Die Global Digital Collaboration (GDC) Conference 2026 brachte Anfang September die Digital-Identity- und Trust-Community im Palexpo in Genf zusammen. Die Konferenz wurde von der Schweizerischen Eidgenossenschaft ausgerichtet, von rund vierzig Organisationen mitorganisiert und umfasste mehr als 140 Sessions in bis zu acht parallelen Tracks.
Im vergangenen Oktober haben wir zehn Erkenntnisse vom ENISA Trust Services and eID Forum veröffentlicht. Jenes Forum ist der Ort, an dem Europa seine eigene Agenda im Detail bearbeitet. Genf ist ein anderer Rahmen: Die Grundannahme dort ist, dass digitale Berechtigungsnachweise (Pässe, Führerscheine, Zahlungsnachweise, berufliche Qualifikationen…) über verschiedene Rechtssysteme hinweg funktionieren müssen, nicht nur über Grenzen innerhalb eines einzigen Systems.
Die Liste der Mitorganisatoren zeigt bereits, um welche Art von Veranstaltung es sich handelt: zwischenstaatliche Organisationen (Europäische Kommission, ITU, UNECE, Weltbank, WHO), Normungsorganisationen (ISO, IEC, ETSI, CEN-CENELEC, W3C, FIDO Alliance, OpenID Foundation, GlobalPlatform, EMVCo, GSMA, Cloud Signature Consortium) und Open-Source-Stiftungen (Linux Foundation, OpenWallet Foundation, LF Decentralized Trust, MOSIP, Eclipse Foundation) – alle im selben Raum.
Der erste Tag gab den Ton vor. Das Schweizerische Bundesamt für Justiz eröffnete gemeinsam mit der brasilianischen Ministerin für Management und Innovation im öffentlichen Dienst sowie Referenten aus der Luftfahrt- und Plattformbranche. Ein Panel des Global Digital Collaboration Council (mit Smart Africa, der kanadischen Regierung sowie Vertretern aus Finanz- und Technologiebranche) argumentierte, dass eine öffentlich-private Führung inzwischen eine Grundvoraussetzung für diese Art von Infrastruktur ist, keine optionale Ergänzung. Die Sessions reichten von groß angelegten grenzüberschreitenden Wallet-Pilotprojekten über das Governance-Modell „Sovereign Trust“ von Smart Africa und die Verknüpfung von Handelsregister-Nachweisen zwischen Singapur und Shanghai bis hin zu einer UNECE/WTO-Session, die die Kosten von Handelsreibung auf sechs Billionen Dollar pro Jahr bezifferte.
Namirial war Teil des Panels „The invisible partners that are indispensable to drive adoption“, zusammen mit weiteren Anbietern aus der Intermediär-Community (Folien und Notizen auf Anfrage erhältlich).
Die Position der Schweiz selbst ist bemerkenswert, da sie die gesamte Veranstaltung rahmt: Ihr E-ID-Gesetz wurde im September 2025 per Referendum mit sehr knapper Mehrheit angenommen; die swiyu-Wallet befindet sich seit März 2025 in der öffentlichen Beta-Phase, inzwischen mit einer separaten Sandbox zum Testen für Aussteller und Prüfer; und der Produktivstart wurde auf 2027 verschoben. Die Schweiz beabsichtigt zudem, in Genf eine Stiftung als dauerhaften Sitz der GDC zu gründen: neutraler Boden für einen wirklich globalen Dialog.
Im Folgenden die zehn Punkte, die aus unserer Sicht zählen, und was jeder davon für Organisationen bedeutet, die in diesem Umfeld agieren müssen.
1 – Digitale Identität ist keine rein europäische Regulierungsgeschichte mehr
Mobile Führerscheine, digitale Reisedokumente, Gesundheitszertifikate, die inzwischen über die WHO mehr als achtzig Länder verbinden, überprüfbare Handelsdokumente, Bildungsnachweise und Identitätssysteme im Bevölkerungsmaßstab im globalen Süden wurden allesamt als zentrale Themen behandelt, nicht als Randfälle.
