Biometrie, digitale Wallets und staatliche Identitätsplattformen wachsen zu einer neuen globalen Vertrauensinfrastruktur zusammen. Doch während einzelne Technologien längst im Massenbetrieb angekommen sind, stehen andere erst vor dem Sprung aus Pilotprojekten und Machbarkeitsstudien in die Realität. Damit wird digitale Identität zunehmend zu einer Frage von Sicherheit, Resilienz und politischer Souveränität.

Ein Ausweis war einmal ein erstaunlich übersichtliches Sicherheitsinstrument. Ein Stück Papier, später Kunststoff, dazu ein Foto, eine Unterschrift, vielleicht ein Chip. Vertrauen entstand durch die Institution, die das Dokument ausgegeben hatte, und durch den Menschen, der es kontrollierte.

In der digitalen Welt ist aus diesem einfachen Verhältnis eine Kette geworden. Kameras erfassen Gesichter, Algorithmen vergleichen biometrische Merkmale, Smartphones speichern Credentials, staatliche Register liefern Referenzdaten und private Plattformen entscheiden innerhalb von Sekundenbruchteilen, ob einem Nutzer vertraut werden kann. Ein Bankkonto, ein Flug, der Zugang zu einer Behörde oder zu einer kritischen Anlage können davon abhängen, dass diese Kette funktioniert.

Damit verändert sich auch der Charakter der Sicherheitsindustrie. Identity Solutions sind nicht länger nur ein Spezialmarkt aus Passlesern, Fingerabdrucksensoren und Zugangskontrollen. Biometrie, Identity Verification, Digital Wallets, Fraud Detection, Public-Key-Infrastrukturen und staatliche Digital-IDs beginnen ineinanderzugreifen. Schon das Ausgangsmaterial zeigt diese Breite: von Signicats ReadID über aktuelle NIST-Benchmarks und nationale ID-Systeme bis zu Age Assurance, Banking und Post-Quantum-Kryptografie.

Die entscheidende Frage lautet deshalb nicht mehr nur: Kann eine Technologie einen Menschen erkennen? Sie lautet zunehmend: Wie belastbar ist der gesamte Vertrauensprozess – und funktioniert er auch außerhalb eines Benchmarks oder eines Demonstrators?

Genau hier lohnt ein nüchterner Blick. Denn der technologische Status quo ist widersprüchlich. Gesichtserkennung ist in vielen kontrollierten Szenarien hochentwickelt. Deepfake-Erkennung ist deutlich weniger zuverlässig. Digitale Wallets haben ihre grundsätzliche Funktionsfähigkeit in groß angelegten Pilotprogrammen bewiesen, stehen in Europa aber noch vor dem flächendeckenden Roll-out. Nationale Identitätsplattformen können Millionen Menschen bedienen, werden dadurch jedoch selbst zu kritischen Infrastrukturen. Und Post-Quantum-Technologien lassen sich technisch demonstrieren, sind aber noch weit vom Routinebetrieb entfernt.

Innovation und Reife sind eben nicht dasselbe.

1. Biometrie: Wenn Genauigkeit allein nicht mehr genügt

Kaum eine Sicherheitstechnologie hat in den vergangenen Jahren solche Fortschritte gemacht wie die automatisierte Gesichtserkennung. Lange ließ sich die Entwicklung relativ einfach erzählen: Die Algorithmen wurden genauer, Fehlerraten geringer und die Tabellen des US-amerikanischen National Institute of Standards and Technology immer voller.

Inzwischen beginnt sich diese Geschichte zu verändern.

NIST führt seine Face Recognition Technology Evaluation, FRTE, kontinuierlich durch. Zum 31. Juli 2026 umfasste allein die 1:1-Evaluation seit Beginn des laufenden Programms 1.441 Algorithmen von 439 unterschiedlichen Entwicklern. NIST misst dabei nicht lediglich Erkennungsgenauigkeit, sondern unter anderem Geschwindigkeit, Speicherbedarf sowie die Abhängigkeit der Ergebnisse von Bild- und Personeneigenschaften.

Das Ausgangsmaterial zeigt anhand der jüngsten Ergebnisse, dass sich führende Verfahren bei mehreren klassischen Verifikationsaufgaben inzwischen stark annähern. Bei schwierigen Aufnahmebedingungen bleiben die Abstände dagegen wesentlich größer. Genau darin liegt die interessantere Entwicklung.

