eIDAS 2.0: Vorteile, Kontroversen und die Zukunft digitaler Identitäten

eIDAS 2.0: Was es ist und die Kontroversen darum

Die Verordnung über elektronische Identifizierung und Vertrauensdienste (eIDAS) wurde von den 27 Ländern der Europäischen Union (EU) eingeführt, um die elektronische Geschäftsabwicklung bequemer und sicherer zu machen. Sie regelt digitale Zertifikate, elektronische Signaturen und elektronische Siegel und kontrolliert die Dienste, die das Vertrauen zwischen zwei an einer elektronischen Transaktion in der EU beteiligten Parteien herstellen.

Die eIDAS-2.0-Verordnung soll die Authentifizierung von Websites, das Unterzeichnen von Dokumenten und die Durchführung einer Vielzahl von Online-Transaktionen erleichtern. So können Sie beispielsweise ein Fahrzeug kaufen, einen Autokredit beantragen, eine Versicherung abschließen, das Fahrzeug anmelden und es in Ihre Versicherungspolice aufnehmen, ohne jemals ein Blatt Papier unterschreiben zu müssen.

Aber eIDAS hat auch Bedenken aufgeworfen. Viele Interessengruppen sind der Meinung, dass sie Bürger und Unternehmen aufgrund ihres zentralisierten Charakters unnötig Risiken aussetzen könnte. Andere sind der Meinung, dass eIDAS zu weit geht, indem sie die Arten von digitalen Zertifikaten vorschreibt, denen Browser vertrauen können, und einige sind der Meinung, dass eIDAS es den EU-Mitgliedsländern erleichtert, ihre Bürger auszuspionieren.

Die Entwicklung von eIDAS zu eIDAS 2.0

eIDAS 1.0 hat zwar dazu beigetragen, digitale Räume sicherer zu machen, aber keinen umfassenden Schutz geboten. So konnte beispielsweise jeder Mitgliedstaat selbst entscheiden, wie er eIDAS umsetzen wollte, was zu uneinheitlichen Richtlinien von Land zu Land führte. Darüber hinaus umfassten die Vertrauensdienste nur elektronische Signaturen, Siegel und Zeitstempel. Die Verordnung schützte die Nutzer nicht vor gefälschten Websites, die Identitätsdiebstahl bezweckten.

eIDAS 2.0 versucht, diese Probleme durch die Einführung der European Union Digital Identity (EUDI) Wallet zu beheben, die digitale Transaktionen für Einzelpersonen und Organisationen einheitlicher machen soll.

Nutzer können Identifikationsinformationen wie Name, Geburtsdatum, Unterschrift, Wohnort und Telefonnummer in der EUDI-Wallet speichern. Wenn sie dann einen Kredit beantragen und der Kreditgeber beispielsweise nach Ausweisinformationen fragt, können sie die Daten direkt aus ihrer Wallet senden. Es ist nicht mehr nötig, Dokumente zu unterschreiben, zu faxen oder eine E-Signatur-Software eines Drittanbieters zu verwenden.

Durch die Einführung neuer Mechanismen und Vertrauensdienste deckt eIDAS 2.0 außerdem ein breiteres Spektrum digitaler Transaktionen ab. Ein bemerkenswertes Merkmal ist das Qualified Website Authentication Certificate (QWAC), das den digitalen SSL-Zertifikaten entspricht, die heute zur Validierung der Website-Authentizität verwendet werden. Version 2.0 umfasst auch elektronische Archive und Konten sowie Managementsysteme für elektronische Fernsignaturen.

Was ist eIDAS 2.0?

Zu den Hauptzielen von eIDAS 2.0 gehören:

• Erweiterung der Anzahl der Dienste, für die die Verordnung gilt, wie z. B. elektronische Zertifikate für die Authentifizierung
• Konsistentere Umsetzung elektronischer Transaktionen, insbesondere über die EUDI-Wallet
• Einbeziehung sichererer und bequemerer elektronischer Transaktionen in eine größere Bandbreite täglicher Aktivitäten, wie z. B. das Ausfüllen eines Mietvertrags, die Buchung eines Fluges oder die Bewerbung um eine Stelle

Es gibt drei Hauptkategorien von Entitäten im eIDAS-Ökosystem:

• Identitätsaussteller: Beispielsweise kann eine Regierungsbehörde persönliche Identifikationsdaten aus der Geburtsurkunde eines Benutzers ausstellen und den Geburtsort, den Namen, das Datum und die Eltern des Benutzers bescheinigen.
• Der Benutzer: Dies ist die Person oder Geschäftseinheit, die die Identifikationsdaten vom Aussteller erhält und ein Bürger oder Eigentümer einer Website sein kann, die ein QWAC erhält.
  
• Die vertrauende Partei: Die vertrauende Partei ist die Stelle, die die vom Benutzer bereitgestellte Identifikation verwendet. Dies kann eine Fluggesellschaft sein, die eine Flugbuchung akzeptiert, ein Krankenhaus, das Aufnahmeverfahren durchführt, oder ein Arbeitgeber, der ein Vorstellungsgespräch mit einem Bewerber führt.

Nachdem sich die Mitgesetzgeber am 29. Juni 2023 auf den Inhalt geeinigt hatten, trat eIDAS im September 2023 vollständig in Kraft.

Vorteile von eIDAS 2.0 für EU-Bürger und Unternehmen

EU-Unternehmen und -Bürger werden im Rahmen von eIDAS 2.0 bequemere, schnellere und potenziell sicherere elektronische Transaktionen erleben.

