Ein kurzes Gedankenexperiment
Ein Neukunde aus Mailand will bei Ihnen ein Konto eröffnen. Er hat eine italienische digitale Identität, aber Ihr Onboarding kennt nur Ausweiskopie und Postident. Nach drei Tagen Wartezeit springt er ab. Eine Woche später fragt die Compliance-Abteilung, ob die bisherige Identifizierung überhaupt den Anforderungen genügt. Beides ist teuer, und beides lässt sich vermeiden.
Kurz erklärt
SPID (Sistema Pubblico di Identità Digitale) ist Italiens föderiertes System für digitale Identitäten. Private, akkreditierte Anbieter stellen die Zugänge aus. Über 40 Millionen Menschen in Italien nutzen es.
eIDAS ist die EU-Verordnung für elektronische Identifizierung und Vertrauensdienste. Sie regelt, wann nationale elektronische Identifizierungsmittel (eID) grenzüberschreitend anerkannt werden und welches Vertrauensniveau sie bieten: niedrig, substanziell oder hoch.
SPID-ähnliche Systeme gibt es in vielen Ländern, zum Beispiel itsme in Belgien, FranceConnect in Frankreich, MitID in Dänemark oder die deutsche eID des Personalausweises. Sie unterscheiden sich in Technik, Trägerschaft und Notifizierungsstatus.
Die EUDI-Wallet (Europäische Digitale Identitäts-Brieftasche) kommt mit eIDAS 2.0 und wird nationale Systeme schrittweise ergänzen und teilweise überlagern.
Für Unternehmen heißt das: Wer international identifizieren will, braucht kein neues System pro Land. Wer aber nicht versteht, welche Identifizierungsmittel in welchem Kontext rechtswirksam sind, verliert entweder Kundschaft oder riskiert Beanstandungen.
Die fünf häufigsten Fehler bei internationaler Identifizierung
- „eIDAS verpflichtet uns zur Anerkennung” – nicht ganz. Die Pflicht, notifizierte eID-Mittel anderer Mitgliedstaaten anzuerkennen, gilt nach eIDAS für öffentliche Stellen. Private Unternehmen sind dazu nicht automatisch verpflichtet. Ob sie ein ausländisches Mittel akzeptieren dürfen oder sollten, hängt vom Anwendungsfall ab: Geldwäscheprävention, Vertragsabschluss oder Altersverifikation haben jeweils eigene Maßstäbe.
- Vertrauensniveau und Anwendungsfall werden vermischt. SPID wird auf allen drei eIDAS-Niveaus geführt, aber nicht jeder SPID-Zugang bietet das gleiche Niveau. Für viele regulierte Prozesse zählt mindestens „substanziell”. Wer nur prüft, ob jemand „mit SPID eingeloggt” ist, hat noch keine belastbare Aussage über die Identität.
- Die Beweisführung wird vergessen. Im Ernstfall, bei einer Prüfung, einem Streit über einen Vertrag oder einer Beanstandung durch die Aufsicht, zählt nicht, dass Sie identifiziert haben, sondern dass Sie es nachweisen können. Wer Zeitpunkt, verwendetes Mittel, Vertrauensniveau und Ergebnis nicht manipulationssicher dokumentiert, steht schlecht da.
- Jedes Land wird als Einzelprojekt behandelt. Fünf Märkte, fünf Integrationen, fünf Wartungsaufwände: Das skaliert nicht. Hinzu kommt, dass sich die Landschaft gerade bewegt.
- Die EUDI-Wallet wird ignoriert oder überschätzt. Die einen warten ab, die anderen planen schon die komplette Umstellung. Beides ist riskant.
Was im Ernstfall wirklich zählt
Rechtlich: Entscheidend ist, dass das eingesetzte Verfahren zur jeweiligen Rechtsgrundlage passt. Für die Geldwäscheprävention gelten andere Vorgaben als für qualifizierte elektronische Signaturen. Bei Letzteren verlangt eIDAS eine Identitätsprüfung, deren Verlässlichkeit der persönlichen Anwesenheit gleichwertig ist. Die Verfahren dürfen sich hier nicht beliebig mischen lassen.
Technisch: Wichtig sind standardisierte Schnittstellen und eine saubere Abbildung der Vertrauensniveaus. Auch die Frage, welche Attribute (Name, Geburtsdatum, Steuernummer) ein System überhaupt liefert und wie diese mit Ihren Kundendaten abgeglichen werden, entscheidet über die Qualität des Ergebnisses.