Eine gemeinsame EU-Indien-Session brachte dies präzise auf den Punkt. Die europäische Digital Identity Wallet, vorgeschrieben durch die Verordnung (EU) 2024/1183, und Indiens nationale digitale Infrastruktur wurden völlig unabhängig voneinander entwickelt, beruhen aber beide auf derselben zugrunde liegenden Logik: ein Aussteller, ein Inhaber, ein Prüfer, ein maschinenlesbares Register darüber, wer was ausstellen darf, sowie die Offenlegung nur des benötigten Attributs. Die technischen Formate – SD-JWT VC und ISO mdoc – entwickeln sich zu einem echten globalen Standard, aber die Regeln dazu, wer haftet, wenn etwas schiefgeht, sind keineswegs global. Diese Lücke, nicht die Formatdebatte, ist die eigentliche strategische Frage der nächsten drei Jahre.
Was das bedeutet: Eine Organisation, die heute für eine einzige Jurisdiktion entwickelt, baut in Wirklichkeit auf einem Format auf, das sehr wahrscheinlich zwischen verschiedenen Ländern wandern wird. Das Regelwerk wandert nicht automatisch mit, daher ist eine gesonderte Planung erforderlich. Genau deshalb basiert unsere Wallet-Plattform auf einem gemeinsamen Kern für Ausstellung und Prüfung, damit ein Kunde nicht an die Annahmen einer einzigen Region gebunden ist.
2 – Standards sorgen für Interoperabilität. Sie regeln nicht die Haftung.
Zwei Systeme können sich perfekt darauf einigen, wie ein Berechtigungsnachweis formatiert und geprüft wird, und trotzdem völlig offenlassen, wer eine Bank, einen Händler oder einen Bürger entschädigt, der sich darauf verlassen und dabei Geld verloren hat. Innerhalb der EU beantwortet eIDAS 2.0 dies für als „qualifiziert“ ausgestellte Berechtigungsnachweise: definierte Haftung, benannte Aufsichtsstellen, verpflichtende Audits. Außerhalb dieses Rahmens bleibt die Antwort weitgehend aus.
Die Genfer Konferenz brachte viel gute Arbeit zur Konformität hervor – ob ein Berechtigungsnachweis einer technischen Spezifikation entspricht – im Rahmen von Sessions, die gemeinsam mit der OpenID Foundation, dem Cloud Signature Consortium und der Kommission durchgeführt wurden. Konformität und Haftung sind jedoch zwei unterschiedliche Fragen. Ein Trust Registry kann bestätigen, dass ein Aussteller autorisiert ist, aber es kann nicht sagen, wer zahlt, wenn der Ablauf scheitert.
Was das bedeutet: Wenn Ihr Geschäftsmodell von grenzüberschreitender Akzeptanz abhängt, fragen Sie frühzeitig, wer den Verlust trägt, nicht nur, ob der Berechtigungsnachweis technisch verarbeitet werden kann. Als qualifizierter Vertrauensdiensteanbieter tragen wir Haftung bereits heute als Teil der beaufsichtigten Kette – sie ist fester Bestandteil dessen, was ein Kunde von uns kauft, kein nachträglicher Gedanke.
3 – Das eigentliche Thema dieses Jahres waren Trust Registries, nicht Credential-Formate
Jeder Berechtigungsnachweis – ein Pass, ein Abschlusszeugnis, ein Zollformular, eine Berufszulassung – hängt von einer Frage ab, die kein Format allein beantworten kann: Ist dieser Aussteller genau jetzt tatsächlich befugt, dies auszustellen? Eine Trust Registries Task Force (teilweise mitgeleitet von einem großen Plattformanbieter und einem nationalen Identitätsprogramm) schlug ein föderiertes Modell vor: Wallet-Plattformen implementieren Vertrauen, aber bestehende nationale und sektorale Register behalten ihre Autorität.
