Sichere und konforme Identitätsverifizierung im Zeitalter von eIDAS 2.0 aufbauen

Innerhalb der Europäischen Union ist eIDAS (elektronische Identifizierung, Authentifizierung und Vertrauensdienste) eine der wichtigsten Vorschriften, die regelt, wie Bürger, Unternehmen und Behörden im digitalen Umfeld miteinander interagieren. Die im Jahr 2016 verabschiedete eIDAS-Richtlinie legt Standards für die elektronische Identifizierung fest und schafft Rechtssicherheit für digitale Interaktionen innerhalb der Union.

Die aktualisierte Version (eIDAS 2.0) brachte mehrere entscheidende Funktionen in den ursprünglichen eIDAS-Rahmen. Zunächst führte sie die Europäische Digitale Identitätsbörse ein, die jedes EU-Mitgliedsland bis Ende 2026 seinen Bürgern zur Verfügung stellen muss. Die Börse soll digitale Interaktionen über Grenzen hinweg noch weiter vereinfachen, indem sie es Menschen ermöglicht, sich zu identifizieren, überprüfte Daten zu speichern und zu teilen sowie auf öffentliche und private Dienste zuzugreifen.

Allerdings müssen Unternehmen, wenn die digitale Onboarding-Phase standardisiert wird, nicht nur über die Einhaltung von Vorschriften nachdenken, sondern auch darüber, wie ihre Verifizierungssysteme aufgebaut sind. Wichtig ist, ob sensible Benutzerdaten ohne Verlassen des sicheren Perimeters innerhalb der On-Premise- oder On-Device-Architektur verarbeitet werden können. Für Unternehmen bedeutet dies, dass die Anpassung von KYC-Workflows an den neuen Rahmen nur ein Teil der Aufgabe ist. Ebenso wichtig ist die Auswahl von Technologien, die die Einhaltung von Vorschriften ohne Speicherung und Übertragung sensibler Daten an jedem Punkt unterstützen.

Verständnis der eIDAS-Sicherheitsstufen

Die eIDAS-Regeln haben standardisiert, wie elektronische Identifizierungsmittel ausgestellt und verwendet werden müssen, was die Onboarding-Phase in digitalen Diensten für Kunden unabhängig von ihrem Herkunftsland innerhalb der EU vereinfacht hat. Der Rahmen definiert drei Sicherheitsstufen (LoA) – jede mit einem Satz von Standards für die elektronische Identifizierung. Genau diese Standards müssen KYC-Anbieter und Identitätsverifizierungsdienstleister einhalten, wenn sie sich als eIDAS-konform präsentieren möchten.

Die “niedrige” Stufe bietet ein grundlegendes Maß an Sicherheit hinsichtlich der behaupteten Identität, die “erhebliche” Stufe erfordert strengere Überprüfungen mit weniger Chancen auf Missbrauch, und die “hohe” Stufe soll maximale Sicherheit bieten, unterstützt durch die stärksten Schutzmaßnahmen gegen Identitätsbetrug. Unternehmen wählen die Stufe, die sie benötigen, basierend auf ihrem Risikoprofil, der Sensibilität der Daten, die sie verarbeiten, und anderen anwendbaren Vorschriften, die für ihre Dienste gelten.

Hauptstärke und -schwäche der eIDAS-Identitätsverifizungsstandards

Eine der Hauptstärken der eIDAS-Identitätsverifizungsstandards ist, dass sie einen gemeinsamen Rahmen für die gesamte Europäische Union schaffen. In der Praxis bedeutet dies, dass ein Identitätsverifizierungsansatz, der mit eIDAS übereinstimmt, als solide Grundlage für den Betrieb in verschiedenen EU-Mitgliedstaaten dienen kann, anstatt für jedes Land von Neuem aufgebaut zu werden.

Die Hauptschwäche der eIDAS-Identitätsverifizungsstandards, unserer Meinung nach, ist, dass sie die Entwicklung von On-Premise-/On-Device-Verifizierungstechnologien nicht aktiv unterstützen – jene, die die persönlichen Daten der Bürger tatsächlich vor Datenlecks schützen und reibungslose Identitätsverifizierungsworkflows gewährleisten. Rahmenbedingungen, die die Speicherung und Übertragung regeln, können das Risiko verringern, entfernen aber nicht die Risikofläche selbst. Jedes Mal, wenn Identitätsdaten gesammelt oder übertragen werden, entsteht eine neue Gelegenheit für Datenlecks, und die Einhaltung von Vorschriften allein kann diese Verwundbarkeit nicht vollständig beseitigen.

Es mag scheinen, als ob eIDAS ein einheitliches und sicheres Identitätsverifizierungssystem in ganz Europa aufbaut. In vielerlei Hinsicht schafft es tatsächlich ein konsistenteres und bequemeres System. Aber bedeutet dies wirklich Sicherheit? Bei OCR Studio glauben wir, dass wahre Sicherheit nur durch Technologien geliefert werden kann, die nicht die Speicherung oder Übertragung personenbezogener Daten erfordern. Bei der Identitätsverifizierung ist die sicherste Architektur nicht die, die sensible Daten sorgfältiger handhabt, sondern die, die die Notwendigkeit, sie überhaupt zu handhaben, beseitigt.

