Jetzt steht es fest: Die europäische digitale Brieftasche kommt. Aus Sicht von Beobachtern bringt der im Trilog erzielte Kompromiss etliche Verbesserungen im Vergleich zum ursprünglichen Kommissionsentwurf. Bürgerrechtsgruppen und Datenschützer:innen warnen jedoch davor, dass Staaten durch die Wallet eine „panoptische Vogelperspektive“ erhielten.

09.11.2023 Autor Daniel Leisegang auf Mastodon

„Wir haben es geschafft“, jubilierte EU-Kommissar Thierry Breton. Und Nadia Calviño, die Vize-Premierministerin Spaniens, deren Land derzeit den Vorsitz im Rat der EU innehat, versprach, dass die Einigung zur eIDAS-2.0-Verordnung „den Bürgerinnen und Bürgern in der neuen digitalen Welt eine Identität geben und unseren Binnenmarkt vertiefen wird – zum Nutzen der Innovation, der Privatsphäre, der Sicherheit und der Europäischen Union“

Den lang erhofften „Deal“ schlossen EU-Kommission, der Ministerrat und das EU-Parlament am Mittwoch. In einem finalen politischen Trilog haben sie sich auf einen Kompromisstext geeinigt. Damit geht das größte digitalpolitische Projekt der Europäischen Union nun in die Phase der Umsetzung.

Die eIDAS-Reform legt das rechtliche Fundament für die sogenannte „European Digital Identity Wallet“ (ID-Wallet). Demnach müssen bis zum Jahr 2026 alle 27 EU-Mitgliedstaaten ihren Bürger:innen eine digitale Brieftasche anbieten, mit der sie sich dann on- wie offline und in fast allen Lebensbereichen ausweisen können.

Zwei Jahre Verhandlungen

Clemens Schleupner, Referent für Vertrauensdienste & Digitale Identitäten beim Digitalverband Bitkom begrüßt die Einigung: „ID Wallets können sowohl Kosten sparen, indem Identifizierungsprozesse – zum Beispiel bei Banken – schneller und kostengünstiger durchgeführt werden können. Grundsätzlich bieten ID Wallets eine Vielzahl von Möglichkeiten, die heute noch nicht vollständig abzuschätzen sind, und zwar branchenübergreifend.“

Den entsprechenden Verordnungsentwurf dafür hat die Kommission im Juni 2021 vorgelegt. Er soll die eIDAS-Verordnung aus dem Jahr 2014 reformieren, die den sicheren Zugang zu öffentlichen Diensten sowie die Durchführung von Online-Transaktionen und grenzüberschreitenden Transaktionen in der EU regelt.

Datenschützer:innen und Bürgerrechtler:innen kritisierten das Vorhaben von Beginn an aus zwei zentralen Gründen. Zum einen drohe die Reform eine technische Infrastruktur zu schaffen, die es theoretisch ermöglicht, EU-Bürger:innen on- wie offline massenhaft zu identifizieren und zu überwachen. Zum anderen könnten nicht nur öffentliche, sondern auch private Stellen – also etwa Unternehmen – die Wallet einsetzen und ihre Kunden damit potentiell umfassend ausspähen.

Einige der Risiken, die der Ursprungsentwurf barg, wurden im Zuge der zurückliegenden Verhandlungen minimiert oder ausgeräumt. Andere bestehen aus Sicht von Bürgerrechtler:innen weiterhin – und sind so groß, dass Kritiker:innen eindringlich vor einer Nutzung der ID-Wallet warnen.

Der gelöschte Super-Cookie

Über die fortbestehenden Probleme können die erzielten Verbesserungen nicht hinwegtäuschen. Zu Letzteren zählt vor allem die Streichung einer eindeutigen, dauerhaften Personenkennziffer (Unique identifier). Dieser „Super-Cookie“ hätte aus Sicht von Datenschützer:innen und Bürgerrechtler:innen geradezu zum Tracking und Profiling eingeladen. Eine solche Kennziffer soll nun nur noch optional bei grenzüberschreitenden Verwaltungsvorgängen zum Einsatz kommen.

Stattdessen sollen sich die Wallet-Nutzer:innen im Alltag allein mit ihren personenbezogenen Daten, einem Pseudonym oder einem sogenannten Zero Knowledge Proof (zu Deutsch: Null-Wissen-Beweis) identifizieren. Damit können die Nutzer:innen ihre Identität bestätigen, ohne persönliche Informationen über sich preiszugeben.

Allerdings hat die Identifizierung nach wie vor einen Haken: Denn das Recht auf Pseudonymität kann laut dem Kompromiss durch nationales oder durch EU-Recht eingeschränkt werden. Und der Zero Knowledge Proof findet sich im beschlossenen Kompromissentwurf nur als Forderung in den erläuternden Recitals (Erwägungsgründen) der Verordnung und stellt für die EU-Mitgliedstaaten damit keine Verpflichtung dar.

