Seminar EU Business Wallet – Pilotierung, Implementierung und Produktionsübergabe

Das viertägige Seminar führt von Use-Case-Auswahl und Readiness Assessment über Provider- und Architekturentscheidungen bis zur Referenzimplementierung, Interoperabilitätsprüfung und Produktionsübergabe. Der Schwerpunkt liegt auf einem kontrollierten Pilot mit messbaren Ergebnissen und belastbarer Go-Live-Entscheidung.

Inhaltsverzeichnis

• Lernziele
• Fachliche Einordnung
• Schrittweise Seminarinhalte
• Praxisübungen und Laborszenarien
• Zielgruppe und Voraussetzungen
• Didaktik und Arbeitsweise

Lernziele

• Geschäftlich tragfähige Use Cases und Reifegrad objektiv bewerten.
• Provider-, Architektur-, Datenschutz- und Sicherheitsentscheidungen vorbereiten.
• Eine reproduzierbare Referenzimplementierung aufbauen.
• Funktion, Interoperabilität und Betrieb mit messbaren Kriterien prüfen.
• Produktionsfreigabe, Hypercare, Rückfall und Skalierung planen.

Fachliche Einordnung

Die Einführung ist kein reines Softwareprojekt. Rechtsstand, Organisationsidentität, Datenqualität, Vertrauensdienste, Provider, Sicherheit, Datenschutz, Integrationen und Betriebsorganisation müssen gleichzeitig vorbereitet werden. Vier Tage sind erforderlich, um diese Abhängigkeiten nicht nur zu besprechen, sondern in einem zusammenhängenden Pilotdrehbuch praktisch zu bearbeiten.

Schrittweise Seminarinhalte

1. Use-Case-Priorisierung und Business Case

Schwerpunkt: Prozesskosten, Durchlaufzeit, Fehlerquote, Nachweisaufwand, Compliance-Risiko, Integrationskosten, Adoption und Nutzenmessung.

1. Ist-Aufwand, Medienbrüche, Wiederholungsprüfungen, Verzögerungen und Fehlerkosten für priorisierte Prozesse messen.
2. Nutzenhebel wie einmalige Datenerfassung, automatisierte Prüfung, sichere Zustellung und digitale Vertretung quantifizieren.
3. Investitionen für Provider, Integration, Vertrauensdienste, Datenbereinigung, Betrieb, Schulung und Change realistisch schätzen.
4. Szenarien, Sensitivitäten, Risiken, Kennzahlen und Entscheidungsschwellen in einen belastbaren Business Case überführen.

Arbeitsergebnis: Ein nachvollziehbarer Business Case mit priorisierten Use Cases und messbaren Nutzenzielen.

2. Readiness Assessment und Zielbild

Schwerpunkt: Use Cases, Stakeholder, Reifegrad, Rechts- und Technikabhängigkeiten, Datenqualität, Sicherheitsniveau, Betriebsmodell und Roadmap.

1. Geschäftsprozesse nach Volumen, Medienbrüchen, grenzüberschreitender Relevanz, Nachweisaufwand und Automatisierungspotenzial bewerten.
2. Reifegrad von Organisationsidentität, Registern, IAM, Vertrauensdiensten, Schnittstellen, Datenschutz und Betrieb anhand messbarer Kriterien bestimmen.
3. Zielbild, priorisierte Use Cases, Abhängigkeiten, Risiken, Mindestvoraussetzungen und Entscheidungspunkte festlegen.
4. Eine phasenweise Roadmap mit Verantwortlichkeiten, Budgetrahmen, Pilotergebnissen und Stop-or-Go-Kriterien erstellen.

Arbeitsergebnis: Ein priorisierter Readiness- und Einführungsfahrplan mit belastbaren Entscheidungspunkten.

3. Rechtsstand und Anwendungsbereich

Schwerpunkt: eIDAS-2.0-Grundlagen, europäisches Gesetzgebungsverfahren, Normadressaten, Freiwilligkeit für Unternehmen, Annahmepflichten öffentlicher Stellen und nationale Verfahrensanforderungen.