Parallele Sessions zeigten, dass sich dieses Muster überall wiederholt: Identität, Bildung, Reisen, Handel, Unternehmensregistrierung; und zeigten, wie nordamerikanische und australasiatische Kfz-Behörden derzeit einen Rahmen für die gegenseitige Anerkennung von Führerscheinen aushandeln – einer der wenigen funktionierenden Präzedenzfälle für Anerkennung zwischen ganzen Regionen. Die Task Force schloss mit dem Eingeständnis, dass die schwierigste Frage weiterhin offen ist: Wer betreibt ein globales Trust Registry, und auf wessen Autorität?
Was das bedeutet: Föderation ist die richtige Architektur, aber jemand muss weiterhin die Vertrauenswurzel für jeden jeweiligen Sektor sein. Wir sind bereits heute Teil der Trust-List-Infrastruktur (Veröffentlichung, Aufsicht, Widerruf), daher ist dies für uns die operative Struktur, mit der wir täglich arbeiten, und keine zukünftige Forschungsfrage.
4 – Ein Wallet-Gateway zu haben ist nicht dasselbe wie die gesamte KYC-Journey zu steuern
Die Fristen machen dies konkret. Die EU-Mitgliedstaaten müssen Wallets bis zum 24. Dezember 2026 verfügbar machen. Ab dem 10. Juli 2027 verschärfen neue Geldwäschebekämpfungsregeln (Verordnung (EU) 2024/1624) die Identitätsprüfungen. Ab dem 24. Dezember 2027 müssen Banken, Telekommunikationsanbieter, öffentliche Dienste und sehr große Plattformen die Wallet überall dort akzeptieren, wo eine starke Authentifizierung gesetzlich vorgeschrieben ist, begleitet von einem ab demselben Datum geltenden Register der vertrauenden Parteien.
Das Ergebnis ist ein sehr komplexes System: 27 nationale Wallets, mehrere private Wallets, vier unterschiedliche Arten, einen Berechtigungsnachweis vorzulegen, drei Datenformate, ein Katalog von Credential-Typen und, allein im Finanzsektor, in der Größenordnung von fünftausend vertrauenden Parteien, die sich alle anbinden müssen.
Ein reiner Connector setzt voraus, dass der Berechtigungsnachweis bereits in der Wallet liegt, bereit zur Vorlage. Alles, was diesem Punkt vorausgeht (den Nachweis, wer jemand auf dem richtigen Sicherheitsniveau ist, die Anbindung an autoritative Quellen, die Bindung des Nachweises an ein Telefon, den Umgang mit einem verlorenen Gerät, die erneute Prüfung bei Änderungen …), ist ein Lifecycle-Problem, und die Branche insgesamt hat es kaum gelöst. Die Signatur oder das Siegel, das eine Transaktion rechtsverbindlich macht, steht am anderen Ende genau dieser Kette, gefolgt von Audit und Streitbeilegung.
Was das bedeutet: Wer die gesamte Journey besitzt, vom Onboarding bis zur Signatur, trägt das Sicherheitsniveau, für das die vertrauende Partei tatsächlich bezahlt. Genau darum ist unsere Plattform herum aufgebaut: Namirial Onboarding stellt die Identität auf dem erforderlichen Sicherheitsniveau fest, das Wallet Gateway nimmt die Protokollkomplexität auf, und unsere Signaturdienste schließen die Transaktion ab. Eine verantwortliche Kette, nicht fünf Anbieter, die nach einem Ausfall abgeglichen werden müssen.
5 – Business Wallet: in Europa vorgeschrieben, anderswo anreizgetrieben
Eine Session zeigte einen klaren Kontrast auf: In Europa entsteht die Business Wallet, weil die Regulierung sie vorschreibt. In den USA baut der Privatsektor ohne vergleichbare Vorgabe dieselbe Fähigkeit auf, weil sie kommerziell nützlich ist. Beide ersetzen manuelle „Know your business“-Papierprozesse durch sofort überprüfbare digitale Nachweise. Ob die beiden Ansätze tatsächlich interoperabel sein werden, ist wirklich noch offen.
