Warum das Thema

Vertrauen im Netz ist teuer geworden

Cyberkriminalität entwickelt sich rasant. Phishing, Deepfakes und Identitätsbetrug führen zu immer höheren wirtschaftlichen Schäden und zeigen den Bedarf an vertrauenswürdigen digitalen Identitäten.
75%

Deutsche Unternehmen betroffen

Bereits 75 % der deutschen Unternehmen wurden Opfer identitätsbezogener Angriffe. Künstliche Intelligenz beschleunigt Phishing, Deepfakes und Social Engineering und erhöht das Risiko digitaler Identitätsdiebstähle erheblich.
Zum Artikel
500 Mio. €

SEPA-Betrug Deutschlandticket

Deutschlandtickets wurden bereits ausgestellt, bevor die SEPA-Zahlung verifiziert war. Diese Sicherheitslücke ermöglichte Betrügern die massenhafte Ausstellung und den Weiterverkauf gültiger Tickets – mit einem geschätzten Gesamtschaden von bis zu 500 Millionen Euro deutschlandweit.
Zum Artikel
4.25 Mio. €

KI-gestützte Identitätsangriffe im Durchschnitt

Datenlecks kosten Unternehmen in Deutschland durchschnittlich 4,25 Millionen Euro. KI-gestützte Deepfakes und Identitätsdiebstahl beschleunigen Cyberangriffe und machen sichere digitale Identitäten wichtiger denn je.
Zum Artikel
Was das Gesetz vorschreibt

Von eIDAS zur Pflicht: Die Zeitleiste

Was in Brüssel beschlossen wurde und wann es Sie betrifft.
2014

eIDAS wird verabschiedet

Eine EU-Verordnung schafft die gemeinsame Rechtsgrundlage für digitale Identitäten, elektronische Signaturen und Vertrauensdienste.

11.04.2024

eIDAS 2.0 tritt in Kraft

Die Überarbeitung führt die EUDI-Wallet ein — für Bürger, Verwaltung und Wirtschaft.

2026

Bereitstellung für Bürger

Jeder Mitgliedsstaat muss seinen Bürgern die Möglichkeit geben, ihre hoheitliche digitale Identität zu nutzen.

02.01.2027

Prüfung wird Pflicht

Nach Artikel 45e müssen Nachweise aus einer EUDI-Wallet akzeptiert und geprüft werden. Das ist das Datum, an dem aus einem Zukunftsthema eine Aufgabe wird.

Zur Verordnung

Wen es betrifft

Die Verordnung benennt im Absatz 56 die Bereiche, in denen die Wallet anerkannt werden muss - und damit fast jede Organisation, die Kunden identifiziert.

Im Detail sind Organisationen betroffen, bei denen eine starke Nutzerauthentifizierung für die Online-Identifizierung erforderlich ist.

Verkehr

Energie

Bankwesen

Finanzdienstleistungen

Soziale Sicherheit

Gesundheit

Wasserversorgung

Postdienste

Digitale Infrastruktur

Telekommunikation

Bildung

[Und was ist ein Credential?]

Ein Credential ist ein digitaler Nachweis, der sich selbst belegt

In der IDealWALLET|App sieht ein Credential aus wie eine kleine Karte: Abo, Ausweis, Berechtigung. Technisch sind es signierte Daten plus zwei Schlüssel - ein öffentlicher, mit dem jeder prüfen kann, und ein privater, der beweist, dass der Nachweis Ihnen gehört.

Der Unterschied zum PDF im Postfach: Beim Credential lässt sich in Sekunden feststellen, wer es ausgestellt hat, dass niemand es verändert hat und dass es der Person vor Ihnen gehört. Ohne Rückfrage beim Herausgeber.

Und Sie zeigen nur, was gebraucht wird.
Das nennt sich selektive Offenlegung.

Ein Beispiel aus dem Alltag:

Heute
Sie zeigen den Ausweis. Ihr Gegenüber sieht Name, Geburtsdatum, Adresse, Ausweisnummer - auch wenn er nur wissen wollte, ob Sie volljährig sind.
Mit der EUDI-Wallet
Sie zeigen „über 18". Nicht das Geburtsdatum, nicht den Namen. Geprüft und beweisbar - aber nur diese eine Auskunft.
Die drei Rollen

Drei Rollen - und Sie haben das Wichtigste verstanden

Das gesamte Ökosystem besteht aus drei Beteiligten. Wer diese drei kennt, versteht jede Fachdiskussion.

Ein Satz, der dabei oft fehlt:

Eine Organisation ist meist alle drei zugleich: Sie gibt Nachweise heraus, hält fremde Nachweise und prüft Nachweise von anderen. Genau deshalb lohnt es sich, das Thema einmal ganz zu verstehen.