Wenn mehrere Systeme unter günstigen Bedingungen sehr hohe Genauigkeit erreichen, verliert der Vorsprung im dritten oder vierten Dezimalbereich für einen Betreiber an Bedeutung. Wichtiger werden die Fragen, die sich erst im realen Einsatz stellen: Wie reagiert das System auf schlechte Beleuchtung? Auf einen ungünstigen Kamerawinkel? Auf große Datenbestände? Auf Menschen verschiedener Altersgruppen und Herkunft? Wie hoch ist die Latenz? Und wie einfach lässt sich die Technologie in eine bestehende Sicherheitsarchitektur integrieren?

NIST weist selbst darauf hin, dass beispielsweise die Bildqualität Einfluss auf demografisch unterschiedliche Fehlerraten nehmen kann. Ungünstige Beleuchtung oder Kamerapositionen können bestimmte Gruppen stärker beeinträchtigen. Für den Zugang zum Smartphone mag ein Fehler lästig sein. Bei Grenzkontrollen, Ermittlungsverfahren oder hoheitlichen Identitätsplattformen berührt er Rechtsstaatlichkeit, Gleichbehandlung und Vertrauen in staatliche Technik.

Damit ist Gesichtserkennung keineswegs unreif. Im Gegenteil: Das reine biometrische Matching ist in vielen definierten Szenarien eine etablierte Technologie. Unreif wäre vielmehr die Vorstellung, dass ein guter Matching-Algorithmus bereits eine vollständige Identity-Security-Lösung darstellt.

Deepfakes verändern die Frage nach der Echtheit

Das zeigt sich besonders bei Liveness Detection. Früher bestand ein typischer Angriff vielleicht darin, einem System ein Foto vorzuhalten. Heute lassen sich Gesichter und Stimmen synthetisch erzeugen oder in Echtzeit verändern. Aus der Frage „Passt dieses Gesicht zum Referenzbild?“ wird deshalb eine zweite: „Ist das, was ich sehe und höre, überhaupt authentisch?“

Neuseelands aktueller Authentication Assurance Standard gibt einen Eindruck davon, wie Regulierer darauf reagieren. Bei biometrischen Verfahren müssen Maßnahmen gegen Spoofing vorgesehen werden. Für die entsprechenden höheren Assurance-Anwendungen fordert der Standard Liveness Checking mit mindestens 90 Prozent Widerstand gegen Presentation Attacks. Zugleich weist die zugehörige staatliche Anleitung ausdrücklich darauf hin, dass sich Angriffsmethoden verändern und Standards allein nicht alle künftigen Bedrohungen erfassen können.

Gerade der zweite Satz ist wichtig. Denn Forschungsergebnisse zeigen, wie schwierig belastbare Deepfake-Erkennung außerhalb kontrollierter Testumgebungen weiterhin ist.

Fraunhofer SIT untersuchte 2026 fünf aktuelle Audio-Deepfake-Detektoren mit realen Social-Media-Datensätzen. Die Ergebnisse sind ernüchternd. Bei einem besonders schwierigen Datensatz erreichte der beste ausgewiesene F1-Wert mit vorher festgelegtem Schwellenwert lediglich 50,89 Prozent. Die Forscher folgern, dass aktuelle Detektoren reale Audio-Deepfakes noch nicht zuverlässig erkennen können.

Das ist sicherheitstechnisch weitaus relevanter als eine spektakuläre Demo mit einem einzelnen Deepfake. Ein Detektor, der im Labor hervorragend arbeitet, kann bei Kompression, Hintergrundgeräuschen, neuen Generatoren oder unbekannten Daten stark an Leistung verlieren.

Auch Fraunhofer IOSB verfolgt mit RealOrRender einen hybriden Ansatz zur Erkennung KI-generierter Bilder. Die Forschung fließt derzeit in einen Demonstrator ein, der zunächst das BSI unterstützen soll. Es handelt sich damit ausdrücklich um einen technologischen Demonstrator und nicht um den Nachweis eines universellen Deepfake-Filters für beliebige reale Medienströme.

Der nüchterne Befund lautet deshalb: Gesichtsmatching ist weit gereift. Die robuste Erkennung synthetischer Personen und Medien bleibt dagegen ein technologisches Wettrüsten. In sicherheitskritischen Anwendungen sollten deshalb biometrischer Vergleich, Liveness, Gerätesignale, Manipulationserkennung und weitere Risikofaktoren nicht als Alternativen, sondern als Schutzschichten verstanden werden.

