Elektronische Identität: EU einigt sich auf hohes Schutzniveau für eID

Bis 2030 sollen die meisten EU-Bürger über eine elektronische Identität verfügen. Die IT-Wirtschaft kritisiert das vorgesehene Sicherheitsniveau.

Artikel veröffentlicht am 29. Juni 2023, 16:10 Uhr, Friedhelm Greis

Ebenso wie mit der Ausweis-App soll man sich bald in ganz Europa identifizieren können. (Bild: BMI)

Die EU hat sich auf die Vorgaben für die geplante europaweite elektronische Identität (eID) geeinigt. Vertreter der Mitgliedstaaten und des Europaparlaments hätten eine vorläufige politische Einigung auf die Kernelemente der eID erzielt, teilte die schwedische Ratspräsidentschaft am 29. Juni 2023 mit. Bis zum Jahr 2030 sollten mindestens 80 Prozent der EU-Bürger in der Lage sein, eine digitale Lösung für den Zugang zu wichtigen öffentlichen Diensten zu nutzen. Mit Hilfe der EU Digital Identity Wallets (EUdi-Brieftaschen) sollen Bürger beispielsweise in der Lage sein, grenzüberschreitend ihre Identität oder Qualifikationen elektronisch nachweisen zu können.

Die EU-Kommission hatte den Rechtsrahmen für den digitalen Identitätsnachweis (EUdi-Brieftasche) im Juni 2021 vorgeschlagen. Bereits 2014 hatte die EU eine erste Verordnung für elektronische Identifizierung und Vertrauensdienste für elektronische Transaktionen (engl. eIDAS) beschlossen. Darauf basiert unter anderem das deutsche Vertrauensdienstegesetz. Die novellierte eIDAS-Verordnung (eIDAS 2.0) soll nun um bürgerbezogene Anwendungen wie Single-Sign-On-Dienste ergänzt werden.

Hohes Sicherheitsniveau erforderlich

Der Einigung zufolge soll die elektronische Brieftasche innerhalb eines elektronischen Identifizierungssystems ausgegeben werden, das dem Sicherheitsniveau "hoch" entspricht. Die Ausgabe, der Einsatz zur Authentifizierung und der Widerruf der Wallets sollten für natürliche Personen kostenlos sein. Es solle auch möglich sein, elektronische Unterschriften zu leisten.

Der IT-Branchenverband Bitkom begrüßte prinzipiell die Einigung. "Die EU hat den Weg für breit angelegte Pilotversuche frei gemacht, jetzt kommt es darauf an, dass diese rasch umgesetzt und für die Bürgerinnen und Bürger verfügbar werden", sagte Geschäftsleitungsmitglied Susanne Dehmel. Allerdings könne es sich als Hemmnis erweisen, dass in der Verordnung pauschal für alle Anwendungen ein hohes Schutzniveau mit entsprechend komplexen Sicherheitsvorgaben festgelegt worden sei.

Nach Einschätzung Dehmels wäre es besser gewesen, die notwendigen Sicherheitsniveaus flexibel an die jeweiligen Anwendungsfälle anzupassen. "Bereits existierende eID-Systeme in Europa funktionieren bereits erfolgreich auf einem niedrigeren, aber ebenfalls sicheren Niveau. Daran haben sich viele Bürgerinnen und Bürger bereits gewöhnt", sagte Dehmel. Ihrer Ansicht nach bietet ein Ökosystem Digitale Identitäten, das auf der neuen eIDAS-Verordnung basiere, "die einmalige Chance, viele Lücken in der deutschen eID-Entwicklung zu schließen". Dazu gehört, dass privatwirtschaftliche Akteure zertifizierte EU-Digital-Identity-Wallets ausstellen könnten.

Innenministerium schließt Blockchain-Anwendungen aus

Das Bundesinnenministerium veröffentlichte Anfang Juni 2023 bereits ein Diskussionspapier zur Erarbeitung einer prototypischen eIDAS-2.0-konformen Infrastruktur für Digitale Identitäten in Deutschland (PDF).

Als mögliche Einsatzzwecke nennt das 17-seitige Papier unter anderem:

• Vorlage eines Berufsnachweises (z.B. elektronischer Heilberufsausweis zum Erwerb von Medikamenten oder um eine elektronische Arbeitsunfähigkeitsbescheinigung auszustellen)
• Nachweis der Elternschaft für die Berechtigung von staatlichen Leistungen
• Vorlage des Nachweises eines Führungszeugnisses für ein Ehrenamt oder eine Bewerbung
• Vorlage einer digitalen Immatrikulationsbescheinigung von Studierenden für entsprechende Berechtigungen
• Übermittlung eines Nachweises eines Hochschulzeugnisses für eine Bewerbung
• Erwerb von personalisierten Tickets (z.B. Mobilität, Kultur)

Was die technische Umsetzung betrifft, so setzt die Bundesregierung auf Privacy by Design und Open Source. Blockchain-Anwendungen erteilt sie hingegen eine Absage: "Ansätze, die auf Distributed Ledger Technology (DLT) beruhen, werden in der Zieldefinition für Umsetzungen Lösungen im Bereich der Digitalen Identitäten auf absehbare Zeit ausgeschlossen." Erste Workshops zu dem Thema sind bereits in den kommenden Monaten geplant.

Nach Einschätzung des Branchenverbandes Eco sollte sich die EU dafür einsetzen, dass mehrere zertifizierte Wallets nebeneinander im Markt existieren können. "Von einer rein staatlichen Lösung ist unbedingt abzusehen", forderte Eco-Vorstand Norbert Pohlmann. Zudem konfrontiere eine pauschale, undifferenzierte Verpflichtung zur Akzeptanz der Wallets durch private Diensteanbieter die Unternehmen der Internetwirtschaft nur unnötig mit Rechtsunsicherheiten und hohen finanziellen Aufwänden.