Herausgeber (Issuer)

Stellt den Nachweis aus und steht mit seiner Signatur dafür ein. Das Standesamt für die Geburtsurkunde, das Verkehrsunternehmen für das Abo, die Bank für die Kontovollmacht.

Halter (Holder)

Bewahrt den Nachweis auf und entscheidet, wem er ihn zeigt. Das ist die Person mit der Wallet — und der wesentliche Unterschied zu heute, wo Ihre Daten bei anderen liegen.

Prüfer (Verifier)

Sieht den Nachweis und prüft zwei Dinge: Kommt er vom richtigen Herausgeber, und gehört er der Person, die ihn vorzeigt. Der Kontrolleur, das Amt, der Onlineshop.

Worauf es wirklich ankommt

[Die Sicherheit]

Speicherarten

Was den Unterschied macht: Wo der Schlüssel liegt

Jeder Nachweis in einer Wallet hängt an einem privaten Schlüssel. Wer diesen Schlüssel hat, ist für jedes System diese Person. Die entscheidende Frage einer Wallet ist deshalb nicht, wie hübsch sie aussieht, sondern wo dieser Schlüssel liegt.

Hierzu muss die Sicherheit und der Ort des Speichers genau betrachtet werden:

Im Gerätespeicher
Schnell umgesetzt und bequem: Der Schlüssel liegt als Datei auf dem Smartphone. Doch jede Datei lässt sich kopieren – durch Schadsoftware, über Backups oder beim Gerätewechsel. Mit der Kopie kann sich jemand anderes als Sie ausgeben, ohne dass es auffällt.
Im Gerätechip
Der Schlüssel entsteht im fest verbauten Sicherheitschip (eSE) und verlässt ihn nie. Bei Apple ist dieser Chip jedoch nicht zertifiziert – Garantien gibt es nicht. Zudem sind Sie an den Hersteller gebunden und an dessen Recht, etwa den US CLOUD Act.
Im externen Chip
Der goldene Weg: Der private Schlüssel entsteht im Sicherheitschip einer Chipkarte und verlässt ihn nie. Kopieren ist unmöglich – diese Technik schützt seit 25 Jahren Bankkarten. Unabhängig vom Smartphone, auch beim Gerätewechsel. Dafür haben wir die DI Card entwickelt.
Mehr zur DI Card

Es wird viele Wallets geben. Genau darum geht es.

Die häufigste Fehlannahme: Es käme eine einzige App - vom Staat. Tatsächlich werden mehrere Anbieter Wallets bauen - Hersteller, Banken, Verwaltungen, Verkehrsunternehmen.
Jede Wallet wird einzelne Vorteile haben.
Jede Wallet ist unterschiedlich sicher.

Damit das funktioniert, muss ein Nachweis überall prüfbar sein, egal aus welcher Wallet er kommt. Das ist der Sinn der Standards und das ist der Grund, warum in diesem Feld so viel über Interoperabilität geredet wird.

Der Nutzen zeigt sich erst dann: 

  • Die Abo-Karte des Verkehrsunternehmens öffnet das Carsharing.
  • Die Meldebestätigung als digitaler Nachweis aus dem Bürgerbüro beschleunigt den Antrag beim Sozialamt.
  • Der Führerschein als digitaler Nachweis von der Fahrerlaubnisbehörde genügt dem Mietwagenanbieter.

Digitale Nachweise, die über Branchengrenzen hinweg gelten.

Das Glossar

Die Abkürzungen, einmal durchbuchstabiert

Wenn Ihnen in einer Präsentation ein Kürzel entgegenfliegt: hier steht, was gemeint ist.


Gruppe 1 - Recht und Politik

eIDAS

„electronic IDentification, Authentication and trust Services." EU-Verordnung von 2014, die europaweit einheitliche Regeln für digitale Identitäten, elektronische Signaturen und Vertrauensdienste schafft.

eIDAS 2.0

Die Überarbeitung vom 11. April 2024. Sie führt die EUDI-Wallet ein und macht ihre Anerkennung in vielen Branchen verpflichtend.

EUDI-Wallet

„European Digital Identity Wallet." Die digitale Brieftasche der EU — für Bürger, Verwaltung und Wirtschaft. Jeder Mitgliedsstaat muss seinen Bürgern eine anbieten.

eID

Die elektronische Ausweisfunktion des Personalausweises. Sie ist die Quelle, aus der amtliche Daten in eine Wallet gelangen.

PID

„Person Identification Data." Die amtlichen Grunddaten einer Person: Name, Geburtsdatum, Staatsangehörigkeit. In der Wallet der Ausgangsnachweis, auf dem andere aufbauen.