Websites:
NIST Face Recognition Technology Evaluation – pages.nist.gov/frvt/
Fraunhofer SIT – sit.fraunhofer.de
Fraunhofer IOSB – iosb.fraunhofer.de
NZ Digital Government – digital.govt.nz

2. Digital Wallets: Der Ausweis wandert ins Smartphone

Während Biometrie immer genauer bestimmen kann, ob zwei Aufnahmen dieselbe Person zeigen, verändert sich gleichzeitig das Objekt, mit dem wir unsere Identität nachweisen. Der Ausweis verschwindet nicht, aber er verliert seine bisherige Exklusivität.

Digitale Wallets sollen Identitätsdaten, Führerscheine, Ausbildungsnachweise oder Altersnachweise in einer Form speichern, die sich elektronisch und möglichst selektiv vorzeigen lässt. Das klingt zunächst nach der logischen Fortsetzung der Smartphone-Digitalisierung. Tatsächlich ist es eines der größten Infrastrukturprojekte, die derzeit im europäischen Digitalraum laufen.

Die EU Digital Identity Wallet ist dafür das sichtbarste Beispiel. Inzwischen wurden sechs Large Scale Pilot Projectseingerichtet. Vier haben ihre Arbeit abgeschlossen, zwei weitere sind aktiv. Rund 550 öffentliche und private Organisationen aus 26 EU-Mitgliedstaaten sowie Norwegen, Island und der Ukraine sind oder waren beteiligt. Mehr als elf Alltagsszenarien werden getestet.

Das sind keine klassischen Laborexperimente mehr. Der Ansatz wird über Länder- und Branchengrenzen hinweg praktisch erprobt.

Trotzdem wäre es verfrüht, die europäische Wallet bereits als ausgereifte Masseninfrastruktur zu beschreiben. Die Verordnung verpflichtet die Mitgliedstaaten, entsprechende Wallets bis Ende 2026 bereitzustellen. Der breite operative Roll-out steht also noch bevor.

Genau darin liegt der Wert dieser europäischen Machbarkeitsphase. Eine Wallet muss nicht nur einmal erfolgreich ein Credential präsentieren können. Sie muss auf Millionen unterschiedlicher Smartphones funktionieren, einen Gerätewechsel verkraften, verlorene Zugangsmittel behandeln, Widerruf unterstützen und mit Behörden sowie privaten Diensten verschiedenster Länder interoperieren. Dazu kommen Barrierefreiheit, Offline-Fähigkeiten, Support und die Frage, wie sich ein Nutzer nach vollständigem Verlust seiner digitalen Identität wieder sicher einschreibt.

Die Machbarkeit des Prinzips ist damit weitgehend nachgewiesen. Die Alltagstauglichkeit im europäischen Massenbetrieb muss sich erst noch beweisen.

Interoperabilität entscheidet über digitale Souveränität

Gerade deshalb sind Standards politisch relevanter, als ihre technischen Namen vermuten lassen.

Die OpenID Foundation hat Konformitätsprogramme für OpenID for Verifiable Presentations, OpenID for Verifiable Credential Issuance und das High Assurance Interoperability Profile aufgebaut. Wallets, Issuer und Verifier können damit prüfen, ob unterschiedliche Implementierungen dieselben technischen Regeln tatsächlich auf kompatible Weise umsetzen. Die Foundation spricht von zahlreichen Jurisdiktionen, die entsprechende Spezifikationen ausgewählt haben.

Darin steckt eine Machtfrage. Ein europäischer digitaler Identitätsraum kann nur funktionieren, wenn Bürger nicht an einen einzelnen Gerätehersteller, Wallet-Betreiber oder Identitätsanbieter gebunden werden. Ein staatliches Credential muss auch außerhalb des Systems nutzbar bleiben, in dem es ursprünglich ausgegeben wurde.

Frankreich zeigt, wie aus dieser abstrakten Architektur bereits Alltag werden kann. Seit dem 24. Juni 2026 kann France Identité an französischen Flughäfen bei der Gepäckaufgabe und beim Boarding als Identitätsnachweis eingesetzt werden. Dabei werden nur die dafür notwendigen Angaben wie Name und Foto angezeigt. Für Grenzkontrollen gilt diese Nutzung ausdrücklich noch nicht. France Identité zählt inzwischen mehr als 4,5 Millionen Nutzer.

