Jusletter IT

Die digitale Technologie verändert unser Leben. Die Kommission ist entschlossen, das kommende Jahrzehnt zur „Digitalen Dekade Europas“ zu machen und den Schwerpunkt dabei auf Daten, Technologie und Infrastruktur zu setzen: „Ein Europa für das digitale Zeitalter“ wurde als eine von sechs Prioritäten der Kommission für 2019 – 2024 festgelegt. In der Umsetzung dieser Zielvorgaben stellte die Kommission am 3.6.2021 einen Rahmen für eine europäische digitale Identität (EUid) vor; die Umsetzung ist mit 2022 beabsichtigt.¹ Bei der digitalen Transformation gilt es – wie bei jedem gesellschaftlichen Wandel – die gewünschten Bevölkerungsgruppen an der neuen Entwicklung teilhaben zu lassen.² Eine legale Identität für alle Menschen ist auch eines der Nachhaltigkeitsziele, die die Vereinten Nationen bis 2030 erreichen wollen.³ Das britische „Economic and Social Research Council“ (ESRC) hat 2017 durch das Projekt „Building Digital Identities“ den Einsatz digitaler Identitäten evaluiert und auch die Weltbank setzt auf digitale Identitäten, um das UN-Nachhaltigkeitsziel zu erreichen.⁴

Die europäische digitale Identität bringt viele Vorteile mit sich und zwar u. a.:

• EU-weit anerkannte digitale Identität,
• einfache und verlässliche Kontrolle sowie viele Informationen für Dienstleistungen, die einen Informationsaustausch erfordern, preisgegeben werden,
• digitale Brieftaschen, die per Handy-App und anderweitig verfügbar sind,
• die Möglichkeit, sich online und offline auszuweisen,
• die Möglichkeit, die Informationen aus verlässlichen privaten Quellen zu speichern und weiterzugeben.⁵

Seit dem Inkrafttreten des Teils der eIDAS-Verordnung⁶ betreffend die elektronische Identifizierung im September 2018 haben 14 Mitgliedstaaten mindestens ein elektronisches Identifizierungssystem (eID-System) notifiziert. Deshalb haben nur 59 % aller EU-Einwohner grenzübergreifenden Zugang zu vertrauenswürdigen und sicheren eID-Systemen.⁷ Eine Vereinheitlichung auf EU-Ebene wird daher angestrebt. Digitale Identität ist ebenfalls im Zahlungsverkehr von großer Wichtigkeit. In immer schwieriger werdenden Zeiten muss die Zahlungsverkehrsbranche das Vertrauen bewahren, indem sie einen Weg findet, die Verbraucher vor der ständigen Bedrohung durch Zahlungsbetrug und -diebstahl zu schützen.

Abbildung 1: „Welche dieser Plattformen gehen verantwortungsvoll mit ihren Identitäten um?“ (Quelle: Civey)⁸

Im Juli 2014 wurde die Verordnung des Europäischen Parlaments und des Rates der WU über elektronische Identifizierung und Vertrauensdienste für elektronische Transaktionen im Binnenmarkt (eIDAS⁹-Verordnung) angenommen.¹⁰ Die eIDAS-Verordnung regelt Vertrauensdienste¹¹, elektronische Signaturen¹², elektronische Siegel¹³, elektronische Zeitstempel¹⁴, Dienste für elektronische Einschreiben und Zertifikate für die Webseite-Authentifizierung¹⁵. Die Kommission baut auf einem bereits bestehenden rechtlichen Rahmen auf und muss nicht bei null beginnen. Die eIDAS-Verordnung bildet die Grundlage für den neuen Vorschlag der Europäischen Kommission hinsichtlich einer Verordnung bezogen auf die Schaffung eines Rahmens für eine einheitliche europäische digitale Identität.¹⁶ Dieser Vorschlag soll die geltende eIDAS-Verordnung ändern. Der neue Verordnungsvorschlag soll nach den Plänen der Europäischen Kommission ein harmonisiertes Sicherheitskonzept für Unionsbürger bieten, die einer EUid im Online-Bereich vertrauen. Es soll auch eine gemeinsame technische Architektur entwickelt werden.¹⁷

