Präsentation von Nachweisen und Validierung durch „Verifier“

Die Präsentation der Nachweise aus der EUDI-Wallet heraus erfolgt mit dem „OpenID for Verifiable Presentations 1.0“ (OID4VP) Protokoll, für das mit dem „High Assurance Interoperability Profile“ (HAIP) zusätzliche Sicherheitsanforderungen definiert sind, die wiederum im Europäischen Standard ETSI TS 119 472-2 weiter profiliert werden. Regulatorisch maßgeblich für die Präsentation von Nachweisen aus der EUDI-Wallet heraus an die „Verifier“ Teilkomponente des „EUDI-Wallet Adapters“ ist Artikel 5 in Kombination mit ANNEX II der Durchführungsverordnung (EU) 2024/2982, die kürzlich mit der Durchführungsverordnung (EU) 2026/1731 geändert wurde.

Die Prüfung der präsentierten kryptographisch geschützten Nachweise erfolgt weitgehend analog zur Validierung von „AdES Digital Signatures“ gemäß ETSI EN 319 102-1. Allerdings müssen hier im Regelfall Sperrinformationen in Form von so genannten „Token Status Lists“ gemäß IETF-TSL ausgewertet werden.

Wo kommen die Vertrauensanker für die Validierung der Nachweise her?

Die wichtige und nur scheinbar einfache Frage, wo die Vertrauensanker für die Validierung der Nachweise genau herkommen, verdient eine nähere Betrachtung, da die Vertrauensanker für die verschiedenen Nachweistypen und Aussteller aus historischen Gründen leider in verschiedenen Vertrauenslisten bzw. Katalogen bereitgestellt werden.

Vertrauensanker der PID-Provider

In der produktiven Phase werden die Vertrauensanker der Anbieter von Personenidentifizierungsdaten („PID-Provider“) in der von der EU-Kommission gemäß Artikel 5 und ANHANG II Nr. 3 der Durchführungsverordnung (EU) 2024/2980, die kürzlich durch die Durchführungsverordnung (EU) 2026/1731 geändert wurde, im so genannten „eIDAS Dashboard“ im Bereich „Wallet“ als so genannte „List of Trusted Entities“ im Format gemäß ETSI TS 119 602 bereitgestellt. Aktuell stehen hier jedoch nur die Sandbox Trust Lists der Common Codes GmbH für Testzwecke zur Verfügung.

Vertrauensanker der QEAA-/PubEAA-Provider

Produktive QEAA-/PubEAA-Provider müssen gemäß der Anhänge V und VII der eIDAS-Verordnung qualifizierte elektronische Signaturen oder Siegel verwenden, deren Vertrauensanker in den klassischen Vertrauenslisten der EU-Mitgliedsstaaten gemäß Artikel 22 der eIDAS-Verordnung enthalten sind. Diese werden im Einklang mit dem Durchführungsbeschluss (EU) 2025/2164 europaweit im Format gemäß ETSI TS 119 612 (v2.4.1) bereitgestellt und können im eIDAS-Dashboard im Bereich „Trust Services“ eingesehen und abgerufen werden.

Für den „Katalog der Attributsbescheinigungsregelungen“ gemäß Artikel 8 der Durchführungsverordnung (EU) 2025/1569, die kürzlich durch die Durchführungsverordnung (EU) 2026/1735 geändert wurde, existiert zwar eine erste Spezifikation der EU-Kommission (EC-CoS), die jedoch bei der Beschreibung des Vertrauensmodells gemäß Artikel 8 (3) (g) bislang keine Möglichkeit für die präzise Spezifikation der anwendbaren Vertrauensanker vorsieht. Allerdings entsteht bei ETSI derzeit ein Europäischer Standard ETSI EN 319 482-3, der dieses Problem möglicherweise lösen könnte.

Vertrauensanker der NonQEAA-Provider

Die Bereitstellung von Vertrauensankern für nicht-qualifizierte EAA-Provider oder entsprechende Testsysteme ist nicht durch die eIDAS-Verordnung geregelt, so dass hier im Regelfall nur die Informationen und Vertrauensanker im Sandbox Catalog der Common Codes GmbH zur Verfügung stehen. Alternativ kann ein EAA-Provider auf freiwilliger Basis ein qualifiziertes Zertifikat für elektronische Siegel gemäß Artikel 3 (30) der eIDAS-Verordnung verwenden, was zur Folge hat, dass sich der entsprechende Vertrauensanker wie bei einem QEAA-/PubEAA-Provider wieder in einer klassischen Vertrauensliste gemäß Artikel 22 der eIDAS-Verordnung finden würde.

(ID:50981065)