Das ist ein gutes Beispiel für einen realistischen Reifegrad: France Identité ist kein Zukunftsprojekt mehr, aber auch noch kein vollständiger Ersatz sämtlicher Reise- und Grenzdokumente.

Ähnlich professionell entwickelt sich der private Markt. Signicats ReadID ist im offiziellen britischen Register als Component und Orchestration Service geführt. Die Zertifizierung datiert vom 29. Juni 2026 und läuft bis Juni 2029. Das System kombiniert unter anderem NFC-basierte Dokumentenprüfung mit biometrischen Verfahren. Bereits das Ausgangsmaterial verweist auf den Einsatz der Technologie in Millionen Transaktionen.

Auch hier ist allerdings regulatorische Präzision notwendig: Das neue britische DVS Trust Framework 1.0 wurde am 9. Juni 2026 final veröffentlicht, tritt aber erst in Kraft, wenn die erste entsprechende Konformitätsbewertungsstelle akkreditiert wurde – frühestens am 1. September 2026. Bis dahin bestehen die Übergangsregelungen für Version 0.4 fort.

Solche Details mögen bürokratisch wirken. Für Sicherheitsentscheider sind sie entscheidend. Ein Produkt kann technisch ausgereift sein, während sich die regulatorische Architektur, in der es betrieben wird, noch verändert.

Websites:
EU Digital Identity Wallet – digital-strategy.ec.europa.eu
OpenID Foundation – openid.net
France Identité – france-identite.gouv.fr
Signicat / ReadID – signicat.com
UK Digital Verification Services Register – digital-identity-services-register.service.gov.uk

3. Nationale Identitäten: Wenn Digitalisierung zur kritischen Infrastruktur wird

Während Europa über Wallet-Interoperabilität diskutiert, gehen zahlreiche Staaten einen Schritt weiter. Sie bauen digitale Identität als Digital Public Infrastructure auf – vergleichbar mit einem grundlegenden staatlichen Netz, über das Verwaltung, Banken und andere private Dienste Identitäten prüfen können.

Die Philippinen zeigen, wohin diese Entwicklung führen kann. Das National ID Authentication System NIDAS wird bereits in konkrete staatliche Plattformen integriert. Die Philippine Statistics Authority beschreibt NIDAS als offizielle Authentisierungsplattform des nationalen Identitätssystems; kommunale Verwaltungen können darüber Bürger auf Grundlage ihrer National-ID-Credentials prüfen. Auch im Finanzbereich wächst die Nutzung. Die PSA arbeitet beispielsweise mit der Bank of the Philippine Islands daran, die National ID stärker in digitale Onboarding-Prozesse einzubinden.

Das Ausgangsmaterial beschreibt darüber hinaus Pläne der Zentralbank, National-ID-Authentisierung stärker in die Customer Due Diligence des Finanzsektors einzubetten.

Der sicherheitstechnische Charme liegt auf der Hand. Eine Bank muss nicht ausschließlich beurteilen, ob ein hochgeladenes Dokument überzeugend aussieht. Sie kann ihre Prüfung an eine staatlich etablierte Vertrauensquelle anbinden.

Doch damit entsteht ein neues Problem: Je vertrauenswürdiger und erfolgreicher die zentrale Infrastruktur wird, desto kritischer wird ihr Ausfall.

Nepal liefert hierfür ein warnendes Beispiel. Nach den im Ausgangsmaterial zusammengetragenen Berichten führten Kapazitätsprobleme innerhalb der nationalen Identitätsinfrastruktur zu erheblichen Störungen. Banken, Telekommunikationsdienste, Verkehrs- und Passbehörden greifen zunehmend auf dieselbe zentrale Verifikation zu; das biometrische Matching-System geriet dabei unter hohe Last.

Das ist mehr als ein IT-Problem. Sobald ein digitales Identitätssystem Voraussetzung für Bankgeschäfte, Mobilfunk, Reisen oder staatliche Leistungen wird, gehört seine Verfügbarkeit zur nationalen Resilienz.

Die klassische Sicherheitsprüfung eines ID-Systems muss deshalb erweitert werden. Die Frage „Wie sicher ist die Verschlüsselung?“ reicht ebenso wenig wie „Wie genau ist die Biometrie?“. Eine ernsthafte Machbarkeitsstudie müsste auch untersuchen, wie viele parallele Transaktionen das System verkraftet, welche Redundanzen bestehen, wie ein Failover funktioniert und was Nutzer tun können, wenn die zentrale Identitätsquelle nicht erreichbar ist.