Jede Banking-Innovation beginnt beim Zahlungsverkehr.¹⁸ Die Identifikation von Kunden im Ferngeschäft stellt aufgrund einer fortgeschrittenen Digitalisierung eine große Herausforderung für Kredit- und Finanzinstitute dar. Die Kredit- und Finanzinstitute sind aufgrund ihrer kundenbezogenen Sorgfaltspflichten verpflichtet, bestimmte Dokumente, Daten und Informationen, die von einer glaubwürdigen und unabhängigen Quelle stammen, einschließlich elektronischer Mittel für die Identitätsfeststellung, betreffend ihrer Kunden einzuholen und aufzubewahren.¹⁹ Der Zweck der Identitätsprüfung ist die Verhinderung der Geldwäsche und Terrorismusfinanzierung. Diese kundenbezogenen Sorgfaltspflichten werden als KYC-Verfahren („know your customer“) bezeichnet. Sie werden in FM-GwG²⁰, das auf Kredit- und Finanzinstitute sowie auf Dienstleister in Bezug auf virtuelle Währungen (Verpflichtete) anzuwenden ist, geregelt (§ 1 Abs 1 FM-GwG). Die Sorgfaltspflichten gegenüber Kunden²¹ umfassen u. a. „Feststellung der Identität des Kunden und Überprüfung der Identität auf Grundlage von Dokumenten, Daten oder Informationen, die von einer glaubwürdigen und unabhängigen Quelle stammen, einschließlich elektronischer Mittel für die Identitätsfeststellung und einschlägiger Vertrauensdienste gemäß der Verordnung (EU) Nr. 910/2014 und anderer sicherer Verfahren zur Identifizierung aus der Ferne oder auf elektronischem Weg [...]“ (§ 6 Abs 1 Z 1 FM-GwG). Die Überprüfung der Identität gemäß § 6 Abs 1 Z 1 FM-GwG hat bei einer natürlichen Person durch die Vorlage eines amtlichen Lichtbildausweises zu erfolgen.²²

Neben der Identifizierung bei einer Bank, welche derzeit über die Zwei-Faktoren-Authentifizierung und Social-Media-Identitäten²³ läuft, welche teilweise auch zur Abwicklung von Zahlungen (insbesondere Micro-Payment) dienen, steht derzeit die digitale Identität als Gegenpol im Raum.²⁴ Bei der Eröffnung eines Bankkontos wird künstliche Intelligenz eine Rolle bei der Erkennung des Personalausweises, insb. bei der Erkennung des darauf befindlichen Hologramms, spielen. Während sich die Mehrheit der Gesellschaft noch daran gewöhnt, für Identifikationsverfahren nicht persönlich zur Bank gehen zu müssen, ist die Identifizierung via Webcam oder PostIdent-Verfahren vielen Innovator und Early Adopters zu aufwendig. Es bieten sich deshalb neue Authentifikationsverfahren an. Die FMA-konforme Verifizierung der eigenen Identität für Kunden sollte vereinfacht werden, indem auf voll-automatisierte Hologrammüberprüfung abgestellt und zukünftig das veraltete PostIdent-Verfahren ersetzt wird.²⁵ Mit dem neuen Verfahren werden die Kunden angesprochen, die für die Verifizierung ihrer Person komplett auf menschlichen Kontakt verzichten möchten.²⁶

Digitale Identität spielt auch im Rahmen von „Banking-as-a-Platform“-Lösungen eine Rolle. Das einheitliche Ökosystem stellt den Bankkunden alle gewünschten und relevanten Anwendungen und Dienstleistungen bereit; die Finanzdienstleistungen sind darin eingebettet. Mobile Payments, selbstverwaltete digitale Identitäten, Machine-to-Machine-Payments, Digitale Zwillinge, Tokenisierung und digitale Währungen erfordern solche Ökosysteme. Jede Person sowie jedes Objekt besitzt de facto eine digitale Identität, weil sowohl die Menschen als auch die Maschinen im Netz Datenspuren hinterlassen.²⁷

Datensicherheit ist eine der wesentlichen Herausforderung des digitalen Zeitalters. Mehrere Zugänge zu Accounts zu haben und diese auf dem PC/Mac abzuspeichern ist nicht unbedingt sicher. Die Lösung dafür sind sogenannte Passwort-Manager, aber sie haben eine Schwachstelle: Man braucht ein Hauptpasswort als Zugang. Ist dieses geknackt, liegen alle Zugänge offen. Für Finanzanliegen sind Passwort-Manager nicht sicher. Neue Formen der Identifizierung und Authentifikation sollen hier Abhilfe schaffen. Sicher sind die Daten, wenn Unternehmen auch sicherstellen können, dass die Identität authentisch ist (also von der Person stammend für die sie sich ausgibt).²⁸

