EUDI-Wallet: Was ist das und welche Rolle spielt der Vertrauensdiensteanbieter?

Die EUDI-Wallet soll den Umgang mit der digitalen Identität in Europa grundlegend verändern. Bürger sollen sich künftig über ihr Smartphone ausweisen, elektronische Berechtigungen vorlegen und Unterlagen signieren können – gegenüber Ämtern ebenso wie in privatwirtschaftlichen Anwendungen.

Die Wallet ist jedoch mehr als eine digitale Brieftasche für den Personalausweis oder Führerschein. Sie ist Teil einer europaweiten Vertrauensinfrastruktur, in der verschiedene Anbieter zusammenarbeiten. Nachweise müssen aus verlässlichen Quellen stammen, technisch prüfbar sein und je nach Anwendungsfall eine bestimmte rechtliche Wirkung entfalten.

Genau hier spielen Vertrauensdiensteanbieter, oder auch Trust Service Provider genannt, eine wichtige Rolle. Sie ermöglichen unter anderem qualifizierte elektronische Signaturen (QES), Siegel, Zeitstempel und qualifizierte elektronische Attributsbescheinigungen.

EUDI steht für European Digital Identity. Die EUDI-Wallet ist eine digitale Identitätslösung, mit der Nutzerinnen und Nutzer ihre Identitätsdaten sicher auf dem Smartphone verwalten und gezielt weitergeben können.

Die rechtliche Grundlage bildet die Verordnung (EU) 2024/1183, häufig als eIDAS 2.0 bezeichnet. Sie erweitert die ursprüngliche eIDAS-Verordnung um einen europäischen Rahmen für digitale Identitäten.

Jeder EU-Mitgliedstaat muss mindestens eine anerkannte EUDI-Wallet bereitstellen. Diese kann direkt durch den Mitgliedstaat angeboten, im staatlichen Auftrag betrieben oder von einem privaten Anbieter entwickelt und staatlich anerkannt werden.

Die Nutzung bleibt für Bürger freiwillig. Sie entscheiden selbst, welche Daten sie mit wem teilen.

Der Vergleich mit einer Brieftasche hilft beim Einstieg, greift aber zu kurz. Die EUDI-Wallet enthält keine einfachen Scans oder PDF-Dateien. Die gespeicherten Nachweise sind strukturiert, maschinenlesbar, kryptografisch abgesichert und mit der ausstellenden Stelle verbunden. Unternehmen und Behörden können dadurch automatisiert prüfen, wer einen Nachweis ausgestellt hat, ob er noch gültig ist und ob seine Daten verändert wurden.

Viele digitale Prozesse scheitern heute an der Identifizierung oder am Austausch verlässlicher Bescheinigungen. Unterlagen werden eingescannt, per E-Mail versendet und anschließend manuell geprüft. Teilweise müssen Bürger persönlich erscheinen und sich ausweisen oder Unterlagen per Brief einreichen.

Die EUDI-Wallet soll solche Medienbrüche reduzieren. Nutzer und Nutzerinnen können Nachweise direkt von einer berechtigten Stelle erhalten und in verschiedenen Anwendungen und Funktionen weiterverwenden.

Sie sollen damit unter anderem:

– online und teilweise offline identifizieren,

– digitale Nachweise empfangen und vorzeigen,

– einzelne Informationen gezielt teilen,

– auf öffentliche und private Dienste zugreifen,

– Dokumente elektronisch signieren oder siegeln,

– Berechtigungen zum Arbeiten, Studieren oder Reisen belegen.

Gemeinsame technische Vorgaben sollen dafür sorgen, dass die Wallet in allen Mitgliedstaaten genutzt werden kann.

Ein wichtiger Vorteil ist die selektive Offenlegung. Nutzer müssen nicht immer ein vollständiges Dokument übermitteln. Für eine Altersprüfung kann beispielsweise die Information genügen, dass eine Person volljährig ist. Das genaue Geburtsdatum, der Name oder die Anschrift müssen dafür nicht zwangsläufig offengelegt werden. Welche Attribute eine Anwendung abfragen darf, hängt vom Zweck und den rechtlichen Vorgaben ab. Die Wallet soll die Anfrage transparent anzeigen und eine bewusste Freigabe ermöglichen.

