Was ist eine elektronische Attributsbescheinigung (EAA)?
Von Stephan Bergmann, hashID. Aktualisiert
Eine elektronische Attributsbescheinigung (EAA) ist ein digital signierter Nachweis über eine Person oder eine Organisation, zum Beispiel „Mitglied im Ruderclub seit 2019“ oder „ausgebildete Pflegefachkraft“. Die Person hat ihn in ihrer EU-Wallet und zeigt ihn vor, wenn jemand danach fragt. Der Begriff stammt aus der EU-Verordnung eIDAS 2.0.
Die gesetzliche Definition
Die Verordnung (EU) 2024/1183, die die eIDAS-Verordnung erneuert hat, beschreibt die EAA als Bescheinigung in elektronischer Form, mit der sich Attribute authentifizieren lassen (Artikel 3 Nummer 44). Ein Attribut ist ein Merkmal, eine Eigenschaft, ein Recht oder eine Erlaubnis einer Person, eines Unternehmens oder einer Sache.
Beispiele
- Mitgliedschaft in einem Verein oder Verband
- Ein Abschluss, ein Kurs oder eine Schulung
- Ein Beschäftigungsnachweis oder eine Funktion im Unternehmen
- Eine Lizenz oder eine Genehmigung
- Vertretungsbefugnisse für ein Unternehmen
- Volljährigkeit, ohne das Geburtsdatum zu zeigen
Die drei Arten von Bescheinigungen
eIDAS 2.0 kennt drei Arten. Sie unterscheiden sich darin, wer sie ausstellt und welches rechtliche Gewicht sie haben (Artikel 45b).
| Art | Ausgestellt von | Rechtswirkung |
|---|---|---|
| EAA | Einem Vertrauensdiensteanbieter, im Auftrag der Quelle | Darf nicht allein deshalb abgelehnt werden, weil sie elektronisch ist |
| QEAA (qualifiziert) | Einem qualifizierten Vertrauensdiensteanbieter, beaufsichtigt und in den nationalen Vertrauenslisten geführt | Gleiche Rechtswirkung wie eine rechtmäßig ausgestellte Bescheinigung auf Papier |
| Pub-EAA (öffentliche Stelle) | Einer öffentlichen Stelle, die für eine authentische Quelle zuständig ist, oder einem Anbieter in ihrem Auftrag | Gleiche Wirkung wie Papier, in allen Mitgliedstaaten anerkannt |
Den genauen Vergleich finden Sie unter EAA, QEAA, Pub-EAA und PID: die Unterschiede.
So funktioniert es: drei Rollen
- Aussteller: Die Organisation, die den Sachverhalt kennt, oder ein Dienst in ihrem Auftrag, signiert die Bescheinigung und schickt sie in die Wallet.
- Inhaber: Die Person bewahrt sie in ihrer Wallet auf und entscheidet jedes Mal, was sie zeigt.
- Prüfer, auch vertrauende Partei genannt: Wer fragt, prüft die Signatur und ob die Bescheinigung noch gilt. Ein Konto beim Aussteller braucht er nicht.
Warum nicht einfach Plastikkarte oder PDF?
| Plastikkarte oder PDF | EAA in der Wallet | |
|---|---|---|
| Fälschbar? | In Minuten kopiert oder bearbeitet | Nein: Jede Änderung bricht die Signatur |
| Was sieht der Prüfer? | Alles, was draufsteht | Nur, was der Inhaber freigibt |
| Jemand tritt aus | Die Karte bleibt in seiner Tasche | Der Aussteller widerruft sie, jede Prüfung zeigt das |
| Wo funktioniert sie? | Wo jemand draufschaut | Vor Ort und online, in der EU und darüber hinaus |
Wann haben die Leute ihre Wallet?
Jeder EU-Mitgliedstaat muss seinen Bürgerinnen und Bürgern bis zum 24. Dezember 2026 mindestens eine kostenlose EUDI-Wallet anbieten (Artikel 5a eIDAS 2.0). Die Wallets lesen Bescheinigungen in den Standardformaten SD-JWT VC und mdoc (ISO/IEC 18013-5).
EAA ausstellen ohne Krypto-Team
Für eine EAA braucht es Signaturschlüssel, Zertifikate und das Protokoll OpenID4VCI. Diesen Teil übernimmt EAA Broker: Sie schicken eine Liste, Ihre Leute holen ihren Nachweis mit Link und Code ab. Wie das für einen Verein aussieht, steht unter Digitaler Mitgliedsausweis für Vereine.