EUDI Wallet

Die Wallet ist eine Anwendung unter der Kontrolle des Nutzers, die Personenidentifizierungsdaten und elektronische Attributsbescheinigungen hält und ausgewählte Teile davon einer anfragenden Stelle zeigt. Der Nutzer entscheidet je Anfrage, welche Attribute die Wallet verlassen; eine Altersprüfung geht also ohne Geburtsdatum und eine Wohnsitzprüfung ohne vollständige Adresse.

Jeder Mitgliedstaat muss seinen Bürgern und Einwohnern bis Ende 2026 mindestens eine Wallet bereitstellen. Die Pflicht liegt beim Staat, und er kann die Wallet selbst ausgeben oder von einer von ihm zertifizierten Stelle ausgeben lassen. Darum kommt die deutsche Wallet aus dem Bundesprogramm für digitale Identitäten und nicht von einer Bank. Für ein Institut heißt das praktisch: Die Wallet kommt als Gegebenheit, mit einer Spezifikation zum Anbinden.

Das Architecture and Reference Framework (auf Englisch) ist die technische Spezifikation des Systems: die Rollen von Ausgeber, Wallet und anfragender Stelle, die Nachweisformate, die Protokolle für Ausgabe und Vorlage, die Vertrauenslisten und die Registrierung einer anfragenden Stelle. Anbindungsteams nutzen dieses Dokument, um die festgelegten Datenformate und Abläufe umzusetzen.

Daneben führte die Kommission Large Scale Pilots, in denen Mitgliedstaaten, Banken, Zahlungsdienstleister und öffentliche Stellen die Wallet an echten Fällen testeten, Zahlungen und Kontoeröffnung darunter. Die Ergebnisse der Pilotprojekte prägten, was das Rahmenwerk heute von einer anfragenden Stelle verlangt. Wer jetzt beginnt, arbeitet mit den in diesen Konsortien entwickelten Entscheidungen.

Eine anfragende Stelle ist jeder, der die Wallet nach Attributen fragt; dazu wird eine Bank, sobald sie eine liest. Für die meisten privaten Stellen ist die Annahme freiwillig, aber die Verordnung nennt Branchen, in denen sie verpflichtend ist, und die Branchen mit Pflicht zur starken Kundenauthentifizierung nach EU-Recht gehören dazu. Das bringt Banken, Finanzdienstleister und Zahlungsinstitute in die Pflichtgruppe, mit Annahme ab Ende 2027, ein Jahr nachdem die Wallets selbst existieren müssen.

Die Stelle ist rechtlich verpflichtet, sich in ihrem Mitgliedstaat zu registrieren, die angefragten Attribute und deren Zweck anzugeben und nur diese Attribute abzufragen. Eine Bank schreibt ihre Attributliste also vor der Anbindung, und die Liste muss zu ihren eigenen KYC-Regeln passen, nicht mehr. Die eIDAS-2-Regeln im Finanzwesen betreffen die Wallet und zugehörige Vertrauensdienste.

Zwei Arten von Inhalten erreichen eine Bank aus einer Wallet, und sie wiegen verschieden. Personenidentifizierungsdaten sind der Kernidentitätssatz aus dem elektronischen Identifizierungssystem des Mitgliedstaats; damit stellt eine Bank fest, wer der Kunde ist. Eine elektronische Attributsbescheinigung ist eine eigene prüfbare Aussage über eine Eigenschaft, etwa eine Berufsqualifikation, eine Rolle im Unternehmen, einen Adressnachweis oder das Überschreiten eines Alters.

Eine qualifizierte elektronische Attributsbescheinigung gibt ein qualifizierter Vertrauensdiensteanbieter aus, und eine in einem Mitgliedstaat ausgegebene muss in allen anderen als qualifiziert anerkannt werden. Diese Änderung macht grenzüberschreitendes Onboarding gangbar. Eine einfache Bescheinigung einer befugten Stelle ist auch nutzbar, aber ihre Annahme ist Sache der Risikoprüfung der empfangenden Bank und nicht der gegenseitigen Anerkennung.