1. Verbindliche eIDAS-Regeln, den Entwurf zur European Business Wallet, die Ratsposition und spätere konsolidierte Fassungen in einer Rechtsstandsmatrix voneinander trennen.
2. Wirtschaftsteilnehmer, öffentliche Stellen, Wallet-Anbieter, Vertrauensdiensteanbieter, Registerstellen und relying parties den jeweils vorgesehenen Pflichten und Rechten zuordnen.
3. Für ausgewählte Geschäftsprozesse prüfen, welche Handlung durch die Wallet ersetzt werden kann und welche fach- oder verfahrensrechtlichen Voraussetzungen weiterhin erfüllt sein müssen.
4. Offene Punkte, nationale Abweichungen und erwartete Durchführungsrechtsakte in einem kontrollierten Änderungsregister dokumentieren.

Arbeitsergebnis: Eine belastbare Rechtsstandsmatrix mit Geltungsbereich, Verantwortlichkeiten und Anpassungsbedarf.

4. Referenzarchitektur und Komponentenmodell

Schwerpunkt: Front-End, Back-End, sichere kryptografische Anwendungen und Geräte, Trust Services, Register, Directory, Integrationsschicht und Fachverfahren.

1. Fachliche Use Cases in Komponenten, Datenflüsse, Vertrauenszonen und Verantwortungsbereiche zerlegen.
2. Wallet-Front-End, Wallet-Back-End, kryptografische Komponenten, Identitätsdaten, Attestierungen, Directory und externe Dienste logisch anordnen.
3. Schnittstellen, Protokolle, Schlüsselgrenzen, Netzwerkpfade und Betriebsabhängigkeiten für eine Referenztransaktion dokumentieren.
4. Fehlerdomänen, Single Points of Failure, Schutzbedarf und notwendige Redundanz anhand eines Architekturreviews bewerten.

Arbeitsergebnis: Eine nachvollziehbare Zielarchitektur mit Komponenten-, Datenfluss- und Vertrauenszonenmodell.

5. Provider-Auswahl und technische Due Diligence

Schwerpunkt: Rechtsstatus, Sicherheitsniveau, Interoperabilität, Vertrauensdienste, Datenstandort, Lieferkette, Support, Roadmap und Exit-Fähigkeit.

1. Muss-, Soll- und Ausschlusskriterien für Provider, Wallet-Lösung, Betriebsmodell, Schnittstellen und Vertrauensdienste ableiten.
2. Nachweise zu Organisation, Aufsicht, Sicherheit, Zertifizierungen, Lieferkette, Unterauftragnehmern und Betriebsstandorten prüfen.
3. Interoperabilität, Performance, Datenschutz, Portabilität, Support und Ausfallszenarien in einer strukturierten Proof-of-Capability testen.
4. Bewertung, Risiken, Auflagen, Restpunkte und Entscheidungsbegründung in einer auditfähigen Beschaffungsvorlage dokumentieren.

Arbeitsergebnis: Ein gewichteter Kriterienkatalog und ein nachvollziehbarer Provider-Entscheidungsbericht.

6. Vertrag, Service Governance und Exit

Schwerpunkt: Leistungsbeschreibung, Verantwortungsmatrix, SLA, Sicherheitspflichten, Änderungen, Audit, Portabilität, Kündigung, Datenexport und Übergang.

1. Kern- und Zusatzfunktionen, Servicegrenzen, Verantwortlichkeiten, Abhängigkeiten und Mitwirkungspflichten präzise beschreiben.
2. SLA, Support, Wartung, Sicherheitsmeldungen, Schwachstellenmanagement, Nachweise und Eskalationen vertraglich operationalisieren.
3. Datenportabilität, Exportformate, Kommunikations- und Interaktionslogs, Schlüsselübergang sowie Löschbestätigung für den Exit festlegen.
4. Providerwechsel und ungeplante Beendigung in einem Transition-Runbook mit technischen und rechtlichen Abnahmekriterien simulieren.

