Qualifizierte Elektronische Attributsbescheinigungen (QEAA)

Was sind Qualifizierte Elektronische Attributsbescheinigungen (QEAA)?

Qualifizierte Elektronische Attributsbescheinigungen (QEAA) sind rechtssichere digitale Nachweise, die bestimmte Attribute, Eigenschaften oder Berechtigungen einer natürlichen oder juristischen Person in elektronischer Form bestätigen. Beispiele hierfür sind die Wohnanschrift, die Steueridentifikationsnummer, eine berufliche Qualifikation, das Alter oder die Befugnis, im Namen einer anderen Person oder Organisation zu handeln.

Eine QEAA wird von einem Qualified Trust Service Provider (QTSP) gemäß der EU-eIDAS-Verordnung, einschließlich eIDAS 2.0, ausgestellt. Ihr qualifizierter Status verleiht ihr ein hohes Maß an Vertrauenswürdigkeit, Integrität und Beweiskraft. Im Rahmen von eIDAS entfalten QEAAs rechtliche Wirkung in der gesamten Europäischen Union und sind darauf ausgelegt, ein gleichwertiges Vertrauensniveau wie entsprechende amtliche Papiernachweise mit offiziellem Siegel zu bieten.

QEAAs bestätigen ein spezifisches Attribut, ohne automatisch den vollständigen Identitätsdatensatz einer Person offenzulegen. Dies ermöglicht die selektive Datenweitergabe: Nutzerinnen und Nutzer können ausschließlich die für eine bestimmte Transaktion erforderlichen Informationen teilen, ohne unnötig weitere personenbezogene Daten preiszugeben. QEAAs können im Rahmen des EUDI-Wallets genutzt werden, lassen sich aber auch in digitale Verifikationsprozesse außerhalb des Wallets integrieren – abhängig davon, wie der Anbieter sie implementiert hat und wie die vertrauende Partei angebunden ist.

Vereinfacht ausgedrückt ist eine QEAA ein qualifizierter Nachweis dafür, dass eine bestimmte Angabe über eine Person oder Organisation zutrifft. Das Prinzip ähnelt dem der Qualifizierten Elektronischen Signatur (QES), welche einer digitalen Signatur die rechtliche Wirkung einer handschriftlichen Unterschrift verleiht. Die QEAA überträgt dieses qualifizierte Vertrauen somit auf ein Attribut oder eine Aussage.

Was bedeutet PID?

Personenidentifizierungsdaten (PID) sind grundlegende Identitätsinformationen, die zur Identifizierung einer natürlichen oder juristischen Person verwendet werden. Beispiele hierfür sind der Geburtsname, der Vorname, das Geburtsdatum oder eine eindeutige Kennung. Im EUDI-Ökosystem bildet das PID das Fundament der digitalen Identität. Allerdings enthält das PID nicht zwingend alle Attribute, die eine Organisation für eine bestimmte Transaktion benötigt. Je nach Land und Identitätssystem müssen Informationen wie Wohnanschrift, Steueridentifikationsnummer oder persönliche Verwaltungsnummer gegebenenfalls separat eingeholt werden.

Was ist der Unterschied zwischen QEAA, EAA und PID?

Im Rahmen von eIDAS 2.0 können verschiedene Arten digitaler Nachweise zur Identifizierung von Personen oder Organisationen oder zur Bestätigung spezifischer Attribute eingesetzt werden. Obwohl sie ähnliche Zwecke erfüllen können, unterscheiden sie sich in dem, was sie belegen, wer sie ausstellen darf sowie im Grad der Vertrauenswürdigkeit und der rechtlichen Anerkennung.

Abkürzung	Vollständige Bezeichnung	Aussteller	Wesentliche Merkmale	Anwendungsfälle
PID	Personenidentifizierungsdaten	Nationale Regierungen (oder offiziell von Mitgliedstaaten benannte Stellen)	Grundlegende Identitätsdaten zur Identifizierung einer Person oder Organisation; enthält nicht zwingend alle für das Onboarding oder Berechtigungsentscheidungen erforderlichen Attribute	Allgemeine Identifizierung
EAA	Elektronische Attributsattestierung	Autorisierter öffentlicher oder privater Aussteller	Digitale Attestierung eines spezifischen Attributs; anwendbar auf regulierte und nicht regulierte Prozesse	Überwiegend digitale Prozesse (reguliert und nicht reguliert)
QEAA	Qualifizierte Elektronische Attributsattestierung	QTSP (Qualifizierter Vertrauensdiensteanbieter)	Qualifizierte Form der EAA; ausgestellt gemäß eIDAS-Anforderungen; bietet erhöhte Vertrauenswürdigkeit, Integrität und Beweiskraft	Hochvertrauenswürdige und regulierte Anwendungsfälle
Pub-EAA	Elektronische Attributsattestierung des öffentlichen Sektors	Öffentliche Stelle oder zuständige Behörde, die mit einer authentischen Quelle verbunden ist	Rechtsstatus und Verwendung richten sich nach dem anwendbaren eIDAS-Rahmen und der nationalen Umsetzung	Anwendungsfälle des öffentlichen Sektors / national definierte Anwendungsfälle

Hinweis zur Terminologie: IDnow unterscheidet zwischen Attributen (den einzelnen zu verifizierenden Informationen) und digitalen Credentials (den digitalen Belegen, die diese Attribute bestätigen). In regulatorischen und Compliance-Kontexten verwenden wir die präzise eIDAS-Terminologie, also QEAA und EAA. In einem breiteren oder internationalen Kontext sprechen wir allgemeiner von qualifizierten oder verifizierten digitalen Credentials, wo diese Begriffe geläufiger sind.

