EUDI Wallet: Digitale Identität ist erst der Anfang

Warum es im Firmenkundengeschäft nicht nur auf digitale Identität, sondern auch auf verlässliche Berechtigungen ankommt

Die European Digital Identity Wallet (EUDI Wallet) wird vor allem als Instrument zur digitalen Identifizierung wahrgenommen.

Wer bist du? Kannst du deine Identität nachweisen? Kann eine Bank den bereitgestellten Informationen vertrauen?

Das sind wichtige Fragen. Für das Firmenkundengeschäft sind sie allerdings nur der Anfang.

Denn selbst wenn eine Bank zweifelsfrei weiß, mit wem sie es zu tun hat, ist damit noch lange nicht geklärt, ob diese Person berechtigt ist, ein Konto für eine Tochtergesellschaft zu eröffnen, eine Zahlung freizugeben, eine Vollmacht zu unterzeichnen oder im Namen einer bestimmten juristischen Person zu handeln.

Digitales Banking braucht deshalb mehr als eine verlässlich nachgewiesene Identität.

Es braucht verlässlich nachgewiesene Berechtigungen.

Und genau darin könnte eine der wichtigsten Auswirkungen der EUDI Wallet und der geplanten European Business Wallet auf das Firmenkundengeschäft liegen.

Identität ist nur ein Teil der Lösung

Banken betreiben bereits heute einen erheblichen Aufwand, um die Identität ihrer Kunden zu überprüfen.

Im Rahmen des Onboardings stellen Kunden persönliche und unternehmensbezogene Informationen bereit. Die Bank prüft diese, speichert sie und schafft damit die Grundlage für die Geschäftsbeziehung.

Doch die Kundenbeziehung endet nicht mit dem Onboarding.

Sobald sich ein Nutzer im digitalen Banking bewegt, stellen sich ganz andere Fragen:

• Welches Unternehmen vertritt diese Person?
• Auf welche Konten darf sie zugreifen?
• Welche Aktionen darf sie durchführen?
• Bis zu welchen Beträgen darf sie Zahlungen freigeben?
• Darf sie eigenständig handeln oder ist eine weitere Freigabe erforderlich?
• Ist sie zum aktuellen Zeitpunkt überhaupt noch dazu berechtigt?

Gerade im Firmenkundengeschäft ist diese Unterscheidung entscheidend.

Eine verifizierte Identität bestätigt, dass eine Person tatsächlich diejenige ist, für die sie sich ausgibt. Sie sagt aber noch nichts darüber aus, ob diese Person eine bestimmte Transaktion im Namen eines bestimmten Unternehmens autorisieren darf.

Und genau auf dieser zweiten Ebene liegt ein Großteil der Komplexität.

Nicht nur nachweisen, wer man ist – sondern auch, was man darf

Identität und Berechtigungen werden heute häufig über unterschiedliche Systeme und Prozesse verwaltet.

Die Authentifizierung erfolgt beispielsweise über Passwörter, mobile Authenticator-Apps, Smartcards oder bankspezifische Sicherheitsverfahren. Vertretungsbefugnisse und Zahlungsberechtigungen werden dagegen oft an ganz anderer Stelle verwaltet – etwa in den Vollmachtssystemen der Bank, in unternehmensbezogenen Zugriffsstrukturen oder in internen Berechtigungskonzepten.

Das Ergebnis ist eine fragmentierte Systemlandschaft.

Ein Nutzer kann sich erfolgreich authentifizieren, ohne dass damit bereits geklärt wäre, welche Handlungen er tatsächlich ausführen darf.

Die EUDI Wallet eröffnet die Möglichkeit, diese bislang getrennten Bereiche enger miteinander zu verbinden.

Für das Firmenkundengeschäft liegt die eigentliche Perspektive deshalb nicht allein darin, dass ein Nutzer digital nachweisen kann:

„Das bin ich.“

Vielmehr könnten vertrauenswürdige digitale Nachweise künftig auch bestätigen:

„Dieses Unternehmen vertrete ich – und diese Handlungen darf ich in seinem Namen ausführen.“

Damit würde die digitale Identität über ihre bisherige Rolle im Onboarding hinauswachsen und zu einem festen Bestandteil operativer Banking-Prozesse werden.

Das größere Potenzial liegt im täglichen Banking

Die Diskussion über digitale Identitäten konzentriert sich häufig zunächst auf Onboarding und KYC.

