Die EUDI-Wallet und das Onboarding einer Bank

Die Wallet ist eine Anwendung unter der Kontrolle des Nutzers, die Personenidentifizierungsdaten und elektronische Attributsbescheinigungen hält und ausgewählte Teile davon einer anfragenden Stelle zeigt. Der Nutzer entscheidet je Anfrage, welche Attribute die Wallet verlassen; eine Altersprüfung geht also ohne Geburtsdatum und eine Wohnsitzprüfung ohne vollständige Adresse.

Jeder Mitgliedstaat muss seinen Bürgern und Einwohnern bis Ende 2026 mindestens eine Wallet bereitstellen. Die Pflicht liegt beim Staat, und er kann die Wallet selbst ausgeben oder von einer von ihm zertifizierten Stelle ausgeben lassen. Darum kommt die deutsche Wallet aus dem Bundesprogramm für digitale Identitäten und nicht von einer Bank. Für ein Institut heißt das praktisch: Die Wallet kommt als Gegebenheit, mit einer Spezifikation zum Anbinden.

Das Architecture and Reference Framework (auf Englisch) ist die technische Spezifikation des Systems: die Rollen von Ausgeber, Wallet und anfragender Stelle, die Nachweisformate, die Protokolle für Ausgabe und Vorlage, die Vertrauenslisten und die Registrierung einer anfragenden Stelle. Ein Anbindungsteam liest dieses Dokument und nicht die Verordnung, denn dort stehen Datenformate und Abläufe.

Daneben führte die Kommission Large Scale Pilots, in denen Mitgliedstaaten, Banken, Zahlungsdienstleister und öffentliche Stellen die Wallet an echten Fällen testeten, Zahlungen und Kontoeröffnung darunter. Für eine Bank zählen die Pilotprojekte aus einem Grund: Ihre Ergebnisse formten, was das Rahmenwerk heute von einer anfragenden Stelle verlangt. Wer jetzt beginnt, erbt Entscheidungen, die in diesen Konsortien ausgefochten wurden.

Eine anfragende Stelle ist jeder, der die Wallet nach Attributen fragt; dazu wird eine Bank, sobald sie eine liest. Für die meisten privaten Stellen ist die Annahme freiwillig, aber die Verordnung nennt Branchen, in denen sie verpflichtend ist, und die Branchen mit Pflicht zur starken Kundenauthentifizierung nach EU-Recht gehören dazu. Das bringt Banken, Finanzdienstleister und Zahlungsinstitute in die Pflichtgruppe, mit Annahme ab Ende 2027, ein Jahr nachdem die Wallets selbst existieren müssen.

Die Rolle bringt eigene Pflichten. Die Stelle muss sich in ihrem Mitgliedstaat registrieren, angeben, welche Attribute sie zu welchem Zweck abfragen will, und nur diese abfragen; das ist durchsetzbar und keine Empfehlung. Eine Bank schreibt ihre Attributliste also vor der Anbindung, und die Liste muss zu ihren eigenen KYC-Regeln passen, nicht mehr. Die Seite eIDAS 2 und Finanzwesen behandelt die Verordnung und die Vertrauensdienste ringsum.

Zwei Arten von Inhalten erreichen eine Bank aus einer Wallet, und sie wiegen verschieden. Personenidentifizierungsdaten sind der Kernidentitätssatz aus dem elektronischen Identifizierungssystem des Mitgliedstaats; damit stellt eine Bank fest, wer der Kunde ist. Eine elektronische Attributsbescheinigung ist eine eigene prüfbare Aussage über eine Eigenschaft, etwa eine Berufsqualifikation, eine Rolle im Unternehmen, einen Adressnachweis oder das Überschreiten eines Alters.

Reisen kann die qualifizierte Fassung. Eine qualifizierte elektronische Attributsbescheinigung gibt ein qualifizierter Vertrauensdiensteanbieter aus, und eine in einem Mitgliedstaat ausgegebene muss in allen anderen als qualifiziert anerkannt werden. Diese Änderung macht grenzüberschreitendes Onboarding gangbar. Eine einfache Bescheinigung einer befugten Stelle ist auch nutzbar, aber ihre Annahme ist Sache der Risikoprüfung der empfangenden Bank und nicht der gegenseitigen Anerkennung.