Die schwierigen Probleme sind klar identifiziert: Wer kann innerhalb eines Unternehmens Befugnisse an wen delegieren, wie weit unterhalb der Vorstandsebene reicht diese Delegationskette, wie fügt sie sich in bestehende Zugriffsmanagementsysteme ein, und wie verbindet sie sich mit autoritativen Registern wie nationalen Handelsregistern. Der überprüfbare Legal Entity Identifier von GLEIF wurde wiederholt als globaler Anker für die Unternehmensidentität genannt.
Was das bedeutet: Auf welchem Weg auch immer man dorthin gelangt, ob per Vorgabe oder Anreiz, die Delegationskette ist der Punkt, an dem die Haftungszuordnung am schwierigsten wird, denn jemand muss dafür geradestehen, was ein autorisierter, aber überschießend handelnder Agent tut. Dies ist ein zentraler Bestandteil dessen, was wir in Mandats- und Delegationsbescheinigungen für Unternehmen einbauen, nicht nur für Einzelpersonen.
6 – Signieren aus der Wallet erreicht die Hauptbühne
Zwei Sessions stachen heraus: eine zur Ausführung qualifizierter elektronischer Signaturen direkt aus der Wallet, wodurch der separate Schritt des Erwerbs eines eigenständigen Zertifikats entfällt; die andere, gemeinsam mit dem Cloud Signature Consortium und TeleTrusT durchgeführt, zu einer Fernsignatur- und Cloud-Signatur-Architektur, die sowohl mit EU-Regeln als auch mit dem eigenen Schweizer Signaturgesetz übereinstimmt – ein reales, kein hypothetisches Beispiel für Anerkennung, die über das EU-Recht hinausreicht.
Die Vorlage eines Berechtigungsnachweises belegt eine Tatsache. Das Signieren begründet eine rechtliche Verpflichtung. Verträge, Kontoeröffnungen, Mandate und Anträge enden alle mit einer Unterschrift, und Bürger sollen diese Fähigkeit über ihre Wallets erhalten. Ein Großteil der öffentlichen Diskussion über Wallets endet bei der Frage „stimmt der Berechtigungsnachweis“, während die Transaktion selbst dort nicht endet.
Was das bedeutet: Eine Wallet-Strategie, die bei der Verifizierung endet, ist unvollständig. Unsere Signaturdienste sind darauf ausgelegt, genau diese Lücke zu schließen: ein verifiziertes Attribut innerhalb derselben Kette in eine rechtsverbindliche, überprüfbare Signatur zu verwandeln.
7 – Die Nachfrage ist da – auch von Softwareagenten
Altersverifikation lief als eigenständiges, umfassendes Thema, einschließlich Sessions, die zunächst fragten, ob eine Altersprüfung überhaupt gerechtfertigt ist, bevor man dies voraussetzt. Live-Demonstrationen zeigten bankausgestellte Altersnachweise, die einen Online-Checkout abschlossen, sowie einen staatlichen Berechtigungsnachweis, der an einem physischen Zahlungsterminal akzeptiert wurde: reale Transaktionen, keine Präsentationsfolien.
Die interessantere Entwicklung betraf KI-Agenten, die im Auftrag von Menschen handeln. Mehrere Sessions einigten sich auf einen einzigen, merkenswerten Rahmen: Know Your Agent (KYA). Es erweitert „Know your business“ auf die gleiche Weise, wie dieses „Know your customer“ erweitert hatte: Wenn ein Softwareagent eine Transaktion durchführt, muss festgestellt werden, wer der Agent ist, unter wessen Autorität er handelt und innerhalb welcher Grenzen: verifizierte organisatorische Identität, ein begrenztes und überprüfbares Mandat sowie Nachweise der Absicht, die auch nachträglich Bestand haben. Ein Agent kann vollständig innerhalb eines gültigen Mandats handeln und trotzdem einen Schaden verursachen, weshalb dies ebenso sehr eine Haftungsfrage wie eine technische Frage ist.
