Überall dort, wo heute eine Identität geprüft werden muss, kann die e-ID genutzt werden. Dies ist insbesondere im digitalen Raum nützlich, wo aktuell eine Ausweiskopie hochgeladen, ein Video-Ident durchgeführt oder ein Dokument manuell geprüft wird, z.B.

• Onboarding und Kontoeröffnung
  Identifizierung in Sekunden statt über Video-Call oder Postident mit sofort maschinenlesbaren, geprüften Daten
• Altersnachweis
  Für Verkauf und Zugang zu altersbeschränkten Angeboten, ohne dass der Anbieter Geburtsdatum und Name erfährt
• Zugriffsschutz bei sensiblen Vorgängen
  Adressänderung, Vertragsauflösung, Auszahlungen, Zurücksetzen von Zugängen
• Erstidentifikation beim Kundenkonto
  Einmal per e-ID identifizieren, danach wie gewohnt einloggen

Welche Voraussetzungen muss ein Unternehmen in Bezug auf die e-ID erfüllen?

Damit ein Unternehmen die e-ID prüfen kann, muss es einiges beachten:

Organisatorisch

Es gilt, festzulegen, in welchem Prozess die e-ID zum Einsatz kommt und welche Angaben dafür tatsächlich erforderlich sind. Wer prüft, darf nur verlangen, was für den konkreten Zweck nötig ist. Für einen Altersnachweis beispielsweise heisst das das Alter, und nicht Name und Adresse zusätzlich.

Daneben muss auch geklärt werden, ob ein Weg für Personen ohne e-ID offenstehen soll und wie dieser aussieht. Die e-ID ist für Nutzende freiwillig. Wenn man keine Alternative anbietet, verringert sich das Publikum für die eigenen Dienstleistungen.

Technisch

Es braucht eine eigene Komponente, welche die Anfrage an das Wallet stellt und die Antwort prüft. Der Bund liefert dafür quelloffene Komponenten, aber keine fertige Plattform, bei der man sich anmeldet und loslegt. Zusätzlich muss sich die Organisation im staatlichen Register eintragen, damit die Gegenseite erkennen kann, wer da eigentlich fragt. Das ist ein Integrationsprojekt mit Vorlaufzeit, keine Konfigurationsaufgabe.

Rechtlich

Eigene Reglemente, AGB und Prozessvorgaben sind daraufhin zu prüfen, ob sie eine digitale Identifizierung überhaupt zulassen. Formulierungen wie «Kopie des Ausweises zu den Akten nehmen» blockieren die Nutzung sonst schon im Ansatz. Wer die e-ID akzeptiert, muss zudem bei persönlichem Erscheinen einer Person weiterhin den physischen Ausweis akzeptieren. Für Behörden und Stellen mit öffentlichen Aufgaben kommt eine gesetzliche Akzeptanzpflicht mit Frist hinzu.

Fachlich

Die e-ID enthält keinen eindeutigen Identifikator. Sie kann zur Identifizierung genutzt werden, aber nicht als Login. Wer wiederkehrende Nutzende wiedererkennen will, identifiziert einmalig per e-ID und führt danach ein eigenes Konto. Einzig der öffentliche Dienst darf die AHV-Nummer als eindeutigen Identifikator verwenden.

Zeitlich

Die e-ID kommt 2027, eine Testumgebung ist verfügbar. Wer von der e-ID so bald wie möglich profitieren will, sollte jetzt die Integration planen und die Prozesse testen.

Die swiyu-Vertrauensinfrastruktur

swiyu ist der Name der schweizerischen Vertrauensinfrastruktur (Wallet-App, Basisregister, Vertrauensregister, Standards und Referenzimplementierungen). Die e-ID ist nur ein elektronischer Nachweis, der auf dieser Infrastruktur laufen wird. Daneben wird es viele weitere geben, z.B. Führerausweis, Wohnsitzbestätigung, Diplome oder Mitgliederausweise. Genau deshalb kann die Infrastruktur produktiv gehen, bevor die e-ID existiert.

Wird hier eine sehr hohe Summe nur für die e-ID ausgegeben?

Die Investition (rund 182 Mio. Franken für Aufbau und Pilotprojekte, danach ca. 25 Mio. Franken jährliche Betriebskosten) fliesst in eine generische Vertrauensinfrastruktur, die Bund, Kantone, Gemeinden und Private für beliebige elektronische Nachweise nutzen können. Die e-ID ist der prominenteste, aber nicht der einzige Anwendungsfall. Es wird bewusst von «Ökosystemen» gesprochen.

Erhalten nur Schweizerinnen und Schweizer eine e-ID?