Sie ersetzt den Identifizierungsschritt: feststellen und prüfen, wer die Person ist, heute über Videoanruf, Referenzüberweisung oder Dokumentenscan mit Lebenderkennung. Dieser Schritt ist der teuerste Teil des Onboardings und der, an dem Bewerber abbrechen; sein Wegfall trägt den Geschäftsfall. Die deutschen Anforderungen an diesen Schritt behandelt die Seite KYC in Deutschland.

Alles andere in der Kette bleibt. Wirtschaftlich Berechtigte bei einem Firmenkunden, Zweck und angestrebte Art der Geschäftsbeziehung, Herkunft der Mittel und des Vermögens, Prüfung auf politisch exponierte Personen, Sanktionsprüfung und laufende Überwachung sind eigene Pflichten, die kein Identitätsattribut beantwortet. Wer die Wallet als Ende der KYC-Arbeit einplant, hat den Umfang falsch gelesen. Die Hub-Antwort KYC gegen AML trennt beides, und Herkunft der Mittel behandelt den Teil, der manuell bleibt.

Starke Kundenauthentifizierung verlangt zwei unabhängige Elemente aus Wissen, Besitz und Inhärenz, und eine Wallet auf dem Telefon mit gerätegebundenem Schlüssel und biometrischer Entsperrung liefert Besitz und Inhärenz plausibel in einer Handlung. Darum kommt die Wallet in Zahlungsgesprächen überhaupt vor, und darum wurde sie dort getestet.

Offen ist der rechtliche Teil, nicht der technische. Ob eine Wallet-Vorlage für eine Zahlung als SCA gilt, hängt davon ab, wie die Elemente bewertet werden und wofür der Zahlungsdienstleister einsteht, wenn die Wallet und nicht er das Authentifizierungsmittel hält. Das klären die Durchführungsrechtsakte und die Aufsichtspraxis; bis dahin behandelt eine Bank wallet-basierte Zahlungsauthentifizierung als Entwurfsoption in Prüfung. PSD3 und Zahlungsregulierung in Deutschland behandeln den Rahmen, in den sie passen muss.

Eine Wallet-Vorlage ist ein signiertes Dokument, und eine Bank muss entscheiden, ob die Signatur zu einem Ausgeber gehört, dem sie glauben soll. Diese Entscheidung läuft über Vertrauenslisten: Register, je Mitgliedstaat veröffentlicht und auf EU-Ebene zusammengeführt, die die befugten Ausgeber von Personenidentifizierungsdaten und qualifizierten Bescheinigungen samt Zertifikaten nennen. Der Prüfstapel einer Bank fragt diese Listen ab, hat also eine betriebliche Abhängigkeit von ihrer Erreichbarkeit und Aktualität.

Das ist eine Anbindungsaufgabe ohne Fachlogik, und dort verlieren Projekte Zeit. Die anfragende Stelle muss sich im eigenen Mitgliedstaat registrieren, die Vertrauensinfrastruktur anbinden und den Fall behandeln, dass eine Liste kurz nicht verfügbar ist, ohne einen gültigen Kunden abzulehnen oder einen ungeprüften Nachweis anzunehmen. Wer die Vertrauensliste als Konfigurationsdatei behandelt und nicht als laufende Abhängigkeit, merkt das im Betrieb.

Nicht jeder Wallet-Nachweis wiegt gleich, und die Bank entscheidet, welches Niveau sie für welche Handlung verlangt. Die Vertrauensniveaus der elektronischen Identifizierung, niedrig, substanziell und hoch, beschreiben, wie streng die Identität ursprünglich festgestellt wurde, und eine Wallet aus einem notifizierten System auf hohem Niveau ist die, die eine Bank gegen ihre eigene Identifizierungspflicht stellen kann.

