Das Gesetz schafft die nationalen Rechtsgrundlagen für die Einführung der Europäischen Brieftasche für die Digitale Identität (EUDI-Wallet) in Deutschland, für die die eIDAS-VO den Rahmen vorgibt. Der folgende Beitrag fasst die zentralen Regelungen des Regierungsentwurfs zusammen.
Inhaltsverzeichnis
Mit der eIDAS-VO wird die EUDI-Wallet als elektronisches Identifizierungsmittel eingeführt, in dem der Nutzer Personenidentifzierungsdaten und elektronische Attributsbescheinigungen (z.B. Ausbildungsnachweise, Führerschein) speichern und sie vertrauenden Beteiligten vorlegen kann. Die eIDAS-VO verpflichtet jeden Mitgliedsstaat mindestens eine EUDI-Wallet bereitzustellen. Zwar gilt die eIDAS-VO unmittelbar aber lässt bei der konkreten Ausgestaltung, z.B. in Hinblick auf Zuständigkeiten und Verfahren, den Mitgliedsstaaten noch Spielraum. Die wesentlichen Umsetzungsvorschriften für Deutschland sollen in einem Gesetz über die Europäische Brieftasche für die Digitale Identität (EBDIG) (Artikel 1 des Digitale Identitätengesetzes) gebündelt werden.
Das EBDIG regelt die folgenden wesentlichen Themen:
1. Behördliche Zuständigkeiten
- Das Bundesministerium für Digitales und Staatsmodernisierung (BMDS) wird zentral zuständig für die Bereitstellung der EUDIWallet, der Ausstellung von Personenidentifizierungsdaten und hat im Übrigen eine Auffangzuständigkeit für alle, keiner anderen Behörde oder Ministerium zugewiesene Aufgabe.
- Das Bundesverwaltungsamt ist zuständig für die Registrierung vertrauender Beteiligter und Validierungsmechanismen; eine Zuständigkeit, die schon für andere eIDAS Zertifikate bekannt ist.
- Das Bundesamt für Sicherheit in der Informationstechnik (BSI) ist zuständig für die nationale Zertifizierungssysteme, die Information der Nutzer bei Sicherheitsverletzungen und Maßnahmen bei Sicherheitsbeeinträchtigungen.
- Die Bundesnetzagentur ist die zuständige Aufsichtsbehörde für den EUDI-Wallet Rahmen und Anlaufstelle gemäß Art. 46c (1) eIDAS-VO.
Zusätzlich gibt es noch eine Akkreditierungsstelle (nach dem Akkreditierungsstellengesetz) für die Akkreditierung von Konformitätsbewertungsstellen.
2. Schnelle Entscheidung gewünscht: Drei mögliche Wege zur Bereitstellung der Wallet
Die eIDAS-VO erlaubt drei Modelle für die Bereitstellung einer EUDI-Wallet und die deutsche Umsetzung ermöglicht im Grundsatz alle drei:
(1) Unmittelbar durch die Bundesrepublik Deutschland (§ 4 EBDIG): Der Staat stellt die Wallet selbst bereit oder überträgt dies einer Behörde.
(2) Im Auftrag der Bundesrepublik Deutschland (§ 5 EBDIG): Vergabe als öffentlicher Auftrag an einen Auftragnehmer nach den vergaberechtlichen Vorschriften.
(3) Unabhängig von der Bundesrepublik Deutschland, aber von dieser anerkannt (§ 6 EBDIG): Private Anbieter können eine Anerkennung beantragen; die Einzelheiten des Anerkennungsverfahrens werden durch Rechtsverordnung festgelegt.
Das Gesetz legt sich jedoch nicht fest, ob auch alle drei Modelle gewählt werden, sondern überträgt die Entscheidung dem BMDS, das eines, mehrere oder alle drei Modelle parallel wählen kann, obgleich diese Unsicherheit im Gesetzgebungsverfahren mehrfach kritisiert wurde. Denn die Zeit läuft und Investitionen in eine deutsche EUDI-Wallet werden nicht getätigt werden, wenn nicht klar ist, dass es für private Anbieter überhaupt eine Chance gibt, anerkannt zu werden. Hier ist also vielleicht doch bereits eine Vorentscheidung des Gesetzgebers getroffen worden. Die Entscheidung über die Bereitstellungsart wird erst mit ihrer Bekanntgabe im Bundesanzeiger wirksam. Das BMDS kann seine Entscheidung für eines oder mehrere Modelle nach pflichtgemäßem Ermessen auch noch anpassen. Eine zahlenmäßige Beschränkung ist bei der Anerkennung privater Anbieter ausdrücklich unzulässig.
3. Regelungen zum Betrieb des EUDI-Wallet
- Gültigkeit und Widerruf: Eine ausgestellte Wallet ist grundsätzlich gültig. Der Widerruf erfolgt auf Veranlassung der zuständigen Behörde oder auf Wunsch des Nutzers durch den Brieftaschenanbieter. Bei Sicherheitsverletzungen kann das BSI die Bereitstellung und Nutzung aussetzen.
