Was der Bund tatsächlich angekündigt hat
Die Verschiebung wurde bereits am 30. Juni 2026 bekannt gegeben. Das Bundesamt für Justiz begründete sie mit zusätzlichen Sicherheitsarbeiten, die angesichts neuer KI-Möglichkeiten erforderlich seien. Der Online-Ausstellungsprozess soll besser gegen das Einschleusen von Schadsoftware auf dem Endgerät und gegen Deepfakes geschützt werden. Ein genaues Einführungsdatum will der Bund nennen, sobald die Arbeiten weitgehend abgeschlossen sind. Für die davon zu unterscheidende Vertrauensinfrastruktur wird ein Betriebsstart voraussichtlich im ersten Halbjahr 2027 genannt. Sie soll unabhängig von der E-ID auch andere elektronische Nachweise ermöglichen. Dieser Zeitrahmen ist deshalb kein zugesagter Einführungstermin für die E-ID (Bundesamt für Justiz, 30. Juni 2026).
Die Mitteilung vom 3. September 2026 bekräftigt diesen Kurs. Im Zusammenhang mit dem Beirat Digitale Schweiz erläutert der Bund die Sicherheitsarbeiten und verweist auf Open Source, Penetrationstests und Bug-Bounty-Programme. Sie ist als Bestätigung und Erläuterung der bereits angekündigten Verschiebung zu lesen. Die Mitteilung berichtet weder von einem erfolgreichen Angriff auf die E-ID noch von einem Datenabfluss (Mitteilung des Bundes, 3. September 2026).
Für die Projektplanung bedeutet das: Unternehmen sollten zwischen der technischen Erprobung, dem produktiven Betrieb der Vertrauensinfrastruktur und der Verfügbarkeit einer staatlich ausgestellten E-ID unterscheiden. Wer diese Schritte in einem einzigen Starttermin zusammenfasst, schafft vermeidbare Abhängigkeiten.
Weshalb die Identitätsprüfung über das Videobild hinausgehen muss
Bei einer digitalen Identifikation müssen mehrere Dinge zusammenpassen: Der vorgelegte Nachweis muss echt sein, zur auftretenden Person gehören und über einen verlässlichen Prozess geprüft werden. Ein Deepfake kann den sichtbaren Eindruck einer Person verfälschen. Bei einem sogenannten Injection-Angriff wird manipuliertes Bild- oder Videomaterial zwischen der Aufnahme und der prüfenden Stelle eingeschleust.
Die amerikanische Fachbehörde NIST behandelt diese Risiken ausdrücklich in ihren Leitlinien zur digitalen Identitätsprüfung. Sie hält fest, dass ein biometrischer Vergleich solche Angriffe allein nicht verhindert. Auch Verfahren zur Erkennung einer tatsächlich anwesenden Person, häufig als «Liveness Detection» bezeichnet, decken nicht sämtliche Angriffsvarianten ab. Die Leitlinien bieten eine technische Orientierung; sie sind für Schweizer Unternehmen keine eigenständige gesetzliche Pflicht (NIST SP 800-63A-4, Abschnitt 3.14).
Aus Beratungssicht empfiehlt sich deshalb eine Prüfung des gesamten Ablaufs. Dazu gehören die Herkunft der Bilddaten, die Integrität der eingesetzten Komponenten und der Umgang mit Auffälligkeiten. Eine manuelle Eskalation sollte zusätzliche, unabhängige Prüfungen ermöglichen. Wenn ein Mitarbeitender lediglich dasselbe manipulierte Videobild nochmals betrachtet, bleibt der ursprüngliche Schwachpunkt bestehen.
Die Geschäftsperspektive ist ebenso wichtig: Ein falscher Identitätsentscheid kann den Zugang zu einem Konto, zu vertraulichen Informationen oder zu einer vermögenswerten Leistung eröffnen. Das erforderliche Sicherheitsniveau sollte sich an solchen Folgen orientieren.
Was dies für Banken und Finanzintermediäre bedeutet
Die E-ID soll künftig auch die digitale Eröffnung von Kundenbeziehungen unterstützen. Die FINMA eröffnete dazu am 16. Dezember 2025 eine Anhörung zur Teilrevision ihres Rundschreibens 2016/7 «Video- und Online-Identifizierung»; die Anhörungsfrist endete am 27. Februar 2026. Ziel des Vorhabens ist, die staatliche E-ID als Möglichkeit einer GwG-konformen digitalen Identifizierung einzubeziehen. Für eine konkrete Umsetzung sind die definitive Regelung und deren Inkraftsetzung gesondert zu prüfen (FINMA, Anhörung vom 16. Dezember 2025).