Hier liegt ein Punkt, der in vielen Digitalisierungsstrategien unterschätzt wird: Ein besonders vertrauenswürdiges zentrales System kann zugleich ein besonders wertvoller Single Point of Failure sein.

Afrikas Digital-ID-Projekte unterstreichen die strategische Dimension. MOSIP bietet Staaten eine modulare Open-Source-Basis für nationale Identitätssysteme und nennt inzwischen zahlreiche Länderprojekte und nationale Roll-outs. Sierra Leone etwa arbeitet laut Ausgangsmaterial an einem MOSIP-basierten Ökosystem aus digitaler Identität, Verifiable Credentials, Zahlungsverkehr und interoperablem Datenaustausch.

Dahinter steht nicht allein Modernisierung. Es geht auch um digitale Souveränität: Wer kontrolliert den Source Code, die kryptografischen Schlüssel, die biometrischen Datenbanken und die Infrastruktur, auf der ein Land seine Bürger authentisiert?

In einer geopolitisch unsichereren Welt wird diese Frage kaum weniger wichtig werden.

Websites:
Philippine Statistics Authority / National ID – psa.gov.ph
MOSIP – mosip.io

4. Banking und Payments: Die einmalige Identitätsprüfung reicht nicht mehr

Kaum eine Branche zeigt die Grenzen klassischer Identity Verification so deutlich wie der Finanzsektor.

Know Your Customer folgt traditionell einem linearen Prinzip. Ein Kunde eröffnet ein Konto, weist seine Identität nach, wird geprüft – und ist anschließend bekannt. Cyberkriminalität funktioniert längst anders. Ein korrekt eröffneter Account kann Monate später übernommen werden. Ein echtes Smartphone kann in die Hände eines Täters gelangen. Kunden können durch Social Engineering selbst dazu gebracht werden, eine Zahlung zu autorisieren.

Die Frage verschiebt sich deshalb von „Wer ist dieser Kunde?“ zu „Handelt noch immer derselbe legitime Kunde?“

BioCatch steht exemplarisch für diesen Wandel. Das Unternehmen verbindet Behavioral Biometrics mit Geräte- und weiteren digitalen Risikosignalen, um unter anderem Account Takeover, Betrug und Manipulation während einer laufenden Banking-Session zu erkennen. Nach eigenen Angaben arbeitet BioCatch mit mehr als 350 Banken.

Das Ausgangsmaterial berichtet über die geplante Übernahme von BioCatch durch Visa für 2,4 Milliarden US-Dollar und ordnet den Deal als Teil einer weiter nach vorne verlagerten Betrugsprävention ein. Unabhängig vom Kaufpreis ist die strategische Richtung bemerkenswert: Fraud Detection beginnt nicht mehr erst an der Zahlung. Sie wandert in die Identitäts- und Verhaltensschicht davor.

Behavioral Biometrics ist dabei keine experimentelle Technologie mehr. Sie wird in großen Bankenumgebungen produktiv eingesetzt. Trotzdem sollte ihre Aussagekraft nicht überschätzt werden. Verhalten erzeugt Risikosignale und Wahrscheinlichkeiten. Es beweist nicht zweifelsfrei die Identität eines Menschen.

Gerade das macht die Technologie wertvoll: nicht als Ersatz, sondern als zweite und dritte Meinung innerhalb einer Sicherheitsarchitektur.

Kann KYC wiederverwendbar werden?

Wesentlich experimenteller ist ein anderes Konzept: die portable Identitätsprüfung.

Das SOLO Network testet in den USA, ob eine Identitätsprüfung, die bereits von einer regulierten Bank durchgeführt wurde, von einem anderen Finanzinstitut wiederverwendet werden kann. Standardisierte Zertifikate sollen dabei dokumentieren, welche Verfahren durchgeführt wurden – vom Dokumentencheck über biometrische Vergleiche bis zur Liveness-Prüfung. Das Ausgangsmaterial beschreibt einen von mehreren US-Behörden beobachteten Pilotversuch. Entscheidend ist jedoch: Diese Beobachtung ist keine staatliche Genehmigung, kein Safe Harbor und keine formale Bestätigung des Geschäftsmodells.

Genau deshalb ist SOLO als Machbarkeitsstudie interessanter als als fertige Lösung.