Was das bedeutet: Jedes Unternehmen, das plant, Agenten in seinem Auftrag Transaktionen ausführen zu lassen oder Transaktionen von Agenten anderer Personen anzunehmen, benötigt diese Identitäts- und Mandatsschicht bereits jetzt, nicht erst, sobald Agenten bereits im Produktivbetrieb sind. Dies ist eine natürliche Erweiterung der oben beschriebenen Mandats- und Delegationsarbeit, und etwas, worauf wir bereits hinarbeiten.
8 – Gegenseitige Anerkennung statt Harmonisierung – und ein „Europa“, das größer ist als die EU
Das folgenreichste Ergebnis der Konferenz war keine technische Spezifikation. Eine Absichtserklärung zu einem paneuropäischen Vertrauensrahmen begründete eine ständige Kooperationsgruppe, ausdrücklich ein Forum für den Austausch, kein neuer Regulator oder Normungsgremium.
Ihr Geltungsbereich ist breiter als die EU: die EU und der Europäische Wirtschaftsraum, die Schweiz, das Vereinigte Königreich, die Ukraine und weitere Beitrittskandidaten, und im Prinzip alle sechsundvierzig Mitgliedstaaten des Europarats. Was sie verbindet, ist keine einzelne Verordnung, sondern ein gemeinsamer Rechterahmen: die Europäische Menschenrechtskonvention und die Datenschutzstandards des Europarats. Die genannten Gestaltungsprinzipien bevorzugen gegenseitige Anerkennung gegenüber zentraler Kontrolle, Privacy by Default, offene Standards und ein Modell, das so gestaltet ist, dass es auch anderswo exportiert werden kann. Die Belege für diesen Vorstoß sind unmissverständlich: Eine OECD-Erhebung unter G7-Ländern fand keinen einzigen internationalen Standard, den alle gemeinsam teilen, und eine britische Umfrage ergab, dass fast vier von fünf Anbietern digitaler Verifizierung die regulatorische Vielfalt als Hindernis für die internationale Tätigkeit nennen.
Was das bedeutet: Die Gruppe ist von Anfang an nicht bindend angelegt, ihre Ideen werden also nur zählen, wenn Institutionen und Industrie sie tatsächlich aufgreifen. Wir sehen darin den natürlichen Ort, um die in Punkt zwei fehlenden Haftungsregeln über Rechtsordnungen hinweg zu klären, und wir beabsichtigen, uns weiterhin aktiv einzubringen, statt auf einen fertigen Standard zur Umsetzung zu warten.
9 – Zahlungen: Die Wallet wird zum Authentifizierungswerkzeug, doch die Haftungsfrage bleibt offen
Zahlungen zogen sich durch nahezu jede Diskussion: Kartennetzwerke und nationale Zahlungsinfrastrukturen in denselben Panels, Account-to-Account-Rahmenwerke und digitale Zahlungsnachweise, die aus mehreren Blickwinkeln erörtert wurden.
Die regulatorische Richtung ist klar: Die Europäische Kommission möchte, dass die EU-Wallet als gleichwertig mit einer starken Kundenauthentifizierung nach den Zahlungsregeln behandelt wird, und der technische Weg dorthin nimmt Gestalt an. Ungeklärt ist, wer den Verlust trägt, wenn dies scheitert. Parlament und Rat erzielten Ende November 2025 eine politische Einigung über die neuen Zahlungsdiensteregeln, die Texte wurden im April 2026 veröffentlicht; die förmliche Veröffentlichung wird für die zweite Jahreshälfte 2026 erwartet, wonach die Regeln etwa 21 Monate später gelten, realistisch also 2028, mit den weiteren Details, die anschließend von den Bankenaufsichtsbehörden festgelegt werden.
