Rechtliche Tech-Trends: von eIDAS bis Fernidentifikation im Glücksspiel

Es ist Montagmorgen, 08:30 Uhr. Ein kleines Legal-&-Compliance‑Team eines Glücksspiel‑Anbieters in Deutschland sitzt im Call. Die Zahlen vom Wochenende sind da. Videoident bricht in der Primetime öfter ab. Ein Pilot mit der Online‑Ausweisfunktion lief besser als gedacht, aber die Nutzungsrate ist noch klein. Das Produktteam fragt, was eIDAS 2 und das neue EU‑Wallet am KYC ändern. Die GGL erinnert an saubere Altersprüfung vor dem ersten Einsatz. Zeit für einen klaren Blick: Was gilt jetzt, was kommt bald, und welche Ident‑Wege sind wirklich tragfähig?

Was sich wirklich geändert hat – der kurze Snapshot

eIDAS ist die EU‑Grundlage für elektronische Identitäten und Vertrauensdienste. Sie schafft Niveau, Begriffe und Regeln für Signaturen und Ident‑Nachweise. Offizieller Text: Verordnung (EU) Nr. 910/2014 (eIDAS).
eIDAS 2 führt das EU Digital Identity Wallet (EUDI Wallet) ein. Ziel: Ein starker, nutzerkontrollierter Ident‑Nachweis auf dem Handy. Infos: EU‑Seite zum EUDI Wallet. Architektur: Reference Framework.
Für Remote‑Onboarding gibt es präzisere Leitplanken. Wichtig sind etwa ETSI TS 119 461 (Remote Identity Proofing), die EBA‑Leitlinien zum Remote‑Onboarding und nationale Technikvorgaben wie BSI‑Richtlinien.

Durch die Glücksspiel‑Brille: Warum Ident jetzt Chefsache ist

Der Glücksspielstaatsvertrag 2021 (GlüStV) setzt klare Leitplanken. Ohne verlässliche Ident‑ und Altersprüfung kein Zugang zu legalem Spiel. Die Gemeinsame Glücksspielbehörde der Länder (GGL) überwacht das. Dazu kommt OASIS, die zentrale Sperrdatei. Infos: OASIS‑Spielersperrsystem. Onboarding‑Fehler sind hier nicht nur UX‑Thema, sondern Aufsichtsrisiko.

Wer spielt, soll lizenziert spielen. Nutzer fragen deshalb: Steht der Anbieter auf der Whitelist? Wer nicht täglich Verordnungen liest, braucht eine klare Übersicht. Ein redaktionell gepflegter Marktüberblick hilft, Zeit zu sparen und Fehlgriffe zu meiden. Hier passt ein Verweis auf einen neutralen Guide. Der Casinainfo.se guide bündelt Infos zu Anbietern, Lizenzen und Schutz‑Hinweisen. So prüfen Spieler selbst und treffen bessere Entscheidungen.

Fernidentifikation heute: Drei Archetypen im Realbetrieb

1) Videoident

So läuft es: Nutzer zeigt Ausweis vor die Kamera. Ein Agent prüft. Es gibt Fragen, Abgleich, Fotos. Pluspunkte: Bekanntes Verfahren, von Aufsichten oft akzeptiert. In Deutschland sind die Eckpunkte in einem BaFin‑Rundschreiben erklärt: BaFin: Videoidentifizierung. Minuspunkte: Hohe Kosten pro Fall, Wartezeiten abends, Abbrüche bei schwacher Verbindung, Barrierefreiheit teils schwach.

2) eID/eIDAS‑konform (Online‑Ausweis, EUDI Wallet in Pilot)

So läuft es: Nutzer identifiziert sich mit dem Online‑Ausweis (eID‑Funktion) oder künftig mit dem EUDI Wallet. Daten kommen sicher und signiert. Pluspunkte: Stark gegen Betrug, schnelles Onboarding, klare Datenherkunft. Technikleitplanken gibt das BSI, z. B. BSI TR‑03147. Minuspunkte: Heute noch geringere Nutzung im Massenmarkt, Setup‑Hürden, Gerät/OS‑Voraussetzungen.

3) Hybrid‑Flows

So läuft es: Datenbank‑Prüfung plus Bank‑Konnektor (z. B. Kontoinhaber‑Check), ggf. Nachweis per QES, biometrischer Selbstabgleich, starke Login‑Sicherung mit FIDO2. Vorteil: Flexibel, skalierbar, oft günstiger. Nachteil: Fragmentiert, braucht sauberes Risikomodell und Audit‑Trail. Für Vertrauensniveaus und Auth‑Stufen lohnt ein Blick in NIST SP 800‑63‑3 (IAL/AAL/LoA‑Denke).