Wie funktionieren QEAAs?

Ein typischer QEAA-Prozess umfasst folgende Schritte:

1. Das erforderliche Attribut wird identifiziert. Beispielsweise muss eine Bank die Wohnanschrift oder die Steueridentifikationsnummer eines Kunden verifizieren.
2. Der Kunde oder die Organisation wird identifiziert und authentifiziert. Das Vertrauensniveau und die Verifikationsmethode richten sich nach dem jeweiligen Attribut und Anwendungsfall.
3. Der QTSP prüft das Attribut anhand einer geeigneten Quelle oder entsprechender Belege. Dies kann ein öffentliches Register, eine autorisierte Datenbank, ein Ausweisdokument oder eine andere verlässliche Quelle sein.
4. Der QTSP stellt die QEAA aus. Die Attestierung wird mittels einer qualifizierten elektronischen Signatur (QES) oder eines qualifizierten elektronischen Siegels (qSeal) kryptografisch gesichert, sodass Herkunft, Authentizität und Integrität unabhängig überprüft werden können.
5. Die abhängige Partei prüft das Attribut und nutzt es. Der Empfänger kann sicherstellen, dass die Attestierung authentisch, gültig und unverändert ist, bevor er sie im Rahmen eines Onboarding-, Compliance- oder Entscheidungsprozesses verwendet.

Wussten Sie schon? QEAAs können über das EUDI-Wallet oder über andere digital integrierte Kanäle bereitgestellt werden. Je nach Implementierung kann ein Anbieter eine maschinenlesbare QEAA beispielsweise über eine API oder einen JSON-basierten Workflow zur direkten Nutzung in den bestehenden Systemen einer Organisation bereitstellen. IDnow unterstützt die Ausstellung und Bereitstellung von QEAAs sowohl außerhalb als auch im Rahmen des EUDI-Wallets — und ermöglicht es Organisationen, qualifizierte Attributsbescheinigungen direkt in ihre bestehenden digitalen Onboarding- und Compliance-Prozesse zu integrieren.

Welche Vorteile bieten QEAAs für Organisationen?

1. Spezifische Attribute verifizieren, ohne unnötige personenbezogene Daten zu erheben. Durch die selektive Datenweitergabe wird der Umfang der bei einer Transaktion geteilten personenbezogenen Informationen reduziert, wodurch die Anforderungen an Datenschutz und Datensparsamkeit unterstützt werden.
2. AMLR- und KYC-Pflichten erfüllen. QEAAs liefern qualifizierte, prüfbare Nachweise der nach der AMLR erforderlichen Kundendaten — und helfen Organisationen, rechtskonform zu bleiben, wenn Attribute wie Wohnanschrift, Steueridentifikationsnummer oder persönliche Verwaltungsnummer nicht über nationale eID- oder PID-Systeme verfügbar sind.
3. Manuelle Dokumentenverarbeitung reduzieren. Digital ausgestellte Attestierungen verringern wiederholte Anfragen nach Papiernachweisen, hochgeladenen Dokumenten und manuellen Prüfschritten und verbessern so die betriebliche Effizienz sowie die Customer Experience.
4. Betrugsprävention stärken. Kryptografisch gesicherte Attestierungen erleichtern die Erkennung von Manipulationen und liefern verifizierbare Herkunftsnachweise, die belastbarer sind. Dadurch sinkt das Risiko von Identitätsbetrug.
5. Grenzüberschreitende Verifikation vereinfachen. Da QEAAs auf dem europäischen Vertrauensdienste-Rahmen basieren, ermöglichen sie rechtssichere digitale Transaktionen in allen 27 EU-Mitgliedstaaten und vereinfachen somit grenzüberschreitendes Onboarding und Compliance.
6. Wiederverwendbare Verifikationsnachweise schaffen. Eine qualifizierte Attestierung kann für mehrere Interaktionen und Parteien wiederverwendet werden. Das reduziert wiederholte Verifikationsanfragen und verbessert das Nutzererlebnis – vorausgesetzt, das Attribut bleibt gültig und die vertrauende Partei akzeptiert den Nachweis.
   

Wie unterstützen QEAAs die AMLR-Compliance?

Die EU-Geldwäscheverordnung (AMLR) verpflichtet Institutionen – darunter Banken, Glücksspielanbieter, Versicherungsunternehmen und andere regulierte Finanzinstitute – im Rahmen der Customer Due Diligence, bestimmte Kundeninformationen zu erheben und zu verifizieren. Gemäß AMLR müssen Organisationen verpflichtend Identitätsinformationen und eine Wohnanschrift sowie, sofern verfügbar, eine Steueridentifikationsnummer und, sofern anwendbar, eine persönliche Verwaltungsnummer einholen.