Die Branche wartet unterdessen nicht: EMVCo entwickelt eine Digital-Payment-Credential-Spezifikation mit Beiträgen der FIDO Alliance, der OpenID Foundation, der OpenWallet Foundation und des W3C. Die EPI-Initiative hat die Marke von fünfzig Millionen registrierten Nutzern überschritten und ist von Person-zu-Person-Überweisungen in Geschäfte und den Online-Checkout vorgedrungen, und ein Pilotprojekt zum digitalen Euro mit rund sechsunddreißig Zahlungsdienstleistern soll während der zweiten Jahreshälfte 2027 laufen.
Was das bedeutet: Ein Zahlungsnachweis funktioniert nur, wenn Aussteller, Wallets, Netzwerke und Regulierungsbehörden sich auf ein gemeinsames Modell einigen statt auf mehrere konkurrierende: Dies ist ein Bereich, in dem die Branche der Regulierung vorausgehen kann, ohne sie zu untergraben. Was wir beitragen, ist der Teil, den ein Zahlungs-Stack nicht selbst erzeugen kann: eine beaufsichtigte, haftungstragende Kette von der Identitätsprüfung bis zur Signatur.
10 – Die European Business Wallet: eine reale Chance, noch in Arbeit
Die European Business Wallet (EBW) ist eine wirklich neue Herausforderung, keine Erweiterung der persönlichen Wallet. Von der Kommission am 19. November 2025 im Rahmen eines umfassenderen Pakets zur digitalen Vereinfachung vorgeschlagen, soll sie es einem Unternehmen ermöglichen zu verwalten, wer es vertreten darf, offizielle Dokumente über einen qualifizierten sicheren Zustellkanal auszutauschen und in einem von der Kommission geführten Verzeichnis auffindbar zu sein, alles verankert an der bestehenden EU-Kennung des Unternehmens. Über die Wallet vorgenommene Handlungen hätten dasselbe rechtliche Gewicht wie auf Papier vorgenommene Handlungen. Entscheidend ist, dass sie den Unternehmen selbst keine Verpflichtung auferlegt: Öffentliche Stellen müssen sie unterstützen, aber Unternehmen entscheiden selbst, ob sie sie nutzen – genau deshalb wird die Akzeptanz davon abhängen, den Nutzen überzeugend darzulegen, nicht von einer Vorgabe.
Was das speziell für uns bedeutet: Wir haben nicht darauf gewartet, dass sich die Spezifikation festigt. Wir arbeiten bereits seit den frühen Phasen an Business-Wallet-Fähigkeiten: organisatorisches Onboarding, Mandats- und Delegationsbescheinigungen sowie Siegel und qualifizierte Signaturen für juristische Personen und nicht nur für Einzelpersonen. Ein Detail aus der Position des Rates verdient Beachtung: Die Tendenz, eine vorherige Zulassung und ein hohes Sicherheitsniveau für Anbieter zu verlangen, begünstigt Organisationen, die bereits heute unter Aufsicht tätig sind, gegenüber neuen Marktteilnehmern, die bei null beginnen.
Die Sichtweise von Namirial, kurz gefasst
Die gesamte Journey zu besitzen – vom Onboarding über die Ausstellung und Prüfung von Berechtigungsnachweisen bis zur finalen Signatur, dem Audit Trail und der Archivierung – zählt mehr, als nur ein einzelnes Glied der Kette zu besitzen. Konformität ist nahezu gelöst, die grenzüberschreitende Haftung jedoch nicht, und Zahlungen werden das erste sensible Thema sein. Unser eigener Bezugsrahmen ist eIDAS und die EU, doch diese markieren nicht die Grenze dessen, wo wir tätig sein wollen.
Die nächste Global Digital Collaboration Conference ist für den 7. bis 9. September 2027 in Genf angesetzt. Wir freuen uns darauf, erneut teilzunehmen und mitzuwirken.