Die EUDI-Wallet kann sowohl Daten zur Identität als auch zusätzliche elektronische Nachweise enthalten.

Mögliche Use Cases sind:

Identität: Name, Geburtsdatum, Geburtsort, Staatsangehörigkeit

Mobilität: mobiler Führerschein, Fahrzeugdaten

Bildung:  Immatrikulationsbescheinigung, Zeugnisse, Abschlüsse

Verwaltung: Wohnsitz, Familienstand, behördliche Bescheinigungen

Beruf: Berufsqualifikationen, Vollmachten, Vertretungsberechtigungen

Gesundheit: Rezepte oder Versicherungsbescheinigungen

Verträge: elektronische Unterschriften und Siegel

Die Europäische Kommission testet entsprechende Use Cases unter anderem in den Bereichen Bildung, Mobilität, Gesundheit, Reisen, Zahlungen und Vertragsunterzeichnung. Welche Nachweise zum Start tatsächlich verfügbar sind, hängt davon ab, welche Amtsstellen, Unternehmen und weiteren Aussteller ihre Daten digital bereitstellen und in das Wallet-Ökosystem einbinden.

Die Person Identification Data, kurz PID, bildet die Kernidentität einer natürlichen Person innerhalb der EUDI-Wallet. Zu den grundlegenden Angaben gehören unter anderem Nachname, Vorname, Geburtsdatum, Geburtsort und Staatsangehörigkeit.

Zusätzliche Attribute können durch die Mitgliedstaaten ergänzt werden. Die technischen Kriterien werden durch entsprechende Durchführungsrechtsakte konkretisiert.

Die PID sollte nicht Foto oder als eine digitale Kopie des Personalausweises verstanden werden. Sie ist ein strukturierter und kryptografisch abgesicherter Datensatz, der die Identifizierung in digitalen Workflows ermöglicht. Der Personalausweis oder ein anderes staatliches Ausweisdokument kann als Grundlage für die erstmalige Ausstellung der PID dienen. Ein Führerschein, ein Hochschulabschluss oder eine Berufsberechtigung wird dagegen als separater Nachweis in die Wallet aufgenommen.

Die EUDI-Wallet muss die Vorgaben des eIDAS-Vertrauensniveaus „hoch“ erfüllen. Das betrifft insbesondere die Prüfung der Identität, das Onboarding, die Authentifizierung und die Verwaltung. Die Registrierung darf daher nicht allein über einen Namen oder eine E-Mail-Adresse erfolgen. Die Identität muss mit einem entsprechend sicheren Verfahren bestätigt werden.

Wichtig ist dabei: Eine sichere und zertifizierte Wallet macht nicht jeden darin gespeicherten Nachweis automatisch zu einem qualifizierten Nachweis. Auch eine über die Wallet ausgelöste Signatur ist nicht automatisch eine qualifizierte elektronische Signatur. Dafür müssen zusätzliche eIDAS-Anforderungen zur Sicherheit erfüllt sein.

Die EUDI-Wallet übernimmt nicht alle Aufgaben selbst. Im Ökosystem arbeiten verschiedene Rollen zusammen:

Wallet Provider stellen die Wallet-Anwendung bereit und verantworten deren sichere technische Umgebung.

PID Provider stellen die Daten der Kernidentität aus und aktualisieren oder widerrufen sie bei Bedarf.

Issuer stellen zusätzliche Bescheinigungen aus. Das können Verwaltungen, Universitäten, Arbeitgeber, Banken oder Trust Service Provider sein.

Nutzer beziehungsweise Holder verwalten die Wallet und entscheiden, welche Daten sie freigeben.

Relying Parties fordern Nachweise an und prüfen sie. Dazu gehören beispielsweise Ämter, Unternehmen oder Bildungseinrichtungen.

Eine Organisation kann dabei mehrere Rollen gleichzeitig übernehmen.