Für die Bürger werden Transaktionen viel schneller abgewickelt. So müssen sie beispielsweise beim Kauf eines Hauses möglicherweise keine Kopien ihres Reisepasses vorlegen oder diesen von einem Friedensrichter oder einer anderen beglaubigenden Stelle beglaubigen lassen. Sie legen einfach ihre EUDI-Wallets mit ihren digitalen Ausweisinformationen vor und wählen die Daten aus, die sie weitergeben möchten. Ebenso können Unternehmen von schnelleren, reibungsloseren und sichereren Transaktionen profitieren. Sie haben sofortigen Zugriff auf eine Vielzahl von Identifikationsinformationen, um zu überprüfen, ob Kunden die Personen sind, für die sie sich ausgeben.

Online-Transaktionen sind sowohl für Unternehmen als auch für Kunden sicherer und bequemer, selbst bei größeren Einkäufen. Kunden können ihre Identifikations-, Zahlungs- und Versandinformationen direkt aus ihren Wallets weitergeben, was Online-Unternehmen reibungslosere Einnahmequellen ermöglicht.

Auch grenzüberschreitende Transaktionen profitieren davon. In der Vergangenheit hatten Länder ihre eigenen Datenschutzgesetze, die Transaktionen, die eine gemeinsame Datennutzung erforderten, behinderten. eIDAS 2.0 arbeitet in Übereinstimmung mit den Grundsätzen der DSGVO, die für alle 27 Länder gelten.

eIDAS 2.0-Kontroversen

Ein qualifizierter Vertrauensdiensteanbieter (QTSP) ist eine natürliche oder juristische Person, die einen oder mehrere qualifizierte Vertrauensdienste anbietet. Es gibt Hunderte von QTSPs, von denen viele länderspezifisch sind. Die Gewährleistung der Zuverlässigkeit und der Cybersicherheitsmaßnahmen jedes QTSP kann eine Herausforderung darstellen. Dieses Problem hat zusammen mit anderen Bestimmungen von eIDAS 2.0 zu einigen Kontroversen geführt:

• eIDAS könnte den Weg für ein zentrales Verzeichnis von Zertifikaten ebnen, in dem alle von einigen oder allen Mitgliedstaaten ausgestellten QWACs enthalten sind. Das bedeutet, dass ein einziger Hack zu Sicherheitsverletzungen auf Tausenden von Websites in der gesamten EU führen könnte.
  
• eIDAS schränkt die Freiheit der Browserhersteller ein, indem sie gezwungen werden, mit QWACs von einem der zugelassenen Vertrauensdiensteanbieter zu arbeiten. Wenn ein Browserentwickler Bedenken hinsichtlich der Cybersicherheitspraktiken eines QTSP hat, muss er dennoch die von diesem QTSP ausgestellten QWACs anerkennen.
• Wenn eine europäische Regierung Bürger oder Unternehmen ausspionieren wollte, könnte sie sich Zertifikate und Schlüsselinformationen von QTSPs beschaffen.
  
• eIDAS legt fest, wie Browser Informationen über Organisationen anzeigen. Die Informationen müssen für Verbraucher leicht zu erkennen, zu verstehen und zu überprüfen sein. Einige Interessengruppen sind der Meinung, dass dies die Fähigkeit der Browserhersteller einschränkt, Benutzeroberflächen zu gestalten und eigene kreative Entscheidungen zu treffen.

All dies führt zu einer potenziellen Überregulierung. In Zukunft könnte die Regierung sogar beschließen, QTSPs auf der Grundlage fragwürdiger Kriterien zu zertifizieren, wie z. B. der Anzahl der Mitarbeiter oder des Landes, von dem aus sie tätig sind.

Wie geht es weiter?

eIDAS 2.0 befindet sich noch in der Anfangsphase. Die EUDI-Wallet startete im April 2023 mit Pilotversuchen, die sich auf mehrere Anwendungsfälle konzentrierten, darunter:

• Zugang zu Behördendiensten
• Eröffnung eines Bankkontos
• Registrierung von SIM-Karten
• Speicherung von Führerscheindaten
• Unterzeichnung von Verträgen
• Beantragung von Rezepten
• Reisen über Grenzen hinweg
• Ausstellung digitaler Organisationsidentitäten
• Annahme von Zahlungen
• Zertifizierung von Bildungsabschlüssen
  
• Zugang zu Sozialversicherungsleistungen

Wenn Behörden, Unternehmen und Bürger aus diesen Tests lernen, wird die Zukunft von eIDAS klarer. eIDAS ist darauf ausgerichtet, die Flüssigkeit und Sicherheit digitaler Transaktionen zu verbessern und zeitaufwändige, papierbasierte ID-Verifizierungssysteme auf breiter Front zu beseitigen.

Gleichzeitig glauben einige Interessengruppen, dass eIDAS 2.0 die Sicherheit von Website-Authentifizierungssystemen und Benutzerdaten gefährden könnte. Es könnte auch den Weg für staatliche Spionage und Überregulierung ebnen.

Sectigo bietet eIDAS-konforme digitale Zertifikate an, mit denen sowohl Privatpersonen als auch Unternehmen Dokumente sichern und digitale Signaturen effektiver nutzen können. Wenn Sie mehr erfahren möchten, wenden Sie sich an Sectigo.

Möchten Sie mehr erfahren? Nehmen Sie Kontakt auf und buchen Sie eine Demo von Sectigo Certificate Manager!

Verwandte Beiträge:

Leitfaden zur eIDAS-Verordnung und -Konformität

Root Causes 343: Die EIDAS-2.0-Kontroverse