Die EUDI-Wallet ersetzt den Identifizierungsschritt: feststellen und prüfen, wer die Person ist, heute über Videoanruf, Referenzüberweisung oder Dokumentenscan mit Lebenderkennung. Dieser Schritt ist der teuerste Teil des Onboardings und der, an dem Bewerber abbrechen; sein Wegfall trägt den Geschäftsfall. Dieser Identifizierungsschritt muss die Anforderungen an KYC in Deutschland erfüllen.

Wirtschaftlich Berechtigte bei einem Firmenkunden, Zweck und angestrebte Art der Geschäftsbeziehung, Herkunft der Mittel und des Vermögens, Prüfung auf politisch exponierte Personen, Sanktionsprüfung und laufende Überwachung sind eigene Pflichten, die kein Identitätsattribut beantwortet. Die Unterscheidung von KYC und AML hilft bei der Zuordnung dieser Pflichten, während die Prüfung der Herkunft der Mittel manuell bleibt.

Starke Kundenauthentifizierung verlangt zwei unabhängige Elemente aus Wissen, Besitz und Inhärenz, und eine Wallet auf dem Telefon mit gerätegebundenem Schlüssel und biometrischer Entsperrung liefert Besitz und Inhärenz plausibel in einer Handlung. Darum kommt die Wallet in Zahlungsgesprächen überhaupt vor, und darum wurde sie dort getestet.

Ob eine Wallet-Vorlage für eine Zahlung als SCA gilt, hängt davon ab, wie die Elemente bewertet werden und wofür der Zahlungsdienstleister einsteht, wenn die Wallet und nicht er das Authentifizierungsmittel hält. Das klären die Durchführungsrechtsakte und die Aufsichtspraxis; bis dahin behandelt eine Bank wallet-basierte Zahlungsauthentifizierung als Entwurfsoption in Prüfung. PSD3 und Zahlungsregulierung in Deutschland behandeln den Rahmen, in den sie passen muss.

Eine Wallet-Vorlage ist ein signiertes Dokument, und eine Bank muss entscheiden, ob die Signatur zu einem Ausgeber gehört, dem sie glauben soll. Diese Entscheidung läuft über Vertrauenslisten: Register, je Mitgliedstaat veröffentlicht und auf EU-Ebene zusammengeführt, die die befugten Ausgeber von Personenidentifizierungsdaten und qualifizierten Bescheinigungen samt Zertifikaten nennen. Das Prüfsystem einer Bank fragt diese Listen ab, hat also eine betriebliche Abhängigkeit von ihrer Erreichbarkeit und Aktualität.

Die anfragende Stelle muss sich im eigenen Mitgliedstaat registrieren, die Vertrauensinfrastruktur anbinden und den Fall behandeln, dass eine Liste kurz nicht verfügbar ist, ohne einen gültigen Kunden abzulehnen oder einen ungeprüften Nachweis anzunehmen. Die Bank muss deshalb den Zugriff auf aktuelle Vertrauenslisten im Betrieb sicherstellen.

Nicht jeder Wallet-Nachweis wiegt gleich, und die Bank entscheidet, welches Niveau sie für welche Handlung verlangt. Die Vertrauensniveaus der elektronischen Identifizierung, niedrig, substanziell und hoch, beschreiben, wie streng die Identität ursprünglich festgestellt wurde, und eine Wallet aus einem notifizierten System auf hohem Niveau ist die, die eine Bank gegen ihre eigene Identifizierungspflicht stellen kann.