Er wird relevant, wenn eine digitale Information mit einer nachweisbaren Herkunft, Integrität oder besonderen rechtlichen Wirkung verbunden werden soll.

Dabei ist zwischen nicht qualifizierten und qualifizierten Vertrauensdiensteanbietern zu unterscheiden. Ein qualifizierter Vertrauensdiensteanbieter, kurz qTSP, muss die Anforderungen der eIDAS-Verordnung erfüllen, wird durch die zuständige Aufsicht geprüft und in einer nationalen Trusted List geführt.

Eine Universität kann beispielsweise ein digitales Abschlusszeugnis selbst ausstellen. Eine Behörde kann Attribute aus einem amtlichen Register bereitstellen. Nicht jeder Nachweis benötigt daher einen qualifizierten Vertrauensdienst.

Ein qTSP kommt insbesondere dann ins Spiel, wenn:

– eine qualifizierte elektronische Signatur erstellt wird,

– ein qualifiziertes elektronisches Siegel benötigt wird,

– eine qualifizierte elektronische Attributsbescheinigung ausgestellt wird,

– ein qualifizierter Zeitstempel erforderlich ist,

– qualifizierte Zertifikate verwaltet werden,

– Signaturen oder Siegel validiert und langfristig nachweisbar erhalten werden sollen.

Die EUDI-Wallet ersetzt diese Dienste nicht. Sie ermöglicht Nutzern einen einfachen und sicheren Zugang zu ihnen.

Ein wichtiger Anwendungsfall ist die qualifizierte elektronische Signatur, kurz QES. Sie besitzt in der gesamten EU grundsätzlich dieselbe Rechtswirkung wie eine handschriftliche Unterschrift.

Die Signaturerstellungseinheit kann Teil einer zertifizierten Wallet-Umgebung sein. Alternativ kann ein Remote-QSCD von einem Trust Service Provider betrieben werden.

Ein möglicher Ablauf:

1. Ein Dokument wird in einer Fachanwendung vorbereitet.

2. Die EUDI-Wallet zeigt den Signaturvorgang an.

3. Die Person bestätigt ihn per PIN oder biometrischer Authentifizierung.

4. Der Trust Service Provider erstellt die QES.

5. Das Signaturergebnis wird an die Anwendung zurückgegeben.

Je nach technischer Architektur wird nur ein Hash des Dokuments – also dessen digitaler Fingerabdruck – an die Signaturinfrastruktur übertragen.

Attribute beschreiben Eigenschaften oder Berechtigungen einer Person oder Organisation. Beispiele sind ein akademischer Abschluss, ein Berufsabschluss oder eine Vertretungsberechtigung.

eIDAS unterscheidet zwischen nicht qualifizierte elektronische Attributsbescheinigungen, qualifizierte elektronische Attributsbescheinigungen, kurz QEAA, und Bescheinigungen öffentlicher Stellen auf Grundlage authentischer Quellen.

Eine QEAA wird von einem Trust Service Provider ausgestellt und bietet eine besonders hohe rechtliche und technische Verlässlichkeit.

Für Unternehmen und Verwaltungen bedeutet das: Nicht jeder Anwendungsfall benötigt eine qualifizierte Attributsbescheinigung. Entscheidend ist, welche Aussage ein Nachweis treffen soll, aus welcher Quelle die Daten stammen und welche rechtlichen Folgen damit verbunden sind.

Neben Unterschriften und Attributsbescheinigungen sind auch weitere Trust Services relevant:

– Elektronische Siegel weisen die Herkunft von Daten oder Dokumenten nach und schützen deren Integrität.

– Elektronische Zeitstempel belegen, dass bestimmte Daten zu einem konkreten Zeitpunkt vorlagen.

– Validierungsdienste prüfen, ob Unterschriften, Siegel oder Zertifikate gültig sind.

– Preservation Services erhalten die Nachweisbarkeit digitaler Unterschriften und Siegel langfristig – auch wenn Zertifikate ablaufen oder technische Verfahren weiterentwickelt werden.

