[sydneyfan]

EU-Gesetzgeber einigen sich auf Digitale Brieftasche
9. November 2023

Neu Ära des digitalen Jahrzehnts: EU-Gesetzgeber einigen sich auf Digitale Brieftasche

Mit einer digitalen Brieftasche sollen sich Bürgerinnen und Bürger in Zukunft in der ganzen EU ausweisen können: Das Europäische Parlament und die Minister der Mitgliedstaaten im Rat haben im abschließenden Trilog eine endgültige Einigung über die Verordnung zur europäischen digitalen Identität erzielt.

Die EU-Kommission begrüßte den Beschluss, Vizepräsidentin V?ra Jourová sagte: „Die Brieftasche für digitale Identitäten wird eine neue Ära des digitalen Jahrzehnts einläuten, da sie eine bequeme und sichere Möglichkeit darstellt, persönliche digitale Dokumente zu verwalten und täglich auf öffentliche und private Online-Dienste zuzugreifen. Die Europäerinnen und Europäer werden die Kontrolle über ihre persönlichen Daten haben und diese, wenn sie es wünschen, über eine App auf ihrem Telefon weitergeben können.“

EU-Binnenmarktkommissar Thierry Breton ergänzte: „Die heutige Einigung ist ein wichtiger Schritt auf dem Weg zum EU-Ziel für 2030, allen europäischen Bürgern die Möglichkeit zu geben, eine sichere und die Privatsphäre schützende digitale Identität zu nutzen. Die EU-Brieftasche für digitale Identitäten wird den Bürgern die Kontrolle über ihre Daten geben und die Sicherheit bei der Nutzung von Online-Diensten erhöhen. Sie wird die technologische Souveränität Europas stärken und uns helfen, die heutigen und zukünftigen Herausforderungen der Digitalisierung zu bewältigen.“
Digitale Dekade

Die Einigung ist ein wichtiger Schritt auf dem Weg zu den Zielen der Digitalen Dekade 2030 für die Digitalisierung der öffentlichen Dienste. Alle EU-Bürger werden die Möglichkeit haben, eine digitale EU-Identitätskarte zu besitzen. Damit können sie öffentliche und private Online-Dienste in ganz Europa in voller Sicherheit und unter Wahrung des Schutzes persönlicher Daten nutzen.
Online-Plattformen

Neben den öffentlichen Diensten müssen auch die im Rahmen des Gesetzes über digitale Dienste benannten sehr großen Online-Plattformen (einschließlich Diensten wie Amazon, Booking.com oder Facebook) und private Dienste, die gesetzlich verpflichtet sind, ihre Nutzer zu authentifizieren, den digitalen Identitätsnachweis für die Anmeldung bei ihren Online-Diensten akzeptieren.

Darüber hinaus werden die Funktionen und gemeinsamen Spezifikationen es für alle privaten Dienste-Anbieter attraktiv machen, diesen für ihre Dienste zu akzeptieren, wodurch neue Geschäftsmöglichkeiten entstehen. Der digitale Identitätsnachweis wird es den Dienstleistern auch erleichtern, die verschiedenen rechtlichen Anforderungen zu erfüllen.
Aufbewahrung von Dokumenten

Neben der sicheren Speicherung ihrer digitalen Identität können die Nutzer mit der Brieftasche auch Bankkonten eröffnen, Zahlungen tätigen und digitale Dokumente wie einen mobilen Führerschein, ein ärztliches Rezept, ein Berufszertifikat oder ein Reiseticket aufbewahren.
Online-Identifizierung

Die digitale Brieftasche wird eine benutzerfreundliche und praktische Alternative zur Online-Identifizierung bieten, die durch EU-Recht garantiert ist. Sie wird die Entscheidung des Nutzers, ob er persönliche Daten weitergeben will oder nicht, in vollem Umfang respektieren und ein Höchstmaß an Sicherheit bieten, die von unabhängiger Seite nach denselben Standards zertifiziert wird. Relevante Teile ihres Codes werden als Open Source veröffentlicht. Das soll jede Möglichkeit des Missbrauchs, der illegalen Verfolgung, des Aufspürens oder des Abhörens durch Behörden ausschließen.
Datenschutz

