Digitale ID: Die EUDI-Wallet und der aktuelle Stand der Dinge
Kontrolle – Bildquelle: Pixabay / geralt; Pixabay License
In zahlreichen Artikeln bin ich immer wieder auf die digitale ID und insbesondere auf deren Gefahren eingegangen. Gerade diese Gefahren werden medial, politisch und gesellschaftlich (fast) vollkommen ausgeblendet. Die digitale ID wird nur als „positiv“ dargestellt, als „Vereinfachung im täglichen Tun“ oder als „sicheres Identifikationsverfahren im Alltag“. Kein Wort der gleichzeitig damit einhergehenden Totalüberwachung und Totalkontrolle, der lückenlosen Dokumentation von Bewegungsprofilen und der Internetnutzung. Oder zukünftiger Repressalientools wie eine programmierbare digitale Währung, ein allumfassender CO2-Fußabdruck oder Sozialkreditprogramme.
Daher möchte ich im Folgenden auf den aktuellen Stand der Entwicklung der digitalen ID in der EU, der sogenannten EUDI, eingehen.
Die EU-Digital-Identity-Wallet (EUDI) soll bis Ende dieses Jahres in jedem EU-Mitgliedstaat verfügbar sein. Bei erfolgreichem Verlauf soll das Projekt den Zugang zu öffentlichen und grenzüberschreitenden Diensten erleichtern und gleichzeitig das Vertrauen im Internet stärken sowie Betrugsfälle reduzieren. Diese Ambitionen müssen jedoch in funktionierende nationale Ökosysteme in allen 27 Mitgliedstaaten umgesetzt werden, die jeweils unterschiedliche Infrastrukturen, Umsetzungszeitpläne und Reifegrade aufweisen.
Vier der sechs groß angelegten Pilotprojekte für EUDI-Wallets sind bereits abgeschlossen, während neuere Konsortien wie APTITUDE und WE BUILD weiterhin Anwendungsfälle in den Bereichen Reisen, Mobilität, Zahlungsverkehr und Wirtschaft testen.
Dreieinhalb Monate vor Ablauf der Frist sind Italien, Frankreich und Finnland laut euronews am weitesten fortgeschritten. Kroatien liegt nur knapp dahinter. Diese Länder nutzen bereits bestehende digitale Wallets oder Apps für diesen Zweck um.
Schwedens Fahrplan sieht eine Einführung frühestens im Jahr 2028 vor. Deutschland strebt den 2. Januar an und hat gerade sein EUDI-Wallet benannt, doch was im neuen Jahr verfügbar sein wird, könnte nur über sehr eingeschränkte Funktionen verfügen. Griechenland, die Slowakei und andere Mitgliedstaaten führen noch immer interne Tests durch.
Die Gefahr besteht darin, dass die Verfügbarkeit der Wallets zu einer reinen Compliance-Maßnahme wird, ohne den für vertrauende Parteien und Bürger notwendigen Mehrwert zu generieren, der sie erst „nützlich macht“.
Kristian Thure-Sørensen, Global Ambassador für digitale Identitäten bei der IN Groupe, erklärt im Podcast „Innovating Trust“, dass er nicht glaube, „dass wir bis Ende des Jahres diesen massiven Big Bang erleben werden (think we will see this massive big bang by the end of the year)“. Wahrscheinlicher sei es, dass zwei oder eine Handvoll Länder eine Art Wallet zur Verfügung stellen werden, jedoch kein voll funktionsfähiges EUDI-Wallet-Ökosystem. Das Ökosystem sei es, das die Akzeptanz vorantreiben werde.
Werden die EUDI-Wallets also bereit sein? Werden die Menschen sie nutzen? Zersplittert sich der Markt?
Technische Angleichung, Tests und Vertrauen
Die Angleichung technischer Standards bildet die gemeinsame Grundlage, die es den verschiedenen Implementierungen ermöglicht, miteinander zu funktionieren. Thomas Lohninger, Geschäftsführer von epicenter.works und zugleich Vorstandsmitglied bei European Digital Rights (EDRi), erklärt jedoch laut einem separaten Bericht von euronews, dass diese Angleichung erst zu 50 bis 60 Prozent abgeschlossen sei.
