Die eIDAS-Verordnung verstehen

eIDAS, kurz für Electronic Identification, Authentication, and Trust Services, ist eine EU-Verordnung, die seit Juli 2016 in Kraft ist und die elektronische Identifizierung und Vertrauensdienste wie elektronische Signaturen, Siegel und Zeitstempel in allen EU-Mitgliedstaaten standardisiert.

eIDAS ist die Verordnung (EU) Nr. 910/2014, die seit dem 1. Juli 2016 gilt und qualifizierten elektronischen Signaturen, Siegeln und Zeitstempeln EU-weit die gleiche Rechtsgültigkeit wie ihren Papieräquivalenten verleiht. Sie definiert drei Signaturstufen, schreibt qualifizierte Vertrauensdiensteanbieter vor und wird durch eIDAS 2.0 erweitert, das die Europäische Digitale Identitäts-Wallet (EDI) einführt.

Wichtige Erkenntnisse

• eIDAS ersetzte die fragmentierten, inkompatiblen nationalen Systeme für elektronische Signaturen und elektronische Ausweise, die vor 2016 in den EU-Mitgliedstaaten existierten.
• Elektronische Signaturen lassen sich in drei Stufen einteilen: Einfache (SES), Erweiterte (AES) und Qualifizierte (QES), die jeweils eine unterschiedliche rechtliche Bedeutung haben.
• Eine qualifizierte elektronische Signatur (QES) hat die gleiche Rechtswirkung wie eine handschriftliche Unterschrift, vorausgesetzt, sie wurde mit einem qualifizierten Signaturerstellungsgerät und einem Zertifikat eines qualifizierten Vertrauensdiensteanbieters erstellt.
• Qualifizierte Website-Authentifizierungszertifikate (QWAC) verifizieren den Betreiber einer Website und verringern das Phishing-Risiko für Website-Besucher.
• Mit eIDAS 2.0, das im Jahr 2021 eingeführt wurde, kommt die Europäische Digitale Identitäts-Wallet (EUDI) hinzu. Die Europäische Kommission strebt an, dass bis 2030 80 % der EU-Bürger eine digitale Identität nutzen.

Warum wurde eIDAS entwickelt?

Vor eIDAS hatte jeder EU-Mitgliedstaat seine eigenen Regelungen für elektronische Identifizierung und elektronische Signaturen, was grenzüberschreitende digitale Transaktionen verlangsamte und Rechtsunsicherheit schuf. eIDAS, offiziell Verordnung (EU) Nr. 910/2014, trat am 1. Juli 2016 in Kraft und ersetzte die frühere Richtlinie 1999/93/EG über elektronische Signaturen durch einen einheitlichen Rechtsrahmen.

Welche drei Stufen der elektronischen Signatur gibt es im Rahmen von eIDAS?

Tier	Rechtliches Gewicht	Anforderung
Einfache elektronische Signatur (SES)	Minimal	Jede digitale Kennzeichnung, wie beispielsweise die Eingabe eines Namens oder das Klicken auf „Ich stimme zu“.
Fortgeschrittene elektronische Signatur (AES)	Moderat	Eindeutig mit dem Unterzeichner verknüpft, unter Verwendung eines privaten Schlüssels, den nur der Unterzeichner kontrolliert.
Qualifizierte Elektronische Signatur (QES)	Gleichbedeutend mit einer handschriftlichen Unterschrift	Erstellt mit Hilfe eines qualifizierten Signaturerstellungsgeräts und eines Zertifikats eines qualifizierten Vertrauensdiensteanbieters

Welche Vertrauensdienste definiert eIDAS?

• Elektronische Siegel: Sie dienen der Überprüfung der Herkunft und Integrität von Dokumenten, die von einer Organisation und nicht von einer Einzelperson ausgestellt werden.
• Elektronische Zeitstempel: Sie bestätigen, dass ein Dokument zu einem bestimmten Datum unverändert existierte und werden häufig als rechtlicher oder finanzieller Nachweis verwendet.
• Elektronische Einschreiben-Zustelldienste (ERDS): Sie liefern einen überprüfbaren Nachweis über das Senden, Empfangen und die Integrität der übermittelten Daten.
• Qualifizierte Website-Authentifizierungszertifikate (QWAC): Sie dienen der Überprüfung der Identität des Website-Betreibers und reduzieren das Risiko von Phishing und Identitätsdiebstahl.

