Was ist eine vertrauende Partei im Ökosystem der EUDI Wallet?

Die Rolle ist nicht neu. Ihre Organisation ist bereits jedes Mal eine vertrauende Partei, wenn sie einen Reisepass, einen Handelsregisterauszug oder ein Zeugnis prüft. Neu ist, dass die Prüfung kein Mensch mehr ist, der ein Dokument liest, sondern eine automatische Antwort, der Sie in Sekunden vertrauen können.

Vertrauende Partei ist eine Rolle und keine Unternehmensart. Dieselbe Organisation kann in einem Prozess vertrauende Partei und in einem anderen Aussteller sein: Eine Hochschule verlangt von Studierenden bei der Einschreibung ein Ausweisdokument und stellt am Ende ein Zeugnis aus. Zur vertrauenden Partei macht Sie in einem bestimmten Moment schlicht, dass Sie diejenige Seite sind, die fragt, prüft und entscheidet.

Die entscheidende Verschiebung betrifft die Herkunft des Nachweises. Heute trägt die Person vor Ihnen die Last, die Echtheit eines Dokuments zu belegen, und Sie tragen die Kosten der Beurteilung. Mit einer Wallet ist der Nachweis von der Organisation signiert, die die Tatsache ohnehin führt, sodass aus der Prüfung eine Berechnung statt einer Ermessensentscheidung wird.

Deshalb lohnt es sich, die Rolle zu verstehen, auch wenn nichts Sie bisher dazu verpflichtet, sie zu übernehmen. Sobald Kundinnen und Kunden in wenigen Sekunden nachweisen können, wer sie sind, wirkt im Vergleich jeder Prozess langsam, der noch einen Upload und eine manuelle Prüfung verlangt.

Wenn Ihr Dienst Daten abfragt, kommt die Anfrage nicht unbemerkt an. Die Wallet öffnet einen Bildschirm, der die anfragende Organisation namentlich nennt, genau auflistet, welche Daten verlangt werden, und den Zweck angibt, den diese Organisation dafür registriert hat. Es wird nichts geteilt, bevor die Person zustimmend tippt.

Den Namen auf diesem Bildschirm geben nicht Sie ein. Er stammt aus dem Zertifikat, das Sie bei der Registrierung erhalten haben, und genau deshalb kann die Wallet ihn als geprüfte Tatsache und nicht als Behauptung anzeigen. Eine Anfrage einer nicht registrierten Partei erzeugt diesen Bildschirm gar nicht erst.

Die Person kann ablehnen, und zwar jedes Mal neu statt ein einziges Mal für immer. Wallets führen außerdem eine Historie darüber, was mit wem geteilt wurde, sodass die Entscheidung im Nachhinein nachvollziehbar bleibt, statt in einem Postfach zu verschwinden. Einwilligung ist damit kein Häkchen mehr, sondern etwas, das die nutzende Person tatsächlich einsehen kann.

Für Ihre Organisation ist genau das der Punkt. Der vertraute Betrug, eine überzeugende Seite, die um eine Passkopie bittet, funktioniert nicht mehr, wenn Menschen daran gewöhnt sind, vor jeder Weitergabe einen geprüften Namen zu sehen. Über die Wallet zu fragen, stellt Sie auf die vertrauenswürdige Seite dieser Gewohnheit, und Anfragen, die seriös wirken, werden häufiger abgeschlossen.

In der Praxis ist die Liste weniger abstrakt, als sie klingt. Sie reicht von Privatkundenbanken, Zahlungsinstituten und Versicherern über Mobilfunkanbieter bei der Kundenaufnahme, Energie- und Wasserversorger, Fluggesellschaften und Bahnbetreiber, Krankenhäuser, Apotheken und Krankenversicherer bis zu Hochschulen und Prüfungsstellen sowie den Verwaltungen, die bereits ein nationales Login betreiben. Wenn Ihr Onboarding heute ein Ausweisdokument verlangt, weil eine Vorschrift es so will, fallen Sie mit ziemlicher Sicherheit darunter.

Die Wallet zu akzeptieren heißt nicht, das Bestehende zu ersetzen. Es heißt, die Wallet dort als eine der Möglichkeiten zur Identifizierung anzubieten, wo Sie ohnehin eine starke Identifizierung verlangen, neben den Verfahren, die Sie heute unterstützen. Bestandskunden behalten ihren Weg hinein, und neue bekommen einen schnelleren.

Die Termine sollte man sich notieren. Die Mitgliedstaaten geben ihre Wallets ab Ende 2026 aus, die Regeln zur Registrierung als vertrauende Partei gelten ab Dezember 2026, und die Pflicht zur Annahme der Wallet greift Ende 2027. Die Registrierung hängt von einer nationalen Behörde und von internen Entscheidungen darüber ab, welche Daten Sie brauchen, sodass der Kalender enger ist, als ein einzelnes Datum im Jahr 2027 vermuten lässt.

Alle anderen können die Wallet freiwillig akzeptieren, und sehr viele werden es tun. Wenn Kundinnen und Kunden geprüfte Identitäts- und Unternehmensdaten bereits bei sich tragen, ist die Bitte, stattdessen einen Scan hochzuladen, ein Rückschritt, der auffällt.

Es gibt keine einheitliche europäische Wallet-App. Jeder Mitgliedstaat stellt mindestens eine bereit, einige werden mehrere haben, und Ihre Kundschaft kommt jeweils mit der, die ihr Land ausgegeben hat. Eine Organisation mit Kunden in einer Handvoll Länder bindet sich daher nicht an ein Gegenüber an, sondern an eine Menge, die sich laufend verändert.

Die zugrunde liegenden Standards sind gemeinsam, und erst das macht das Ganze überhaupt möglich. Unterschiedlich ist alles darum herum: Jede Wallet hat eigene Vertrauensanker, ein eigenes nationales Profil, eine eigene Testumgebung und einen eigenen Releasekalender. Ein bestandener Test mit einer Wallet sagt sehr wenig über die nächste aus.

Die erste Integration ist selten die teure. Die Kosten liegen in den Jahren danach: Aktualisierungen der Spezifikationen verfolgen, erneut testen, wenn eine nationale Wallet eine neue Version ausliefert, Änderungen an Vertrauenslisten nachhalten und Zertifikate in jedem Land gültig halten, in dem Sie niedergelassen sind. Das ist eine Wartungsposition im Budget, keine Projektposition.

Eine einfache Abschätzung besteht darin, zwei Dinge zu zählen: die Zahl der Mitgliedstaaten, aus denen Ihre Kundschaft kommt, und die Zahl der Releases, die jede dieser Wallets voraussichtlich pro Jahr ausliefert. Multiplizieren Sie beides, und Sie haben die Zahl der Male, die jemand in Ihrem Team seine Arbeit unterbrechen muss. An dieser Zahl und nicht am ersten Aufbau entscheidet sich die Frage nach Eigenentwicklung oder Einkauf.