Das ist nachvollziehbar. Schließlich verursachen die wiederholte Anforderung und Prüfung von Dokumenten in diesen Bereichen einen erheblichen administrativen Aufwand.

Die wirklich weitreichenden Anwendungsmöglichkeiten könnten sich jedoch erst nach der Kontoeröffnung zeigen.

Man denke an einen Treasury-Mitarbeiter zu Beginn eines gewöhnlichen Arbeitstages.

Er muss auf Bankdienstleistungen zugreifen, Konten prüfen und Transaktionen freigeben. Je nach Bankverbindung sind dafür heute unterschiedliche Authentifizierungsverfahren, Zugangsdaten und Berechtigungsnachweise erforderlich.

Nun stelle man sich eine vertrauenswürdige digitale Infrastruktur vor, über die eine Bank direkt im Rahmen der jeweiligen Interaktion feststellen kann:

• wer der Nutzer ist,
• welches Unternehmen er vertritt,
• welche Befugnisse ihm übertragen wurden
• und ob er die gewünschte Aktion ausführen darf.

Damit würde sich die Interaktion grundlegend verändern.

Authentifizierung und Autorisierung müssten nicht länger als voneinander getrennte administrative Prozesse wahrgenommen werden, die der eigentlichen Bankdienstleistung vor- oder nachgelagert sind. Sie könnten zu einem integrierten Bestandteil der Dienstleistung werden.

Warum die Delegation von Berechtigungen im Firmenkundengeschäft entscheidend ist

Je komplexer die Organisationsstruktur eines Unternehmens, desto wichtiger wird die Unterscheidung zwischen Identität und Berechtigung.

Ein Unternehmer verfügt in einer vergleichsweise einfachen Unternehmensstruktur möglicherweise über weitreichende Entscheidungsbefugnisse.

Bei einem international tätigen Konzern sieht das ganz anders aus.

Mitarbeiter handeln im Namen unterschiedlicher juristischer Personen. Zahlungsberechtigungen können je nach Konto, Tochtergesellschaft, Betrag oder Transaktionsart variieren. Bestimmte Vorgänge erfordern mehrere Freigaben. Gleichzeitig verändern sich Zuständigkeiten, wenn Mitarbeiter neue Funktionen übernehmen oder zwischen Gesellschaften wechseln.

Die Identität einer Person allein reicht deshalb nicht aus.

Banken müssen die Zusammenhänge zwischen folgenden Ebenen nachvollziehen können:

Person → Unternehmen → Rolle → Berechtigung → Handlung

Genau deshalb könnte die geplante European Business Wallet für das Firmenkundengeschäft so bedeutend werden.

Ihr Potenzial besteht nicht einfach darin, Unternehmen eine weitere Möglichkeit zur digitalen Identifizierung zu bieten. Viel interessanter ist die Aussicht auf eine Infrastruktur, über die Unternehmen ihre Identität nachweisen, vertrauenswürdige digitale Nachweise austauschen und Berechtigungen digital übertragen können.

Das Wallet-Konzept schafft damit eine Verbindung zwischen einer Person und dem Unternehmen, das sie vertritt.

Das Ende dokumentenbasierter Vertrauensnachweise?

Damit ist eine weitere wichtige Veränderung verbunden.

Ein großer Teil der heutigen Prozesse zur Überprüfung von Identitäten und Berechtigungen basiert noch immer auf Dokumenten.

Unternehmen weisen ihre Existenz durch Dokumente nach. Vertretungsbefugnisse werden durch Dokumente belegt. Vollmachten und Berechtigungen erzeugen häufig weitere Unterlagen.

Diese werden ausgetauscht, geprüft, gespeichert und früher oder später erneut angefordert.

Eine vertrauenswürdige Wallet-Infrastruktur könnte dazu beitragen, einen Teil dieses Dokumentenaustauschs durch die Übermittlung digital überprüfbarer Informationen zu ersetzen.

Anstatt Kunden immer wieder um Nachweise zu bitten und diese anschließend selbst zu validieren, könnten Banken zunehmend auf vertrauenswürdige digitale Nachweise zurückgreifen, deren Gültigkeit sich unmittelbar überprüfen lässt.

Für Kunden würde das weniger wiederkehrenden Verwaltungsaufwand bedeuten.

Für Banken könnte es grundlegend verändern, wie digitale Kundenprozesse gestaltet werden.

Das Ziel sollte dabei nicht sein, ein bestehendes PDF einfach durch einen digitalen Berechtigungsnachweis zu ersetzen.