Richtig eingebunden kann die EUDI-Wallet digitale Abläufe deutlich vereinfachen. Strukturierte Nachweise lassen sich automatisiert auf ihre Echtheit prüfen, wodurch manuelle Kontrollen reduziert werden. Gleichzeitig können Papierdokumente, Scans, E-Mail-Anhänge und Briefe zunehmend entfallen. Da die Wallet nach gemeinsamen europäischen Vorgaben funktioniert, lassen sich Prozesse außerdem grenzüberschreitend innerhalb der EU nutzen. Durch die selektive Offenlegung werden nur die Daten geteilt, die für den jeweiligen Anwendungsfall tatsächlich benötigt werden. Manipulierte Unterlagen können leichter erkannt und Identifizierung, Nachweisführung sowie elektronische Signatur in einem durchgängigen Prozess miteinander verbunden werden. So trägt die EUDI-Wallet dazu bei, manuelle Arbeit zu reduzieren und digitale Anträge, Registrierungen oder Vertragsabschlüsse zu beschleunigen.

Organisationen können sich bereits vor der vollständigen Einführung vorbereiten:

– Workflows identifizieren: Wo werden heute Identitäten, Nachweise oder Berechtigungen und deren Echtheit geprüft?

– Attribute festlegen: Welche Daten werden tatsächlich benötigt?

– Rechtliche Anforderungen klären: Wann genügt ein einfacher Nachweis und wann wird ein qualifizierter Vertrauensdienst benötigt?

– Eigene Rolle bestimmen: Soll die Organisation Nachweise prüfen, selbst bereitstellen oder beides?

– Fachverfahren vorbereiten: Systeme müssen Berechtigungen anfordern, empfangen, validieren und weiterverarbeiten können.

– Datenschutz und Governance einbeziehen: Datenabfragen, Speicherung und Zuständigkeiten müssen klar geregelt sein.

– Mit einem Pilotprojekt starten: Geeignet sind Abläufe mit hohem manuellem Prüfaufwand und klar definierten Nachweisen.

In Deutschland wird eine staatliche EUDI-Wallet im Auftrag des Bundesministeriums für Digitales und Staatsmodernisierung (BMDS) entwickelt.

Die Bundesagentur für Sprunginnovationen (SPRIND) arbeitet gemeinsam mit Projektpartnern an der nationalen Wallet und dem dazugehörigen Identitätsökosystem. Das Vorhaben soll nicht nur bestehende Abläufen digital abbilden, sondern als Sprunginnovation neue, durchgängige Identitätsprozesse ermöglichen.

Neben der staatlichen Lösung sollen auch private Anbieter eigene Wallets entwickeln und anerkennen lassen können. Die EUDI-Wallet ist damit nicht nur ein IT-Projekt des BMDS und der SPRIND, sondern auch ein wichtiger Baustein der Staatsmodernisierung und der digitalen Verwaltung in Deutschland.

Die EUDI-Wallet ist ein zentraler Baustein für die digitale Identität in Europa. Sie soll Bürgerinnen und Bürgern ermöglichen, sich sicher auszuweisen, Berechtigungen kontrolliert zu teilen und digitale Abläufe ohne unnötige Medienbrüche abzuschließen.

Ihre Wirkung entfaltet die Identitätslösung jedoch erst im Zusammenspiel mit Wallet Providern, Ausstellern, prüfenden Stellen und Trust Service Providern. Für Unternehmen und Behörden bedeutet EUDI-Wallet-Readiness deshalb mehr als die Anbindung einer App. Auch Fachverfahren, Attribute, Datenschutz, Compliance, Validierung und die notwendige Vertrauensinfrastruktur müssen berücksichtigt werden.

Als qualifizierter Trust Service Provider unterstützt SIGN8 Unternehmen und Verwaltungen bei qualifizierten Signaturen, Siegeln, Zeitstempeln, digitalen Nachweisen und vertrauenswürdigen Identitätsprozessen und Infrastruktur. So lassen sich regulatorische Anforderungen aus eIDAS in konkrete Anwendungen übersetzen.