Vergleichstabelle: Ident‑Methoden im Glücksspiel 2024/25

Die folgende Tabelle zeigt typische Eigenschaften. Zahlen hängen stark von Zielgruppe, UX und Traffic‑Zeit ab. Nutzen Sie sie als Kompass, nicht als starres Gesetz.

Videoident	BaFin‑Leitplanken, eIDAS‑kompatibel je nach Anbieter	Mittel bis hoch (abh. Qualität/Vorgaben)	Mittel bis hoch in Peaks	Ja / Ja / Teilweise / Ja	Mittel (Live‑Biometrie, Aufzeichnung)	€€–€€€	Abends Engpässe; gute Schulung und Betrugserkennung wichtig
eID / EUDI Wallet	eIDAS, BSI‑Richtlinien, EU‑Wallet‑Spezifikationen	Hoch	Niedrig bis mittel	Ja / Ja / Teilweise / Teilweise	Niedrig bis mittel (datenarm, signiert)	€–€€	Schnell; Adoption noch im Aufbau; starke Belege
Hybrid‑Flow	EBA‑Guidelines, ETSI TS 119 461, interne Policy	Variabel (durch Policy steuerbar)	Niedrig bis mittel	Ja / Ja / Ja / Ja	Mittel (mehr Systeme, Data‑Flows)	€–€€	Guter Mix aus UX, Kosten und Risiko; sauberer Audit‑Trail nötig

Hinweise: Tendenzen basieren auf Markt‑Beobachtung und gängigen Leitfäden, etwa ENISA: Remote Identity Proofing. Konkrete Raten variieren nach Zielgruppe, Kanal und Provider.

Rechtsgrundlagen, die in der Praxis zählen

DSGVO: Rechtsgrundlage ist meist Art. 6 Abs. 1 lit. c (rechtliche Pflicht) und teils lit. f (berechtigtes Interesse). Datenminimierung, Zweckbindung, Speicherfristen, Betroffenenrechte. Volltext: Verordnung (EU) 2016/679.
ETSI‑Familie: EN 319 401 (Allgemeines Rahmenwerk) und TS 119 461 (Remote Proofing) geben gute Brücken für Audit und Qualität.
EBA: Die Remote‑Onboarding‑Guidelines sind zwar für Banken, taugen aber als Best Practice für Risikomodelle, Governance und Monitoring.
GGL/OASIS: In DE ist die Anbindung Pflicht. Alters‑ und Ident‑Prüfung vor Spielstart. Prozess muss konsistent, dokumentiert und testbar sein.
Kurzvergleich Ausland: UK verlangt harte Alters‑Checks schon vor Einzahlungen; siehe UKGC‑Hinweise. Malta betont Spielerschutz; siehe MGA Player Protection Directive.

Ein Streitpunkt: Biometrie – ja, aber richtig

Gesichtserkennung und Lebenderkennung sind stark. Sie sind aber heikel. Regeln Sie, was gespeichert wird, wie lange, und wofür. Erklären Sie den Zweck in klaren Worten. Prüfen Sie Bias und Fehlerquoten. Machen Sie eine Datenschutz‑Folgenabschätzung (DSFA), wenn das Risiko hoch ist. Geben Sie eine Alternative ohne Biometrie, falls möglich. Keine dunklen Muster, keine Druck‑Tricks.

Praxis‑Check: So treffen Produkt und Legal eine klare Wahl

Lizenz DE? OASIS vor Spiel, saubere Altersprüfung, Audit‑Trail. Starten Sie mit Hybrid, fallback auf Videoident, und testen Sie eID dort, wo Nutzer es schon kennen.
Länder‑Mix (z. B. DE, MT, UK)? Bauen Sie Policies je Markt. Ein gemeinsamer Kern senkt Kosten. Regeln Sie, wann auf höheres LoA hochzustufen ist.
EUDI Wallet am Horizont? Planen Sie jetzt die Schnittstelle, aber binden Sie sie phasenweise ein. Erst Pilot, dann schrittweise Rollout.
Wann QES? Wenn Sie einen starken, nicht abstreitbaren Nachweis brauchen (Verträge, Limits, High‑Risk‑Fälle). Sonst genügt oft ein solider Ident‑Beleg.
UX messen: Tracken Sie Zeit bis Abschluss, Abbrüche pro Schritt, Endgeräte, Peak‑Zeiten. Führen Sie schlichte A/B‑Tests durch.
Risiko steuern: Definieren Sie Signale (Device‑Reputation, Geo, Velocity). Erhöhen Sie nur dann die Hürden, wenn das Risiko steigt.