Die Identifizierung bildet dabei einen Teil der Sorgfaltspflichten. Hinzu kommen insbesondere die Feststellung der wirtschaftlich berechtigten Person, die Abklärung erhöhter Risiken sowie geeignete organisatorische Massnahmen. Ein erfolgreicher Identitätsnachweis beantwortet diese weiteren Fragen noch nicht. Bei Geschäftskunden bleibt zudem zu klären, ob die identifizierte Person für das Unternehmen handeln darf (FINMA, Pflichten der Finanzintermediäre).
Die Bundesmitteilung vom 3. September schafft selbst keine zusätzliche FINMA-Pflicht. Sie liefert jedoch einen sachlichen Anlass, bestehende Verfahren anhand des veränderten Risikobilds zu beurteilen. Für Institute mit E-ID-abhängigen Vorhaben empfiehlt es sich, zulässige alternative Identifikationswege betriebsbereit zu halten und deren Kapazität für die Übergangszeit zu sichern.
Auch die Nachvollziehbarkeit verdient Aufmerksamkeit: Welche Prüfungen wurden durchgeführt? Welche Warnsignale lagen vor? Wer entschied über eine Ausnahme? Diese Informationen sollten sich aus der Dokumentation rekonstruieren lassen. Ein blosses Ergebnisfeld mit dem Eintrag «Identifikation erfolgreich» kann für die interne Kontrolle und die Aufarbeitung eines Vorfalls zu wenig aussagekräftig sein.
Biometrische Sicherheit verlangt eine bewusste Datenarchitektur
Zusätzliche Betrugserkennung kann zusätzliche Personendaten erzeugen: Videoaufnahmen, technische Geräteinformationen, Gesichtsmerkmale oder Risikowerte. Biometrische Daten, die eine natürliche Person eindeutig identifizieren, zählen nach dem Schweizer Datenschutzrecht zu den besonders schützenswerten Personendaten. Die Einordnung hängt von der konkreten Bearbeitung ab; eine gewöhnliche Fotografie ist nicht allein aufgrund ihres Bildinhalts mit einer biometrischen Identifizierung gleichzusetzen.
Datenschutz durch Technik und datenschutzfreundliche Voreinstellungen gehören nach Art. 7 DSG bereits in die Planung. Für Identifikationsprozesse empfiehlt sich deshalb, Rohaufnahmen, abgeleitete Merkmale und den erforderlichen Prüfungsnachweis getrennt zu betrachten. Für jede Kategorie sollten Zweck, Zugriffsberechtigung und Aufbewahrungsdauer festgelegt werden. Gesetzliche Dokumentationspflichten sind dabei zu berücksichtigen. Eine pauschale Aufbewahrung aller Daten «für die Sicherheit» ist als Begründung zu unscharf (EDÖB, besonders schützenswerte Daten und Datenschutz durch Technik).
Kann eine geplante Bearbeitung ein hohes Risiko für Persönlichkeit oder Grundrechte mit sich bringen, verlangt Art. 22 DSG grundsätzlich eine vorgängige Datenschutz-Folgenabschätzung. Massgeblich sind unter anderem Technologie, Umfang, Umstände und Zweck. Der Einsatz von KI führt deshalb nicht automatisch in jedem Fall zu einer DSFA-Pflicht. Bei einer umfangreichen biometrischen Identifikation ist die Risikoprüfung aber besonders sorgfältig vorzunehmen. Eine bestehende Folgenabschätzung sollte bei wesentlichen Änderungen überprüft werden (EDÖB, Datenschutz-Folgenabschätzung).
Zur Umsetzung gehört eine verständliche Information im richtigen Moment. Kundinnen und Kunden sollten vor der Erfassung erkennen können, wer ihre Daten für welche Zwecke bearbeitet und an wen sie weitergegeben werden. Für die Praxis bietet sich ein kurzer Hinweis im Identifikationsablauf mit leicht zugänglichen vertiefenden Informationen an (EDÖB, Informationspflicht).
Die E-ID eröffnet zugleich Chancen für eine sparsame Datenbearbeitung. Der Bund sieht beispielsweise vor, dass für einen Altersnachweis nur das Erreichen des erforderlichen Mindestalters offengelegt werden kann. Unternehmen sollten ihre Datenabfragen deshalb vom jeweiligen Geschäftsbedarf her gestalten: Ein Altersnachweis und eine bankrechtliche Kundenidentifizierung benötigen unterschiedliche Informationen (Bund, Funktionsweise und Datenschutz der E-ID).
Was in den Vertrag mit dem Identifikationsanbieter gehört
Viele Unternehmen beziehen die Identitätsprüfung als externe Dienstleistung. Die datenschutzrechtliche Verantwortung verbleibt beim auftraggebenden Unternehmen, soweit es Verantwortlicher ist. Nach Art. 9 DSG sind insbesondere die zulässige Bearbeitung, Datensicherheit und die Genehmigung von Unterbeauftragungen zu beachten. Zusätzlich ist zu prüfen, ob gesetzliche oder vertragliche Geheimhaltungspflichten einer Auslagerung entgegenstehen (EDÖB, Auftragsdatenbearbeitung).
