte Behörde. Bei einem Abschlussnachweis wird es zum Beispiel die betreffende Einrichtung oder das Ministerium sein; bei einem Adressnachweis die zuständige Stelle.

‍

Der Aussteller übernimmt die Verantwortung für die Richtigkeit dessen, was er ausstellt. Er ist es, der die kryptografische Signatur auf der Bescheinigung anbringt, wodurch sie später überprüfbar wird.

‍

Die vertrauende Partei (Relying Party)

‍

Die vertrauende Partei, oder Relying Party, ist das Unternehmen oder der Dienst, der die von der Wallet vorgelegten Attribute empfängt und überprüft. Das ist die Rolle, die Ihre Organisation spielen wird, wenn eine Kundin oder ein Kunde mit der europäischen Brieftasche auftritt.

‍

Eine Bank, die die Identität eines neuen Kunden überprüft, ein Telekommunikationsanbieter, der Alter und Adresse kontrolliert, ein Vermieter, der einen Führerschein überprüft: Sie alle sind vertrauende Parteien. Ihre Aufgabe besteht nicht mehr darin, ein Dokument zu sammeln und zu prüfen, sondern präzise die Attribute anzufordern, die sie benötigen, und dann zu überprüfen, dass der erhaltene Nachweis echt ist.

‍

Die selektive Offenlegung (Selective Disclosure)

‍

Das ist einer der konkretesten Beiträge der Wallet. Die selektive Offenlegung (Selective Disclosure) besteht darin, nur das strikt notwendige Attribut zu teilen, ohne den Rest preiszugeben.

Das klassische Beispiel: nachweisen, dass man volljährig ist, ohne das genaue Geburtsdatum zu verraten. Die Wallet antwortet „Ja, diese Person ist älter als 18 Jahre", ohne Tag, Monat und Jahr der Geburt zu übermitteln. Ebenso kann man nachweisen, dass man in einem bestimmten Land wohnt, ohne die vollständige Adresse mitzuteilen.

‍

Diese Logik dient unmittelbar der Datenminimierung: Das Unternehmen erhält nur das, was ihm nützt, und die Bürgerin oder der Bürger begrenzt die eigene Offenlegung. Der Nachweis bleibt kryptografisch überprüft: Auch wenn er auf ein einziges Attribut reduziert ist, bleibt er zuverlässig, denn die Signatur des Ausstellers belegt die Echtheit und Integrität der geteilten Daten.

‍

Das hohe Vertrauensniveau (Level of Assurance high)

‍

eIDAS definiert Vertrauensniveaus für elektronische Identifizierungsmittel, die den Grad des Vertrauens darin messen, dass eine Person tatsächlich diejenige ist, die sie vorgibt zu sein. Die europäische Brieftasche muss das anspruchsvollste Niveau erreichen: das „hohe" Vertrauensniveau (Level of Assurance high).

‍

Dieses Niveau setzt strenge Prozesse zur Identitätsprüfung bei der Erstellung der Wallet und hohe Sicherheitsanforderungen voraus. In der Praxis kommt ein Identitätsnachweis aus der Brieftasche mit einem deutlich höheren Zuverlässigkeitsniveau als das Foto eines Dokuments, das eine Kundin oder ein Kunde zusendet.

‍

Hinzu kommt die grenzüberschreitende Interoperabilität: Eine in einem Mitgliedstaat ausgestellte Wallet muss in allen anderen anerkannt und überprüfbar sein. Eine Bürgerin oder ein Bürger eines Landes der Union wird sich bei einem Dienst in einem anderen Land identifizieren können, ohne zusätzliche Schritte.

‍

Warum dieses Vokabular für Sie zählt

‍

Diese Begriffe sind keine bloßen regulatorischen Kuriositäten: Sie zeichnen die Art und Weise, wie sich Ihre Onboarding-Prozesse entwickeln werden.

‍

Auf Unternehmensseite werden Sie meist eine vertrauende Partei sein. Ihre Rolle wird darin bestehen, die richtigen Attribute anzufordern (PID, EAA oder QEAA je nach erforderlichem Nachweisniveau), ihre Signatur zu überprüfen und die Antwort zu verarbeiten. Die selektive Offenlegung zwingt Sie, Ihre Formulare zu überdenken: Statt möglichst viele Informationen „für alle Fälle" zu sammeln, fordern Sie präzise das an, was Sie benötigen, nicht mehr und nicht weniger. Das ist ein Wandel in der Denkweise ebenso wie ein technischer.

‍

Dieses Vokabular gut zu beherrschen, ermöglicht es auch, mit den richtigen Ansprechpartnern zu sprechen und Ihre Projekte zu strukturieren: zu wissen, wie man ein EAA von einem QEAA unterscheidet, oder zu verstehen, was das hohe Vertrauensniveau bedeutet, vermeidet Missverständnisse beim Festlegen Ihrer Anforderungen. Um bei den konkreten Schritten weiterzugehen, siehe unseren Leitfaden eIDAS 2.0: richtig vorbereiten.

‍

Schließlich muss man eines im Kopf behalten: Die Wallet bringt einen zuverlässigen Identitätsnachweis, aber sie beantwortet nicht allein alle Risikofragen. Zu wissen, dass eine Identität echt ist, sagt nicht, ob das Verhalten verdächtig ist, ob das Gerät zweifelhaft ist, ob das gegenüberstehende Unternehmen tatsächlich solvent ist, oder wer seine wirtschaftlich Berechtigten sind. Das Vokabular der Wallet beschreibt einen Vertrauensbaustein, der in eine breitere Kontrollkette zu integrieren ist.

‍

Fazit

‍

Hinter den Abkürzungen der EUDI Wallet verbergen sich zugängliche Begriffe: das PID für die vom Staat ausgestellte grundlegende Identität, die EAA und QEAA für die Attributsnachweise, der Aussteller, der ausstellt und signiert, die vertrauende Partei, die empfängt und überprüft, die selektive Offenlegung, um nur das Notwendige zu teilen, und das hohe Vertrauensniveau, das die Zuverlässigkeit des Ganzen garantiert.

‍

Dieses Vokabular zu verstehen, heißt bereits, mit der Vorbereitung seiner Prozesse zu beginnen. Die europäische Brieftasche ersetzt keine ganzheitliche Strategie der Risikobeherrschung: Sie wird zu einem Vertrauensbaustein darin, der mit Betrugserkennung, Unternehmensprüfung und Bonitätsanalyse zu kombinieren ist.

‍

Quellen: Verordnung (EU) 2024/1183 vom 11. April 2024 (eIDAS 2.0), europäische Brieftasche für digitale Identität; Europäische Kommission, European Digital Identity Wallet, Architecture and Reference Framework (ARF).

‍