Von der EU-AMLR zur ETSI-Norm

Ab dem 10. Juli 2027 zählt bei der Identifizierung von Kundinnen und Kunden nicht mehr nur, welche Verfahren Sie einsetzen, entscheidend ist vielmehr, welches Sicherheitsniveau diese nachweislich erreichen und wer das nach welchem Maßstab geprüft hat. Dieser Maßstab wird nicht durch das Geldwäscherecht definiert, sondern durch die eIDAS-2.0-Verordnung. Geprüft wird die Erfüllung der eIDAS-2.0-Anforderungen nach den Normen des Europäischen Instituts für Telekommunikationsnormen (ETSI).

Für viele AML-Verantwortliche ist das Neuland, denn Vertrauensdienste und ETSI-Normen waren bisher in erster Linie ein Thema für IT-Sicherheit und Signaturdienste. Wer sie jetzt als festen Bestandteil der KYC-Strategie betrachtet, gewinnt Planungssicherheit, auch vor dem Hintergrund der wichtigsten Termine:

• Januar 2027: Start der deutschen EUDI-Wallet „d-you“
• Juli 2027: Geltungsbeginn der EU-AMLR in allen EU-Mitgliedstaaten
• August 2027: ETSI TS 119 461 V2.1.1 (mit den Anpassungen der DVO (EU) 2025/1566) wird verbindlicher Prüfmaßstab für Identitätsprüfungen qualifizierter Vertrauensdiensteanbieter

Welche Identifizierungswege lässt die EU-AMLR zu?

Art. 22 Abs. 6 der EU-AMLR (Verordnung (EU) 2024/1624) nennt die zulässigen Wege zur Identitätsverifizierung und führt neben Ausweisdokumenten in Buchstabe b ausdrücklich zwei eIDAS-Instrumente auf:

• elektronische Identifizierungsmittel mit dem Sicherheitsniveau „substanziell“ oder „hoch“, etwa die Online-Ausweisfunktion eID oder künftig die EUDI-Wallet,
• relevante qualifizierte Vertrauensdienste.

Was „substanziell“, „hoch“ oder „qualifiziert“ bedeutet, regelt nicht die EU-AMLR, sondern eIDAS und wie das technisch geprüft wird, legen ETSI-Normen fest.

Die Details liefert die europäische Geldwäschebehörde AMLA mit dem am 1. Oktober 2026 vorgelegten finalen Entwurf der technischen Regulierungsstandards (RTS) zur Kundensorgfaltspflicht nach Art. 28 Abs. 1 EU-AMLR. Dieser Entwurf legt fest, welche Attribute eID-Mittel und qualifizierte Vertrauensdienste liefern müssen. Fehlen Attribute, sind sie auf anderem Weg zu erheben und zu verifizieren. Die Annahme durch die EU-Kommission steht noch aus.

Sind Video-Ident-Verfahren unter der EU-AMLR noch möglich?

Video-Ident-Verfahren bleiben relevant, aber ihre Rolle verändert sich. Der RTS-Entwurf lässt eigenständige Fernidentifizierungsverfahren für Kundinnen und Kunden, die kein geeignetes eID-Mittel nutzen können, weiterhin als Ausweichlösung zu. Dann jedoch gelten strenge Schutzvorkehrungen, und Verpflichtete müssen gegenüber der Aufsicht begründen können, warum der Regelweg nicht möglich war.

Anders ist es, wenn die Video-Identifizierung Teil eines qualifizierten Vertrauensdienstes ist, etwa bei der Ausstellung einer qualifizierten elektronischen Signatur (QES). Dann wurde das Verfahren bereits nach europäischem Prüfmaßstab bewertet, auf den die EU-AMLR verweist.

Was eIDAS 2.0 unter „vertrauenswürdig“ versteht

Die eIDAS-Verordnung (EU) Nr. 910/2014 wurde durch die Verordnung (EU) 2024/1183 umfassend geändert. Sie liefert die beiden Bausteine, auf die die EU-AMLR verweist.

Sicherheitsniveaus für eID-Mittel:
Als eID-Mittel zählen für die EU-AMLR nur Verfahren, die das Sicherheitsniveau „substanziell“ oder „hoch“ aufweisen. Darunter fallen notifizierte nationale eID-Systeme wie die Online-Ausweisfunktion des Personalausweises. Hinzu kommt die EUDI-Wallet, die jeder EU-Mitgliedstaat bereitstellen muss.

Identitätsprüfung durch qualifizierte Vertrauensdiensteanbieter:
Art. 24 eIDAS regelt, wie ein qualifizierter Anbieter die Identität prüfen muss, bevor er ein qualifiziertes Zertifikat oder eine qualifizierte Attributsbescheinigung ausstellt. Zulässig sind unter anderem die EUDI-Wallet, notifizierte eID-Mittel sowie weitere Verfahren, deren Gleichwertigkeit eine Konformitätsbewertungsstelle bestätigt hat.

Daneben hat eIDAS 2.0 neue Vertrauensdienste eingeführt, etwa die elektronische Attributsbescheinigung (EAA), die elektronische Archivierung sowie elektronische Journale.

Warum „qualifiziert“ den Unterschied macht

Ein Vertrauensdienst macht digitale Vorgänge rechtlich belastbar. Er erstellt, prüft oder bewahrt beispielsweise Signaturen, Siegel, Zeitstempel, Zertifikate oder Attributsbescheinigungen. Anbieter solcher Dienste heißen Vertrauensdiensteanbieter (Trust Service Provider, TSP).