Die Technik ist vergleichsweise leicht vorstellbar. Schwieriger ist die institutionelle Vertrauensfrage. Wenn Bank A einen Kunden geprüft hat, wann darf Bank B diese Prüfung übernehmen? Wie aktuell muss der Nachweis sein? Was geschieht, wenn ein damals verwendetes biometrisches Verfahren später als angreifbar gilt? Und wer trägt die Verantwortung, wenn sich die Identität als falsch erweist?

Wiederverwendbares KYC ist damit vor allem ein Experiment darüber, ob Vertrauen standardisiert und übertragbar gemacht werden kann.

Einen anderen Weg verfolgt Incode mit GovFaceMatch. Das Unternehmen will Live-Selfies in den USA über Integrationen direkt gegen die Datensätze ausstellender Verkehrsbehörden prüfen. Der Vertrauensanker verschiebt sich damit vom optischen Eindruck eines Dokuments zur staatlichen Referenz. Nach Herstellerangaben kann die Prüfung in durchschnittlich zehn Sekunden erfolgen. Solche Performance- und Conversion-Angaben stammen jedoch vom Anbieter und sollten ohne unabhängige Evaluation nicht mit neutralen Benchmarks verwechselt werden.

Dieser Unterschied wird für Beschaffer immer wichtiger: Ein technisch überzeugendes Konzept, ein Herstellerbenchmark und ein unabhängig validierter Sicherheitsnachweis sind drei verschiedene Dinge.

Websites:
BioCatch – biocatch.com
Visa – visa.com
SOLO – solo.one
Incode – incode.com

5. Age Assurance: Sicherheit ohne vollständige Identität?

Age Assurance dürfte zu einem der politisch sensibelsten Teilmärkte der Identity-Branche werden. Das Ziel scheint einfach: Minderjährige sollen bestimmte Inhalte oder Dienstleistungen nicht nutzen können. Technisch führt diese Forderung jedoch unmittelbar zu einer schwierigen Frage.

Wie stellt man fest, wie alt jemand ist, ohne unnötigerweise festzustellen, wer dieser Mensch ist?

Die internationale Antwort darauf fällt bislang sehr unterschiedlich aus. Das Ausgangsmaterial zeigt ein Nebeneinander von biometrischer Altersschätzung, nationalen Identitätssystemen, digitalen Wallets, Geräteinformationen und Dokumentenprüfung.

Großbritannien liefert inzwischen wertvolle Erfahrungen aus dem realen Betrieb. Ofcom veröffentlichte im Juli 2026 einen umfangreichen Bericht zur Nutzung von Age Assurance. Die wichtigste Erkenntnis ist fast schon wohltuend unspektakulär: Es gibt kein einzelnes Verfahren, das das Risiko einer Umgehung vollständig beseitigt. Die Behörde sieht deshalb gute Gründe für mehrere Schutzschichten und fordert Betreiber auf, auch externe Age-Assurance-Anbieter regelmäßig zu prüfen.

Damit widerspricht der Regulator implizit der Vorstellung, Age Assurance ließe sich mit einem universellen technischen Produkt „lösen“.

Innovative Technology setzt beispielsweise mit MyCheckr auf kamerabasierte Altersschätzung zur Unterstützung von Mitarbeitern. In Cumbria und Lancashire werden entsprechende Geräte nach Angaben aus dem Ausgangsmaterial auch im Umfeld von Polizei und Gewerbe eingesetzt. Der Hersteller betont, dass Bilder nicht gespeichert werden.

Der entscheidende Begriff lautet hier Unterstützung. Ein solches System kann einen Menschen am Verkaufspunkt darauf hinweisen, dass eine Kontrolle sinnvoll ist. Es ist nicht zwangsläufig dasselbe wie ein hochsicherer hoheitlicher Altersnachweis.

Die Europäische Union verfolgt wiederum einen datensparsameren Ansatz. Die Kommission hat eine technische Age-Verification-Lösung entwickelt, mit der Nutzer nachweisen können, dass sie einen bestimmten Altersschwellenwert erfüllen, ohne dem Dienst ihre genaue Identität oder ihr Geburtsdatum mitzuteilen. Die Lösung basiert auf denselben technischen Grundprinzipien wie die kommende EUDI Wallet und soll zunächst auch als eigenständige Anwendung verfügbar werden.

Darin steckt möglicherweise eine der wichtigsten Entwicklungen moderner ID-Solutions: Nicht jede Vertrauensentscheidung braucht eine vollständige Identität.