Vielmehr geht es darum, das PDF von vornherein überflüssig zu machen.

Eine gemeinsame Vertrauensbasis für die gesamte Banking Customer Journey

Deshalb sollte die EUDI Wallet auch nicht als weiteres isoliertes Identitätsprojekt betrachtet werden.

Ihr eigentliches Potenzial entfaltet sich, wenn digitale Identität, Authentifizierung, Berechtigungen und Einwilligungen gemeinsam gedacht werden.

Auch im Zusammenspiel mit Initiativen wie PSD3 und FiDA zeichnet sich eine stärkere Verzahnung ab: verlässliche digitale Identitäten auf der einen Seite, vertrauenswürdige Zugriffs- und Einwilligungsmechanismen auf der anderen sowie zunehmend digitale Verfahren, um Vertretungsbefugnisse innerhalb von Unternehmen nachzuweisen.

Für Bankkunden sind diese regulatorischen und technischen Unterschiede allerdings weit weniger relevant als das daraus entstehende Nutzungserlebnis.

Sie möchten nicht nacheinander einen Identifizierungsprozess, einen Authentifizierungsprozess, einen Autorisierungsprozess und einen Einwilligungsprozess durchlaufen.

Sie möchten eine Banktransaktion sicher und unkompliziert durchführen.

Für Banken besteht die Chance deshalb darin, die zugrunde liegenden Sicherheits- und Vertrauensmechanismen zu einer durchgängigen Interaktion zu verbinden, anstatt ihre Komplexität an die Kunden weiterzugeben.

Was Banken bei der Gestaltung ihrer digitalen Kanäle berücksichtigen müssen

Die EUDI Wallet wirft damit eine grundsätzliche Frage für das Firmenkundengeschäft auf.

Wenn sich Identitäten und Berechtigungen künftig durch übertragbare digitale Nachweise bestätigen lassen, wie und wo sollten diese Vertrauensmechanismen in das digitale Banking integriert werden?

Banken müssen dafür über die reine Identitätsprüfung hinausdenken.

Sie müssen möglicherweise klären, wie sich Wallet-basierte Nachweise mit bestehenden Systemen und Prozessen verbinden lassen, darunter:

• bestehende Authentifizierungsverfahren,
• Benutzer- und Rollenverwaltung,
• Vollmachten und Zeichnungsberechtigungen,
• Zahlungsfreigaben,
• Kontozugriffsrechte,
• Onboarding und KYC,
• Einwilligungsmanagement
• sowie Nachvollziehbarkeit und Auditierbarkeit.

Dabei geht es um weit mehr als die technische Anbindung eines zusätzlichen Authentifizierungsverfahrens.

Die eigentliche Herausforderung besteht darin, eine externe, vertrauenswürdige Infrastruktur für Identitäten und digitale Nachweise in die bankeigenen Prozesse zur Steuerung und Kontrolle finanzieller Transaktionen einzubinden.

Das ist eine deutlich umfassendere Aufgabe – sowohl aus architektonischer Sicht als auch mit Blick auf die Customer Experience.

Von der digitalen Identität zur digitalen Handlungsberechtigung

Die EUDI Wallet wird häufig vor allem als Lösung zur digitalen Identifizierung beschrieben.

Für das Firmenkundengeschäft greift diese Betrachtung möglicherweise zu kurz.

Die größere Chance liegt in einer Banking-Umgebung, in der Kunden nicht nur ihre Identität digital nachweisen können, sondern auch, welches Unternehmen sie vertreten und zu welchen Handlungen sie berechtigt sind.

Das könnte das Onboarding vereinfachen.

Es könnte aber ebenso die Authentifizierung, das Vollmachtsmanagement, Freigabeprozesse, Zugriffsrechte und die Art und Weise verändern, wie Banken während der gesamten Kundenbeziehung Vertrauen und Berechtigungen überprüfen.

Langfristig geht es deshalb nicht nur um den Übergang von:

Identitätsnachweisen auf Papier → digitale Identitätsnachweise

Sondern vielmehr um den Wandel von:

fragmentierten Vertrauensnachweisen → wiederverwendbaren digitalen Vertrauensnachweisen

Genau deshalb könnte die EUDI Wallet für das tägliche Firmenkundengeschäft eine weitaus größere Bedeutung erlangen, als der Begriff digitale Identität zunächst vermuten lässt.