Eine e-ID beantragen kann, wer über eine Schweizer Identitätskarte, einen Schweizer Pass oder einen von der Schweiz ausgestellten Ausländerausweis verfügt. Für Unternehmen heisst das: Auch Mitarbeitende und Kundinnen ohne Schweizer Bürgerrecht, aber mit Aufenthaltstitel sind Teil der Zielgruppe. Die e-ID enthält die Information, auf welchem Ausweistyp sie beruht.

Darf nur der Bund elektronische Nachweise ausstellen?

Der Bund stellt die e-ID aus und betreibt die Infrastruktur. Kantone, Gemeinden und private Organisationen können auf derselben Infrastruktur eigene Nachweise ausstellen und verifizieren: Diplome, Betreibungs- und Registerauszüge, Mitarbeiter- und Mitgliederausweise, Tickets, Bewilligungen, Garantien. Das ist der Grund für den erwarteten hohen volkswirtschaftlichen Nutzen.

Braucht man die e-ID trotzdem, wenn man AGOV hat?

AGOV ist der Authentifizierungsdienst der Schweizer Behörden und damit ein Login. Die e-ID ist ein Identitätsnachweis und kein Login (siehe unten). Man wird jedoch die e-ID und voraussichtlich weitere digitale Nachweise mit AGOV nutzen können. Konkret bedeutet das, dass an AGOV angeschlossene Anwendungen Informationen aus der e-ID oder anderen in Zukunft unterstützten digitalen Nachweisen werden abfragen können. Daher werden viele Anwendungen des öffentlichen Dienstes die e-ID sehr einfach verwenden können, sofern sie AGOV nutzen. 

Zeitplan und Strategie

Wird die e-ID in Phasen eingeführt?

Die Vertrauensinfrastruktur nimmt ihren Betrieb voraussichtlich im ersten Halbjahr 2027 auf. Andere Nachweise können ab dann produktiv ausgestellt werden. Die e-ID selbst folgt später, das Datum ist noch offen.

Es gibt hier Verwirrung, weil auch von drei «Ambitionsniveaus» gesprochen wird: 1. die e-ID, 2. weitere Nachweise des öffentlichen Dienstes und 3. Nachweise aus der Privatwirtschaft. Jedoch können nach aktuellem Stand sowohl der öffentliche Dienst wie auch Private ab Go-Live der Vertrauensinfrastruktur weitere Nachweise ausstellen und verwenden. Daher können sich Ambitionsniveaus 2 und 3 zuerst entwickeln, während Ambitionsniveau 1 später kommt.

Trotzdem ist das Konzept der Ambitionsniveaus nützlich: Zwar können sofort Nachweise ausgestellt und verwendet werden, aber Standardisierung und Ökosystem-spezifische Eigenheiten sind wichtig und werden für Ambitionsniveau 2 und insbesondere 3 eine Herausforderung.

Wird die e-ID verschoben, sodass wir abwarten können?

Die Infrastruktur startet voraussichtlich im ersten Halbjahr 2027. Wer sich erst dann mit dem Thema befasst, verpasst die Vorlaufzeit: Schema-Design, Prozessanpassungen, rechtliche Prüfung, Integration und Tests in der Public Beta brauchen Monate. Für Behörden kommt hinzu, dass es eine Akzeptanzpflicht der e-ID geben wird. Die Verschiebung ist ein Zeitfenster für Vorbereitung, kein Grund für Stillstand.

Müssen wir mit allem warten, bis die e-ID da ist?

Es gibt drei Zeithorizonte: Heute steht die Public Beta für Integration und Tests bereit (ohne rechtliche Wirkung). Ab voraussichtlich H1 2027 können Nachweise produktiv gehen, bei denen die ausstellende Organisation die Person über andere Kanäle identifizieren kann, z.B. Diplome, Mitarbeiterausweise, Bewilligungen oder andere Bestätigungen. Zu einem offenen Datum folgen Anwendungsfälle, die die e-ID selbst als Identitätsanker nutzen möchten.

Rechte und Pflichten

Müssen wir die e-ID überhaupt unterstützen?

Für private Unternehmen gilt rechtlich: Die Akzeptanz der e-ID ist freiwillig. Für Behörden und andere Stellen, die öffentliche Aufgaben erfüllen, gilt das nicht. Sie müssen die e-ID akzeptieren, sofern sie beim Vollzug von Bundesrecht eine Identifizierung vornehmen, und zwar spätestens zwei Jahre nach Inkrafttreten der entsprechenden Bestimmung (Art. 23 und 34 BGEID). Das betrifft auch Kantone, Gemeinden und private Akteure mit öffentlichen Aufgaben (etwa im Gesundheitswesen). Wer die e-ID akzeptiert, muss bei persönlichem Erscheinen einer Person jedoch weiterhin auch den physischen Ausweis akzeptieren. Für Private gilt: «Nicht müssen» heisst nicht, «nicht sollen». Wo Wettbewerber medienbruchfreie Identifizierung anbieten, wird manuelles Hochladen von Ausweiskopien schnell zum Nachteil. Und auch der Datenschutz lässt sich bei der Verwendung der e-ID einfacher gewährleisten und nachweisen, denn es können gezielt die nötigen Attribute abgefragt werden.

