eIDAS 2.0, EUDI-Wallet & AMLR 2027

Vertrauensdienste, die nach eIDAS 2.0 zertifiziert sein müssen, sowie die in Deutschland Anfang 2027 verfügbare EUDI-Wallet und vor allem die ab Juli 2027 verbindlich umzusetzenden Vorgaben der EU-Anti Money Laundering Verordnung (EU-AMLR) stellen für viele Unternehmen große Herausforderungen dar.
Dieser erste Teil unserer Blogbeitragsreihe soll dazu beitragen, zunächst zu verstehen, wie eIDAS 2.0, EUDI-Wallet und die EU-AMLR zusammenhängen, bevor wir in den weiteren Blogbeiträgen stärker in die Details dieser Regulierungs-Trilogie eintauchen.

Wie hängen eIDAS 2.0, EUDI-Wallet & AMLR zusammen?

Die ab 2027 verbindlich umzusetzende AMLR ersetzt die bisherigen nationalen Geldwäschegesetze weitestgehend. Statt unterschiedlicher Vorgaben und Gesetze in jedem EU-Mitgliedstaat soll damit ein einheitliches Regelwerk etabliert werden, das unmittelbar in allen Ländern anzuwenden ist.

1. Die EU-AMLR definiert, welche konkreten Sorgfaltspflichten, Datenpunkte und Risikoanalysen verpflichtete Unternehmen erfüllen müssen, um ihre Systeme vor Geldwäsche, Terrorismusfinanzierung und anderen Formen von Finanzbetrug zu schützen.
2. eIDAS 2.0 hingegen legt fest, mit welchen technisch geprüften Vertrauensdiensten diese Pflichten in Bezug auf Identifikationslösungen umgesetzt werden können.
3. Die EUDI-Wallet spielt in diesem Zusammenhang insofern eine zentrale Rolle, als dass jeder EU-Mitgliedsstaat seinen Bürgerinnen und Bürgern die Möglichkeit zur Identifikation über eine Wallet anbieten muss. Diese muss interoperabel sein, so dass sie europaweit einsetzbar ist – und sie muss von verpflichteten Unternehmen ab Januar 2028 als zusätzliches Instrument zur Identifikationsprüfung bereitgestellt werden.

EU-Anti Money Laundering Verordnung (EU-AMLR)

Die erstmals 1991 eingeführten und kontinuierlich angepassten europäischen Anti-Geldwäsche-Richtlinien (zuletzt 2020 die EU-AMLD6)  wurden von allen EU-Ländern in nationales Compliance-Regelwerk überführt, in Deutschland etwa war bisher das Geldwäschegesetz (GwG) bindend.

Ab Juli 2027 sind in allen EU-Staaten die nationalen Geldwäschegesetze durch die EU-AMLR zu ersetzen. Viele Unternehmen im Finanzsektor bereiten sich bereits darauf vor, die erforderlichen Maßnahmen fristgerecht umzusetzen, wohlwissend, dass mit der EU-AMLR ein Paradigmenwechsel vollzogen wird, der Auswirkungen in allen Unternehmensbereichen nach sich zieht, beispielsweise:

• bei Identifikationsverfahren sind im Rahmen von Know-Your-Customer-Prozessen zusätzliche Daten zu erheben und zu verwalten – und führen insbesondere bei Unternehmensidentifikationen zu mehr Aufwand
• beim Transaktions-Monitoring gelten strengere Vorgaben und Fristen bei der Meldung verdächtiger Transaktionen
• es gibt ebenfalls engere Fristen und Vorgaben in Bezug auf die vorzunehmenden Risiko-Analysen, was ebenso wie die Personendatenerhebung und das Transaktions-Monitoring deutlich datengetriebener erfolgen muss.

Diese beispielhaft genannten Aspekte zeigen, dass eine fristgerechte und umfassende Umsetzung der EU-AMLR-Vorgaben nur gelingen kann, wenn vom Management über die Legal-Abteilungen und Compliance-Verantwortlichen bis hin zu den IT-Zuständigen ein einheitliches Verständnis besteht und gegebenenfalls die Expertise der jeweiligen Dienstleister einbezogen wird.

