eIDAS (electronic IDentification, Authentication and trust Services)

Definition

eIDAS steht für electronic IDentification, Authentication and trust Services. Gemeint ist die Verordnung (EU) Nr. 910/2014, die seit dem 1. Juli 2016 gilt und die frühere Signaturrichtlinie 1999/93/EG abgelöst hat.

Sie ist der Rahmen, in dem in Europa digitales Vertrauen rechtlich verankert wird: Sie legt fest, wann eine elektronische Signatur einer handschriftlichen Unterschrift gleichsteht, wer Zertifikate ausstellen darf, und woran man erkennt, dass ein Anbieter dazu berechtigt ist.

Für den Zahlungsverkehr ist eIDAS deshalb wichtig, weil praktisch jede Vertrauensbeziehung zwischen Instituten auf ihr aufsetzt – vom QWAC in der API-Verbindung bis zur EUDI Wallet beim Kunden.

Die zwei Säulen

Die Verordnung regelt zwei Bereiche:

Elektronische Identifizierung
Mitgliedstaaten können ihre nationalen eID-Systeme notifizieren; notifizierte Systeme müssen von den übrigen Mitgliedstaaten für den Zugang zu öffentlichen Diensten anerkannt werden. Artikel 8 unterscheidet dafür drei Sicherheitsniveaus „niedrig“, „substanziell“ und „hoch“.

Vertrauensdienste
Das ist der für Institute praktisch relevantere Teil: Zertifikate, Signaturen, Siegel, Zeitstempel und die Register, in denen steht, wer sie ausstellen darf.

Die Vertrauensdienste

Artikel 3 Nummer 16 zählt abschließend auf, was als Vertrauensdienst gilt. In der Fassung nach eIDAS 2.0 sind das unter anderem:

Die letzten drei sind mit eIDAS 2.0 hinzugekommen. Ebenso die Verwaltung von Fernsignatur und Fernsiegelerstellungseinheiten, also die Fälle, in denen der Schlüssel nicht auf einer Karte beim Nutzer liegt, sondern beim Anbieter.

Qualifiziert oder nicht – der entscheidende Unterschied

Jeder Vertrauensdienst kann qualifiziert oder nicht qualifiziert erbracht werden. Der Unterschied ist keine Frage der Technik, sondern des Status und der entscheidet über die Rechtsfolgen.

Ein Anbieter erhält den qualifizierten Status von der nationalen Aufsichtsstelle nach einer Konformitätsbewertung. Erst dann wird er in die Vertrauensliste eingetragen.

Woran das hängt:

• Eine qualifizierte elektronische Signatur hat nach Artikel 25 Absatz 2 „die gleiche Rechtswirkung wie eine handschriftliche Unterschrift“
• Ein qualifiziertes elektronisches Siegel genießt nach Artikel 35 Absatz 2 die Vermutung der Unversehrtheit und der Richtigkeit des Ursprungs
• Ein qualifizierter Zeitstempel begründet nach Artikel 41 die Vermutung der Richtigkeit von Datum und Uhrzeit

Nicht qualifizierte Dienste sind nicht verboten und nicht wertlos, sie sind nur ohne diese gesetzliche Relevanz. Wer sich auf sie stützt, trägt die Beweislast selbst.

Die Vertrauenslisten – der eigentliche Anker

Hier liegt der Mechanismus, der eIDAS im Alltag trägt und der in technischen Projekten am häufigsten übersehen wird.

Nach Artikel 22 führt jeder Mitgliedstaat eine Vertrauensliste der bei ihm zugelassenen qualifizierten Anbieter und ihrer Dienste. In Deutschland ist die Aufsichtsstelle die Bundesnetzagentur; sie „erstellt, führt und veröffentlicht die deutsche Vertrauensliste (engl. Trusted List) aller deutschen Anbieter qualifizierter Vertrauensdienste“. Nationale Rechtsgrundlage ist das Vertrauensdienstegesetz (VDG).

Die Liste ist ausdrücklich maschinenlesbar und liegt im XML-Format. Sie ist „nicht zum Lesen durch Menschen bestimmt“, sondern dafür gedacht, von Software ausgewertet zu werden.

Darüber liegt das Vertrauenslistenverzeichnis der EU, die List of Trusted Lists (LOTL). Sie verweist auf die Listen aller Mitgliedstaaten und ist damit der Einstiegspunkt für jede europaweite Prüfung.

Das ist der Unterschied zur Zertifikatswelt des Browsers. Ein gewöhnliches TLS-Zertifikat prüft man gegen den Wurzelspeicher, den der Hersteller des Betriebssystems oder Browsers pflegt, eine private Entscheidung ohne amtliches Verzeichnis. Ein qualifiziertes Zertifikat prüft man gegen ein staatlich geführtes Register. Genau diese Asymmetrie beschreibt der Eintrag zu EV-TLS.

eIDAS 2.0

Mit der Verordnung (EU) 2024/1183 vom April 2024 ist die eIDAS-Verordnung grundlegend geändert worden. Die sichtbarste Neuerung ist die EUDI Wallet, die jeder Mitgliedstaat bereitstellen muss.

Daneben stehen Änderungen, die den Rahmen selbst betreffen:

• neue Vertrauensdienste – Attributsbescheinigungen, Archivierung, Ledger
• die Registrierung vertrauender Beteiligter, die angeben müssen, welche Merkmale sie zu welchem Zweck abfragen
• Akzeptanzpflichten für Wallets in geregelten Sektoren, darunter Bankwesen und Finanzdienstleistungen

Mit den Attributsbescheinigungen verschiebt sich der Schwerpunkt: Es geht nicht mehr nur um die Frage „wer bist du“, sondern um „welche Eigenschaft kannst du nachweisen“.

Bezug zum Zahlungsverkehr

API-Verbindungen. Das QWAC ist das eIDAS-Zertifikat des Zahlungsverkehrs. Es identifiziert ein Institut gegenüber einem anderen und trägt in der Ausprägung nach PSD2 zusätzlich die aufsichtliche Rolle und die Kennung der zuständigen Behörde. Wer eine Gegenstelle prüft, prüft gegen die Vertrauensliste statt gegen einen Browser-Wurzelspeicher.

Empfängerprüfung. Im Verfahren nach Verification of Payee authentifizieren sich die beteiligten Institute gegenseitig mit Zertifikaten. Die Prüfung der Gegenseite gegen die Vertrauensliste ist dort ein fester Schritt des Handshakes.

Siegel statt Unterschrift. Für Institute ist meist nicht die Signatur der interessante Fall, sondern das Siegel: Es gehört einer juristischen Person und eignet sich für maschinell erzeugte Dokumente (Kontoauszüge, Bescheinigungen, Massenversand).

Identifizierung von Kunden. Über die Wallet und die notifizierten eID-Systeme wirkt eIDAS in die Sorgfaltspflichten hinein; ein Nachweis auf Sicherheitsniveau „hoch“ ist eine belastbare Grundlage für die Identifizierung.

Zur Einordnung der verschiedenen Zertifikatsarten im Institutsbetrieb siehe auch den Eintrag zu Zertifikaten.

Quellen

• Verordnung (EU) Nr. 910/2014 (eIDAS), konsolidierte Fassung
• Verordnung (EU) 2024/1183 (eIDAS 2.0)
• Bundesnetzagentur – Elektronische Vertrauensdienste
• Bundesnetzagentur – Deutsche Vertrauensliste und Vertrauenslistenverzeichnis der EU
• Deutsche Vertrauensliste (XML)
• Europäische Kommission – EU Trusted List Browser
• Vertrauensdienstegesetz (VDG)
• BSI – Vertrauensdienste