„Wir haben es geschafft“, jubilierte EU-Kommissar Thierry Breton. Und Nadia Calviño, die Vize-Premierministerin Spaniens, deren Land derzeit den Vorsitz im Rat der EU innehat, versprach, dass die Einigung zur eIDAS-2.0-Verordnung „den Bürgerinnen und Bürgern in der neuen digitalen Welt eine Identität geben und unseren Binnenmarkt vertiefen wird – zum Nutzen der Innovation, der Privatsphäre, der Sicherheit und der Europäischen Union“
Den lang erhofften „Deal“ schlossen EU-Kommission, der Ministerrat und das EU-Parlament am Mittwoch. In einem finalen politischen Trilog haben sie sich auf einen Kompromisstext geeinigt. Damit geht das größte digitalpolitische Projekt der Europäischen Union nun in die Phase der Umsetzung.
Die eIDAS-Reform legt das rechtliche Fundament für die sogenannte „European Digital Identity Wallet“ (ID-Wallet). Demnach müssen bis zum Jahr 2026 alle 27 EU-Mitgliedstaaten ihren Bürger:innen eine digitale Brieftasche anbieten, mit der sie sich dann on- wie offline und in fast allen Lebensbereichen ausweisen können.
Zwei Jahre Verhandlungen
Clemens Schleupner, Referent für Vertrauensdienste & Digitale Identitäten beim Digitalverband Bitkom begrüßt die Einigung: „ID Wallets können sowohl Kosten sparen, indem Identifizierungsprozesse – zum Beispiel bei Banken – schneller und kostengünstiger durchgeführt werden können. Grundsätzlich bieten ID Wallets eine Vielzahl von Möglichkeiten, die heute noch nicht vollständig abzuschätzen sind, und zwar branchenübergreifend.“
Den entsprechenden Verordnungsentwurf dafür hat die Kommission im Juni 2021 vorgelegt. Er soll die eIDAS-Verordnung aus dem Jahr 2014 reformieren, die den sicheren Zugang zu öffentlichen Diensten sowie die Durchführung von Online-Transaktionen und grenzüberschreitenden Transaktionen in der EU regelt.
Datenschützer:innen und Bürgerrechtler:innen kritisierten das Vorhaben von Beginn an aus zwei zentralen Gründen. Zum einen drohe die Reform eine technische Infrastruktur zu schaffen, die es theoretisch ermöglicht, EU-Bürger:innen on- wie offline massenhaft zu identifizieren und zu überwachen. Zum anderen könnten nicht nur öffentliche, sondern auch private Stellen – also etwa Unternehmen – die Wallet einsetzen und ihre Kunden damit potentiell umfassend ausspähen.
Einige der Risiken, die der Ursprungsentwurf barg, wurden im Zuge der zurückliegenden Verhandlungen minimiert oder ausgeräumt. Andere bestehen aus Sicht von Bürgerrechtler:innen weiterhin – und sind so groß, dass Kritiker:innen eindringlich vor einer Nutzung der ID-Wallet warnen.
Der gelöschte Super-Cookie
Über die fortbestehenden Probleme können die erzielten Verbesserungen nicht hinwegtäuschen. Zu Letzteren zählt vor allem die Streichung einer eindeutigen, dauerhaften Personenkennziffer (Unique identifier). Dieser „Super-Cookie“ hätte aus Sicht von Datenschützer:innen und Bürgerrechtler:innen geradezu zum Tracking und Profiling eingeladen. Eine solche Kennziffer soll nun nur noch optional bei grenzüberschreitenden Verwaltungsvorgängen zum Einsatz kommen.
Stattdessen sollen sich die Wallet-Nutzer:innen im Alltag allein mit ihren personenbezogenen Daten, einem Pseudonym oder einem sogenannten Zero Knowledge Proof (zu Deutsch: Null-Wissen-Beweis) identifizieren. Damit können die Nutzer:innen ihre Identität bestätigen, ohne persönliche Informationen über sich preiszugeben.
Allerdings hat die Identifizierung nach wie vor einen Haken: Denn das Recht auf Pseudonymität kann laut dem Kompromiss durch nationales oder durch EU-Recht eingeschränkt werden. Und der Zero Knowledge Proof findet sich im beschlossenen Kompromissentwurf nur als Forderung in den erläuternden Recitals (Erwägungsgründen) der Verordnung und stellt für die EU-Mitgliedstaaten damit keine Verpflichtung dar.