Gleichzeitig laufen Konformitätsbewertungen gemäß eIDAS 2.0 und ETSI TS 119 461 für Fernüberprüfungen. Anbieter biometrischer Lösungen lassen derzeit Bewertungen gemäß ISO/IEC 19989-3 durchführen, die auf dem Standard für die Leistungsfähigkeit bei der Erkennung von Präsentationsangriffen (PAD) aufbaut und die End-to-End-Sicherheit gemäß den Common Criteria bewertet, sowie gemäß CEN/TS 18099 zur Erkennung von Injektionsangriffen (IAD), um biometrische Fälschungen abzuwehren.
Und diese Normen sind erst der Anfang. IDnow untersucht in einem Blogbeitrag, was ETSI 119 461 für Unternehmen bedeutet und wie es sich in Normen wie ETSI TS 119 471 für die Anforderungen an die Qualifizierte elektronische Bescheinigung von Attributen (QEAA) und ETSI TS 119 478 für den Zugriff auf autoritative Datenquellen einfügt.
Genau wie die Wallets selbst sollen auch die unabhängigen Tests gemäß diesen Standards bis zu deren Inkrafttreten Ende des Jahres abgeschlossen sein.
Die Einhaltung der Standards stelle eine Mindestanforderung dar, argumentiert IDnow, aber Unternehmen, die diese Mindestanforderung verstehen, geben sich selbst die Chance, von Anfang an für die Nutzung von EUDI-Wallets bereit zu sein.
Lohninger ist zudem besorgt darüber, dass die Geräte der Nutzer einen Single Point of Failure darstellen könnten. Interessanterweise bezeichnet euronews dies als „Honeypot-Problem“ und als Zentralisierungsproblem, obwohl die meisten Identitätssysteme weltweit auf zentralisierten Datenbanken basieren, in denen die Daten aller Nutzer zusammengeführt werden. Genau das versteht man normalerweise unter „Honeypots“ oder „zentralisierter Identität“ – im Gegensatz zum dezentralen Modell der EU.
Allerdings ist die Frage, wie weit die Kontrolle reicht, noch nicht geklärt. So sind laut EU-Prüfern beispielsweise weitere Tests erforderlich, um den Prozess zur Kontowiederherstellung nach dem Verlust des Smartphones zu optimieren.
Lohninger befürchtet, dass es schwierig ist, eine nicht zurückverfolgbare digitale ID zu schaffen, und glaubt, dass bei der Abwägung zwischen Datenschutz, Sicherheit und Benutzerfreundlichkeit „das Wallet sicherlich einige Abstriche machen wird (the wallet will certainly cut some corners)“.
„Das Vertrauen der Öffentlichkeit ist bei all dem wirklich die knappste Ressource (The public’s trust is really the scarcest resource in all of this)“, sagt Lohninger gegenüber euronews.
Wir haben in verschiedenen Regionen weltweit gesehen: Wenn diese großen staatlichen Systeme zur digitalen Identifizierung eingeführt werden und Probleme auftreten, wenden sich die Menschen davon ab.
—
(We have seen in regions around the world, when these big government digital identity systems are rolled out and they have problems, people run away.)
Es bleibt zu hoffen, dass – unabhängig vom Entwicklungs- und Funktionsstand – genau das passiert: dass die Menschen JEDWEDE digitale ID ablehnen. Aber ich befürchte, dass dies nur ein Wunschdenken meinerseits bleiben wird.
Quellen:
EUDI Wallet deadline nears as Europe’s rollout picture remains uneven
EU Digital Identity Wallet: what it is and how it works
Germany unveils national EUDI wallet ‘d-you’
Germany’s EUDI Wallet push highlights Europe’s implementation gap
One wallet, 27 systems: can the EU build an untraceable Digital ID?
Lessons From… Why ETSI, AMLR and eIDAS 2.0 Standards are Your Competitive Advantage