IDV- und Signaturprozesse legen die Messlatte für digitale Souveränität hoch

Digitale Souveränität beschreibt die Fähigkeit von Unternehmen, Systeme selbstbestimmt zu nutzen, Datenflüsse zu kontrollieren und strategische Entscheidungen unabhängig zu treffen. Wer zentrale Prozesse an einzelne Plattformanbieter auslagert, kann von deren Geschäftsbedingungen, ihrer technischen Weiterentwicklung und der Rechtsordnung abhängig werden, der sie unterstehen. Ein Hauptziel digitaler Souveränität ist es auch, einseitige, schwer umkehrbare Abhängigkeiten von einzelnen ausländischen Akteuren und Monopolen zu verhindern.

Hohe Anforderungen bei der Identitätsprüfung

Beim digitalen Kunden-Onboarding werden Ausweisdokumente, persönliche Angaben und teils biometrische Merkmale verarbeitet. Bei KYC-Prüfungen und digitalen Signaturen bilden diese Informationen eine Grundlage für Vertrauen und rechtskonforme Geschäftsbeziehungen. Gelangen sie in falsche Hände oder werden für andere als die vorgesehenen Zwecke genutzt, können die Folgen für Betroffene und Unternehmen erheblich sein. Der Serverstandort in der Schweiz allein beantwortet allerdings nicht automatisch alle Fragen: Auch die rechtlichen und organisatorischen Rahmenbedingungen sind entscheidend. Unternehmen müssen klären, in welchem Land Daten verarbeitet und gespeichert werden, welcher Rechtsordnung der Infrastrukturbetreiber unterliegt und welche Zugriffsrechte Dritte haben dürfen. Zur digitalen Souveränität gehört eine Sicherheitsarchitektur, die Zugriffe begrenzt und bei der Daten sowohl bei der Übertragung als auch bei der Speicherung so verschlüsselt werden, dass ausschliesslich der Kunde die Daten lesen oder entschlüsseln kann – niemals jedoch der IDV- oder Cloud-Anbieter. Wichtig für die digitale Unabhängigkeit ist auch die Kontrolle über die eingesetzte IDV- und Signatursoftware. Bei der Identitätsprüfung und digitalen Signatur kommen unter anderem das Auslesen von Ausweisdokumenten, der biometrische Abgleich und Liveness Detection zum Einsatz. Wird die Software inklusive KI-Algorithmen konsequent vom Anbieter selbst in der Schweiz entwickelt und bleibt der Quellcode im Inland abgesichert, lässt sich die Weiterentwicklung gezielter steuern und die zugrunde liegende Logik vor Offenlegung schützen. Denn Sicherheitsmechanismen müssen kontinuierlich an neue Bedrohungen und regulatorische Änderungen wie etwa die kürzlich erfolgten Neuerungen des Geldwäschereigesetzes angepasst werden können sowie entsprechend überprüft, auditiert und zertifiziert werden.

Souveränität als konkrete Architekturentscheidung

Wer einen Anbieter für die IDV und digitale Signaturen auswählt, sollte also neben Funktionalität, Benutzerfreundlichkeit und Kosten auch die digitale Souveränität berücksichtigen. Ein wichtiger Faktor dabei bleibt der Standort der Server. So kann eine Infrastruktur in der Schweiz die Datenhaltung an einen klar definierten rechtlichen Rahmen binden. Denn wer in der Schweiz personenbezogene Daten verarbeitet, muss garantieren, dass sie frei von externen Einflüssen und unbefugten Zugriffen Dritter bleiben. Bei jeder digitalen Identitätsverifikation, regulatorischen Prüfung oder KYC-Sicherheitsmassnahme muss demnach nachgewiesen werden können, unter welcher Jurisdiktion und auf welchen Servern die Validierung der Nutzerdaten stattfindet. Durch den bewussten Verzicht auf Hosting bei US-amerikanischen Hyperscalern schützen sich Unternehmen vor dem Zugriff durch ausländische Behörden. Bei biometrischen Daten und Ausweisinformationen ist zudem Transparenz darüber erforderlich, welche Daten verarbeitet und wie lange sie aufbewahrt werden.