Kontoeröffnung, Anhebung eines Transaktionslimits, Änderung eines Auszahlungskontos und Bestätigung einer sensiblen Anweisung tragen verschiedene Risiken, jede bekommt also ihr Niveau und ihren Rückfallweg. Die AML- und Sorgfaltsrichtlinien einer Bank müssen diese Zuordnung festschreiben, bevor eine Anbindung abgezeichnet wird; darum beginnt diese Arbeit in der Compliance und nicht in der Technik. Diese Pflichten gehören zu den Anforderungen an AML in Deutschland.

Die Wallet lässt den Kunden eine Frage beantworten, ohne die Daten dahinter herauszugeben: dass der Inhaber über 18 ist, ohne Geburtsdatum; dass er in einem Land wohnt, ohne Straßenadresse. Für eine Bank ist das ein Gewinn an Datenminimierung ohne Zusatzaufwand, denn die Anfrage bestimmt, was ankommt.

Fragen ist jetzt billig, die Versuchung ist also, Attribute abzufragen, die die Bank nicht braucht. Genau das soll die Registrierung der anfragenden Stelle begrenzen: Der erklärte Zweck bindet die Anfrage. Das zweite Risiko ist Zustimmungsmüdigkeit, das Ergebnis der Cookie-Banner, wo ein Kunde, der jede Anfrage bestätigt, keine mehr liest. Wer den Ablauf entwirft, fragt das Minimum seiner Richtlinie ab und sollte erwarten, dass eine Aufsicht Anfragen gegen die Registrierung prüft.

Richtet ein Kunde eine Lastschrift ein oder trägt ein Auszahlungskonto ein, kann eine Wallet-Bescheinigung belegen, dass die vorlegende Person diese IBAN wirklich hält. Das beseitigt eine Klasse falsch gelenkter Zahlungen und eine Klasse von Betrug, bei dem ein Angreifer eigene Kontodaten einsetzt.

Für Instant Payments in Europa gelten zugleich Pflichten zur Empfängerprüfung. Eine Bescheinigung der Kontoinhaberschaft in einer Wallet ist ein Weg, eine solche Prüfung bei Erteilung des Mandats zu leisten und nicht erst, wenn das Geld läuft.

Die Bank muss ihren bestehenden Identifizierungsweg für Kunden ohne Wallet weiterhin anbieten. Die Verbreitung der Wallet wird über Mitgliedstaaten und Altersgruppen jahrelang ungleich sein, und wer Onboarding ausschließlich über eine Wallet führt, schließt Kunden aus, die ein Konto auf anderem Weg eröffnen dürfen.

Für den Entwurf heißt das: Eine Bank betreibt zwei Wege und muss beide funktionsfähig halten, mit demselben Sorgfaltsergebnis am Ende. Der Wallet-Weg ist der günstigere und wird den wachsenden Anteil tragen, und der Rückfallweg muss gepflegt und nicht verfallen gelassen werden, denn er bedient den Kunden, den die Wallet nicht erreicht.

Mitgliedstaaten müssen bis Ende 2026 eine Wallet bereitstellen, und private anfragende Stellen in den Pflichtbranchen, Banken und Zahlungsinstitute darunter, müssen sie ab Ende 2027 annehmen können. Der Abstand zwischen beiden Daten ist das Anbindungsfenster, und die Bank braucht diese Zeit, denn sie muss sich auch als anfragende Stelle registrieren, ihren Attributsatz festlegen und ihr Onboarding um einen Ablauf umbauen, der kein Dokumentenbild mehr erzeugt.

Teilweise, und brauchbar ist die Bescheinigung und nicht die Identität. Eine natürliche Person, die für ein Unternehmen handelt, identifiziert sich über die Wallet als sie selbst, und eine Attributsbescheinigung kann ihre Vertretungsbefugnis für dieses Unternehmen tragen. Das nimmt einen Dokumentenschritt aus einem Firmen-Onboarding. Die Eigentümerstruktur des Unternehmens ist eine eigene Frage, die die Wallet nicht beantwortet, die Arbeit zu wirtschaftlich Berechtigten läuft also wie bisher über Register und Dokumente.