Schutz vor Diskriminierung und Verlinkung
Immerhin: Wer sich gegen den Einsatz der ID-Wallet entscheidet, soll keine Nachteile erleiden. Der Kompromissentwurf sieht – anders als der Kommissionsvorschlag – explizit einen Schutz vor Diskriminierung für Menschen vor, die sich gegen eine Nutzung entscheiden.
Jene, die die Wallet nutzen, sollen nachvollziehbar und transparent darüber bestimmen können, welche Daten sie etwa gegenüber sogenannte relying parties preisgeben und welche nicht. Diese vertrauenswürdigen Parteien, gegenüber denen Nutzer:innen ihre Identität bestätigen, müssen sich vorab in den jeweiligen EU-Mitgliedstaaten registrieren und darlegen, welche Daten sie zu welchem Zweck von den Nutzer:innen anfordern werden. Über ein sogenanntes Datenschutzcockpit können die Nutzer:innen einsehen, welche Daten von ihnen abgefragt und geteilt wurden – und gegebenenfalls Beschwerden einreichen.
Außerdem legt der Kompromiss fest, dass verschiedene Identifikationsvorgänge nicht miteinander verknüpft werden dürfen. Der Schutz der Transaktionsdaten war bis zum Tag der Einigung umkämpft. Transaktionsdaten zeigen an, wann, wie und wo Nutzer:innen die Wallet einsetzen, sie bilden also das konkrete Nutzungsverhalten ab.
Artikel 6a zufolge muss die ID-Wallet dafür „Techniken zur Wahrung der Privatsphäre ermöglichen, die die Unverknüpfbarkeit gewährleisten, wenn die Bescheinigung von Attributen keine Identifizierung des Nutzers erfordert.“ Konkret heißt das: Kauft eine Person also beispielsweise in dem gleichen Geschäft wiederholt Alkohol und belegt dabei mit ihrer ID-Wallet ihr Alter, dann kann das Unternehmen die unterschiedlichen Vorgänge nicht miteinander verknüpfen, um so das Kaufverhalten dieser Person über eine längere Zeitspanne zu tracken.
QWACS: Zertifizierte Unsicherheit
Mindestens ebenso umstritten waren auch die Vorgaben zu Zertifikaten. Bis zuletzt hatten die Trilog-Partner um Artikel 45 und damit um die Frage gerungen, ob die Verordnung Browseranbieter dazu verpflichten soll, bestimmte qualifizierte Zertifikate (QWACs) zu akzeptieren. Bereits Artikel 22 der bestehenden eIDAS-Verordnung verpflichtet Mitgliedstaaten dazu, vertrauenswürdige Listen von qualifizierten Vertrauensdiensteanbietern zu erstellen, zu führen und zu veröffentlichen. Der Kompromisstext sieht darüber hinaus vor, dass Browser die in dem Zertifikat bescheinigten Identitätsdaten „in einer benutzerfreundlichen Weise“ anzeigen, wenn diese eine bestimmte Webseite besuchen.
Zertifikate sollen im Internet die Authentizität, Integrität und Vertraulichkeit der Kommunikation sicherstellen. Sie werden in der Regel von sogenannten Trusted Root Certificate Authorities ausgegeben. Das sind Unternehmen oder Körperschaften, die Zertifikate nach strengen Prüfverfahren validieren, ausstellen und widerrufen. Diesen funktionierenden selbstregulierten Genehmigungsmechanismus umgeht die EU durch die staatlichen Listen – mit womöglich dramatischen Folgen.
Staatliche Behörden könnten, so argumentieren Kritiker:innen, die Zertifikate dazu missbrauchen, um Webseiten zu kompromittieren und so die Internetkommunikation potentiell aller EU-Bürger:innen auszuspähen. Länder wie Kasachstan, China und Russland haben dies in der Vergangenheit getan. Entsprechend alarmiert hatten sich sowohl Bürgerrechtsorganisationen, IT-Sicherheitsexpert:innen und Entwickler:innen im Vorfeld der gestrigen Entscheidung geäußert.