Die digitale Identität könnte im Bereich von automatisierten Wertetransfers in DLT-Systemen zur Anwendung kommen. Zum Beispiel könnte die digitale Identität die Voraussetzung für den Zugriff auf Plattformen, die den Kauf und Verkauf von neuen Finanzprodukten („Digital Assets“) anbieten, sein. Das würde die Gefahr der Geldwäsche und Terrorismusfinanzierung verringern und mehr Sicherheit für alle Beteiligten und Regulierung auf diesem neuen Markt anbieten. Die Praxis hat ebenfalls gezeigt, dass Banken Sicherheitslücken in Bezug auf Erkennung von Kunden mit gleichem Namen haben. Beispielsweise ist bei Datenzwillingen schwer ersichtlich, ob es sich tatsächlich um mehrere Personen handelt. EUid könnte da Verbesserungen bringen, indem die Identität eines Kunden an die digitale Identität geknüpft wird.

Die europäische digitale Identität kann in unterschiedlichen Fällen zur Anwendung kommen und zwar u. a. bei der Nutzung aller öffentlichen Dienste wie z. B. Beantragung von Geburtsurkunden, Eröffnung eines Bankkontos, Einreichung der Steuererklärung, Bewerbung an einer Hochschule, Speicherung eines ärztlichen Rezepts, Altersnachweis, Anmietung eines Autos mit digitalem Führerschein, Check-in in einem Hotel usw.²⁹

Die Beantragung eines Bankkredits ist für die Kreditnehmer aufgrund zahlreicher (persönlicher) Termine sehr aufwendig. Die Kreditnehmer müssen grundsätzlich nach der Vorbesprechung bei der Bank die Dokumente (persönlich) einreichen. Die EUid bringt die Neuerungen dadurch, dass die für das Bankgeschäft benötigten Dokumente (vom nationalen Personalausweis bis zum Einkommensnachweis) direkt aus der digitalen Brieftasche ausgewählt und der Bank übermittelt werden können. Der Kreditnehmer entscheidet selber, welche Dokumente er der Bank zur Verfügung stellen möchte. Die überprüfbaren digitalen Dokumente werden somit erstellt und sicher zur Überprüfung an die Bank gesandt, die dann das Antragsverfahren fortsetzen kann.³⁰

EUid könnte der erste große Schritt in der völligen end-to-end-Digitalisierung des Kreditprozesses sein. EUid bringt die Neuerung, dass ein Kredit ohne physische Anwesenheit der Kunden beantragt werden kann. Es stellt sich aber die Frage was nach der Beantragung des Kredits passiert. Eine völlige end-to-end-Digitalisierung des Kreditprozesses ist insbesondere im Hinblick auf die Wohnraum-Finanzierung zukunftsrelevant. Immobilien-Transaktionen können heute bereits vollständig digital abgewickelt werden. Dementsprechend könnten die Kunden rein mit der Verwendung der EUid von zuhause einen Wohnraum-Kredit beantragen und die gesamte Dokumentation und die notarielle Abwicklung digital durchführen.

Abbildung 2: Beantragung eines Bankkredits mit EUid (Quelle: Europäische Kommission)³¹

Laut einer im August 2020 von der „National Retail Federation und Forrester“ veröffentlichten Studie hat in den USA jeder fünfte Käufer während der Pandemie zum ersten Mal kontaktlos bezahlt.³² Dies hat dazu geführt, dass sich die Finanzbranche mit verbesserter Sicherheit beschäftigen muss.³³ Während die Notwendigkeit einer digitalen ID feststeht, ist die Form, die sie annehmen wird, weniger klar. Es gibt zwei Hauptherausforderungen, die Zahlungsanbieter mit einer potenziellen neuen Identitätslösung bewältigen müssen: Das Onboarding neuer Benutzer und die Sicherstellung, dass die digitale ID mit allen Transaktionen kompatibel ist.³⁴

