Die Souveränitätsfrage: Wer kontrolliert Europas Identity-Layer?

Digitale Identität wird meist an konkreten Stellen sichtbar: beim Eröffnen eines Kontos, beim Abschluss eines Vertrags oder bei der Anmeldung zu einem digitalen Dienst. Für die IT beginnt die anspruchsvollere Arbeit jedoch erst danach. Eine Identitätslösung muss in bestehende Systeme passen und über den gesamten Ablauf hinweg zuverlässig funktionieren. Später sollte sie sich erweitern lassen, ohne dass dafür jedes Mal eine neue technische Sonderlösung entsteht.

Das gilt besonders für Unternehmen aus regulierten Branchen. Sie müssen zunächst prüfen, ob eine Person tatsächlich diejenige ist, für die sie sich ausgibt. Danach stellt sich die Frage, welche Informationen für den jeweiligen Vorgang ausreichen. Bei einem einfachen Zugang gelten andere Anforderungen als bei einer Transaktion oder einem Vertragsabschluss. Auch eine erneute Authentisierung kann erforderlich sein. Außerdem muss sich eine Handlung zu einem späteren Zeitpunkt nachvollziehen lassen.

Mit eIDAS 2.0 und der European Digital Identity Wallet erhält diese Aufgabe eine europäische Dimension. Identitätsnachweise sollen in unterschiedlichen Zusammenhängen und über Ländergrenzen hinweg eingesetzt werden können. Für Unternehmen bedeutet das, ihre Identitätsarchitektur auf Veränderungen vorzubereiten. Neue Nachweise und Verfahren müssen sich in vorhandene Abläufe einfügen lassen. Andernfalls entstehen für jeden weiteren Anwendungsfall neue Insellösungen.

Der häufigste Fehler: Identität als einzelner Prüfschritt

Viele Projekte beginnen mit einer naheliegenden Frage: Wie lässt sich die Identität eines Kunden, Mitarbeiters oder Geschäftspartners digital prüfen?

Die Prüfung ist notwendig. Sie beschreibt jedoch nur den Anfang des eigentlichen Prozesses. Danach werden häufig Informationen in ein anderes System übernommen. Es können Berechtigungen folgen oder ein Vertrag zur Freigabe bereitgestellt werden. In anderen Fällen wird eine Zahlung ausgelöst oder ein Dokument signiert.

Arbeitet jeder dieser Schritte mit einer eigenen technischen Logik, entsteht kein durchgängiger digitaler Vorgang. Die Identität wird zwar einmal geprüft, spielt für den weiteren Ablauf aber keine verlässliche Rolle mehr. Informationen müssen erneut abgefragt oder manuell weitergegeben werden. Später ist schwer zu klären, welcher Nachweis zu einer bestimmten Entscheidung geführt hat.

Für IT- und Compliance-Verantwortliche ist deshalb ein anderer Blick auf das Thema erforderlich. Im Mittelpunkt sollte nicht die einzelne Identitätsprüfung stehen. Entscheidend ist der Prozess, den die Identität absichern soll. Erst wenn dieser Ablauf verstanden ist, lässt sich beurteilen, welche Nachweise benötigt werden und wo sie in der Architektur verankert sein müssen.

Die Identitätsarchitektur beginnt mit der Nachweisquelle

Am Anfang steht die Frage, wie eine Identität festgestellt wird. Je nach Anwendungsfall können dafür Identitätsdokumente oder verifizierte Attribute verwendet werden. Welche Quelle geeignet ist, hängt vom Zweck der Prüfung ab.

Für den Zugang zu einem digitalen Dienst werden in der Regel andere Informationen benötigt als für einen regulierten Vertrag. Werden mehr Daten erhoben als erforderlich, wird der Prozess dadurch nicht automatisch besser. Gleichzeitig steigen die Anforderungen an den Schutz der Daten. Auch ihre Aktualisierung und spätere Löschung müssen geregelt werden.

Die beteiligten Teams sollten deshalb früh festlegen, welche Attribute für den jeweiligen Vorgang erforderlich sind. Dabei geht es auch um die Frage, wie ihre Aktualität bewertet wird. Ein Nachweis kann zum Zeitpunkt der Prüfung gültig sein, später aber seine Aussagekraft verlieren. Die Architektur muss mit solchen Veränderungen umgehen können.

Diese Entscheidung gehört nicht ausschließlich in die IT. Der Fachbereich kennt den konkreten Ablauf. Datenschutz und Compliance bewerten die rechtlichen Anforderungen. Erst aus diesem Zusammenspiel ergibt sich ein belastbares Verständnis davon, welche Informationen tatsächlich gebraucht werden.