Der Kompromiss sieht zwar vor, dass Browseranbieter selbst darüber entscheiden können, auf welche Weise sie Domains authentifizieren und die Internetkommunikation verschlüsseln. Wörtlich heißt es in einer Ergänzung zum Recital 32 bezüglich QWACs: „Die Verpflichtung zur Anerkennung, Interoperabilität und Unterstützung qualifizierter Zertifikate für die Website-Authentifizierung berührt nicht die Freiheit der Webbrowser, die Sicherheit des Internets, die Domänenauthentifizierung und die Verschlüsselung des Internetverkehrs in einer Weise und mit der Technologie zu gewährleisten, die diese für am besten geeignet halten.“
Allerdings findet sich diese Ergänzung in den Erwägungsgründen der Verordnung, aus denen sich keine bindenden Rechtsfolgen ableiten lassen. Die Hoffnung ruht daher nun auf Browseranbietern wie Mozilla, die sich frühzeitig gegen QWACs ausgesprochen haben. Auch das Sicherheitsteam von Chrome kritisiert die Pläne der EU. Sie befürchten, dass ihnen mit den QWACs eine schwache Verschlüsselung aufgezwungen wird. Die Anbieter könnten nun dazu übergehen, jeweils zwei verschiedene Varianten ihrer Browser anzubieten: eine unsichere für die EU und eine intakte für den Rest der Welt.
Blankoscheck zur Online-Überwachung
Die eIDAS-2.0-Reform würde es staatlichen Behörden aber nicht nur ermöglichen, den Internetverkehr auszuspähen, sondern sie könnten theoretisch auch die Wallets ihrer Bürger:innen einsehen.
Technisch wäre dies leicht zu verhindern gewesen. Das EU-Parlament hatte in seiner Position zum Verordnungsentwurf gefordert, die Wallet so zu gestalten, dass Transaktionsdaten nicht zentral erfasst werden. Der nun vereinbarte Kompromiss sieht nur eine logische Trennung dieser Daten vor. Mit den entsprechenden Befugnissen ist ein Zugriff und damit eine Zusammenführung der Daten theoretisch möglich.
Thomas Lohninger von der Bürgerrechtsorganisation epicenter.works zieht daher ein negatives Resümee der gestrigen Einigung: „Leider war der Zeitdruck der Verhandler am Ende stärker als ihre Sorgfalt. Bei diesem wichtigen Thema könnten wir das noch alle bereuen.“ Trotz der Verbesserungen, die in den vergangenen Monaten erzielt worden seien, warnt Lohninger vor dem neuen System: „Alles was man darüber tut, kann von staatlicher Seite eingesehen werden. Nachdem die Wallet in allen Lebensbereichen eingesetzt werden soll, hat der Staat damit die panoptische Vogelperspektive auf alles, was die Bevölkerung mit der Wallet macht“, so Lohninger.
„Diese Verordnung ist ein Blankoscheck zur Online-Überwachung der Bürger und gefährdet unsere Privatsphäre und Sicherheit im Internet“, kritisiert auch Patrick Breyer, Abgeordneter der Piratenpartei im Europäischen Parlament. „Dieser Deal opfert unverzichtbare Anforderungen im Verhandlungsmandat des Europäischen Parlaments, die die ID-Wallet datenschutzfreundlich und sicher gemacht hätten.“
Hunderte Wissenschaftler:innen und dutzende NGOs warnen vor Massenüberwachung
Eine Wallet für alle EU-Bürger:innen bis 2030
Diese Befürchtungen lassen sich im weiteren legislativen Prozess wohl kaum noch ausräumen. Nach der gestrigen Entscheidung wird es noch ein „technisches Treffen“ geben, wo der Kompromisstext juristisch bereinigt wird. Wesentliche Änderungen sind dabei nicht mehr geplant.
Im Anschluss daran werden Rat und Parlament die Verordnung formell verabschieden. Der Rat tut dies planungsgemäß noch im Dezember dieses Jahres; das Parlament stimmt voraussichtlich am 28. November im ITRE-Ausschuss und im Februar 2024 im Plenum ab. Die Verordnung könnte dann frühestens im nächsten Frühjahr in Kraft treten. Bis zum Herbst 2026 müssten alle Mitgliedstaaten ihren Bürger:innen dann eine ID-Wallet anbieten. Geht es nach der Kommission sollen alle EU-Bürger:innen bis 2030 über eine digitale Identität verfügen.
Parallel zum legislativen Entscheidungsprozess werden aber noch etliche technische Fragen geklärt. Hier lassen sich möglicherweise noch einige der offenen Schlupflöcher schließen. Fest steht bereits, dass die ID-Wallets der jeweiligen Mitgliedstaaten auf der gleichen technischen Architektur (Architecture Reference Framework) basieren sollen, um so EU-weit genutzt werden zu können. Die Details dafür erarbeitet eine technische Arbeitsgruppe.
