Seminar EUDI Wallet & eIDAS 2.0 – Kompaktseminar für die Umsetzung

Das dreitägige Kompaktseminar vermittelt die entscheidenden rechtlichen, fachlichen, technischen und organisatorischen Grundlagen für ein EUDI-Wallet-Vorhaben. Es verbindet Rollen und Pflichten, Anwendungsfälle, Datenschutz, Zielarchitektur, Issuing, Präsentation, Trust, Sicherheit, Interoperabilität, Beschaffung, Betrieb und Roadmap in einem komprimierten, entscheidungsorientierten Format.

Drei Seminartage sind für ein belastbares Kompaktformat notwendig. Zwei Tage würden die praktische Modellierung von Issuing, Relying Party, Datenschutz und Roadmap zu stark verkürzen; mehr als drei Tage würden den Charakter eines kompakten, interdisziplinären Einstiegsformats verlassen.

Inhaltsübersicht

1. Tag 1: Grundlagen, Recht und Rollen
2. Tag 1: Use Cases und Datenschutz
3. Tag 1: Governance und Programmstart
4. Tag 2: Zielarchitektur und Trust
5. Tag 2: Issuing und Credential-Formate
6. Tag 2: Relying Party und Fachintegration
7. Tag 3: Sicherheit, Interoperabilität und Betrieb
8. Tag 3: Beschaffung, Pilot und Roadmap
9. Lernziele und Zielgruppe
10. Praxisanteil und Arbeitsunterlagen

Lernziele

• Rechtsrahmen, Rollen und Funktionsweise der EUDI Wallet einordnen.
• Priorisierte Anwendungsfälle und minimale Nachweisanforderungen definieren.
• Issuing-, Presentation-, Trust- und Integrationsarchitektur auf Zielebene entwerfen.
• Datenschutz, Sicherheit, Test und Betrieb in die Planung integrieren.
• Eine realistische Roadmap mit Governance, Beschaffung und Pilot erstellen.

Zielgruppe

Entscheidungsträger, Programm- und Projektleitung, Produktmanagement, Fachbereiche, Architektur, Entwicklung, Betrieb, Recht, Datenschutz, Informationssicherheit, Beschaffung und öffentliche Verwaltung.

Voraussetzungen

Keine speziellen Vorkenntnisse. Kenntnisse der eigenen Prozesse, Zielgruppen und Systemlandschaft sind für die Workshop-Anteile hilfreich.

Seminarinhalte

1. Tag 1: Grundlagen, Recht und Rollen

Einordnung von eIDAS 2.0, Wallet-Funktion, PID, EAA, QEAA, Vertrauensdiensten und den zentralen Ökosystemrollen.

1. Schritt 1: Ziele und Geltungsbereich des eigenen Vorhabens abgrenzen.
2. Schritt 2: Wallet-Anbieter, Aussteller, Nutzer, Relying Party und Trust-Rollen zuordnen.
3. Schritt 3: wesentliche Pflichten, Verantwortungen und Nachweise in einer Matrix erfassen.
4. Schritt 4: offene Entscheidungen und Abhängigkeiten in ein gesteuertes Backlog überführen.

2. Tag 1: Use Cases und Datenschutz

Priorisierung von Anwendungsfällen sowie Gestaltung minimaler Claims, Nutzerkontrolle, Pseudonymität und transparenter Anfragen.

1. Schritt 1: Use Cases mit Problem, Zielgruppe, Nachweis und Entscheidung beschreiben.
2. Schritt 2: Nutzen, Machbarkeit, Risiko und Reife mit einheitlichen Kriterien bewerten.
3. Schritt 3: Datenanforderungen auf minimale Aussagen und zulässige Zwecke reduzieren.
4. Schritt 4: Korrelation, Aufbewahrung und Betroffenenrechte in erste Schutzmaßnahmen überführen.

3. Tag 1: Governance und Programmstart

Gremien, Rollen, Freigaben, Change-Steuerung, Kompetenzen und erste neunzig Tage.

1. Schritt 1: Entscheidungsebenen und fachliche beziehungsweise technische Verantwortungen festlegen.
2. Schritt 2: Gates für Recht, Datenschutz, Sicherheit, Architektur, Test und Betrieb definieren.
3. Schritt 3: benötigte Kompetenzen, externe Leistungen und Beschaffungsbedarfe erfassen.
4. Schritt 4: konkrete Ergebnisse und Verantwortlichkeiten für die ersten neunzig Tage planen.