Die Arbeit steckt in der Zuordnung, und sie ist eine Compliance-Übung und keine technische. Kontoeröffnung, Anhebung eines Transaktionslimits, Änderung eines Auszahlungskontos und Bestätigung einer sensiblen Anweisung tragen verschiedene Risiken, jede bekommt also ihr Niveau und ihren Rückfallweg. Die AML- und Sorgfaltsrichtlinien einer Bank müssen diese Zuordnung festschreiben, bevor eine Anbindung abgezeichnet wird; darum beginnt diese Arbeit in der Compliance und nicht in der Technik. Die Seite AML in Deutschland behandelt die zugeordneten Pflichten.

Die Wallet lässt den Kunden eine Frage beantworten, ohne die Daten dahinter herauszugeben: dass der Inhaber über 18 ist, ohne Geburtsdatum; dass er in einem Land wohnt, ohne Straßenadresse. Für eine Bank ist das ein Gewinn an Datenminimierung ohne Zusatzaufwand, denn die Anfrage bestimmt, was ankommt.

Das Risiko läuft in die andere Richtung. Fragen ist jetzt billig, die Versuchung ist also, Attribute abzufragen, die die Bank nicht braucht. Genau das soll die Registrierung der anfragenden Stelle begrenzen: Der erklärte Zweck bindet die Anfrage. Das zweite Risiko ist Zustimmungsmüdigkeit, das Ergebnis der Cookie-Banner, wo ein Kunde, der jede Anfrage bestätigt, keine mehr liest. Wer den Ablauf entwirft, fragt das Minimum seiner Richtlinie ab und sollte erwarten, dass eine Aufsicht Anfragen gegen die Registrierung prüft.

Ein Zahlungsfall ist schmaler als Identität und behebt einen echten Schaden. Richtet ein Kunde eine Lastschrift ein oder trägt ein Auszahlungskonto ein, kann eine Wallet-Bescheinigung belegen, dass die vorlegende Person diese IBAN wirklich hält. Das beseitigt eine Klasse falsch gelenkter Zahlungen und eine Klasse von Betrug, bei dem ein Angreifer eigene Kontodaten einsetzt.

Das zählt neben den Pflichten zur Empfängerprüfung, die für Überweisungen in Europa inzwischen gelten; die Seite Instant Payments in Europa behandelt sie. Eine Bescheinigung der Kontoinhaberschaft in einer Wallet ist ein Weg, eine solche Prüfung bei Erteilung des Mandats zu leisten und nicht erst, wenn das Geld läuft.

Die Bank behält ihren bestehenden Identifizierungsweg, und das ist eine Anforderung und keine Übergangsbequemlichkeit. Die Verbreitung der Wallet wird über Mitgliedstaaten und Altersgruppen jahrelang ungleich sein, und wer Onboarding ausschließlich über eine Wallet führt, schließt Kunden aus, die ein Konto auf anderem Weg eröffnen dürfen.

Für den Entwurf heißt das: Eine Bank betreibt zwei Wege und muss beide funktionsfähig halten, mit demselben Sorgfaltsergebnis am Ende. Der Wallet-Weg ist der günstigere und wird den wachsenden Anteil tragen, und der Rückfallweg muss gepflegt und nicht verfallen gelassen werden, denn er bedient den Kunden, den die Wallet nicht erreicht.

Mitgliedstaaten müssen bis Ende 2026 eine Wallet bereitstellen, und private anfragende Stellen in den Pflichtbranchen, Banken und Zahlungsinstitute darunter, müssen sie ab Ende 2027 annehmen können. Der Abstand zwischen beiden Daten ist das Anbindungsfenster, und es ist kürzer, als es aussieht, denn die Bank muss sich auch als anfragende Stelle registrieren, ihren Attributsatz festlegen und ihr Onboarding um einen Ablauf umbauen, der kein Dokumentenbild mehr erzeugt.

Teilweise, und brauchbar ist die Bescheinigung und nicht die Identität. Eine natürliche Person, die für ein Unternehmen handelt, identifiziert sich über die Wallet als sie selbst, und eine Attributsbescheinigung kann ihre Vertretungsbefugnis für dieses Unternehmen tragen. Das nimmt einen Dokumentenschritt aus einem Firmen-Onboarding. Die Eigentümerstruktur des Unternehmens ist eine eigene Frage, die die Wallet nicht beantwortet, die Arbeit zu wirtschaftlich Berechtigten läuft also wie bisher über Register und Dokumente.