Der Bundestagsabgeordnete Markus Reichel (CDU) blickt mit Spannung auf deren Tätigkeit in den kommenden Monaten und erwartet von der Bundesregierung ein starkes Bekenntnis zum Datenschutz: „Ohne die explizite Einwilligung des Nutzers, sollten keine Daten geteilt werden können. Genau dafür muss sich die Bundesregierung in den Verhandlungen einsetzen. In der technischen Umsetzung muss die Unbeobachtbarkeit und die Unverknüpfbarkeit der Nutzungsdaten großgeschrieben werden“, so Reichel. Der Erfolg der Wallet hänge von der Sicherheit und dem Datenschutz ab. „Umso wichtiger ist es, diesen für sichere digitale Identitäten auch in der Architektur zu gewährleisten“, sagt der Abgeordnete.
Auch Clemens Schleupner vom Branchenverband bitkom erhofft sich noch Verbesserungen: „Es gibt noch zu viel Interpretationsspielraum für die Mitgliedsstaaten bei technischen Ausgestaltungen wie zum Beispiel bei der Frage, ob nur der Staat oder auch die Privatwirtschaft Wallets herausgeben darf.“ Langfristig könne die europäische digitale Brieftasche den Anstoß dafür geben, verschiedene Sektoren konsequent zu digitalisieren, vor allem die Verwaltung.
Der Bundestagsabgeordnete Markus Reichel fordert Datenschutz. Ist klar. Das erste, was die Union machen wird, ist sie wieder an der Macht, ist dafür zu sorgen, dass Wirtschaft, Geheimdienste und Polizei möglichst viele Informationen speichern und abrufen dürfen. Gegen Geldwäsche, Kinderpornografie und Terrorismus. Oder was auch immer, ist ja eh nicht so wichtig, was dann der offizielle Grund sein wird.
Ach, wir sind dann eh bald bei „Internet-Login nur noch per ePerso/ID-Wallet“, weil die VDS ja „leider“ nur die IP, also den Anschluss, liefert. Wurde von Seehofer kurz vorm Regierungswehcsel schon genau so für Email- und Messenger-Dienste gefordert.
‚gefährdet unsere Privatsphäre und Sicherheit im Internet“,‘
Das ist nicht richtig. Das geplante Vorgehen gefährdet mit der Privatsphäre und Sicherheit der Bürger_innen sehr konkret die demokratische Konstitution unserer Staaten. Dafür müssen die Optionen noch nicht einmal eingeführt werden. Wenn überwacht werden könnte, dann muss man dies auch als real annehmen und wird sein Verhalten entsprechend ändern. Nach der Anpassungsphase ist zu erwarten, dass eine Umsetzung der Überwachung auf nur noch wenig Widerstand stoßen würde. Ein wahres Fressen für Autoritäre Kräfte.
Die berühmten „Einigungen“ und „Kompromisse“ der EU-Machtmenschen mal wieder. Egal ob bei der „digitalen Identität“, der Chatkontrolle und demnächst wohl auch bei der verpflichtenden digitalen ( für den Staat und Konzerne auslesbaren?) Gesundheitsakte – die Einigung scheint irgendwie fast immer nur aus „Wir wollen die Totalkontrolle und maximale Datenausbeutung aller Menschen“ und „Wir müssen aber noch ein paar kosmetische Schutzmechanismen andeuten und hier und da ein paar oberflächliche Vorteile betonen, damit die Leute das akzeptieren. Danach können wir immer noch nachschärfen“ zu bestehen.
Die Einführung einer „digitalen Identität“ würde ich wie andere Überwachungs- und Kontrollvorhaben jedenfalls als zivilisatorischen Rückschritt werten, da hiermit nicht nur bewusst mühsame erkämpfte Grundrechte zerschlagen werden sollen (wie das für jedes Überwachungsvorhaben gilt), sondern damit auch das analoge Leben einer bisher dem digitalen Raum vorbehaltenen Kontroll-„Logik“ unterworfen werden soll. Früher oder später wird man dann nicht mehr nur beim Browsen im Netz sondern auch beim Bewegen in Stadt und Natur getrackt, wenn für allen möglichen Interaktionen plötzlich die „digitale Identität“ gezückt werden soll.
Und die Leute bejubeln das auch noch…
so eine digitale identität läd zur totalen überwachung geradezu ein.eine sichergestellte unverfolg- und unverknüpfbarkeit muss auf jeden fall gegeben sein. ansonsten ist das für niemanden wirklich attraktiv.
@peter: Träume gerne weiter, aber genau dies wird final ein Traum bleiben 😡🤮
Sie schreiben: „… sogenannte relying parties […] Diese vertrauenswürdigen Parteien […]“. Es sind leider nur „vertrauende“ Parteien, sonst wäre das Ganze weniger problematisch.