Organisatorisch: Es braucht klare Zuständigkeiten, definierte Rückfalloptionen (was passiert, wenn das Identifizierungsmittel nicht funktioniert?) und Schulungen für Mitarbeitende, die Ausnahmefälle bearbeiten.
Welche Mindestanforderungen heute gelten
Eine einheitliche „Mindestanforderung für alles” gibt es nicht, aber einige Fixpunkte:
Notifizierte Mittel und Vertrauensniveau. Für regulierte Prozesse sollten Sie sich an notifizierten eID-Systemen auf dem Niveau „substanziell” oder „hoch” orientieren.
Identitätsprüfung bei qualifizierten Zertifikaten. Wer qualifizierte Signaturen einsetzt, muss sicherstellen, dass die Identität nach den Vorgaben der eIDAS-Verordnung geprüft wurde. Das übernimmt in der Regel der qualifizierte Vertrauensdiensteanbieter.
Nachvollziehbare Dokumentation. Jede Identifizierung muss prüfbar bleiben, auch Jahre später.
Datenschutz. Es dürfen nur die Daten verarbeitet werden, die für den Zweck nötig sind. Das spricht für Verfahren, die gezielt Attribute übermitteln statt vollständiger Ausweisdaten.
Zusätzlich lohnt ein Blick auf die Fristen von eIDAS 2.0. Die Mitgliedstaaten müssen bis Ende 2026 EUDI-Wallets bereitstellen. Öffentliche Stellen sollen sie ab Dezember 2026 akzeptieren, die deutsche staatliche Wallet wird zum Jahreswechsel 2027 erwartet. Für bestimmte private Unternehmen, etwa im Finanzsektor, wird die Akzeptanz ab Dezember 2027 verpflichtend. Wer jetzt Prozesse neu aufsetzt, sollte diese Wallet-Fähigkeit von Anfang an einplanen.
Wie Sie das Thema pragmatisch angehen
Bewährt hat sich ein dreistufiges Vorgehen:
Anwendungsfälle priorisieren. Wo identifizieren Sie heute, in welchen Ländern und mit welchem Risiko? Nicht jeder Prozess braucht das höchste Niveau.
Eine Schicht statt vieler Einzelanbindungen. Ein zentraler Identifizierungs-Baustein, der mehrere nationale Systeme, Videoident und Ausweisprüfung bündelt, senkt den Integrationsaufwand deutlich.
Wallet-Readiness einplanen. Die Architektur sollte so offen sein, dass EUDI-Wallets später ohne Neuaufbau hinzukommen.
Hier können qualifizierte Vertrauensdiensteanbieter helfen. Sie kennen die Anforderungen aus der Praxis, denn sie müssen selbst regelmäßig Konformitätsprüfungen bestehen. Manche sind zudem direkt Teil nationaler Identitätsökosysteme wie SPID. Dieses Wissen aus erster Hand erspart Ihnen Umwege.
Häufige Fragen
Muss mein Unternehmen SPID akzeptieren?
Eine allgemeine Pflicht für Private besteht nach eIDAS nicht. Sinnvoll kann es trotzdem sein, wenn Sie italienische Kundschaft haben und Ihre Prozesse ein notifiziertes Mittel auf ausreichendem Niveau zulassen.
Ist eine Identifizierung per SPID für eine qualifizierte elektronische Signatur ausreichend?
Das hängt vom Niveau des Mittels und dem Verfahren des Vertrauensdiensteanbieters ab. Nicht jede Anmeldung per SPID erfüllt die Anforderungen.
Was ändert sich mit der EUDI-Wallet?
Sie wird ein einheitliches europäisches Identifizierungsmittel neben den nationalen Systemen. Gerade Unternehmen mit grenzüberschreitendem Geschäft profitieren, wenn ihre Prozesse darauf vorbereitet sind.
Der nächste Schritt
Ob Ihre aktuellen Identifizierungsprozesse für internationale Kundinnen und Kunden tragen, lässt sich in einem kurzen Gespräch klären. Wir zeigen Ihnen gern, wie sich nationale eID-Systeme, qualifizierte Signaturen und die kommende EUDI-Wallet in einem Prozess verbinden lassen. Sprechen Sie uns an für eine unverbindliche Einschätzung oder eine Demo.