Den USA fehlt eine umfassende Strategie für digitale IDs. Präsident Obama hat im April 2011 die Nationale Strategie für vertrauenswürdige Identitäten im Cyberspace veröffentlicht. Diese Strategie hat darauf abgezielt, die Sicherheit im Cyberspace und im E-Commerce zu verbessern.³⁵ Diese wurde von den Dienstleistern allerdings nie national angenommen. Der Kongress-Abgeordnete Foster hat im September 2020 den „Improving Digital Identity Act of 2020“ eingeführt.³⁶ Der Gesetzesentwurf zielt darauf ab, einen regierungsweiten Ansatz zur Verbesserung der digitalen Identität zu etablieren. Mit diesem Gesetzentwurf wäre die „Improving Digital Identity Task Force“ eingerichtet worden. Damit sollte eine regierungsweite Anstrengung zur Entwicklung sicherer Methoden für Regierungsbehörden zur Validierung von Identitätsattributen zum Schutz der Privatsphäre und Sicherheit von Einzelpersonen starten und eine zuverlässige, interoperable digitale Identitätsprüfung im öffentlichen und privaten Sektor unterstützen.³⁷ Forster hat im Juni 2021 erneut einen Gesetzesentwurf zur Entwicklung von Rechtsvorschriften rund um die digitale Identität „Improving Digital Identity Act of 2021“ vorgelegt.³⁸ Es bleibt abzuwarten, ob und in welcher Form das Gesetz in Kraft treten wird.

Es bleibt abzuwarten, wie sich mögliche Missbrauchsfälle rund um die EUid entwickeln werden: Einerseits sind Fälle denkbar, bei denen die EUid selbst gefälscht wird oder die den Missbrauch der Benutzerdaten betreffen.³⁹ Globale Banken, die ein mehrschichtiges Sicherheitsprogramm betreffend Cybersicherheit und moderne – auf digitaler Identität basierenden – Authentifizierungstechnologien verwenden, senken ihre anfallenden Gesamtbetrugskosten auf die Hälfte des Branchendurchschnitts. Lösungen zur Bekämpfung und Prävention von Cyberkriminalität sind zunächst kostspielig, doch führen zu zukünftigen Einsparungen.⁴⁰ Das weitere Einsparungspotential findet sich in Hinblick auf die Zwei-Faktor-Identifizierung. Banken können nicht wie Privatkunden eine Flatrate kaufen, sondern müssen pro SMS durchschnittlich sechs Cent bezahlen. Große Banken haben für die Transaktionen ihrer Kunden einen hohen Kostenfaktor zu tragen, weshalb die Zukunft dieses Modells fraglich ist.⁴¹

Die Idee einer digitalen europäischen Identität wird vom „Bundesverband öffentlicher Banken Deutschlands“ (VÖB) grundsätzlich begrüßt.⁴² Ihrer Meinung nach muss die Wirkung des Gesetzesvorschlags eingehend geprüft werden. „Die EU-Kommission erwartet u. a., dass Banken die EUid für den Zugang zum Online-Banking implementieren und anbieten. Der erheblichen Investitionserfordernis der Banken steht eine nicht quantifizierbare Nutzung der EUid durch die Kunden gegenüber, da diese freiwillig ist. Die Bestimmungen der PSD2 [zweite Zahlungsdiensterichtlinie (EU) 2015/2366] nach unserer [VÖB] bisherigen Einschätzung nicht ausreichend berücksichtigt. Zudem ist die Frage ungeklärt, wer haftet z. B. wenn Zahlungen missbräuchlich mit Hilfe der EUid autorisiert werden. Zudem ist unklar, wie sich Banken in die Governance der EUid einbringen können.“⁴³ Die Kritik des „Bundesverbands öffentlicher Banken Deutschlands“ zeigt eine Reihe berechtigter Fragen auf. Diese stellen sich auch im Hinblick auf die Sicherheit der EUid bezüglich des Datenschutzes.⁴⁴ Denn nach der EU-Datenschutzgrundverordnung dürfen persönliche Daten nur für genau spezifizierte Zwecke im minimal nötigen Umfang erhoben und verarbeitet werden. Eine Sammlung und Speicherung umfassender Daten zu allgemeinen Verwaltungszwecken würde dieser Vorschrift widersprechen. Übrigens müssen die persönlichen Daten auch gelöscht werden, nachdem der spezifische Zweck ihrer Erhebung entfällt oder der Betroffene ihre Zustimmung zur Speicherung widerrufen hat.⁴⁵ Mit der Anwendung der Blockchain-Technologie treten andere Probleme auf: Alle Einträge bauen aufeinander auf, die einzelne Informationen können aber nicht gelöscht werden, weil ansonsten die Korrektheit der weiteren Informationen nicht mehr überprüft werden kann.