Die nennen das wirklich „QWACS“? Das ist wie Palantir, oder Mordor, oder Microsoft Windows 98. Quack-Shit mit Ansage!
Wieso muss ich da an De-Mail denken? Wenn due ID-Wallett schon so viel Bullshit by Design mitbringt erleidet sie hoffentlich mangels Akzeptanz das gleiche Schicksal wie De-Mail…
Statt Bullshit made in Germany dann bald Bullshit made in EU…?
DE-Mail konnte nicht erzwungen werden, da die Behoerden das idR selber nicht konnten, der Verzicht auf DE-Mail praktisch keine Nachteile hatte und das ganze daher problemlos ignoriert werden konnte.
Heute sind wir ein paar Jahre weiter, selbst in Deutschland. Man nimmt einfach zusaetzlich zu den oeffentlichen auch die privaten Anbieter von Infrastruktur, Diensten und Geraeten in die Pflicht, und die koennen und zT wollen das natuerlich implementieren. Da wird der Leidensdruck dann sehr schnell sehr gross.
Wieder eine EU Entscheidung, welche die EU weiter von den Bürger entfernt und diese Organisation mehr und mehr als gefährlich eingestuft wird. Schade, die europäische Einigung wäre schön gewesen. Ich sehe da wenig Gefahr, wenigstens für mich, im Zweifel wird es genug Browser Forks geben, fall die Zertifikatsliste nicht standardmäßig bearbeitbar ist, oder ich baue meinen FF gleich selbst, ohne diesen QWACS crap. Aber egal, ob auf nationaler oder EU Ebene, der Schwenk nach rechts und weg von der demokratie ist nicht zu übersehen. Meine Prognose: in spätestens 50 Jahren haben wir den letzen, 4. Weltkrieg. Danach ist dann Ruhe. Endgültig.
„QWACS crap“
Ich muss es hier unbedingt irgendwo unterbringen: „QUACK, QUACK, QUACK!“
(Erklärung, im Gegensatz zu Palantir hat man hier bei der Namensgebung Humor bewiesen. „Entenscheiße“ hätte man den operativen Fürsten wohl nicht direkt zumuten können.)
wird keine 50 Jahre dauern 💥
Der nächste Schritt ist natürlich, die Gerätehersteller dazu zu verpflichten, dass nur zertifizierte Applikationen installierbar sind. Apple ist mit seinem walled garden ohnehin schon fast dort.
Im weiteren wird „Applikation“ dann auch das Betriebssystem umfassen. Daran arbeitet bereits der deutsche „Jugendschutz“. Auch hier werden sich Anbieter wie Apple oder Microsoft nicht sperren, ist für die ein Wettbewerbsvorteil. Und die Contentindustrie ist ohnehin dafür.
Der Computer als Allzweckmaschine unter Kontrolle des Benutzers ist der Alptraum von Politik und Konzernen, das wird mit allen Mitteln und langem Atem bekämpft.
nein. das ist nicht meine Welt. das ist nicht mein Leben. das ist nicht mein Charakter.
Bürgerliche Freiheiten und Demokratie sind immer und überall nur im hinreichend geschlossenen Kampf der Vielen gegen die wenigen Reichen und Mächtigen durchgesetzt worden. Und sie werden nur durch diesen Kampf erhalten.
Weite Teile der deutschen Gesellschaft sind leider wohlstandsverwarlohst und haben das vergessen. Der Erinnern wird sehr schmerzhaft.
Ziemlich schade finde ich, dass die Dimension: „governance system based on European digital sovereignty“ vs. governance system of „Big Tech“ überhaupt nicht auftaucht.
Bei der QWACs-Frage handelt es sich um ein Governenace-Thema. Wer Interesse an dieser Dimension hat, kann sich hier näher informieren:
https://www.linkedin.com/posts/european-signature-dialog_esd-experts-emphasize-necessity-for-highest-activity-7127226030523621376-hlgZ?utm_source=share&utm_medium=member_desktop
oder hier
https://www.european-signature-dialog.eu/ESD_answer_to_Mozilla_misinformation_campaign.pdf
„….Die Anbieter könnten nun dazu übergehen, jeweils zwei verschiedene Varianten ihrer Browser anzubieten: eine unsichere für die EU und eine intakte für den Rest der Welt…..“
Wie bitte? In den USA sind Zertifikate also sicher?
Na ja!