- Personenidentifizierungsdaten: Die vom BMDS bestimmte Behörde ist Anbieter von Personenidentifizierungsdaten. Für Kaufleute und eintragungsfähige juristische Personen sind die jeweiligen Register (Handels-, Genossenschafts-, Gesellschafts-, Partnerschafts-, Stiftungs- und Vereinsregister) authentische Quelle im Sinne der eIDAS-VO. Für weitere Rechtsträger wie Gebietskörperschaften, öffentlich-rechtliche Stiftungen und Anstalten oder Rechtsträger ausländischer Rechtsform fungiert ergänzend das Register über Unternehmensbasisdaten als authentische Quelle.
- Registrierung vertrauender Beteiligter: Das Bundesverwaltungsamt registriert Unternehmen und andere Stellen, die als vertrauende Beteiligte Daten aus der Wallet abrufen möchten, und führt die entsprechende Liste zentral für das gesamte Bundesgebiet. Eine Registrierung ist abzulehnen, wenn tatsächliche oder rechtliche Gründe entgegenstehen. Das Gesetz bleibt an dieser Stelle vage, was Gründe für die Ablehnung sein können und sieht auch wenig Konkretes zum Ablauf des Verfahrens vor. Für vertrauende Beteiligte, die gesetzlich gezwungen werden, die EUDI-Wallet zu akzeptieren (vgl. Artikel 5f eIDAS-VO), gibt das Gesetz daher keine Hilfe, sich vorzubereiten.
- Interoperabilität: Die Wallet soll mit den Nutzerkonten des Onlinezugangsgesetzes und dem Nationalen Once-Only-Technical-System (NOOTS) verknüpft werden können, etwa für die Anmeldung im Portalverbund oder den Datenaustausch über das jeweilige Postfach.
Wichtig zu wissen ist, dass das EBDIG auch für Wallets gilt, die nicht den vollen Funktionsumfang wie ihn die eIDAS vorgibt, aufweisen. Dadurch soll verhindert werden, dass bewusst limitiere Wallets angeboten werden, um den Regularien zu umgehen.
4. Verwendung der EUDI-Wallet
- Als elektronisches Identifizierungsmittel: Überall dort, wo Gesetze einen elektronischen Identitätsnachweis nach dem Personalausweisgesetz, dem eID-Karte-Gesetz oder dem Aufenthaltsgesetz vorsehen, kann der Nachweis künftig auch über die Wallet erbracht werden, das ist letztlich nichts Neues, da bereits durch die eIDAS-VO vorgegeben, sondern nur die Übersetzung der eIDAS in die deutsche Rechtslandschaft. Für die Verwaltung von Vertretungsbefugnissen (etwa organschaftliche oder gesetzliche Vertretung) sind die natürlichen und juristischen Personen selbst verantwortlich; der Nachweis erfolgt über elektronische Attributsbescheinigungen, die mit authentischen Quellen verknüpft sind. § 15 EBDIG stellt damit auch klar, dass Artikel 5f eIDAS-VO entgegen seiner Überschrift nicht nur für grenzüberschreitendende, sondern auch für inländische Sachverhalte gilt.
- Elektronische Attributsbescheinigungen: Nach Ablauf einer Übergangsfrist von 24 Monaten nach Verkündung des Gesetzes müssen Bundesbehörden ihre auf Antrag ausgestellten Entscheidungen und Dokumente auf Verlangen auch als elektronische Attributsbescheinigung ausstellen. Solche Bescheinigungen stehen im Anwendungsbereich des Bundesrechts der gesetzlich vorausgesetzten Schriftform gleich, soweit diese nicht ausdrücklich ausgeschlossen oder mit zusätzlichen Anforderungen (etwa qualifizierter elektronischer Signatur) verbunden ist. Die in der Praxis jedoch wichtigen Bescheinigungen von Landesbehörden sind nicht umfasst.
- NFC- und RFID-Berechtigungen: Das Gesetz erlaubt grundsätzlich die Einbindung von NFC- und RFID Berechtigungen oder technologisch ähnlicher Verfahren in die EUDI-Wallet allerdings nur, wenn dadurch keine Beeinträchtigung der Funktionen der Wallet, der Sicherheit oder unangemessene Risiken für Nutzer entstehen.
Wichtig zu wissen für Zahlungsdienstleister: Einbindung von Zahlungsmethoden
Nach § 17 EBDIG, darf die EUDI-Wallet als Zusatzfunktion bestehende Zahlungsmethoden (das Gesetz spricht allerdings von Zahlungsmitteln) des Nutzers einbinden, die von einem zugelassenen Zahlungsdienstleister bereitgestellt werden. Damit wird implizit auch klargestellt, dass nicht der EUDI-Wallet Anbieter die Erlaubnis als Zahlungsdienstleister aufweisen muss, sondern den der Dienstleister des vom Nutzer gewählten Zahlungsmittels. Wer und wie viele Zahlungsdienstleister zugelassen werden, bleibt offen und der noch zu erlassenden Verordnung vorbehalten, die jedoch einen nicht diskriminierenden Zugang ermöglichen muss. Auch hier muss sich der Markt weiter gedulden, unter welchen konkreten Voraussetzungen eine Einbindung möglich sein wird.
