Die staatliche Wallet „d-you“ soll im Januar 2027 starten. Nutzer können sich damit per Smartphone ausweisen, amtliche Dokumente speichern und elektronisch unterschreiben.

Grundlage dafür ist die EU-Verordnung eIDAS 2.0, die jeden Mitgliedstaat verpflichtet, seinen Bürgern eine solche Wallet anzubieten. Die Bundesregierung plant dazu entsprechende Regeln im Digitale Identitätengesetz (DIdG), über den Gesetzentwurf stimmt der Bundestag voraussichtlich am Donnerstag ab.

Die Deutsche Kreditwirtschaft (DK), als Interessenvertretung der Banken und Sparkassen, fordert nun Nachschärfungen im Gesetz. Zwar begrüßen die Banken, dass Kunden sich künftig per Wallet geldwäscherechtlich identifizieren können, wenn sie ein Konto eröffnen. Die Institute fordern jedoch, klar festzulegen, dass es ausreicht, die vom Wallet–Verfahren bereitgestellten Daten zu speichern, also dass eine Ausweiskopie weder erforderlich noch technisch umsetzbar ist. Ohne diese Präzisierung könnten Banken sonst vorsichtshalber zusätzliche Nachweise verlangen, wodurch der Vorteil einer schnellen, papierlosen Kontoeröffnung verloren gehen könnte.

Außerdem müsse das Gesetz klarer regeln, wann Banken eine fremde Wallet akzeptieren müssen, wer bei technischen Fehlern haftet und welche Daten ihnen zur Betrugsabwehr zur Verfügung stehen.

Den Banken geht es dabei unter anderem um die Trennung von Authentifizierung (als Sicherheitsabfrage) und Autorisierung, also die Freigabe von Zahlungen.

Grundsätzlich sind sie offen dafür, die Wallet beim Onlinebanking und beim Bezahlen als Sicherheitsabfrage zu akzeptieren, ähnlich wie heute eine TAN-App, allerdings nur dort, wo eine solche Prüfung ohnehin vorgeschrieben ist. Die Banken befürchten, das Gesetz könne sie zur Akzeptanz verpflichten, ohne dass sie die nötigen technischen Nachweise und eine eindeutige Haftungsregelung bekommen. Die DK fordert deshalb eine Klarstellung im Gesetz.

Grundsätzlich unterstützt die Bank die Idee, die Wallet auch für Zahlungen nutzbar zu machen. Eine Verpflichtung der Banken, Zahlungen direkt über die Wallet anzubieten, lehnen sie aber ab.

Jedes Institut soll selbst entscheiden dürfen, mit welchem Verfahren Kunden ihre Zahlungen freigeben. Auch eine pauschale Annahmepflicht im stationären Zahlungsverkehr sehen die Banken kritisch. Kartenzahlungen, Girocard und Bargeldabhebungen dürften nicht durch die Hintertür an die Wallet gekoppelt werden. Bestehende Systeme umzubauen, wäre aus Sicht der Banken  technisch, rechtlich und wirtschaftlich sehr aufwendig.

Kunden sollen ihre Bankkarte künftig in die Wallet laden können, ähnlich wie heute bei Apple Pay oder Google Pay. Ob eine Bank das anbietet, soll aber ebenfalls ihre freie Entscheidung bleiben. Die DK wünscht sich auch hier eine eindeutige Formulierung im Gesetz. Außerdem soll eine Einbindung nur mit einem Vertrag zwischen Wallet-Anbieter und Bank zulässig sein.

Neben der staatlichen Wallet können auch Unternehmen künftig eigene Wallets anbieten. Laut Entwurf entscheidet darüber aber das Digitalministerium, und zwar mit der Möglichkeit, seine Entscheidung später zu ändern. Für Investoren ergebe sich daraus Planungs- und Investitionsrisiken, warnen die Banken. Sie fordern daher, private Wallets direkt im Gesetz zu erlauben, bestehende Angebote zu schützen und einen klaren Zeitplan festzulegen.

Eine weitere offene Frage berührt die Haftung in Betrugsfällen oder bei technischen Pannen. Zahlungsdienstleister wollen nicht für Fehler einer Wallet haften, die sie nicht selbst bereitgestellt haben oder kontrollieren können.

Die Banken fordern deshalb: Wird eine Wallet zur starken Kundenauthentifizierung genutzt, soll der Wallet-Anbieter nachweisen müssen, dass die Authentifizierung ordnungsgemäß lief, korrekt protokolliert wurde und nicht durch einen Fehler der Wallet beeinträchtigt war.

Außerdem wollen die Banken ein gesetzliches Recht auf die Informationen, die sie zur Prüfung von Erstattungs-, Haftungs- und Betrugsfällen benötigen. Dazu zählen standardisierte Protokolle, Transaktionsdaten, Angaben zum Wallet-Anbieter und Risikosignale. Bei bekannten Sicherheitslücken oder Zertifizierungsproblemen wollen sie außerdem das Recht haben, eine Wallet abzulehnen oder vorübergehend sperren zu dürfen.

Top-Artikel

${content}

${custom_anzeige-badge} ${custom_tr-badge} ${section}

${title}

${custom_anzeige-badge} ${custom_tr-badge} ${section}

${title}

Bedenken zur EUID-Wallet hatten zuletzt auch Sachverständige in einer Anhörung des Digitalausschuss angemeldet. Anfang Oktober bemängelten Daten- und Verbraucherschützer etwa, dass sich die Wallet zum Start nicht pseudonym nutzen lässt. Anbieter könnten mehr Daten abfragen als nötig und aus den Daten Profile bilden.

Die IT-Sicherheitsforscherin Jiska Classen von der Universität Potsdam kritisierte, große Teile der Sicherheitsarchitektur seien noch nicht öffentlich und nicht bewertet. Smartphones blieben ein hohes Risiko, weil viele Geräte keine Sicherheitsupdates mehr erhielten. Über ein kompromittiertes Handy könnten sich unbefugte Nutzer im Namen eines anderen ausweisen, Hotels buchen oder Kredite aufnehmen. Auch sie forderte daher eine eindeutige Haftungsregelung im Gesetz.

Startseite