Ein Trust Service Provider wird erst dann zu einem Qualified Trust Service Provider (QTSP), wenn er ein eIDAS-Audit bestanden hat und in der EU Trust List aufgeführt ist. Dadurch können vertrauende Parteien den qualifizierten Status eines Anbieters überprüfen, bevor sie seinen Zertifikaten vertrauen.

Was ist eIDAS 2.0?

eIDAS 2.0, das 2021 von der Europäischen Kommission vorgeschlagen wurde, stellt die Europäische Digitale Identitäts-Wallet (EUDI) in den Mittelpunkt – eine staatlich geförderte digitale Geldbörse für Identitätsnachweise, Gesundheitsdaten und Bankinformationen. Darüber hinaus erweitert eIDAS 2.0 die Vertrauensdienste um elektronische Archivierungs- und Ledger-Dienste und verschärft die Interoperabilitätsanforderungen für den öffentlichen und privaten Sektor.

Was passiert, wenn eine Organisation die eIDAS-Vorschriften nicht einhält?

Die Nichteinhaltung birgt erhebliche rechtliche und finanzielle Risiken, auch wenn eIDAS selbst keine direkten Bußgelder verhängt. Unqualifizierte elektronische Signaturen, die in rechtsverbindlichen Verträgen verwendet werden, wurden in EU-Gerichtsverfahren zurückgewiesen, und nationale Aufsichtsbehörden können Verstöße gegen einschlägige Vorschriften wie die DSGVO ahnden.

Wie Verschlüsselungsberatung hilft

Die PKI-as-a-Service- und Compliance-Beratungsdienste von Encryption Consulting unterstützen Unternehmen bei der Implementierung qualifizierter elektronischer Signaturen, der Bereitstellung von QWAC-Zertifikaten und dem Aufbau der für die Vertrauensdienste von eIDAS erforderlichen PKI-Infrastruktur. Die Dienstleistungen basieren auf ISO/IEC 27001:2022- und SOC 2-zertifizierten Verfahren.

Häufig gestellte Fragen

Wofür steht eIDAS?

eIDAS steht für Elektronische Identifizierung, Authentifizierung und Vertrauensdienste. Es handelt sich um die EU-Verordnung (EU) Nr. 910/2014, die seit dem 1. Juli 2016 in Kraft ist und die elektronische Identifizierung und Vertrauensdienste in allen EU-Mitgliedstaaten standardisiert.

Worin besteht der Unterschied zwischen einer fortgeschrittenen und einer qualifizierten elektronischen Signatur?

Eine fortgeschrittene elektronische Signatur (AES) ist über einen vom Unterzeichner kontrollierten privaten Schlüssel eindeutig mit diesem verknüpft, besitzt aber nicht dieselbe Rechtskraft wie eine handschriftliche Unterschrift. Eine qualifizierte elektronische Signatur (QES) hingegen schon, da sie mit einem qualifizierten Signaturerstellungsgerät und einem Zertifikat eines qualifizierten Vertrauensdiensteanbieters erstellt werden muss.

Was ist ein qualifizierter Treuhanddienstleister (QTSP)?

Ein QTSP (Qualified Trust Service Provider) ist ein Trust Service Provider, der ein eIDAS-Konformitätsaudit bestanden hat und in der EU-Vertrauensliste aufgeführt ist. Nur QTSPs können Zertifikate und Dienste ausstellen, die die volle rechtliche Anerkennung von eIDAS genießen, wie beispielsweise QWAC-Zertifikate und qualifizierte elektronische Signaturen.

Was ist eIDAS 2.0 und wann wird es eingeführt?

eIDAS 2.0 ist die Aktualisierung der ursprünglichen Verordnung durch die Europäische Kommission aus dem Jahr 2021 und konzentriert sich auf die Europäische Digitale Identität (EUDI). Ziel der Kommission ist es, dass bis 2030 80 % der EU-Bürger aktiv eine digitale Identität im Rahmen dieses Systems nutzen.

Implementierung von eIDAS-konformen Vertrauensdiensten

Gehen Sie den nächsten Schritt
Encryption Consulting unterstützt Sie bei der Implementierung qualifizierter elektronischer Signaturen, QWAC-Zertifikate und der von eIDAS für rechtsverbindliche digitale Transaktionen benötigten PKI-Infrastruktur. Mehr erfahren PKI-as-a-Service um zu starten.