Authentisierung ist eine Prozessentscheidung

Nach der ersten Prüfung muss eine Organisation festlegen, wie eine Person bei späteren Zugriffen authentisiert wird. Dabei sollte die bestätigte Identität von der jeweiligen Zugriffsentscheidung getrennt betrachtet werden.

Ein Login kann für einen bestimmten Vorgang ausreichen. Bei einer Vertragsfreigabe kann dagegen eine zusätzliche Bestätigung erforderlich sein. Die Architektur muss solche Unterschiede abbilden, ohne dass für jede Sicherheitsstufe ein eigener Prozess entwickelt wird.

Auch der Umgang mit Änderungen gehört in dieses Konzept. Eine Person kann ihre Berechtigungen verlieren. Ein Nachweis kann gesperrt werden. In anderen Fällen muss ein Zugang wiederhergestellt werden. Solche Vorgänge sind kein Sonderfall, der erst bei einem Zwischenfall betrachtet werden sollte. Sie gehören zum Lebenszyklus einer digitalen Identität.

Für regulierte Unternehmen ist außerdem wichtig, dass Entscheidungen später erklärbar bleiben. Es muss erkennbar sein, warum ein Zugriff erlaubt oder abgelehnt wurde. Dafür braucht es nachvollziehbare Regeln und eine Dokumentation, die auch bei einer späteren Prüfung verständlich bleibt.

Die eigentliche Bewährungsprobe liegt in der Integration

Der praktische Wert einer Identitätslösung zeigt sich an ihren Schnittstellen. Sie muss mit den Systemen verbunden werden, in denen der eigentliche Geschäftsvorgang stattfindet. Je nach Unternehmen können dabei beispielsweise eine Berechtigungsplattform, ein CRM oder ein Signaturdienst beteiligt sein.

Eine technische Verbindung allein reicht allerdings nicht aus. Die Fachlogik muss festlegen, wann ein Nachweis akzeptiert wird. Ebenso muss klar sein, was bei einer Abweichung geschieht. Der Vorgang kann angehalten werden, die Person kann einen weiteren Versuch erhalten, oder es ist eine manuelle Prüfung erforderlich.

Solche Entscheidungen dürfen nicht ausschließlich in einer einzelnen Anwendung verborgen sein. Die zuständigen Teams müssen nachvollziehen können, nach welchen Regeln ein Vorgang fortgesetzt wird. Nur dann lässt sich die Lösung warten und bei veränderten Anforderungen anpassen.

Bei vielen digitalen Vorgängen reicht es nicht aus, den Zugang einer Person zu bestätigen. Am Ende muss auch eine Handlung dokumentiert werden. Das kann eine Zustimmung zu Vertragsbedingungen sein oder die Freigabe einer Transaktion. Hier greifen Vertrauensdienste. Eine qualifizierte elektronische Signatur kann eine Erklärung eindeutig zuordnen. Ein elektronisches Siegel kann die Herkunft eines Dokuments belegen. Ein Zeitstempel kann festhalten, wann ein Vorgang stattgefunden hat.

Der Identity-Layer entscheidet sich an seinen Schnittstellen

Die Zukunft der europäischen digitalen Identität wird nicht allein davon abhängen, ob eine Wallet oder ein einzelner Identitätsdienst verfügbar ist. Ausschlaggebend ist, ob Unternehmen daraus verlässliche Geschäftsprozesse entwickeln können.

Dafür müssen sie die einzelnen Phasen eines Vorgangs miteinander verbinden. Die Identitätsprüfung darf nicht unabhängig von der späteren Authentisierung geplant werden. Auch die Entscheidung über einen Zugriff und die Dokumentation einer Handlung gehören in dieselbe Identitätsarchitektur.

Wer diese Fragen getrennt behandelt, riskiert Medienbrüche und zusätzliche Integrationskosten. Eine gut geplante Prozessinfrastruktur kann dagegen in unterschiedlichen Anwendungen eingesetzt und später erweitert werden.

Digitale Souveränität beginnt deshalb bei der Architektur. Sie zeigt sich darin, ob eine Organisation ihre Identitätsprozesse überblickt, Entscheidungen nachvollziehen kann und bei technischen oder regulatorischen Veränderungen handlungsfähig bleibt. An diesen Schnittstellen wird sich zeigen, ob Europas Identity-Layer im Alltag trägt.

Bild: Wirestock / Magnific