Schutz vor Diskriminierung und Verlinkung

Immerhin: Wer sich gegen den Einsatz der ID-Wallet entscheidet, soll keine Nachteile erleiden. Der Kompromissentwurf sieht – anders als der Kommissionsvorschlag – explizit einen Schutz vor Diskriminierung für Menschen vor, die sich gegen eine Nutzung entscheiden.

Jene, die die Wallet nutzen, sollen nachvollziehbar und transparent darüber bestimmen können, welche Daten sie etwa gegenüber sogenannte relying parties preisgeben und welche nicht. Diese vertrauenswürdigen Parteien, gegenüber denen Nutzer:innen ihre Identität bestätigen, müssen sich vorab in den jeweiligen EU-Mitgliedstaaten registrieren und darlegen, welche Daten sie zu welchem Zweck von den Nutzer:innen anfordern werden. Über ein sogenanntes Datenschutzcockpit können die Nutzer:innen einsehen, welche Daten von ihnen abgefragt und geteilt wurden – und gegebenenfalls Beschwerden einreichen.

Außerdem legt der Kompromiss fest, dass verschiedene Identifikationsvorgänge nicht miteinander verknüpft werden dürfen. Der Schutz der Transaktionsdaten war bis zum Tag der Einigung umkämpft. Transaktionsdaten zeigen an, wann, wie und wo Nutzer:innen die Wallet einsetzen, sie bilden also das konkrete Nutzungsverhalten ab.

Artikel 6a zufolge muss die ID-Wallet dafür „Techniken zur Wahrung der Privatsphäre ermöglichen, die die Unverknüpfbarkeit gewährleisten, wenn die Bescheinigung von Attributen keine Identifizierung des Nutzers erfordert.“ Konkret heißt das: Kauft eine Person also beispielsweise in dem gleichen Geschäft wiederholt Alkohol und belegt dabei mit ihrer ID-Wallet ihr Alter, dann kann das Unternehmen die unterschiedlichen Vorgänge nicht miteinander verknüpfen, um so das Kaufverhalten dieser Person über eine längere Zeitspanne zu tracken.

QWACS: Zertifizierte Unsicherheit

Mindestens ebenso umstritten waren auch die Vorgaben zu Zertifikaten. Bis zuletzt hatten die Trilog-Partner um Artikel 45 und damit um die Frage gerungen, ob die Verordnung Browseranbieter dazu verpflichten soll, bestimmte qualifizierte Zertifikate (QWACs) zu akzeptieren. Bereits Artikel 22 der bestehenden eIDAS-Verordnung verpflichtet Mitgliedstaaten dazu, vertrauenswürdige Listen von qualifizierten Vertrauensdiensteanbietern zu erstellen, zu führen und zu veröffentlichen. Der Kompromisstext sieht darüber hinaus vor, dass Browser die in dem Zertifikat bescheinigten Identitätsdaten „in einer benutzerfreundlichen Weise“ anzeigen, wenn diese eine bestimmte Webseite besuchen.

Zertifikate sollen im Internet die Authentizität, Integrität und Vertraulichkeit der Kommunikation sicherstellen. Sie werden in der Regel von sogenannten Trusted Root Certificate Authorities ausgegeben. Das sind Unternehmen oder Körperschaften, die Zertifikate nach strengen Prüfverfahren validieren, ausstellen und widerrufen. Diesen funktionierenden selbstregulierten Genehmigungsmechanismus umgeht die EU durch die staatlichen Listen – mit womöglich dramatischen Folgen.

Staatliche Behörden könnten, so argumentieren Kritiker:innen, die Zertifikate dazu missbrauchen, um Webseiten zu kompromittieren und so die Internetkommunikation potentiell aller EU-Bürger:innen auszuspähen. Länder wie Kasachstan, China und Russland haben dies in der Vergangenheit getan. Entsprechend alarmiert hatten sich sowohl Bürgerrechtsorganisationen, IT-Sicherheitsexpert:innen und Entwickler:innen im Vorfeld der gestrigen Entscheidung geäußert.

Der Kompromiss sieht zwar vor, dass Browseranbieter selbst darüber entscheiden können, auf welche Weise sie Domains authentifizieren und die Internetkommunikation verschlüsseln. Wörtlich heißt es in einer Ergänzung zum Recital 32 bezüglich QWACs: „Die Verpflichtung zur Anerkennung, Interoperabilität und Unterstützung qualifizierter Zertifikate für die Website-Authentifizierung berührt nicht die Freiheit der Webbrowser, die Sicherheit des Internets, die Domänenauthentifizierung und die Verschlüsselung des Internetverkehrs in einer Weise und mit der Technologie zu gewährleisten, die diese für am besten geeignet halten.“

Allerdings findet sich diese Ergänzung in den Erwägungsgründen der Verordnung, aus denen sich keine bindenden Rechtsfolgen ableiten lassen. Die Hoffnung ruht daher nun auf Browseranbietern wie Mozilla, die sich frühzeitig gegen QWACs ausgesprochen haben. Auch das Sicherheitsteam von Chrome kritisiert die Pläne der EU. Sie befürchten, dass ihnen mit den QWACs eine schwache Verschlüsselung aufgezwungen wird. Die Anbieter könnten nun dazu übergehen, jeweils zwei verschiedene Varianten ihrer Browser anzubieten: eine unsichere für die EU und eine intakte für den Rest der Welt.