Die Einbindung steht unter dem Vorbehalt, dass die Kernfunktionen oder die Sicherheit der Wallet nicht beeinträchtigt werden oder unangemessene Risiken für Nutzer, vertrauende Beteiligte oder den Rechtsverkehr schafft (ähnliche Regelung bei NFC/RFID Berechtigung, s.o.). Die geplante Einbindung ist mindestens drei Monate vor ihrer Verwendbarkeit dem BSI anzuzeigen.
Keine Regelung trifft das Gesetz zur heiß diskutierten Haftungsverteilung zwischen Wallet-Anbieter, Zahlungsdienstleister und vertrauendem Beteiligten, falls etwas schiefläuft. Hier müssen dann wohl vertragliche Regelungen gefunden werden, wobei dies für vertrauende Beteiligte, keine Hilfe ist, weil diese gemäß Artikel 5f eIDAS-VO die EUDI-Wallet zumindest zur Identifizierung und starken Kundenauthentifizierung gesetzlich akzeptieren müssen und daher in der Regel keinen Vertrag mit dem Wallet-Anbieter haben.
Änderungen im Geldwäschegesetz
Neben der Einführung des EBDIG enthält das Digitale Identitätengesetz auch noch weitere Artikel, die bestehende Gesetze ändern. Hervorzuheben sind die Änderungen im GwG:
Weiteres Identifizierungsmittel
Die EUDI-Wallet wird als weiteres Identifizierungsmittel in § 12 Abs.1 GwG als neue Nummer 4a eingeführt. Das erscheint redundant, weil in Nr. 4 bereits jetzt notifizierte elektronische Identifizierungssysteme genannt sind, allerdings werden auch elektronische Identitätsausweis des Personalausweises, die eID-Karte und der elektronische Aufenthaltstitel bereits jetzt in Nr. 2 separat genannt, auch wenn es sich um notifizierte Identifizierungssysteme handelt. So bleibt die Vorschrift stringent doppelt gemoppelt.
Aufzeichnungspflicht
Klargestellt wird in einem neuen § 8 Abs. 2 Satz 9 GwG auch, dass die Durchführung des Authentifizierung- und Validierungsverfahrens aufzuzeichnen ist. Eine lange Gültigkeit werden die Regelungen nicht haben, denn am 10. Juli 2027 tritt die AML-VO in Kraft.
Keine Referenzüberweisung bei QES mehr
Trotzdem regelt das Gesetz für diesen Übergangszeitraum eine von der EUDI-Wallet unabhängige Neuerung: Die Referenzüberweisung, die bislang bei der Nutzung einer qualifizierten elektronischen Signatur als Identitätsnachweis gemäß § 12 Abs. 1 Satz 3 GwG notwendig war, fällt in Hinblick auf die zukünftige Rechtslage unter der AML-VO weg.
Erstaunliches für Jung und Alt
Der Regierungsentwurf enthält auch eine Experimentierklausel, nach der das BMDS befristete Abweichungen vom EBDIG zulassen kann, beispielsweise könnten damit Personenidentifzierungsdaten nach einer Risikoabwägung schon für Personen ab einem Alter von 13 Jahren ausgestellt werden. Kinder an die EUDI-Wallet!
Den Älteren mutet der Gesetzgeber hingegen weniger zu und regelt, unabhängig vom EUDI-Wallet, durch eine Änderung des Personalausweisgesetzes, dass Personen, die ihren Personalausweis im Alter von mindestens 70 Jahren beantragt haben, diesen unbegrenzt weiterverwenden können, was allerdings nicht für die eID-Funktion gilt.
Kritik am Gesetzesentwurf
Die Kritik fokussiert sich vor allem darauf, dass wesentliche Regelungen erst durch eine Rechtsverordnung des BMDS getroffen werden, etwa zur Art der Bereitstellung, zu zusätzlichen Funktionen, zum Anerkennungsverfahren für private Anbieter (sofern diese überhaupt zugelassen werden), zur Anforderung an die Einbindung von Zahlungsanbietern und zur möglichen Akzeptanz- bzw. Ausstellungspflicht von elektronischen Attributsbescheinigungen durch Unternehmen. Das verzögert die wichtige Entscheidungsgrundlage für Unternehmen weiter (schließlich soll Ende des Jahres die EUDI-Wallet an den Start gehen) und ist auch rechtsstaatlich etwas fragwürdig, wenn die wesentlichen Entscheidungen in einer Rechtsverordnung verschoben werden.