Es ist unklar, ob die Banken verpflichtet sein werden, den Kunden die Benutzung der EUid anzubieten – insbesondere deswegen, weil die EUid den Bürgern freiwillig zur Verfügung gestellt wird. Die Banken müssen ebenfalls mit großen Kosten für die Schaffung technischer Rahmenbedingungen (für die Verwendung von EUid) rechnen und ebenso Kosten für die Instandhaltung der technischen Systeme berücksichtigen. Ob der Staat oder die Banken die Kosten dafür tragen ist ebenfalls unklar. Unserer Meinung nach sollte der Staat die Anschaffungskosten übernehmen, weil bei Überwälzung der Kosten auf die Banken die Gefahr besteht, dass die Banken dieselben Kosten weiter auf die Kunden überwälzen. Außerdem liegt es im staatlichen Interesse, die Hoheit über die Identität ihrer Bürger zu haben.

Die digitale Identität könne künftig als Menschenrecht gesehen werden. Auch könnte das Reisen ohne schriftliche Dokumente möglich sein. Die digitale Identität ist nicht für Banking, sondern auch in anderen Bereichen wie Gesundheit, Verwaltung und e-commerce relevant. Die Kritik wird im Hinblick auf die globale Überwachung der Bürger und die Cybersicherheit geübt, weil niemand die Hacker-Techniken der Zukunft kennt. Um das Vertrauen der Bevölkerung in EUid zu steigern, könnte in der digitalen Brieftasche die Option entwickelt werden, dass die Bürger selber entscheiden, ob sie die Brieftasche in nur begrenztem Umfang „freischalten“. Die Bürger könnten z. B. die digitale Brieftasche nur für die Behördenwege „freischalten“, aber für den Zahlungsverkehr „sperren“.

Andrae, Silvio, Digitale Kompetenzen im Corporate Banking, Carl Hanser Verlag, München 2021.

Birch, David G.W., Digital Identity should be a big business for banks (abrufbar unter: https://www.forbes. com/sites/davidbirch/2021/09/16/digital-identity-should-be-a-big-business-for-banks/?sh=520368b57c3f; abgerufen am 14.11.2021).

Bramberger, Markus, Open Banking: Neupositionierung europäischer Finanzinstitute, Springer Gabler, Wiesbaden 2019.

Bundesverband Öffentlicher Banken Deutschlands (Hrsg.), Kreditwirtschaftlich wichtige Vorgaben der EU, Berlin Oktober, 2021(abrufbar unter: https://kredwi.voeb.de/2/; abgerufen am 6.11.2021).

Eberwein, Helgo/Martino, Antonio M., Digitale Identität für EU-Bürger, Öffentliche Sicherheit 9–10/21, S. 93.

Eberwein, Helgo, Digitalisierung vorantreiben, Öffentliche Sicherheit 5–6/21, S. 83.

Graziani, Vince, The value of digital identity in payments (abrufbar unter: https://www.globalbankingandfinan ce.com/the-value-of-digital-identity-in-payments/; abgerufen am 14.11.2021).

Hafen, Thomas, Die prekäre Zukunft der digitalen Identität (abrufbar unter: https://computerwelt.at/news/die-prekaere-zukunft-der-digitalen-identitaet; abgerufen am 14.11.2021).

IT Finanzmagazin (2018H): Nect startet Selfie-Ident für Banken & Versicherer: Identitätsfeststellung in 2 Minuten – per KI-Analyse! In: IT Finanzmagazin (16.11.2018), https://www.it-finanzmagazin.de/nect-selfie-ident-2-minuten-ki-80951/ (abgerufen am 13.11.2021).

Jahnel, Dietmar, Kommentar zur Datenschutz-Grundverordnung, Jan Sramek Verlag, Wien 2021.

Mühl, Kim Y., Bank 4.0, BoD, Hamburg 2020.

Gorzala, Jeannette, Online-Identifikation von Bankkunden, ÖBA 2019, S. 120.

Koch, Bernhard in Zankl, Wolfgang, Rechtshandbuch der Digitalisierung, Manz Verlag, Wien 2021.

Steinschaden, Jakob, Wie Europas Fintechs digitale Identität in den Mainstream bringen (abrufbar unter: https://www.trendingtopics.eu/wie-europas-fintechs-digitale-identitaet-in-den-mainstream-bringen/; abgerufen am 10.12.2021).

* Die Darstellung gibt die wissenschaftliche Meinung der Autoren wieder und ist weder als Äußerung im Rahmen der Dienstpflicht noch als Rechtsauffassung der Behörde zu verstehen.