Arbeitsergebnis: Ein belastbares Service- und Exit-Modell für Beschaffung und Betrieb.

7. Pilotdesign und Referenz-Use-Case

Schwerpunkt: Scope, Beteiligte, Daten, Integrationen, Testidentitäten, Nachweise, Sicherheitskontrollen, Erfolgskriterien und Rückbau.

1. Einen fachlich relevanten, technisch begrenzbaren und rechtlich vertretbaren Pilot-Use-Case auswählen.
2. Pilotorganisationen, Rollen, Testdaten, Wallets, Aussteller, relying parties, Trust Services und Schnittstellen verbindlich festlegen.
3. Erfolgskriterien für Funktion, Interoperabilität, Sicherheit, Datenschutz, Bedienbarkeit, Durchlaufzeit und Fehlerbehandlung definieren.
4. Pilotdurchführung, Beobachtung, Abweichungsbehandlung, Abnahme, Rückbau und Entscheidung über Skalierung in einem Drehbuch dokumentieren.

Arbeitsergebnis: Ein ausführbares Pilotdrehbuch mit Messgrößen, Testfällen und Skalierungsentscheidung.

8. Implementierung und Integrationsaufbau

Schwerpunkt: Umgebungen, Konfiguration, Schlüssel, Identitätsdaten, Attestierungen, Schnittstellen, IAM, Logging, Deployment und Dokumentation.

1. Entwicklungs-, Test-, Abnahme- und Produktionsumgebungen mit Netz-, Zertifikats-, Schlüssel- und Zugriffsvoraussetzungen bereitstellen.
2. Wallet-Owner-Identitätsdaten, Rollen, Mandate, Nachweisschemas, relying parties und Vertrauensdienste kontrolliert konfigurieren.
3. APIs, Directory, Zustellung, ERP, IAM, DMS und Monitoring schrittweise integrieren und jede Verbindung einzeln verifizieren.
4. Konfiguration, Secrets, Infrastruktur, Schemas und Deployment-Pakete versionieren sowie reproduzierbar bereitstellen.

Arbeitsergebnis: Eine dokumentierte Referenzimplementierung mit reproduzierbarer Bereitstellung.

9. Konformitäts- und Interoperabilitätstests

Schwerpunkt: Testprofile, Protokolle, Formate, Trust, Schemas, positive und negative Flows, Cross-Border-Fälle, Last und Regression.

1. Anforderungen aus Rechtsstand, Profilen, Architektur, Datenschutz, Sicherheit und Fachprozess in prüfbare Testfälle übersetzen.
2. Testdaten, Testorganisationen, Schlüssel, Nachweise, Mandate, relying parties und erwartete Ergebnisse reproduzierbar bereitstellen.
3. Issuance-, Presentation-, Signatur-, Siegel-, Zustell-, Directory- und API-Flows einschließlich Negativfällen automatisiert ausführen.
4. Abweichungen nach Schweregrad, Ursache, Interoperabilitätswirkung und Wiederholbarkeit bewerten und bis zum Retest verfolgen.

Arbeitsergebnis: Ein vollständiger Test- und Konformitätskatalog mit reproduzierbaren Nachweisen.

10. Datenschutz und Datenschutz-Folgenabschätzung

Schwerpunkt: Rollen nach Datenschutzrecht, Rechtsgrundlagen, Zweckbindung, Datenminimierung, Transparenz, Betroffenenrechte, Aufbewahrung und DPIA.

1. Datenverarbeitungen für Onboarding, Nachweisaustausch, Vertretung, Directory, Zustellung, Protokollierung und Support vollständig erfassen.
2. Verantwortliche, Auftragsverarbeiter, gemeinsame Verantwortlichkeit, Rechtsgrundlagen und internationale Datenflüsse bewerten.
3. Risiken für natürliche Vertreter und Beschäftigte einschließlich Korrelation, Überwachung und Fehlzuordnung in einer DPIA strukturieren.
4. Technische und organisatorische Maßnahmen, Löschregeln, Auskunftsfähigkeit und Incident-Prozesse mit Prüfkriterien hinterlegen.

