Potenziale und Herausforderungen bei der erfolgreichen Nutzung der Schweizer E-ID (1/2)
Dies ist der erste Teil einer zweiteiligen Blogbeitragserie zum Proof of Value des OpenBankingProject.ch zum Thema «Nutzung Schweizer E-ID», welcher von Oktober 2024 bis Februar 2025 stattgefunden hat.
In den vergangenen Monaten haben sich 16 Unternehmen mit den Potenzialen und Implikationen der Schweizer E-ID und der entsprechenden Vertrauensinfrastruktur für die Schweizer Finanzbranche auseinandergesetzt. Die zentralen Zielsetzungen dieser Workshopreihe beinhalteten:
- Die Grundlagen zu Self-Sovereign Identity, der Schweizer E-ID (aktueller Stand, Roadmap) und einer Teilnahme an der Vertrauensinfrastruktur des Bundes (Governance, Rollen etc.) sind bekannt und Chancen und Risiken für die Projektteilnehmenden sind abgeleitet.
- Relevante Use Cases für die Nutzung der Schweizer E-ID (z.B. Eröffnung Bankkonto) sind identifiziert und hinsichtlich Kundenmehrwert, Effizienzsteigerung etc. priorisiert.
- Die fachlichen und technologischen Implikationen der Nutzung der Schweizer E-ID für die Business Architektur der Projektteilnehmenden sind abgeleitet und unter Beizug von relevanten Financial Service Providern gechallenged.
- Die verschiedene Handlungsoptionen bezüglich der Teilnahme an der Vertrauensinfrastruktur des Bundes sind bewertet.
Nachfolgend werden die ersten beiden Zielsetzungen der Workshopreihe konkreter beleuchtet. Die Ergebnisse der Ziele Nr. 3 und 4 werden in einem nächsten Blogbeitrag detailliert.
Der Schweizer Bund wird im Frühling 2026 einen elektronischen Identitätsnachweis (E-ID) für die Schweizer Bürgerinnen und Bürger zur Verfügung stellen. Die zugrundeliegende technische Infrastruktur basiert dabei auf dem Architekturansatz Self-Sovereign Identity. Diese Entwicklungen bieten für die verschiedenen Wirtschaftssektoren in der Schweiz insgesamt bedeutende Chancen aber auch Herausforderungen bei der effektiven Umsetzung und Nutzung von Verifiable Credentials. Nebst dem Einsatz der Schweizer E-ID als Identifikationsnachweis für die Eröffnung eines Bankkontos, bietet die Teilnahme an der Vertrauensinfrastruktur des Bundes weitere Potenziale für Schweizer Banken. Die E-ID kann in weiteren Kundenprozessen zum Einsatz kommen und die Customer Experience massgeblich verbessern. Dazu zählen zum Beispiel das Ausweisen beim Filialbesuch sowie die Re-Identifikation während der Kundenbeziehung. Darüber hinaus können auch eigene Nachweise auf der Vertrauensinfrastruktur des Bundes ausgestellt werden (Quelle: Schweizer Eidgenossenschaft). Mehr zum Konzept Self-Sovereign Identity und der Bedeutung von digitalen Identitäten für Business Ecosysteme ist in diesem Blogbeitrag zu finden.
Grundlagen zur Self-Sovereign Identity, Schweizer E-ID und Vertrauensinfrastruktur
Die E-ID ist die digitale Form der Identitätskarte, des Passes oder des Ausländerausweises. Sie basiert bei der Ausstellung immer auf einem der genannten Dokumente und ist entsprechend auch nur so lange gültig wie das zugrunde liegende Dokument. Die Ausstellung der E-ID kann sowohl physisch im Passbüro als auch digital über ein entsprechende Identifikationsverfahren (ähnlich einer heutigen Online Identifikation nach FINMA RS 2016/7) ausgestellt werden. Die Schweizer E-ID enthält folgende Datenpunkte (Auszug aus E-ID Gesetz [BGEID] (Link)):
Grundsätzlich ist bei der Verwendung der E-ID, jeweils der konkrete «business-need» zu belegen. In diesem Sinne dürfen Banken für die digitale Kontoeröffnung die relevanten Informationen wie amtlichen Namen, Vornamen, Geburtsdatum, Nationalität etc. vom künftigen Kunden anfordern. Dagegen dürfte die Nutzung der AHV-Nummer nicht erlaubt sein, da die Bank keine direkte Verwendung für diesen Datenpunkt hat, insofern es sich um eine reine Konto-/Karte-/Zahlungs-Kundenbeziehung handeln sollte. Dies geht einher mit dem Prinzip der Datensparsamkeit, bei der die Kunden resp. Holder nur jene Daten preisgeben müssen, welche für den jeweiligen Geschäftsfall zwingend notwendig sind. In diesem Sinne ist beispielsweise auch bei einem Kauf von Alkohol nur die Information «älter als 18 Jahre» mit dem entsprechenden Retailer, in diesem Falle als Verifier auftretend, zu teilen. Das konkrete Geburtsdatum ist für den Geschäftsfall nicht zwingend erforderlich und muss somit nicht preisgegeben werden.