Können wir die e-ID einfach über eine vom Bund bereitgestellte Plattform nutzen?

Der Bund stellt die Infrastruktur (Register, Wallet) und quelloffene Referenzimplementierungen für Aussteller und Verifikatoren bereit, aber keine schlüsselfertige Plattform mit Konto und Klick-Integration. Wer Nachweise ausstellen oder prüfen will, betreibt eigene Aussteller-/Verifikatoren-Komponenten, registriert eine eigene Identität im Basisregister, durchläuft für einen Prüfprozess, definiert Schemata und passt die eigenen Fachprozesse an. Das ist ein Integrationsprojekt mit technischen, organisatorischen und rechtlichen Arbeitspaketen, was nicht trivial und nicht in einer Woche erledigt ist.

Datenschutz und Sicherheit

Speichert der Bund alle Nachweise in einer zentralen Datenbank?

Nachweise liegen ausschliesslich im Wallet auf dem Gerät der Inhaberin oder des Inhabers (dezentrale Datenhaltung). Es gibt keine zentrale Nachweis-Datenbank und kein Register der Nutzenden. Inhaberinnen und Inhaber haben nicht einmal einen eigenen Identifikator (DID) im System. Nur Aussteller und Verifikatoren sind im Register eingetragen.

Sieht der Staat, wann und wo ich meine Nachweise vorzeige?

Das Vorzeigen läuft direkt zwischen Wallet und Verifikator ohne Rückfrage beim Aussteller oder beim Bund. Auch die Gültigkeitsprüfung ist so gebaut, dass keine Nutzungsspuren entstehen: Die Revokationsinformation (Token Status List) wird als ganze Liste abgerufen, sodass der Aussteller nicht erkennen kann, wessen Nachweis wo geprüft wird.

Sehen wir als ausstellende Organisation, wo unsere Nachweise verwendet werden?

Dasselbe Privacy-by-Design-Prinzip wirkt in beide Richtungen: Auch der Aussteller erfährt nichts über Vorweisungen. Wer als Aussteller Geschäftsmodelle auf Nutzungsanalytik («wir sehen, wo unser Credential eingesetzt wird») aufbauen will, plant an der Architektur vorbei. Erkenntnisse über die Nutzung entstehen nur dort, wo man selbst Verifikator ist.

Kann man einfacher im Internet nachverfolgt werden, wenn man eine e-ID verwendet?

Gegenüber heutigen Identifizierungsmethoden (Ausweiskopie, E-Mail, Telefonnummer bei jedem Anbieter) ist das System datensparsamer: Es werden nur die angefragten Attribute offengelegt, und weder Staat noch Aussteller sehen die Nutzung. Daneben hat die e-ID keinen eindeutigen Identifikator und ein Verifikator kann nicht erkennen, ob eine e-ID bei ihm schon einmal verwendet wurde.

Eine Ausnahme bildet die Verwendung der e-ID im Kontext des öffentlichen Dienstes: Hier kann die (eindeutige) AHV-Nummer abgefragt werden, was eine Wiedererkennung zulässt.

Ist die Nutzung vollständig anonym und unverknüpfbar?

Das Design minimiert, was Staat und Aussteller beobachten können, aber «vollständig anonym» ist zu viel versprochen. Offengelegte Attribute sind für den Verifikator im Klartext sichtbar. Es wird durch die neue Infrastruktur für die Nutzenden aber einfacher sein, zu kontrollieren, wem sie welche Daten geben, und Missbrauch zu melden.

Technik und Integration

Lässt sich die e-ID als Login verwenden?

Technisch lässt sich mit einer Vorweisungsanfrage ein Login-artiger Ablauf bauen. Aber die e-ID ist ein Identifizierungsnachweis, kein Authentifizierungs- oder SSO-Dienst: Es gibt kein Session Management, keine Föderation, kein «Login mit e-ID»-Protokoll und (für Private) keinen eindeutigen Identifikator, um eine e-ID wiederzuerkennen. Für wiederkehrende Logins ist diese Kombination sinnvoll: einmalige Identifizierung per e-ID beim Onboarding, danach ein klassisches Authentifizierungsverfahren (im Behördenumfeld z.B. AGOV, das selbst als Verifikator der e-ID auftritt).