Zukünftig fallen weitere Branchen unter die EU-AMLR

Neben den bereits verpflichteten Unternehmen, beispielsweise im Bankensektor, erweitert die AMLR den Kreis der Verpflichteten um neue Branchen. So sind etwa (Profi-)Fußballvereine, Spieleragenten, Darlehensvermittler, Crowdfunding-Anbieter, Krypto-Dienstleister und Händler von Luxusgütern hinzugekommen. Fußballvereine und Spieleragenten haben im Gegensatz zu den anderen Verpflichteten jedoch erst ab 2029 die Pflichten aus der Verordnung zu erfüllen.

eIDAS 2.0: Technischer Rahmen für vertrauenswürdige Identität

Electronic Identification, Authentication and Trust Services (eIDAS 2.0) ist eine überarbeitete Verordnung der Europäischen Union, die seit Mai 2024 in Kraft ist und zum Ziel hat, digitale Identitäten und Vertrauensdienste innerhalb der EU sicherer, einheitlicher und benutzerfreundlicher zu gestalten.
Nach eIDAS 2.0 zugelassene Ident-Verfahren müssen geprüften Sicherheitsstandards und Konformitätsbewertungen entsprechen, um für eine Identifizierung im Sinne der EU-AMLR zulässig zu sein.

Nach eIDAS 2.0 zugelassene Identifikationsverfahren

Folgende nach eIDAS 2.0 zugelassene Identifikationslösungen sind als Identifizierungsverfahren nach der EU-AMLR möglich:

1. National notifizierte Ident-Verfahren, wie die eID
2. Die EUDI-Wallet
3. Identifikationslösungen, die bei der Verifikation Qualifizierte Elektronische Vertrauensdienste, etwa eine Qualifzierte Elektronische Signatur (QES) nutzen

VideoID und andere Lösungen von WebID sind eIDAS 2.0 zertifiziert und EU-AML-konform

In letzter Zeit wurde des Öfteren in verschiedenen Veröffentlichungen die Meinung vertreten, dass das Video-Ident-Verfahren zukünftig nicht mehr zulässig sei. Dies trifft in dieser Pauschalität jedoch nicht zu. Die humanbasierte Fernidentifikationslösung VideoID von WebID etwa ist durch die Konformitätsbewertungsstelle TÜV NORD CERT nach eIDAS 2.0 konformitätsbewertet und damit für eine Identifikation im Rahmen der Ausstellung einer Qualifizierten Elektronischen Signatur weiterhin zulässig. Auch weitere Ident-Verfahren, etwa TrueID, AccountID, eID sowie CorporateID, die effiziente und kostengünstige Lösung zur Prüfung von Unternehmen und deren wirtschaftlich Berechtigte (UBOs), entsprechen den kommenden Anforderungen und sind daher weiterhin anwendbar.

EUDI-Wallet

Die EUDI-Wallet als EU-weite digitale Brieftasche für sichere Identifikation, Dokumentenverwaltung und Signaturen basiert auf eIDAS 2.0. Eine solche Wallet muss bis Ende 2026 in jedem EU-Staat verfügbar gemacht werden, in Deutschland ist die staatliche Version zu Anfang 2027 angekündigt. Mit Start der AMLR im Juli 2027 muss sie in Know-Your-Customer-Prozessen als Hochsicherheitsverfahren pflichtakzeptiert werden, was mit Integrationsaufwand für die verpflichteten Unternehmen verbunden ist.

Auf Funktionsebene ermöglicht die EUDI-Wallet das selektive Teilen von Attributen und eine grenzüberschreitende Nutzung für Verwaltungs- und Onboarding-Prozesse. Es ist jedoch anzumerken, dass mit der EUDI-Wallet keine Bildprüfung vorgesehen ist, weshalb hier ein erhöhtes Fraud-Risiko nicht ausgeschlossen werden kann.

Im WebID Glossarbeitrag zur EUDI-Wallet haben wir vertiefende Informationen bereitgestellt.

Als Identity Navigator begleitet WebID mehr als 300 Kunden in Europa bereits seit 2012 und hat bereits die Weichen gestellt, damit verpflichteten Unternehmen eine perfekte Orchestrierung ihrer Identifikationslösungen nach höchsten Sicherheitsstandards gelingt.