Der Rollout der E-ID und der entsprechenden Vertrauensinfrastruktur ist auf das Frühjahr 2026 angesetzt. Ab diesem Zeitpunkt sollen auch weitere digitale Nachweise zur Verfügung stehen, z.B. E-Strafregisterauszug, E-Führerschein. Durch diese zusätzlichen Nachweise soll die Adoption massgeblich gesteigert werden, sodass bis ins Q1 2027 mehr als 1 Million Bürgerinnen und Bürger über ein Bundeswallet mit entsprechenden digitalen Nachweisen verfügen.
Insbesondere bei Arbeitgebern (z.B. Banken), welche zum Teil periodisch von ihren Angestellten einen aktuellen Strafregisterauszug und/oder Betreibungsauszug erhalten möchten, dürfte die E-ID und entsprechend die Vertrauensinfrastruktur mit weiteren digitalen Nachweisen, künftig viel Erleichterung mit sich bringen. Für die Generation Z dürfte zudem die Vision, das Haus lediglich mit dem Smartphone zu verlassen und sich dabei ausweisen (E-ID), ein Fahrzeug benutzen (E-Führerschein) und zahlen (z.B. Apple Pay, Google Pay) zu können, sehr interessant erscheinen.
Mit der Bereitstellung der Public Beta per März 2025 steht den Schweizer Unternehmen nun auch eine entsprechende Sandbox-Umgebung bereit, um das Verifying der E-ID sowie ggfs. das Issuing von eigenen Credentials zu testen. Doch welche Use Cases sind für Banken besonders spannend?
Relevante Use Cases für Schweizer Banken im Kontext von Verifiable Credentials (z.B. E-ID)
Grundsätzlich können Use Cases im Kontext von Verifiable Credentials in zwei Sparten unterteilt werden, nämlich jene, bei der die Bank Verifier ist (z.B. Nutzung der E-ID) und solche, bei der sie als Issuer auftritt (z.B. Ausstellung eines bankeigenen Credit Score).
Beim Verifying von Credentials wurden in der Workshopreihe des OpenBankingProject.ch primär Use Cases basierend auf der Schweizer E-ID analysiert. Der spannendste Use Case dürfte das «Onboarding von Neukunden» und einer entsprechenden Identifikation mittels der E-ID sein. Die Projektgruppe geht davon aus, dass sich der Customer Journey durch die Nutzung der Schweizer E-ID signifikant vereinfachen lässt und so auch die Conversion Rate massgeblich gesteigert werden kann. Es wird davon ausgegangen, dass die Prozessschritte während der Identifikation «Scan des Ausweisdokuments von verschiedenen Seiten» und das «Live Selfie» bei der Nutzung der E-ID entfallen werden. Weitere Use Cases basierend auf der E-ID sind unter anderem «Identifikation von Mitarbeitenden», «Identifikation von Vollmachtsnehmern», «Identifikation von Zeichnungsberechtigten», «Identifikation für Schaltertransaktion», «Identifikation von eVV-Mitarbeitenden», «Identifikation für Erstellung Online Banking», «Identifikation für GwG-Aktualisierung» und «Identifikation von Erbberechtigten». Das Momentum der Nutzung der Schweizer E-ID könnte sich in den nächsten Jahren insb. im Kontext der GwG-Revision (Revision des Geldwäschereigesetz (Link)) erhöhen. Viele Banken sind verpflichtet bis 2030 eine KYC-Überprüfung (Know Your Customer) von Bestandeskunden vorzunehmen. Dabei gibt es zahlreiche Kundenbeziehungen, welche vor mehr als 20 Jahren eröffnet wurden und die Bank daher eine kaum leserliche Ausweiskopie dieser Kunden in ihrem Archiv hat. Bei diesen Kunden könnte zukünftig die E-ID genutzt werden, um möglichst effizient und kundenfreundlich einen aktuellen Identifikationsnachweis zu erhalten. Auch in der Bankfiliale kann die E-ID genutzt werden, um Kunden physisch zu identifizieren und so beispielsweise für Schaltertransaktionen zu berechtigen. Doch wie wir die E-ID in diesen Use Cases konkret verifiziert?