Ist es möglich, Attribute aus mehreren Nachweisen in einer Vorweisung zu kombinieren?

Ein Verifikator kann derzeit keine einzelne Vorweisung anfragen, die Attribute aus mehreren Nachweisen kombiniert (Name aus der e-ID plus Diplom-Attribut in einem Schritt), und das swiyu-Wallet kann eine solche nicht erzeugen. Der bekannte Workaround sind sequenzielle, separate Vorweisungsanfragen. Wer Prozesse designt, die mehrere Nachweise brauchen, muss das in UX und Architektur einplanen. 

Zeigt das Wallet Nutzenden an, ob ein Verifikator oder Aussteller vertrauenswürdig ist?

Das Vertrauensregister und Identitäts-Vertrauens-Statements für Aussteller und Verifikatoren existieren. Die nutzerseitige Verarbeitung und Anzeige dieser Statements im Wallet ist noch nicht fertig. Es wird überprüft, dass man mit einer im Handelsregister eingetragenen Organisation interagiert und, im Hinblick auf die e-ID, dass diese Organisation keine unnötigen Daten abfragt. Dies wird für viele Anwendungsfälle reichen. 

Basiert swiyu auf Blockchain?

swiyu verwendet keine Blockchain. Aussteller- und Verifikator-Identitäten basieren auf did:webvh mit einer kryptografisch verifizierbaren Änderungshistorie, gehostet auf dem Basisregister des Bundes. Folglich können Einträge nicht geändert werden.

Internationale Perspektive

Ist die Schweizer e-ID interoperabel mit der EU und anderen Ländern?

Stand heute gibt es keine Kompatibilität mit der EUDI-Wallet und keine gegenseitige rechtliche Anerkennung. Aber: Die Schweiz setzt auf dieselbe offene Standardfamilie wie die EU (OID4VCI, OID4VP, SD-JWT VC), was die technische Distanz klein hält, und die internationale Anschlussfähigkeit ist erklärtes Ziel. 

Gibt es internationale Anwendungsfälle, die mit der Schweizer Infrastruktur nicht umsetzbar sind?

Die Verifikation Schweizer Nachweise ist nicht an die Schweiz gebunden: Wer die offenen Standards implementiert und die öffentlichen Register abfragt, kann Schweizer Credentials weltweit prüfen, z.B. Diplome oder Zertifikate von Hochschulen oder Arbeitgebern.

Eine weitere Möglichkeit ist, die Schweizer Infrastruktur für eigene sektorspezifische internationale Vertrauensdienste zu verwenden. So können Organisationen eigene Vertrauensregister bereitstellen, um z.B. Finanz- und Gesundheitsdienstleister oder Hochschulen und Universitäten zu identifizieren. Während der Bund das technische Vertrauen gewährleistet, wird das inhaltliche Vertrauen über diese Vertrauensregister hergestellt.

Geschäftsmodelle und Chancen

Ist die Infrastruktur nicht ein reiner Kostenfaktor und ermöglicht auch gar keine neuen Geschäftsmodelle?
Eine staatlich betriebene offene Vertrauensinfrastruktur senkt die Kosten für vertrauenswürdigen Datenaustausch drastisch. Daraus entstehen Geschäftsmodelle: Wiederverwendbare Identifizierung und KYC (know your customer, einmal geprüft, mehrfach genutzt), datensparsame Altersverifikation, maschinell prüfbare B2B-Nachweise (Vollmachten, Registerauszüge, Zertifizierungen) als Grundlage für Prozessautomatisierung, Ausstellung eigener Credentials als Kundenbindungs- und Effizienzinstrument sowie Dienstleistungen rund um Integration, Schema-Design und Verifikation für Dritte. Wer früh integriert, besetzt diese Rollen, bevor sie Standard werden.

Hat jedes Unternehmen etwas, das es ausstellen könnte?

Fast jede Organisation stellt heute schon Nachweise aus, nur eben als Papier, PDF oder Plastikkarte: Arbeitszeugnisse und Arbeitgeberbestätigungen, Mitarbeiter- und Zutrittsausweise, Kunden- und Mitgliederkarten, Kurszertifikate, Garantiebelege, Versicherungsnachweise, Tickets. Jeder dieser Belege, den heute jemand manuell prüfen, abtippen oder per E-Mail nachfragen muss, ist ein Kandidat für einen verifizierbaren Nachweis. Die Frage ist nicht, ob es etwas auszustellen gibt, sondern welcher Nachweis den grössten Prüfaufwand bei Dritten verursacht und daher besonders wertvoll ist.