4. Tag 2: Zielarchitektur und Trust

Komponenten, Wallet Unit, Issuer, Verifier, Register, IAM, Zertifikate, Registrierung, Status und Vertrauensentscheidungen.

1. Schritt 1: Systemkontext und Integrationsgrenzen der priorisierten Use Cases modellieren.
2. Schritt 2: Komponenten und Datenflüsse für Ausstellung und Präsentation zuordnen.
3. Schritt 3: Trust-Anker, Registrierung, Zertifikate und Statusprüfungen einplanen.
4. Schritt 4: kritische Architekturentscheidungen mit Optionen und Risiken dokumentieren.

5. Tag 2: Issuing und Credential-Formate

Fachliche Credential-Semantik, Datenquelle, Autorisierung, OpenID4VCI, mdoc beziehungsweise SD-JWT VC, Gültigkeit und Lifecycle.

1. Schritt 1: Credential-Zweck, Claims, Aussteller und Datenquelle definieren.
2. Schritt 2: Autorisierungs- und Identitätsprüfpfad für das Issuing modellieren.
3. Schritt 3: Format, Schlüsselbindung, Gültigkeit, Status und Aktualisierung auswählen.
4. Schritt 4: Issuing-Flow mit Positiv-, Abbruch- und Missbrauchsfällen prüfen.

6. Tag 2: Relying Party und Fachintegration

Nachweisanforderung, OpenID4VP, Session-Bindung, Verification, Claim-Mapping, IAM und Fachentscheidung.

1. Schritt 1: fachliche Entscheidung in eine minimale Nachweisanforderung übersetzen.
2. Schritt 2: Presentation Request, Nutzerfreigabe und Antwortfluss modellieren.
3. Schritt 3: Signatur, Bindung, Trust, Status und Gültigkeit vollständig prüfen.
4. Schritt 4: geprüfte Claims kontrolliert an IAM oder Fachsystem übergeben.

7. Tag 3: Sicherheit, Interoperabilität und Betrieb

Threat Model, Schlüssel, mobile und serverseitige Kontrollen, Teststrategie, Monitoring, Release und Incident Readiness.

1. Schritt 1: Assets, Trust Boundaries und wichtigste Abuse Cases erfassen.
2. Schritt 2: Kontrollen für Schlüssel, Protokolle, Plattformen und Lieferkette priorisieren.
3. Schritt 3: Interoperabilitäts-, Negativ- und Abnahmetests definieren.
4. Schritt 4: SLOs, Monitoring, Recovery und Incident-Playbooks in die Betriebsplanung aufnehmen.

8. Tag 3: Beschaffung, Pilot und Roadmap

Leistungszuschnitt, Anforderungen, Nachweise, Abnahme, Pilotumfang, Rollout und kontinuierliche Anpassung.

1. Schritt 1: Eigenleistung, Lieferumfang und kritische Abhängigkeiten abgrenzen.
2. Schritt 2: Muss-Anforderungen, Demonstrationen und Abnahmekriterien festlegen.
3. Schritt 3: Pilot mit Zielgruppe, Erfolgskriterien, Testdaten und Rückfallweg planen.
4. Schritt 4: mehrstufige Roadmap mit Entscheidungen, Meilensteinen und Verantwortlichkeiten erstellen.

Praxisanteil

• Priorisierung eines interdisziplinären Use-Case-Portfolios.
• Modellierung einer kompakten Issuer-Wallet-Verifier-Zielarchitektur.
• Erstellung eines 90-Tage-Plans und einer mehrstufigen Umsetzungsroadmap.

Arbeitsunterlagen

Die Arbeitsunterlagen enthalten strukturierte Checklisten, Vorlagen und Referenzmodelle für die unmittelbare Weiterarbeit im Projekt. Im Seminar werden insbesondere folgende Artefakte erstellt oder vorbereitet:

• Grundlagen-, Rollen- und Pflichtenmodell
• Use-Case- und Privacy-Portfolio
• Governance- und 90-Tage-Plan
• Zielarchitektur und Trust-Modell
• Credential- und Issuing-Konzept
• Relying-Party-Integrationskonzept
• Security-, Test- und Betriebsplan
• Pilot- und Umsetzungsroadmap