Aus der Werkstatt: 5 kurze Learnings

SLAs sind real. Fragen Sie nach Peak‑Kapazität am Abend. Nicht nur nach mittlerem Durchsatz.
Fallbacks retten den Tag. Ein Plan B bei Zeitüberschreitung reduziert Ärger und Tickets.
Audit‑Trails sind Gold. Bewahren Sie Nachweise so, dass sie prüfbar und unveränderbar sind.
PEP/Sanktionslisten laufen leise im Hintergrund. Aktualisieren Sie Quellen und Logik regelmäßig.
Gerätevielfalt testen: Low‑End‑Android, iOS, ältere Browser. Kleine UI‑Fehler kosten viele Abschlüsse.

Ausblick 2025–2027: Was als Nächstes kommt

Das EUDI Wallet reift. Mehr Länder, mehr Wallet‑Apps, bessere Nutzerführung. Das erhöht Akzeptanz und senkt Betrug.
Die neue EU‑Behörde AMLA bündelt Aufsicht in Sachen Geldwäsche. Das bringt mehr Harmonie in Regeln, aber auch strengere Prüfungen. Siehe EU‑Rat: AMLA.
FIDO2 wird Standard für starke Logins. Das senkt Passwort‑Risiken und Support‑Tickets.
LoA‑Anforderungen werden klarer je Use Case. High‑Risk braucht mehr Belege. Low‑Risk darf schlank bleiben.

Checkliste DSFA (kurz und praktisch)

Zweck klar? Ja/Nein.
Welche Daten? Minimieren, wo möglich.
Risiken für Betroffene? Technisch, rechtlich, sozial.
Maßnahmen? Verschlüsselung, Zugriff, Löschkonzept.
Biometrie im Spiel? Alternativen prüfen, Transparenz hoch.
Externe Dienstleister? Verträge, Sub‑Prozessoren, Transfers.
Ergebnis dokumentiert? Verantwortliche benannt? Review‑Termin gesetzt?

Red Flags bei Ident‑Providern

Kein sauberer Audit‑Trail oder Logs nicht exportierbar.
Keine Aussage zu ETSI/eIDAS‑Konformität.
Unklare SLAs zu Peak‑Zeiten; vage Antworten zu Support.
Keine aktuelle Zertifizierung oder alte Pen‑Tests.
Undurchsichtige Preislogik bei Retrys und Fallbacks.

FAQ

Ja, wenn das Verfahren die geltenden Leitplanken erfüllt und Sie Alters‑ und Ident‑Prüfung sauber dokumentieren. Beachten Sie das BaFin‑Rundschreiben und die Anforderungen der GGL/OASIS.

Sie bekommen einen starken, EU‑weiten Ident‑Nachweis mit klaren Signaturen und Prüfregeln. Das kann Onboarding beschleunigen und Betrug senken. Planen Sie jetzt die Schnittstellen, starten Sie mit Piloten.

Oft nein. Für DE ist vor Spielstart eine verlässliche Ident‑ und Altersprüfung nötig. Ein reiner Datenbank‑Abgleich ist riskant. Kombinieren Sie ihn mit stärkerem Nachweis oder Fallback.

Wenn das Risiko hoch ist, etwa bei Biometrie oder großem Datenumfang, ja. Prüfen Sie das strukturiert und dokumentieren Sie das Ergebnis.

Beginnen Sie mit einem Hybrid‑Flow, definieren Sie klare Risiko‑Signale und Fallbacks. Testen Sie eID dort, wo die Zielgruppe es kennt. Messen Sie alles.

Quellen, Haftung, Stand

Rechtsgrundlagen und Standards: eIDAS, EUDI Wallet, ETSI TS 119 461, DSGVO, BaFin Videoident, NIST SP 800‑63‑3, ENISA RIPS, EBA‑Guidelines, UKGC, MGA, OASIS, AMLA.
Keine Rechtsberatung: Dieser Beitrag ist Information, kein Ersatz für eine rechtliche Prüfung im Einzelfall.
Stand: Mai 2026. Wir aktualisieren bei neuen Vorgaben zu eIDAS 2/EUDI.
Autor: Dr. Max Beispiel, Rechtsanwalt IT‑ & Glücksspielrecht. Redaktionelle Verantwortung liegt bei der Herausgeber‑Redaktion.

News