Hoheitlich und nicht-hoheitlich

Hoheitliche Nachweise kommen vom Staat: Ausweis, Führerschein, Meldebestätigung. Nicht-hoheitliche von Unternehmen und Vereinen: Abo-Karte, Mitarbeiterausweis, Museumspass.

BMDS & BMWE

Bundesministerium für Digitales und Staatsmodernisierung beziehungsweise für Wirtschaft und Energie. Beide treiben mit unterschiedlichen Projekten die deutsche Umsetzung der EUDI-Wallet  sowie der eID voran.

Gruppe 2 - Protokolle

DID

„Decentralized Identifier." Eine Kennung, die ohne zentrale Registrierungsstelle funktioniert und zu der ein Schlüsselpaar gehört.

DIDComm

Ein Protokoll für gesicherte Kommunikation zwischen zwei Beteiligten — auch direkt zwischen zwei Geräten, ohne Server dazwischen.

OPENID4VP

„OpenID for Verifiable Presentations." Der Standard, über den digitale Nachweise präsentiert und geprüft werden. Baut auf dem verbreiteten OpenID-Verfahren auf.

OPENID4VCI

„OpenID for Verifiable Credentials Issuance." Der Standard, über den Nachweise ausgestellt werden. Baut ebenfalls auf dem verbreiteten OpenID-Verfahren auf.

Gruppe 3 - Nachweisformate

mdoc (ISO 18013-5)

Ein Nachweisformat nach internationaler Norm, ursprünglich für den digitalen Führerschein entwickelt. Es ist auf die Prüfung vor Ort ausgelegt, zum Beispiel per QR-Code oder NFC von Gerät zu Gerät.

SD-JWT VC

„Selective Disclosure JSON Web Token" (Web-Token mit selektiver Offenlegung). Das Format, mit dem Sie nur einzelne Angaben eines Nachweises zeigen, etwa „über 18" statt des Geburtsdatums. Es ist eines der Standardformate der EUDI-Wallet.

W3C VC / JSON-LD

Das Nachweisformat des W3C (World Wide Web Consortium, Gremium für Webstandards). JSON-LD (Linked Data, verknüpfte Daten) erlaubt es, mehrere Nachweise miteinander zu verbinden. So entstehen Vertrauensketten, in denen jedes Glied prüfbar ist.

Gruppe 4 - Nachweisarten

Credential

Ein digitaler Nachweis. In der Wallet als Karte dargestellt, technisch signierte Daten mit zugehörigen Schlüsseln.

VC

„Verifiable Credential", überprüfbarer Nachweis. Der Standardbegriff für ein Credential, dessen Herkunft und Unverändertheit jeder nachrechnen kann.

EAA

„Electronic Attestation of Attributes", elektronische Attributsbescheinigung. Der Begriff aus der eIDAS-Verordnung für Nachweise über Eigenschaften einer Person, zum Beispiel Führerschein, Abschluss oder Mitgliedschaft. Ausstellen kann sie jede Stelle, nicht nur der Staat.

QEAA

„Qualified Electronic Attestation of Attributes", qualifizierte elektronische Attributsbescheinigung. Sie wird von einem staatlich geprüften Vertrauensdiensteanbieter ausgestellt und hat in der EU dieselbe rechtliche Wirkung wie eine Papierbescheinigung.

Gruppe 5 - Anbindung

REST

„Representational State Transfer". Die verbreitetste Schnittstellenart, wie Softwaresysteme über das Internet miteinander sprechen. Ihr Fachverfahren schickt eine Anfrage und bekommt die geprüften Daten zurück, ohne selbst etwas über Wallets wissen zu müssen.

OpenAPI

Ein offener Standard, mit dem eine Schnittstelle vollständig beschrieben wird: welche Anfragen es gibt, welche Daten hinein- und herausgehen. Ihre IT kann daraus die Anbindung direkt ableiten, ohne Rätselraten und ohne lange Abstimmung.

XÖV

„XML in der öffentlichen Verwaltung". Die Familie der Datenstandards, mit denen deutsche Behörden Daten untereinander austauschen, zum Beispiel XMeld für das Meldewesen. Damit lassen sich Daten aus Verwaltungsverfahren als Nachweise ausgeben.

JSON und XML

Zwei Datenformate, in denen Systeme strukturierte Informationen austauschen. Geprüfte Nachweisdaten kommen in einem dieser Formate in Ihrem Fachverfahren an, bereit zur automatischen Weiterverarbeitung.

Gruppe 6 - Technik

Applet

Das kleine Programm, das auf einem Sicherheitschip läuft. Es verwaltet die Schlüssel und führt die Signatur direkt im Chip aus, sodass der Schlüssel ihn nie verlassen muss.

eSIM, Secure Element

Sicherheitschips, in denen Schlüssel geschützt erzeugt und gespeichert werden. Das Secure Element kann fest im Smartphone oder extern z. B. in der DI Card verbaut sein. Die eSIM ist der fest eingebaute Nachfolger der SIM-Karte.