Arbeitsergebnis: Eine umsetzbare Datenschutz-Folgenabschätzung mit Datenfluss- und Maßnahmenkatalog.

11. Bedrohungsmodell und Sicherheitsarchitektur

Schwerpunkt: Identitätsbetrug, Wallet-Übernahme, Schlüsselkompromittierung, schädliche relying parties, manipulierte Nachweise, Replay, Lieferkette und Insider.

1. Schutzobjekte, Angreifer, Vertrauensgrenzen und Missbrauchsziele für Wallet, Provider, Register, Vertrauensdienste und Integrationen identifizieren.
2. Angriffspfade für Onboarding, Mandate, Attestierungen, API, Zustellung, Signatur, Siegel und Support systematisch modellieren.
3. Präventive, detektive und reaktive Kontrollen nach Risiko, Wirksamkeit, Verantwortlichkeit und Nachweisbarkeit priorisieren.
4. Ausgewählte Szenarien wie Vertreterübernahme, Replay, gefälschte relying party und kompromittierter Schlüssel in Tabletop-Übungen testen.

Arbeitsergebnis: Ein priorisiertes Bedrohungs- und Kontrollmodell für Architektur und Betrieb.

12. Produktionsabnahme und Betriebsübergabe

Schwerpunkt: Abnahmekriterien, Sicherheitsfreigabe, Datenschutz, Performance, Wiederanlauf, Support, Dokumentation, Schulung und Go-Live.

1. Funktionale, rechtliche, sicherheitsbezogene, datenschutzrechtliche und betriebliche Abnahmekriterien mit Verantwortlichen festlegen.
2. Ende-zu-Ende-Prozesse, Last, Berechtigungen, Monitoring, Backup, Recovery, Incident und Provider-Support unter Produktionsbedingungen prüfen.
3. Restpunkte, akzeptierte Risiken, Betriebsauflagen, Runbooks, Kontaktketten und Wartungsfenster formal freigeben.
4. Go-Live, Hypercare, Rückfallplan, Erfolgsmessung und Übergabe in Change- sowie Problem-Management kontrolliert durchführen.

Arbeitsergebnis: Eine formal dokumentierte Produktionsfreigabe mit Betriebs- und Rückfallplan.

Praxisübungen und Laborszenarien

• Priorisierung mehrerer Use Cases anhand Nutzen, Risiko und Abhängigkeiten.
• Erstellung eines Provider- und Architekturentscheidungsdokuments.
• Aufbau eines Pilotdrehbuchs mit Testorganisationen und Nachweisen.
• Umsetzung eines vollständigen Referenzflows mit Integrationen.
• Durchführung von Security-, Datenschutz- und Interoperabilitätstests.
• Formale Go-Live-Entscheidung mit Restpunkten und Rückfallplan.

Zielgruppe und Voraussetzungen

Zielgruppe: Programm- und Projektleitung, Enterprise Architecture, IAM, Security, Datenschutz, Compliance, Einkauf, Systemintegration und Betrieb

Voraussetzungen: Solide Kenntnisse in digitalen Identitäts- oder Integrationsprojekten, IT-Sicherheit, Datenschutz, Beschaffung und Betriebsübergabe

Didaktik und Arbeitsweise

Kurze Fachimpulse werden unmittelbar durch strukturierte Modellierung, Demonstrationen, technische oder organisatorische Schrittfolgen, Praxisübungen und kontrollierte Negativfälle vertieft. Jede Arbeitsphase verwendet definierte Ausgangsdaten, Prüfkriterien und Dokumentationsanforderungen. Dadurch entstehen wiederholbare Ergebnisse für Architektur, Projekt, Governance und Regelbetrieb.