Blankoscheck zur Online-Überwachung

Die eIDAS-2.0-Reform würde es staatlichen Behörden aber nicht nur ermöglichen, den Internetverkehr auszuspähen, sondern sie könnten theoretisch auch die Wallets ihrer Bürger:innen einsehen.

Technisch wäre dies leicht zu verhindern gewesen. Das EU-Parlament hatte in seiner Position zum Verordnungsentwurf gefordert, die Wallet so zu gestalten, dass Transaktionsdaten nicht zentral erfasst werden. Der nun vereinbarte Kompromiss sieht nur eine logische Trennung dieser Daten vor. Mit den entsprechenden Befugnissen ist ein Zugriff und damit eine Zusammenführung der Daten theoretisch möglich.

Thomas Lohninger von der Bürgerrechtsorganisation epicenter.works zieht daher ein negatives Resümee der gestrigen Einigung: „Leider war der Zeitdruck der Verhandler am Ende stärker als ihre Sorgfalt. Bei diesem wichtigen Thema könnten wir das noch alle bereuen.“ Trotz der Verbesserungen, die in den vergangenen Monaten erzielt worden seien, warnt Lohninger vor dem neuen System: „Alles was man darüber tut, kann von staatlicher Seite eingesehen werden. Nachdem die Wallet in allen Lebensbereichen eingesetzt werden soll, hat der Staat damit die panoptische Vogelperspektive auf alles, was die Bevölkerung mit der Wallet macht“, so Lohninger.

„Diese Verordnung ist ein Blankoscheck zur Online-Überwachung der Bürger und gefährdet unsere Privatsphäre und Sicherheit im Internet“, kritisiert auch Patrick Breyer, Abgeordneter der Piratenpartei im Europäischen Parlament. „Dieser Deal opfert unverzichtbare Anforderungen im Verhandlungsmandat des Europäischen Parlaments, die die ID-Wallet datenschutzfreundlich und sicher gemacht hätten.“

Eine Wallet für alle EU-Bürger:innen bis 2030

Diese Befürchtungen lassen sich im weiteren legislativen Prozess wohl kaum noch ausräumen. Nach der gestrigen Entscheidung wird es noch ein „technisches Treffen“ geben, wo der Kompromisstext juristisch bereinigt wird. Wesentliche Änderungen sind dabei nicht mehr geplant.

Im Anschluss daran werden Rat und Parlament die Verordnung formell verabschieden. Der Rat tut dies planungsgemäß noch im Dezember dieses Jahres; das Parlament stimmt voraussichtlich am 28. November im ITRE-Ausschuss und im Februar 2024 im Plenum ab. Die Verordnung könnte dann frühestens im nächsten Frühjahr in Kraft treten. Bis zum Herbst 2026 müssten alle Mitgliedstaaten ihren Bürger:innen dann eine ID-Wallet anbieten. Geht es nach der Kommission sollen alle EU-Bürger:innen bis 2030 über eine digitale Identität verfügen.

Parallel zum legislativen Entscheidungsprozess werden aber noch etliche technische Fragen geklärt. Hier lassen sich möglicherweise noch einige der offenen Schlupflöcher schließen. Fest steht bereits, dass die ID-Wallets der jeweiligen Mitgliedstaaten auf der gleichen technischen Architektur (Architecture Reference Framework) basieren sollen, um so EU-weit genutzt werden zu können. Die Details dafür erarbeitet eine technische Arbeitsgruppe.

Der Bundestagsabgeordnete Markus Reichel (CDU) blickt mit Spannung auf deren Tätigkeit in den kommenden Monaten und erwartet von der Bundesregierung ein starkes Bekenntnis zum Datenschutz: „Ohne die explizite Einwilligung des Nutzers, sollten keine Daten geteilt werden können. Genau dafür muss sich die Bundesregierung in den Verhandlungen einsetzen. In der technischen Umsetzung muss die Unbeobachtbarkeit und die Unverknüpfbarkeit der Nutzungsdaten großgeschrieben werden“, so Reichel. Der Erfolg der Wallet hänge von der Sicherheit und dem Datenschutz ab. „Umso wichtiger ist es, diesen für sichere digitale Identitäten auch in der Architektur zu gewährleisten“, sagt der Abgeordnete.

Auch Clemens Schleupner vom Branchenverband bitkom erhofft sich noch Verbesserungen: „Es gibt noch zu viel Interpretationsspielraum für die Mitgliedsstaaten bei technischen Ausgestaltungen wie zum Beispiel bei der Frage, ob nur der Staat oder auch die Privatwirtschaft Wallets herausgeben darf.“ Langfristig könne die europäische digitale Brieftasche den Anstoß dafür geben, verschiedene Sektoren konsequent zu digitalisieren, vor allem die Verwaltung. -von Netzpolizik.org-