Die AMLR schreibt nicht vor, dass Organisationen spezifisch QEAAs einsetzen müssen. Die Compliance-Pflicht betrifft die Erhebung und Verifikation der erforderlichen Daten auf dem angemessenen Vertrauensniveau. Eine QEAA kann jedoch einen qualifizierten, digital verifizierbaren Weg bieten, Attribute zu beschaffen, die in nationalen PID- oder eID-Systemen nicht durchgängig enthalten sind.

QEAAs sind daher besonders relevant für:

• Kunden-Onboarding und KYC
• Adressverifikation und KYC-Aktualisierungen
• Erhebung der Steueridentifikationsnummer
• Verifikation der persönlichen Verwaltungsnummer, sofern anwendbar
• Grenzüberschreitende Customer Due Diligence
• Betrugsresistente Kontoeröffnung und -verwaltung
  

QEAAs und das EUDI-Wallet

QEAAs sind ein wesentlicher Bestandteil des eIDAS-2.0- und EUDI-Wallet-Ökosystems. Sie können die PID ergänzen, indem sie es Nutzerinnen und Nutzern ermöglichen, zusätzliche verifizierte Attribute zu speichern und weiterzugeben, beispielsweise einen Wohnsitznachweis, berufliche Qualifikationen oder Berechtigungsnachweise.

Das EUDI-Wallet wird voraussichtlich zu einem wichtigen Kanal für die Speicherung und Weitergabe digitaler Identitätsdaten und Attestierungen werden. QEAA-Dienste sind jedoch nicht auf das Wallet beschränkt: Je nach Anbieter und Integration können qualifizierte Attestierungen auch digitale Prozesse außerhalb des EUDI-Wallets unterstützen.

Was ist der Unterschied zwischen QEAA und einem digitalen Zertifikat?

Ein digitales Zertifikat ist ein Oberbegriff für ein elektronisches Zertifikat, das für Zwecke wie Authentifizierung, Verschlüsselung, Signierung oder Siegelung eingesetzt wird. Eine QEAA ist eine spezifische Art qualifizierter elektronischer Attestierung im Sinne von eIDAS, die ein Attribut einer Person oder Organisation bestätigt. Ihr Zweck besteht nicht zwingend darin, den Nutzer vollständig zu identifizieren, sondern einen vertrauenswürdigen Nachweis einer bestimmten Tatsache oder Berechtigung zu erbringen.

Welche Anwendungsfälle gibt es für QEAAs?

QEAAs können überall dort eingesetzt werden, wo eine Organisation vertrauenswürdige, digital verifizierbare Credentials eines spezifischen Attributs benötigt. Beispiele sind:

• Finanzdienstleistungen: Verifizierung von Wohnanschrift, Steueridentifikationsnummer oder persönlicher Verwaltungsnummer beim Kunden-Onboarding.
• Attributbasierte Kreditvergabe: Nutzung qualifizierter einkommens- oder steuerbezogener Attribute zur Unterstützung von Kreditwürdigkeitsprüfungen und Kreditentscheidungen.
• Versicherung: Verifikation von Wohnanschrift, Berechtigung oder anderen für die Vertragsverwaltung und Risikobeurteilung erforderlichen Attributen.
• Freie Berufe und professionelle Dienstleistungen: Bestätigung beruflicher Qualifikationen, Lizenzen oder der Befugnis, im Namen einer Person oder Organisation zu handeln.
• Gesundheitswesen und öffentliche Dienste: Bereitstellung vertrauenswürdiger Nachweise für Berechtigung, Autorisierung oder andere regulierte Attribute.
• Mobilität und altersbeschränkte Dienste: Verifikation von Fahrberechtigungen, Alter oder anderen Berechtigungsattributen, sofern anwendbar.
  

Wie unterstützt IDnow bei QEAAs?

IDnow kombiniert Identitätsprüfung und qualifizierte Vertrauensdienste über die IDnow Trust Platform. Dies ermöglicht es Organisationen, Identitäten zu prüfen, relevante Attribute zu bescheinigen und qualifizierte Vertrauensdienste über eine einzige Integration zu nutzen — im Rahmen des jeweiligen Produktumfangs und der geltenden regulatorischen Anforderungen.

Das QEAA-Angebot von IDnow ist auf eine flexible Attributbescheinigung ausgelegt und kann qualifizierte Attestierungen über digital integrierte Prozesse bereitstellen — einschließlich der Bereitstellung außerhalb des EUDI Wallets. Dies hilft regulierten Finanzinstituten, Attributlücken in bestehenden Onboarding-Prozessen zu schließen und sich gleichzeitig auf das breitere eIDAS-2.0- und EUDI-Ökosystem vorzubereiten.

IDnow unterstützt zudem elektronische Attributsbescheinigungen (EAA) für geeignete, nicht regulierte Anwendungsfälle oder solche mit geringem Vertrauensniveau, bei denen keine qualifizierte Attestierung erforderlich ist.

---

FAQ zu Qualifizierten Elektronischen Attributsbescheinigungen