Digitale Identitäten: Ein Blick auf die nordischen Pioniere

Die nordischen Länder sind Vorreiter bei der Nutzung elektronischer Identitäten (eIDs). Was ist der Grund für die hohe Akzeptanz der digitalen Authentifizierung in Norwegen, Schweden und Dänemark? Und was können Deutschland und europäische Wirtschaftsprüfer*innen von den Erfahrungen der digitalen Pioniere lernen?

Im Jahr 2010 hat Deutschland den elektronischen Personalausweis (ePA) eingeführt. Mittlerweile sind hierzulande 70 Millionen dieser Karten mit entsprechenden Chips im Umlauf. Doch während eine hohe Zahl von Bürger*innen den ePA besitzt, ist seine tatsächliche Nutzung im Alltag noch wenig verbreitet. Möglichkeiten dazu gäbe es dabei durchaus, denn Online-Identifikation und elektronische Signatur ermöglichen den Zugang zu zahlreichen staatlichen und wirtschaftlichen Diensten. Ganz anders sieht die Situation in den nordischen Staaten aus: In Norwegen, Schweden und Dänemark sind digitale Identitäten (eIDs) fest im Alltag verankert.

Was sind die Ursachen für diese Entwicklung? Ein Faktor, der die Akzeptanz der eIDs hierzulande gebremst hat, dürften die strengen Datenschutz- und Compliance-Anforderungen Deutschlands sein. Vor allem die damit verbundene komplexe Prozedur bei der Einrichtung der eIDs schreckt viele Anwender*innen offenbar weiterhin von einer Nutzung ab. Ein wesentlicher Grund für die unterschiedliche Entwicklung geht auf die Akteure zurück, die sie vorangetrieben haben. Während es in Deutschland vor allem der Staat war, der die eID durch die Online-Ausweisfunktion des Personalausweises etabliert hat, kamen die wesentlichen Impulse in Nordeuropa verstärkt aus der Wirtschaft.

Banken schaffen digitales Ökosystem

In Norwegen, Schweden und Dänemark waren es vor allem Banken, die dem Thema gemeinsam durch konkrete, praxistaugliche Lösungen zum Durchbruch verholfen haben. Getragen von dem hohen Vertrauen, das sie ihren Finanzinstituten entgegenbringen, authentifizieren sich Kund*innen heute ganz selbstverständlich über Systeme wie BankID in Norwegen oder MitID in Dänemark. Auf diese Weise hat sich eine stetig optimierte Infrastruktur entwickelt, die die Bürger*innen Nordeuropas für eine Vielzahl von Anwendungen nutzen.

So werden die digitalen IDs in Norwegen, Schweden und Dänemark längst nicht mehr nur für das Online-Banking verwendet, sondern auch für E-Government-Dienste, Vertragsabschlüsse und andere Services und Transaktionen, die eine Authentifizierung erfordern. Auf diese Weise ist ein Ökosystem entstanden, in dem derselbe digitale Identitätsnachweis bei den unterschiedlichsten Diensten einsetzbar ist. Durch diese breite Einsatzpalette haben eIDs in den nordischen Ländern eine hohe Marktdurchdringung erreicht und sind für viele Bürger*innen ein selbstverständlicher Bestandteil des digitalen Lebens geworden.

Neuer Schwung für Digital-IDs durch Europa?

Auf europäischer Ebene wird die Rolle digitaler Identitäten durch neue Initiativen wie die geplante Europäische Digitale Identitäts-Wallet (eIDAS 2.0) an Bedeutung gewinnen. Diese Entwicklungen werden die Interoperabilität zwischen unterschiedlichen nationalen Lösungen in den kommenden Jahren voraussichtlich stärken. Zugleich wird damit die Basis für grenzüberschreitende Anwendungen geschaffen. Die Erfahrungen in Nordeuropa zeigen, welche Dynamik sich entfalten kann, wenn digitale Identitäten nahtlos in den Alltag der Nutzer*innen integriert werden.

Learnings für Jahresabschluss und Abschlussprüfung

Die nordischen Erfahrungen sind nicht nur aus Markt- und Nutzersicht von Interesse, sondern werfen auch ein Licht auf regulatorische Implikationen, die für Jahresabschluss und Abschlussprüfung relevant werden könnten. Setzt sich die Nutzung der eIDs bei Banken durch, dürfte die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) das Thema schon bald verstärkt überwachen. Die gute Nachricht: eIDs können durchaus dazu beitragen, Betrugsfälle wie Identitätsdiebstahl zu verhindern und die Sicherheit von Finanztransaktionen zu erhöhen. Zudem erleichtern sie es den Instituten, Vorgaben bei der Geldwäscheprävention und der Bekämpfung der Terrorismusfinanzierung einzuhalten. Gleichzeitig stellen sie aber auch neue Anforderungen. So müssen die Unternehmen robuste Sicherheitsmaßnahmen etablieren, um den Schutz der sensiblen Daten aus den eIDs zu gewährleisten. Wichtig ist darüber hinaus die Compliance mit Regularien zum Datenschutz: Die Unternehmen müssen sicherstellen, dass sie die geltenden Datenschutzbestimmungen beim Umgang mit eIDs einhalten.

Im Jahresabschluss gilt es für die Unternehmen, alle Risiken, die sich durch die Einführung der eIDs ergeben, transparent darzustellen. Das betrifft etwa die Gefahren von Cyberangriffen und sonstigen Haftungsrisiken, die aufgrund von Datenschutzverletzungen entstehen können. Im Rahmen der Risikobewertung gilt es, die Eintrittswahrscheinlichkeit und die potenziellen Auswirkungen des jeweiligen Risikos zu bewerten. Wichtig sind zudem die Sicherheitsvorkehrungen: Welche Maßnahmen – etwa die Einrichtung eines internen Kontrollsystems (IKS) – hat das Unternehmen getroffen, um den angesprochenen Risiken vorzubeugen und diese zu überwachen?

Es ist die Aufgabe von Wirtschaftsprüfer*innen, die Risikoberichterstattung im Rahmen des Audits entsprechend zu würdigen. Gegebenenfalls müssen sie ihre Prüfungsmethoden anpassen, um die spezifischen Risiken im Zusammenhang mit eIDs bewerten zu können. Wichtig ist es in jedem Fall, ein tieferes Verständnis für die IT-Systeme und Authentifizierungsmethoden und das damit verbundene Gefahrenprofil zu entwickeln.

Warum es sich lohnt, vom Norden zu lernen  

Die Erfahrungen der nordischen Länder zeigen, was es braucht, damit sich elektronische Identitäten zu einem festen Bestandteil des digitalen Ökosystems entwickeln können. Vor allem die zentrale Rolle der Banken und die Verknüpfung der eIDs mit vertrauten Anwendungen haben zu einer hohen Akzeptanz über verschiedene Branchen hinweg geführt. Im Gegensatz dazu befindet sich der deutsche Markt noch in einer früheren Entwicklungsphase, die von stärkerer staatlicher Prägung und strengeren regulatorischen Anforderungen gekennzeichnet ist. Durch Initiativen auf EU-Level wie die Digitale Identitäts-Wallet könnten eIDs auch in Deutschland neuen Schwung bekommen. Auf die Implikationen für den Jahresabschluss sollten sich Unternehmen und Wirtschaftsprüfer*innen schon jetzt einstellen.

Für weitere Themen rund um die Wirtschaftsprüfung und Forvis Mazars folgen Sie uns auch auf LinkedIn.