Die Brieftasche wird ein Dashboard aller Transaktionen enthalten, auf das ihr Inhaber Zugriff hat. Sie wird die Möglichkeit bieten, mutmaßliche Datenschutzverletzungen zu melden, und sie wird die Interaktion zwischen Brieftaschen ermöglichen. Darüber hinaus werden die Bürgerinnen und Bürger in der Lage sein, die Brieftasche mit bestehenden nationalen eID-Systemen zu verbinden und von kostenlosen eSignaturen für nichtprofessionelle Zwecke zu profitieren.
Nächste Schritte

Die von den Mitgesetzgebern erzielte Einigung muss nun vom Europäischen Parlament und vom Rat formell angenommen werden. Nach der förmlichen Verabschiedung wird der europäische Rahmen für die digitale Identität am 20. Tag nach seiner Veröffentlichung im Amtsblatt in Kraft treten.

Die Mitgliedstaaten müssen ihren Bürgern innerhalb von 24 Monaten nach Verabschiedung von Durchführungsrechtsakten, in denen die technischen Spezifikationen für die EU-Geldbörse für digitale Identitäten und die technischen Spezifikationen für die Zertifizierung festgelegt sind, EU-Geldbörsen für digitale Identitäten zur Verfügung stellen. Diese Durchführungsrechtsakte, die 6 bzw. 12 Monate nach Annahme der Verordnung erlassen werden sollen, stützen sich auf die Spezifikationen, die im Rahmen der EU-Toolbox für digitale Identitäten entwickelt wurden, und legen harmonisierte Bedingungen für die Einführung der Geldbörsen in ganz Europa fest.

Quelle:
[ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]


Digitale Brieftasche mit Ausspähgarantie
09.11.2023
Daniel Leisegang

Jetzt steht es fest: Die europäische digitale Brieftasche kommt. Aus Sicht von Beobachtern bringt der im Trilog erzielte Kompromiss etliche Verbesserungen im Vergleich zum ursprünglichen Kommissionsentwurf. Bürgerrechtsgruppen und Datenschützer:innen warnen jedoch davor, dass Staaten durch die Wallet eine „panoptische Vogelperspektive“ erhielten.

„Wir haben es geschafft“, jubilierte EU-Kommissar Thierry Breton. Und Nadia Calviño, die Vize-Premierministerin Spaniens, deren Land derzeit den Vorsitz im Rat der EU innehat, versprach, dass die Einigung zur eIDAS-2.0-Verordnung „den Bürgerinnen und Bürgern in der neuen digitalen Welt eine Identität geben und unseren Binnenmarkt vertiefen wird – zum Nutzen der Innovation, der Privatsphäre, der Sicherheit und der Europäischen Union“

Den lang erhofften „Deal“ schlossen EU-Kommission, der Ministerrat und das EU-Parlament am Mittwoch. In einem finalen politischen Trilog haben sie sich auf einen Kompromisstext geeinigt. Damit geht das größte digitalpolitische Projekt der Europäischen Union nun in die Phase der Umsetzung.

Die eIDAS-Reform legt das rechtliche Fundament für die sogenannte „European Digital Identity Wallet“ (ID-Wallet). Demnach müssen bis zum Jahr 2026 alle 27 EU-Mitgliedstaaten ihren Bürger:innen eine digitale Brieftasche anbieten, mit der sie sich dann on- wie offline und in fast allen Lebensbereichen ausweisen können.
Zwei Jahre Verhandlungen

Clemens Schleupner, Referent für Vertrauensdienste & Digitale Identitäten beim Digitalverband Bitkom begrüßt die Einigung: „ID Wallets können sowohl Kosten sparen, indem Identifizierungsprozesse – zum Beispiel bei Banken – schneller und kostengünstiger durchgeführt werden können. Grundsätzlich bieten ID Wallets eine Vielzahl von Möglichkeiten, die heute noch nicht vollständig abzuschätzen sind, und zwar branchenübergreifend.“

Den entsprechenden Verordnungsentwurf dafür hat die Kommission im Juni 2021 vorgelegt. Er soll die eIDAS-Verordnung aus dem Jahr 2014 reformieren, die den sicheren Zugang zu öffentlichen Diensten sowie die Durchführung von Online-Transaktionen und grenzüberschreitenden Transaktionen in der EU regelt.