Der Türsteher muss nicht zwingend wissen, wie jemand heißt. Er muss wissen, ob die Person alt genug ist. Ein Online-Dienst braucht möglicherweise nicht das Geburtsdatum, sondern nur eine kryptografisch belastbare Aussage „über 18“.

Datensparsamkeit wird dadurch selbst zu einem Sicherheitsmerkmal.

Wie wichtig die gesellschaftliche Dimension bleibt, zeigt Patronscan. Zwei Bars im Castro District von San Francisco setzten den Einsatz des Systems nach Datenschutzbedenken vorläufig aus. Das Ausgangsmaterial beschreibt die Erfassung von Fotos und verschiedenen Ausweisdaten sowie die besondere Sensibilität solcher Datensammlungen in LGBTQ+-Umgebungen.

Der Fall ist für die Sicherheitsindustrie lehrreich. Eine Technologie kann juristisch zulässig und technisch funktionstüchtig sein und trotzdem gesellschaftlich scheitern.

Akzeptanz ist deshalb kein weiches Zusatzkriterium. Bei Identitätssystemen gehört sie zur Machbarkeit.

Websites:
Ofcom – ofcom.org.uk
EU Age Verification / EUDI – digital-strategy.ec.europa.eu
Innovative Technology – innovative-technology.com
Patronscan – patronscan.com

6. Unternehmen und Technologien: Zwischen Markt, Machbarkeitsnachweis und Versprechen

Der Identity-Markt professionalisiert sich – und beginnt sich gleichzeitig zu konsolidieren.

In Schweden wurde im Juli die Fusion von Precise Biometrics und Fingerprint Cards vollzogen. Fingerprint Cards ging dabei in Precise Biometrics auf. Das kombinierte Unternehmen bündelt Software, Hardware sowie Technologien für biometrische Sicherheit, Zutritt und Identity Management.

Das ist mehr als eine Finanztransaktion. Sie zeigt, dass sich der Markt von einzelnen biometrischen Komponenten in Richtung integrierter Plattformen bewegt. Sensor, Algorithmus, Zutrittsmanagement und digitale Identität werden zunehmend als Teile derselben Wertschöpfungskette betrachtet.

Ein Grund dafür dürfte die wachsende Komplexität der Bedrohung sein. Ein einzelner Fingerprint-Sensor schützt wenig, wenn die Identität bereits beim Enrollment kompromittiert wurde. Ein exzellenter Face Matcher nützt wenig, wenn ein Angreifer die Session nach erfolgreicher Anmeldung übernimmt. Käufer suchen deshalb häufiger nach Systemen, die mehrere Ebenen miteinander verbinden können.

Bei Post-Quantum Identity ist der Markt dagegen noch erheblich früher.

TOPPAN Holdings, das japanische National Institute of Information and Communications Technology und ISARA haben einen bemerkenswerten Proof of Concept für die Migration bestehender Zertifikats- und Smartcard-Infrastrukturen auf Post-Quantum Cryptography abgeschlossen. Getestet wurden drei Betriebsphasen: eine klassische Umgebung, eine hybride Übergangsphase sowie eine vollständige PQC-Umgebung. Zum Einsatz kamen unter anderem Verfahren auf Basis des von NIST standardisierten ML-DSA. Die Partner berichten, dass der Übergang im Testsystem ohne Unterbrechung der Smartcard-Infrastruktur möglich war.

Das ist ein echter Machbarkeitsnachweis – aber eben noch kein Beleg für flächendeckende Einsatzreife.

Die beteiligten Organisationen selbst sprechen von weiteren begrenzten praktischen Implementierungen und nennen einen vollständigen Realbetrieb um 2030 als Zielrichtung.

Gerade diese zeitliche Einordnung ist wichtig. Post-Quantum-Kryptografie ist keine Science-Fiction mehr. Die notwendigen Algorithmen sind standardisiert und Migrationstechniken werden praktisch getestet. Gleichzeitig wäre es falsch, daraus zu schließen, dass Behörden und Unternehmen heute lediglich eine neue Smartcard bestellen müssten und die Quantentransformation abgeschlossen wäre.

Die eigentliche Herausforderung liegt in der Migration: alte Lesegeräte, Zertifikatsketten, Backend-Systeme und jahrzehntelang betriebene Identitätsinfrastrukturen müssen parallel weiter funktionieren. In sicherheitskritischen Umgebungen ist Kompatibilität häufig genauso wichtig wie Kryptografie.