Die Abfrage der E-ID geschieht über eine Verifiable Presentation, welche sich dem Holder entweder als App-Switch (Mobile-Version) oder als QR-Code (Desktop-Version) offenbart. Der Holder sieht anschliessend die einzelnen Datenpunkte, welche von ihm angefordert werden und kann der Anfrage zustimmen oder sie ablehnen. Die Daten landen anschliessend in Form einer Verifiable Presentation beim Verifier. Dieser überprüft die Signatur des Holders, die Credentials, den Issuer und ob die Informationen gültig sind. Er übermittelt eine Bestätigung über die erfolgreiche Prüfung an den Holder.
Beim Issuing von Credentials können Banken ihren Kunden verschiedene Datenpunkte oder Kombinationen davon ausstellen. In der Workshopreihe wurde beispielsweise ein Authentisierungscredential diskutiert, welches am Bankomaten, am Schalter, im Kontakt mit dem Call Center oder für das Online Banking genutzt werden könnte. Darüber hinaus kann die Bank dem Kunden auch die jährlichen Vermögensausweise und Zins- und Kapitalbescheinigungen für die Steuererklärung als Verifiable Credential ins Wallet ausstellen. Letztlich könnte dem Kunden über einen Credit Score oder eine Finanzierungsbestätigung, die Serviceerschliessung in anderen Lebensbereichen vereinfacht werden. Beispielsweise könnte er so individuelle Rückzahlungsmodalitäten mit einem massgeschneiderten Zinssatz für «Buy Now Pay Later»-Angebote realisieren.
Doch wie können Daten als Verifiable Credential konkret ausgestellt werden? Der Kunde befindet sich bei der Ausstellung in einer authentisierten Umgebung, beispielsweise im E-Banking seiner Bank. Er hat anschliessend die Möglichkeit, die gewünschten Informationen (z.B. Credit Score) als Verifiable Credential in sein Wallet zu beziehen. Dafür wird ihm am Desktop ein QR-Code präsentiert oder der Kunde hat auf dem Mobiltelefon die Möglichkeit direkt über einen sogenannten «App-Switch» in das Wallet zu wechseln. Der Kunde hat dann die Möglichkeit das Credential zu akzeptieren. Dieses wird dann erstellt und ausgeliefert und der Kunde kann das Credential nutzen, bis es irgendwann durch den Issuer revoziert resp. zurückgezogen wird.
Es zeigt sich, dass Banken eine Vielzahl von Use Cases sowohl als Verifier als auch als Issuer verfolgen können und sich dadurch verschiedene Potenziale aber auch Herausforderungen offenbaren. In diesem Kontext stellt sich die Frage, welche konkreten fachlichen und technischen Implikationen ergeben sich aus den genannten Use Cases? Welche grundsätzlichen Handlungsoptionen haben Banken im Kontext der Vertrauensinfrastruktur des Bundes und was sind entsprechende Chancen und Gefahren? Diese und weitere Fragen werden im zweiten Teil dieser Blogbeitragserie vertieft.
Quellen
https://openid.net/specs/openid-4-verifiable-presentations-1_0.html
https://openid.net/specs/openid-4-verifiable-credential-issuance-1_0.html
https://www.admin.ch/gov/de/start/dokumentation/medienmitteilungen.msg-id-90145.html