Für die Vertragsgestaltung lassen sich daraus und aus den technischen Risiken fünf konkrete Prüffelder ableiten:
- Leistung und Nachweise: Der Vertrag sollte festlegen, welche Identifikationsschritte der Anbieter übernimmt und welche beim Unternehmen verbleiben. Sinnvoll sind nachvollziehbare Tests gegen die für den Einsatz relevanten Täuschungsversuche sowie Angaben zu Fehlannahmen und Fehlablehnungen. Allgemeine Aussagen wie «KI-gestützte Sicherheit» ersetzen keine prüfbare Leistungsbeschreibung.
- Änderungen und Sicherheitsmängel: Wesentliche Änderungen an Prüfverfahren, Modellen oder Schnittstellen sollten angekündigt und hinsichtlich ihrer Auswirkungen bewertet werden können. Für erkannte Schwächen braucht es konkrete Behebungsfristen und ein Verfahren für den vorübergehenden Wechsel auf zusätzliche Kontrollen.
- Daten und Nutzungszwecke: Zu regeln sind die zulässigen Datenkategorien, Aufbewahrung, Löschung und Unterstützung bei Betroffenenrechten. Eine Verwendung von Kundendaten für das eigene Modelltraining des Anbieters sollte ausgeschlossen oder vorab gesondert rechtlich beurteilt und ausdrücklich geregelt werden.
- Vorfälle und Zusammenarbeit: Der Anbieter sollte Auffälligkeiten und Sicherheitsvorfälle rechtzeitig melden, relevante Nachweise sichern und bei der Aufklärung mitwirken. Die vereinbarten Informationsfristen müssen es dem Unternehmen ermöglichen, seine eigenen Abklärungs- und allfälligen Meldepflichten zu erfüllen.
- Kontrolle und Anbieterwechsel: Prüfberichte und angemessene Kontrollrechte sollten die Überwachung ermöglichen. Für das Vertragsende braucht es einen praktisch umsetzbaren Übergang: verfügbare Prüfungsnachweise, Unterstützung bei der Migration und eine dokumentierte Löschung nach Massgabe der vereinbarten und gesetzlichen Aufbewahrungspflichten.
Bei Cloud-Diensten ist ausserdem transparent zu machen, wo Daten bearbeitet werden und welche Unterauftragnehmer beteiligt sind. Auslandsbekanntgaben verlangen eine eigenständige Prüfung des Datenschutzniveaus und erforderlicher Garantien. Die Standortangabe im Hauptvertrag genügt dafür als alleinige Entscheidungsgrundlage häufig nicht. Für regulierte Institute sind zusätzlich die jeweils anwendbaren aufsichtsrechtlichen Anforderungen an eine Auslagerung zu berücksichtigen (EDÖB, Datenbearbeitungen in der Cloud).
Wie Unternehmen die zusätzliche Zeit sinnvoll nutzen
Die technische Vorbereitung kann weitergehen. Am 4. September 2026 kündigte das E-ID-Programm an, die bisherige Public Beta künftig als Sandbox zu führen. Für diese Testumgebung wird eine eigene «swiyu Sandbox Wallet» bereitgestellt; die reguläre Wallet soll künftig mit der produktiven Infrastruktur arbeiten. Damit bleibt die Erprobung eigener Anwendungsfälle möglich (E-ID-Programm, 4. September 2026).
Für Unternehmen mit konkreten E-ID-Projekten empfiehlt sich innert 30 Tagen eine gemeinsame Standortbestimmung von Fachbereich, IT-Sicherheit, Datenschutz und Recht. Diese Frist ist eine praktische Empfehlung und keine neue gesetzliche Vorgabe. Das Ergebnis sollte festhalten, welche Projekte vom E-ID-Start abhängen, welche Alternativen verfügbar sind und welche technischen oder vertraglichen Lücken vor einer Einführung geschlossen werden müssen.
Für KMU lohnt sich eine Beschränkung auf die entscheidenden Vorgänge: Wo wird eine Identität überhaupt benötigt? Welche Leistung wird anschliessend freigegeben? Welcher Schaden wäre bei einer Täuschung möglich? Daraus lassen sich angemessene Kontrollen ableiten, ohne jedes Kundenportal mit einer umfassenden Identitätsprüfung auszustatten.
Ein belastbarer Entscheid über die Einführung verbindet schliesslich vier Voraussetzungen: Die rechtlichen Bedingungen sind geklärt, die technische Prüfung ist aussagekräftig, die Verantwortlichkeiten sind zugewiesen und ein Ausweichverfahren funktioniert. Diese Arbeit verbessert schon heute die digitale Kundenaufnahme. Zugleich schafft sie die Grundlage dafür, die E-ID nach ihrer Einführung gezielt und mit einem nachvollziehbaren Nutzen einzusetzen.