HSM

„Hardware Security Module", Hardware-Sicherheitsmodul. Ein Sicherheitschip für Organisationen: Mit seinen Schlüsseln werden Nachweise signiert. Die Schlüssel lassen sich nicht exportieren und deshalb auch nicht stehlen.

NFC

Nahfeldkommunikation nach ISO 14443. Die Funktechnik, über die Smartphones und Chipkarten mit wenigen Zentimetern Abstand miteinander sprechen.

WRPAC

„Wallet Relying Party Access Certificate", Wallet-Zugangszertifikat. Es weist eine Organisation gegenüber jeder EUDI-Wallet als echte, registrierte Stelle aus. Ohne dieses Zertifikat beantwortet keine Wallet eine Anfrage.

WRPRC

„Wallet Relying Party Registration Certificate", Registrierungszertifikat. Es hält fest, welche Angaben eine Organisation zu welchem Zweck abfragen darf. Der Nutzer sieht das in seiner Wallet, bevor er etwas freigibt.

Selective Disclosure

„Selektive Offenlegung." Sie zeigen nur die benötigte Auskunft: „über 18" statt des Geburtsdatums, „wohnhaft in Dresden" statt der vollen Adresse.

SSI

„Self-Sovereign Identity", selbstbestimmte Identität. Der Grundsatz: Die Nachweise liegen bei der Person, nicht in einer zentralen Datenbank.

Software-Kryptografie

Die Schlüssel liegen als Datei im Gerätespeicher. Bequem umzusetzen — aber kopierbar und damit angreifbar.

Hardware-Kryptografie

Die Schlüssel entstehen in einem Sicherheitschip und verlassen ihn nie. Dieselbe Technik, die seit über 25 Jahren Bankkarten schützt.

Vertrauensregister

Ein Verzeichnis, das festhält, wem beim Ausstellen von Nachweisen zu glauben ist. Ohne es kann ein Prüfer nicht wissen, ob ein Herausgeber echt ist.

Vertrauenskette

Nachweise, die aufeinander aufbauen: Das Amtsgericht belegt den Handelsregistereintrag, dieser die Verkaufsberechtigung, diese das gültige Ticket. Jedes Glied prüfbar.

Gruppe 7 - Projekte und Programme

SPRIN-D

Der Wettbewerb der Bundesagentur für Sprunginnovationen zu EUDI-Wallet-Prototypen. IDealWALLET war einer der ausgewählten Prototypen.

Mehr zur Sprin-D

ID-Ideal

Förderprojekt zum Management sicherer digitaler Identitäten. KAPRION hat darin u. a. das Anwendungsszenario Urbane Mobilität bearbeitet, mit Feldtests in Dresden und Leipzig.

Mehr zum Projekt

SaxTrust

Sächsisches Forschungsprojekt mit der SQL Projekt AG und der HTW Dresden. Darin entsteht die Oberfläche, mit der Organisationen Nachweise verwalten.

Mehr zum Projekt

KommPass

Der kommunale Datenpass. Mit der Landeshauptstadt Dresden werden Daten aus dem Melderegister als Credentials ausgegeben.

Mehr zum Thema

Trustnet

Wir sind Gründungsmitglied des Vereins Trustnet e.V.
Die Idee eines Internets mit überprüfbaren Identitäten und Nachweisen — eine Vertrauensschicht über dem heutigen Web.

Mehr erfahren

Trust over IP und DIF

Zwei internationale Organisationen, die die offenen Standards für dezentrale Identitäten entwickeln. KAPRION ist in beiden aktiv.

Mehr zu ToIP
Der Anfang ist gemacht

Sie haben die Grundlagen. Wohin jetzt?

Treten Sie mit uns in Kontakt, testen Sie gern verschiedene Demo-Use-Cases oder Sie bestellen sich Ihre eigene DI Card.

Fragen Sie uns persönlich

Für alles, was hier nicht steht. Wir erklären auch gern in einer Sitzung bei Ihnen.

Kontakt

Für Organisationen

Wie Sie Nachweise ausgeben und prüfen — und was das für Ihre Fachverfahren bedeutet.

Zum Business-System

Tiefer in die Sicherheit

Hardwarekryptografie, Vertrauensketten, Offline-Prüfung im Detail.

Mehr zur DI Card erfahren

Eigene DI Card bestellen

Sie besitzen noch keine eigene DI Card? Erfahren Sie mehr zur DI Card, wie Sie diese verwenden und wie Sie diese bestellen können.

DI Card bestellen

Selbst ausprobieren

Die App laden und ein Credential empfangen. Nichts erklärt es besser als der erste eigene Scan.

Jetzt testen