Datenschützer:innen und Bürgerrechtler:innen kritisierten das Vorhaben von Beginn an aus zwei zentralen Gründen. Zum einen drohe die Reform eine technische Infrastruktur zu schaffen, die es theoretisch ermöglicht, EU-Bürger:innen on- wie offline massenhaft zu identifizieren und zu überwachen. Zum anderen könnten nicht nur öffentliche, sondern auch private Stellen – also etwa Unternehmen – die Wallet einsetzen und ihre Kunden damit potentiell umfassend ausspähen.

Einige der Risiken, die der Ursprungsentwurf barg, wurden im Zuge der zurückliegenden Verhandlungen minimiert oder ausgeräumt. Andere bestehen aus Sicht von Bürgerrechtler:innen weiterhin – und sind so groß, dass Kritiker:innen eindringlich vor einer Nutzung der ID-Wallet warnen.

Der gelöschte Super-Cookie

Über die fortbestehenden Probleme können die erzielten Verbesserungen nicht hinwegtäuschen. Zu Letzteren zählt vor allem die Streichung einer eindeutigen, dauerhaften Personenkennziffer (Unique identifier). Dieser „Super-Cookie“ hätte aus Sicht von Datenschützer:innen und Bürgerrechtler:innen geradezu zum Tracking und Profiling eingeladen. Eine solche Kennziffer soll nun nur noch optional bei grenzüberschreitenden Verwaltungsvorgängen zum Einsatz kommen.

Stattdessen sollen sich die Wallet-Nutzer:innen im Alltag allein mit ihren personenbezogenen Daten, einem Pseudonym oder einem sogenannten Zero Knowledge Proof (zu Deutsch: Null-Wissen-Beweis) identifizieren. Damit können die Nutzer:innen ihre Identität bestätigen, ohne persönliche Informationen über sich preiszugeben.

Allerdings hat die Identifizierung nach wie vor einen Haken: Denn das Recht auf Pseudonymität kann laut dem Kompromiss durch nationales oder durch EU-Recht eingeschränkt werden. Und der Zero Knowledge Proof findet sich im beschlossenen Kompromissentwurf nur als Forderung in den erläuternden Recitals (Erwägungsgründen) der Verordnung und stellt für die EU-Mitgliedstaaten damit keine Verpflichtung dar.
Schutz vor Diskriminierung und Verlinkung

Immerhin: Wer sich gegen den Einsatz der ID-Wallet entscheidet, soll keine Nachteile erleiden. Der Kompromissentwurf sieht – anders als der Kommissionsvorschlag – explizit einen Schutz vor Diskriminierung für Menschen vor, die sich gegen eine Nutzung entscheiden.

Jene, die die Wallet nutzen, sollen nachvollziehbar und transparent darüber bestimmen können, welche Daten sie etwa gegenüber sogenannte relying parties preisgeben und welche nicht. Diese vertrauenswürdigen Parteien, gegenüber denen Nutzer:innen ihre Identität bestätigen, müssen sich vorab in den jeweiligen EU-Mitgliedstaaten registrieren und darlegen, welche Daten sie zu welchem Zweck von den Nutzer:innen anfordern werden. Über ein sogenanntes Datenschutzcockpit können die Nutzer:innen einsehen, welche Daten von ihnen abgefragt und geteilt wurden – und gegebenenfalls Beschwerden einreichen.

Außerdem legt der Kompromiss fest, dass verschiedene Identifikationsvorgänge nicht miteinander verknüpft werden dürfen. Der Schutz der Transaktionsdaten war bis zum Tag der Einigung umkämpft. Transaktionsdaten zeigen an, wann, wie und wo Nutzer:innen die Wallet einsetzen, sie bilden also das konkrete Nutzungsverhalten ab.

Artikel 6a zufolge muss die ID-Wallet dafür „Techniken zur Wahrung der Privatsphäre ermöglichen, die die Unverknüpfbarkeit gewährleisten, wenn die Bescheinigung von Attributen keine Identifizierung des Nutzers erfordert.“ Konkret heißt das: Kauft eine Person also beispielsweise in dem gleichen Geschäft wiederholt Alkohol und belegt dabei mit ihrer ID-Wallet ihr Alter, dann kann das Unternehmen die unterschiedlichen Vorgänge nicht miteinander verknüpfen, um so das Kaufverhalten dieser Person über eine längere Zeitspanne zu tracken.