Die EU-AMLR spricht ausdrücklich von „qualifizierten“ Vertrauensdiensten. Ob ein solcher Dienst qualifiziert ist, lässt sich objektiv in der EU-Vertrauensliste nachprüfen. Für Verpflichtete ist das ein großer Vorteil gegenüber selbst gewählten, schwer vergleichbaren Kriterien.

 

 

Wie ETSI-Normen Vertrauensdienste prüfbar machen

Auch wenn die flächendeckende Bereitstellung der EUDI-Wallet nach eIDAS-Vorgaben noch etwas Zeit benötigen wird, sollten Unternehmen schon jetzt prüfen, inwieweit ihre Strategien, Prozesse und Systeme der aktualisierten eIDAS-Verordnung 2.0 entsprechen.

1. Technische Integration prüfen
   Verpflichtete Unternehmen sollten frühzeitig evaluieren, wie sie die EUDI-Wallet in ihre bestehenden Authentifizierungs- und Onboarding-Prozesse integrieren können und wie sie ihre bereits vorhandenen Ident-Verfahren eIDAS-konform aktualisieren können, um auch den zukünftigen AMLR-Vorgaben zu entsprechen.
2. Compliance-Anforderungen analysieren
   Finanzinstitute, Telekommunikationsanbieter und andere verpflichtete Unternehmen müssen ihre KYC-/KYB- und AMLR-Prozesse anpassen und prüfen, ob die bereits etablierten Ident-Verfahren den eIDAS-Anforderungen entsprechen.
3. Sicherheitsarchitektur optimieren
   Die Implementierung der eIDAS 2.0-Standards sollte in bestehende IAM-Systeme (Identity & Access Management) eingebunden werden.
4. Wahlfreiheit bieten
   Wallets im Allgemeinen stellen eine niederschwellige, nutzerfreundliche Lösung dar, die das digitale Onboarding vereinfachen können. Verpflichtete Unternehmen können ihren Wettbewerbsvorteil jedoch besser ausbauen, indem sie die Customer Journey entsprechend umgestalten und ihren Kundinnen und Kunden die Wahl des individuell passenden Ident-Verfahrens lassen.

Mit dem WebID Identity Hub beispielsweise profitieren verpflichtete Unternehmen von einem ID-Ökosystem, das die Wahlfreiheit von Identifikationslösungen eIDAS-zertifiziert und AMLR-konform orchestriert. So schaffen sie die Grundlage für nachhaltige Compliance, stabile Prozesse und eine hohe Nutzerzufriedenheit.

Fünf Fragen an Ihren Identifizierungsanbieter

Formal binden ETSI-Vorgaben nur Vertrauensdiensteanbieter. Wir gehen aber davon aus, dass Aufsicht und Prüfer sie zum Maßstab für jede Fernidentifizierung machen. Die Wahl des Anbieters wird damit zur regulatorischen Entscheidung, nicht nur zur Frage von UX und Kosten.

1. Welches eIDAS-Sicherheitsniveau erreicht das Verfahren?
   „Substanziell“ oder „hoch“ und für welche Risikoklassen Ihrer Kundschaft reicht das?
2. Ist ein qualifizierter Vertrauensdienst fester Bestandteil des Angebots?
   Ist der QTSP in den EU-Vertrauenslisten geführt?
3. Nach welchen Normen wurde geprüft?
   Liegt ein aktueller Konformitätsbewertungsbericht nach ETSI EN 319 401 und ETSI TS 119 461 vor und wenn ja, in welcher Version?
4. Welche Attribute liefert das Verfahren?
   Deckt es alle Angaben nach Art. 22 Abs. 1 EU-AMLR ab, oder müssen Sie Daten separat erheben?
5. Wie flexibel ist das Setup?
   Lassen sich mehrere Verfahren über eine Schnittstelle anbinden und risikobasiert steuern?

Die fünfte Frage ist strategisch von großer Bedeutung. Die EUDI-Wallet kommt, in Deutschland als „d-you“ ab dem 2. Januar 2027. Wie schnell sie sich verbreitet, ist offen. Wer heute nur auf ein Verfahren setzt, muss 2027 neu integrieren.

Fazit: Vertrauen muss belegbar sein

Mit Wirksamwerden der EU-AMLR endet die Zeit, in der verpflichtete Unternehmen weitgehend selbst begründen konnten, warum das (oder die) genutzten Identifizierungsverfahren ausreichen. Anstelle nationaler Sonderwege lautet der neue europäische Maßstab: „eIDAS, geprüft nach ETSI“. Das schafft Vergleichbarkeit, Rechtssicherheit und einen klaren Prüfmaßstab für Aufsicht und Revision.

Unsere Überzeugung: Wer Vertrauensdienste und ETSI-Normen als Kern seiner EU-AMLR-Compliance versteht, nicht als reines IT-Thema, hat 2027 einen klaren Vorsprung. Er kann Verfahren mit nachweisbarem Sicherheitsniveau wählen, sie risikobasiert kombinieren und bleibt offen für die EUDI-Wallet.

Genau dafür hat WebID den European Identity Hub entwickelt. Er bündelt eID, EUDI-Wallet und weitere eIDAS-konforme Verfahren wie VideoID, VisualID oder ePassID in einer Integration.