Aufbau einer sicheren und konformen Identitätsverifizierung

Da jede eIDAS-Sicherheitsstufe im Wesentlichen auf dem Prinzip der Minimierung der Speicherung und Übertragung personenbezogener Daten basiert, sind On-Premise-/On-Device-Technologien der effektivste Weg, um ein Identitätsverifizierungssystem zu bauen, das sowohl konform als auch wirklich sicher ist. Aus technischer Sicht übertrumpfen solche Systeme Architekturen, die auf Cloud-Infrastruktur oder externe Server angewiesen sind, da sie nicht anfällig für Ausfälle Dritter sind und auch ohne stabile Internetverbindung funktionieren können.

Unten verwenden wir drei der Haupt-eIDAS-Standards als Beispiele, um zu zeigen, wie moderne On-Device-Technologien diesen Identitätsverifizierungsanforderungen vollständig entsprechen:

„Die Person kann als im Besitz von Beweismitteln angesehen werden, die von dem Mitgliedstaat, in dem der Antrag auf das elektronische Identitätsmittel gestellt wird, anerkannt sind und die behauptete Identität darstellen“

Um zu überprüfen, ob der Benutzer der rechtmäßige Inhaber des Dokuments ist, führen Verifizierungssysteme normalerweise Selbstausweis- mit ID-Überprüfungen durch, indem sie das Selfie des Antragstellers mit dem Foto auf dem Ausweis vergleichen. On-Device-Systeme führen dieselben Überprüfungen mit derselben Genauigkeit durch, ohne sensible biometrische Daten überhaupt zu übertragen. Einige On-Device-Systeme können zusätzlich Präsentationsangriffe erkennen, wenn Betrüger Bildschirmaufnahmen und Fotokopien verwenden – dies stellt sicher, dass der Benutzer tatsächlich anwesend ist.

„Die Beweismittel können als echt angesehen werden oder gemäß einer autoritativen Quelle existieren und die Beweismittel erscheinen als gültig“

Um diese Anforderung zu erfüllen, muss das von Ihnen gewählte Identitätsverifizierungssystem in der Lage sein, zu bewerten, ob das vom Benutzer vorgelegte Dokument echt und gültig erscheint. Einige On-Device-Lösungen tun dies, indem sie die Ausweiserkennung mit Dokumentenforensik-Technologien kombinieren. Basierend auf einem einzigen Dokumentfoto können sie verschiedene Manipulationen erkennen, einschließlich Deepfakes, künstlich generierter und morphierter Ausweise. Sie können auch Gültigkeitszeiträume und Daten aus dem VIZ, MRZ und NFC überprüfen, um Inkonsistenzen zu identifizieren, die auf Manipulation oder Betrug hindeuten könnten.

„Aufbewahren, soweit dies durch nationales Recht oder andere nationale Verwaltungsvereinbarungen erlaubt ist, und schützen Sie Aufzeichnungen so lange, wie sie für die Zwecke von Audits und Untersuchungen von Sicherheitsverletzungen erforderlich sind, und löschen Sie die Aufzeichnungen sicher, nachdem die Aufbewahrungsfrist abgelaufen ist“

Diese Anforderung betrifft nicht die Speicherung aller personenbezogenen Daten als Standard, sondern die Aufrechterhaltung der Überprüfbarkeit des Systems. Die eigentliche Herausforderung ist architektonischer Natur: Wie kann Identitätsdaten lokal verarbeitet werden, während die Überprüfbarkeit erhalten bleibt? Unserer Meinung nach sollten Daten nicht zur Verarbeitung übertragen, sondern nur zu streng begrenzten und sicheren Überprüfungszwecken übertragen werden. Zukünftige Ansätze könnten selektives Protokollieren, verschlüsselte Überprüfungsprotokolle oder Mechanismen umfassen, die die Überprüfbarkeit ohne Offenlegung roher personenbezogener Daten erhalten. Dies ist keine Einschränkung des On-Device-Modells, sondern eine breitere Herausforderung für die nächste Generation von Identitätsverifizierungssystemen.

Wie Sie sehen, erfüllen On-Premise-Technologien die wichtigsten eIDAS-Anforderungen, während sie gleichzeitig die Hauptschwäche des Rahmens vermeiden. Da sie keine Speicherung oder Übertragung von Daten erfordern, bieten sie einen viel stärkeren Schutz gegen personenbezogene Datenlecks als alternative Ansätze. Solche Technologien können Identitätsverifizierungsworkflows auf jedem erforderlichen Sicherheitsniveau unterstützen, von “niedrig” bis “hoch”.

On-Premise-Architektur geht über die eIDAS-Konformität hinaus

Die Einhaltung der eIDAS-Anforderungen ist für jedes Unternehmen, das in der EU tätig ist, unerlässlich. Allerdings reicht die Einhaltung von Vorschriften allein nicht aus, um den tatsächlichen Schutz von Kundendaten zu gewährleisten. Um eine wirklich sichere KYC zu schaffen, müssen Unternehmen über die formale Einhaltung von Vorschriften hinausgehen und die technischen Eigenschaften der Identitätsverifizierungslösungen, die sie verwenden, genau prüfen. Unserer Meinung nach ist die sicherste Wahl nicht ein Anbieter, der lediglich die Erfassung personenbezogener Daten minimiert, sondern ein Anbieter, der die Notwendigkeit, diese Daten überhaupt zu erfassen und zu übertragen, an jedem Punkt beseitigt.