QWACS: Zertifizierte Unsicherheit

Mindestens ebenso umstritten waren auch die Vorgaben zu Zertifikaten. Bis zuletzt hatten die Trilog-Partner um Artikel 45 und damit um die Frage gerungen, ob die Verordnung Browseranbieter dazu verpflichten soll, qualifizierte Zertifikate (QWACs) zu akzeptieren, die die Mitgliedstaaten bereitstellen. Diese Verpflichtung findet sich bereits im Verordnungsentwurf der Kommission und nun auch im Kompromisstext. Sie soll angeblich die Sicherheit der Kommunikation im Internet erhöhen. Die Einigung sieht vor, dass Browser die in dem Zertifikat bescheinigten Identitätsdaten „in einer benutzerfreundlichen Weise“ anzeigen, wenn diese eine bestimmte Webseite besuchen.

Zertifikate sollen die Authentizität, Integrität und Vertraulichkeit der Kommunikation im Internet sicherstellen. Ausgegeben werden die Zertifikate von sogenannten Trusted Root Certificate Authorities. Das sind in der Regel Unternehmen oder Körperschaften, die Zertifikate nach strengen Prüfverfahren validieren, ausstellen und widerrufen. Diesen funktonierenden selbstregulierten Genehmigungsmechanismus will die EU nun offenbar umgehen – mit womöglich dramatischen Folgen.

Staatliche Behörden könnten, so argumentieren Kritiker:innen, die Zertifikate dazu missbrauchen, um Webseiten zu kompromittieren und so die Internetkommunikation potentiell aller EU-Bürger:innen auszuspähen. Länder wie Kasachstan, China und Russland haben dies in der Vergangenheit getan. Entsprechend alarmiert hatten sich sowohl Bürgerrechtsorganisationen, IT-Sicherheitsexpert:innen und Entwickler:innen im Vorfeld der gestrigen Entscheidung geäußert.

Der Kompromiss sieht zwar vor, dass Browseranbieter selbst darüber entscheiden können, auf welche Weise sie Domains authentifizieren und die Internetkommunikation verschlüsseln. Wörtlich heißt es in einer Ergänzung zum Recital 32 bezüglich QWACs: „Die Verpflichtung zur Anerkennung, Interoperabilität und Unterstützung qualifizierter Zertifikate für die Website-Authentifizierung berührt nicht die Freiheit der Webbrowser, die Sicherheit des Internets, die Domänenauthentifizierung und die Verschlüsselung des Internetverkehrs in einer Weise und mit der Technologie zu gewährleisten, die diese für am besten geeignet halten.“

Allerdings findet sich diese Ergänzung in den Erwägungsgründen der Verordnung, aus denen sich keine bindenden Rechtsfolgen ableiten lassen. Die Hoffnung ruht daher nun auf Browseranbietern wie Mozilla, die sich frühzeitig gegen QWACs ausgesprochen haben. Auch das Sicherheitsteam von Chrome kritisiert die Pläne der EU. Sie befürchten, dass ihnen mit den QWACs eine schwache Verschlüsselung aufgezwungen wird. Die Anbieter könnten nun dazu übergehen, jeweils zwei verschiedene Varianten ihrer Browser anzubieten: eine unsichere für die EU und eine intakte für den Rest der Welt.
Blankoscheck zur Online-Überwachung

Die eIDAS-2.0-Reform würde es staatlichen Behörden aber nicht nur ermöglichen, den Internetverkehr auszuspähen, sondern sie könnten theoretisch auch die Wallets ihrer Bürger:innen einsehen.

Technisch wäre dies leicht zu verhindern gewesen. Das EU-Parlament hatte in seiner Position zum Verordnungsentwurf gefordert, die Wallet so zu gestalten, dass Transaktionsdaten nicht zentral erfasst werden. Der nun vereinbarte Kompromiss sieht nur eine logische Trennung dieser Daten vor. Mit den entsprechenden Befugnissen ist ein Zugriff und damit eine Zusammenführung der Daten theoretisch möglich.