Das Beispiel verdeutlicht besonders gut, warum der Begriff „Innovation“ in der Sicherheitsindustrie vorsichtig verwendet werden sollte. Ein Laborversuch beantwortet die Frage ob etwas funktionieren kann. Ein Pilot beantwortet, ob es unter begrenzten realen Bedingungen funktioniert. Erst langjähriger produktiver Betrieb zeigt, ob eine Technologie tatsächlich infrastrukturtauglich ist.

Zwischen diesen drei Stufen liegen oft Jahre.

Websites:
Precise Biometrics – precisebiometrics.com
TOPPAN Holdings – holdings.toppan.com
NICT – nict.go.jp
ISARA – isara.com

Identität wird zur sicherheitspolitischen Machtfrage

Der Blick auf die internationale Entwicklung führt damit zu einer überraschend nüchternen Bilanz.

Die grundlegenden Technologien digitaler Identität funktionieren. Menschen können biometrisch mit hoher Genauigkeit verglichen werden. Elektronische Dokumente lassen sich kryptografisch prüfen. Smartphones können Credentials speichern. Staatliche Plattformen können Identitäten in Echtzeit bestätigen. Wallets können Attribute selektiv übertragen und Behavioral Biometrics kann verdächtige Veränderungen während einer Sitzung erkennen.

Die großen ungelösten Aufgaben entstehen dort, wo aus diesen Fähigkeiten Infrastruktur wird.

Wie verhält sich eine nationale ID-Plattform unter millionenfacher Spitzenlast? Was geschieht, wenn der zentrale Dienst ausfällt? Wie bekommt ein Bürger seine digitale Identität zurück, wenn Smartphone und Wiederherstellungsschlüssel verloren sind? Wie lange bleibt ein Deepfake-Detektor verlässlich, wenn sich die Generatoren schneller weiterentwickeln als seine Trainingsdaten? Wer haftet für eine wiederverwendete KYC-Prüfung? Und wer kontrolliert die technische Basis einer nationalen Identität, wenn wesentliche Komponenten von ausländischen Unternehmen stammen?

Solche Fragen gehören in Machbarkeitsstudien ebenso selbstverständlich wie False-Match-Raten und Verarbeitungszeiten.

Für die Bewertung von ID-Solutions ergibt sich daraus eine einfache, aber anspruchsvolle Matrix. Technische Funktionsfähigkeit ist nur die erste Stufe. Danach folgen Skalierbarkeit, Resilienz, Angriffsfestigkeit, Interoperabilität, Datenschutz, gesellschaftliche Akzeptanz und schließlich die Frage, ob ein System auch politisch und wirtschaftlich souverän betrieben werden kann.

Der technologische Status quo ist entsprechend differenziert: Klassisches biometrisches Matching ist in vielen Szenarien weit entwickelt. Deepfake-Erkennung kann wertvolle Signale liefern, besitzt aber noch keine universelle Zuverlässigkeit. Digital Wallets haben große praktische Machbarkeitsnachweise hinter sich und stehen vor dem Massenbetrieb. Age Assurance entwickelt sich schnell, ohne dass ein einzelnes Verfahren alle Anforderungen erfüllt. Portable KYC bleibt ein spannendes Experiment. Und Post-Quantum Identity hat den Weg aus der Theorie in konkrete Testsysteme geschafft, steht aber noch am Anfang der operativen Migration.

Für Sicherheitsverantwortliche ist diese Unterscheidung wichtiger als jedes Innovationsetikett.

Denn am Ende entscheidet nicht, welche Technologie in einer Demonstration am eindrucksvollsten funktioniert. Entscheidend ist, welcher Vertrauenskette wir dann noch vertrauen können, wenn etwas schiefgeht.

Im Überblick

Im Beitrag berücksichtigt wurden NIST, Fraunhofer SIT, Fraunhofer IOSB, New Zealand Digital Government, die EU Digital Identity Wallet, die OpenID Foundation, France Identité, Signicat/ReadID, das britische Digital Verification Services Trust Framework, das philippinische National ID System/NIDAS, MOSIP, die nationale Identitätsinfrastruktur Nepals, Visa, BioCatch, SOLO, Incode, Ofcom, Innovative Technology/MyCheckr, die europäische Age-Verification-Architektur, Patronscan, Precise Biometrics, Fingerprint Cards, TOPPAN Holdings, NICT und ISARA.