Thomas Lohninger von der Bürgerrechtsorganisation epicenter.works zieht daher ein negatives Resümee der gestrigen Einigung: „Leider war der Zeitdruck der Verhandler am Ende stärker als ihre Sorgfalt. Bei diesem wichtigen Thema könnten wir das noch alle bereuen.“ Trotz der Verbesserungen, die in den vergangenen Monaten erzielt worden seien, warnt Lohninger vor dem neuen System: „Alles was man darüber tut, kann von staatlicher Seite eingesehen werden. Nachdem die Wallet in allen Lebensbereichen eingesetzt werden soll, hat der Staat damit die panoptische Vogelperspektive auf alles, was die Bevölkerung mit der Wallet macht“, so Lohninger.

„Diese Verordnung ist ein Blankoscheck zur Online-Überwachung der Bürger und gefährdet unsere Privatsphäre und Sicherheit im Internet“, kritisiert auch Patrick Breyer, Abgeordneter der Piratenpartei im Europäischen Parlament. „Dieser Deal opfert unverzichtbare Anforderungen im Verhandlungsmandat des Europäischen Parlaments, die die ID-Wallet datenschutzfreundlich und sicher gemacht hätten.“

Eine Wallet für alle EU-Bürger:innen bis 2030

Diese Befürchtungen lassen sich im weiteren legislativen Prozess wohl kaum noch ausräumen. Nach der gestrigen Entscheidung wird es noch ein „technisches Treffen“ geben, wo der Komprompromisstext juristisch bereinigt wird. Wesentliche Änderungen sind dabei nicht mehr geplant.

Im Anschluss daran werden Rat und Parlament die Verordnung formell verabschieden. Der Rat tut dies planungsgemäß noch im Dezember dieses Jahres; das Parlament stimmt voraussichtlich am 28. November im ITRE-Ausschuss und im Februar 2024 im Plenum ab. Die Verordnung könnte dann frühestens im nächsten Frühjahr in Kraft treten. Bis zum Herbst 2026 müssten alle Mitgliedstaaten ihren Bürger:innen dann eine ID-Wallet anbieten. Geht es nach der Kommission sollen alle EU-Bürger:innen bis 2030 über eine digitale Identität verfügen.

Parallel zum legislativen Entscheidungsprozess werden aber noch etliche technische Fragen geklärt. Hier lassen sich möglicherweise noch einige der offenen Schlupflöcher schließen. Fest steht bereits, dass die ID-Wallets der jeweiligen Mitgliedstaaten auf der gleichen technischen Architektur (Architecture Reference Framework) basieren sollen, um so EU-weit genutzt werden zu können. Die Details dafür erarbeitet eine technische Arbeitsgruppe.

Der Bundestagsabgeordnete Markus Reichel (CDU) blickt mit Spannung auf deren Tätigkeit in den kommenden Monaten und erwartet von der Bundesregierung ein starkes Bekenntnis zum Datenschutz: „Ohne die explizite Einwilligung des Nutzers, sollten keine Daten geteilt werden können. Genau dafür muss sich die Bundesregierung in den Verhandlungen einsetzen. In der technischen Umsetzung muss die Unbeobachtbarkeit und die Unverknüpfbarkeit der Nutzungsdaten großgeschrieben werden“, so Reichel. Der Erfolg der Wallet hänge von der Sicherheit und dem Datenschutz ab. „Umso wichtiger ist es, diesen für sichere digitale Identitäten auch in der Architektur zu gewährleisten“, sagt der Abgeordnete.

Auch Clemens Schleupner vom Branchenverband bitkom erhofft sich noch Verbesserungen: „Es gibt noch zu viel Interpretationsspielraum für die Mitgliedsstaaten bei technischen Ausgestaltungen wie zum Beispiel bei der Frage, ob nur der Staat oder auch die Privatwirtschaft Wallets herausgeben darf.“ Langfristig könne die europäische digitale Brieftasche den Anstoß dafür geben, verschiedene Sektoren konsequent zu digitalisieren, vor allem die Verwaltung.

Quelle:
[ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]