EUDI-Wallet: Was Unternehmen ab 2027 akzeptieren müssen

Was die EUDI-Wallet ist – und was sie für Unternehmen ändert

Die EUDI-Wallet ist eine staatlich bereitgestellte App, mit der Bürgerinnen und Bürger ihre Identität und einzelne Eigenschaften digital nachweisen – Name, Geburtsdatum, Wohnort, ein Mindestalter oder später auch Nachweise wie einen Führerschein. Rechtsgrundlage ist die Verordnung (EU) 2024/1183 (öffnet in neuem Tab), bekannt als eIDAS 2.0, die die bisherige eIDAS-Verordnung um die „Europäische Brieftasche für die Digitale Identität" erweitert.

Für Unternehmen ändert sich damit vor allem eines: Ein Kunde kann künftig einen geprüften Identitätsnachweis aus seinem Smartphone vorlegen, statt ein Ausweisfoto hochzuladen oder ein Video-Ident-Verfahren zu durchlaufen. Das Unternehmen bekommt dabei nur die Angaben, die es tatsächlich angefragt hat – beim Alterscheck zum Beispiel nur die Aussage „über 18", nicht das Geburtsdatum.

Die Nutzung ist für Bürger freiwillig. Artikel 5a Absatz 15 stellt klar, dass andere Identifizierungsmittel unberührt bleiben, und die Bundesregierung betont, dass analoge Wege bestehen bleiben. Ein Unternehmen, das heute ein funktionierendes Verfahren hat, muss es also nicht abschalten.

EUDI-Wallet „d-you": ab wann es sie in Deutschland gibt

Die deutsche EUDI-Wallet soll Anfang Januar 2027 starten, laut Bundesregierung mit 40 Partnern aus Wirtschaft, Wissenschaft und Verwaltung; die Bundesagentur für Sprunginnovationen, die die Entwicklung koordiniert, nannte im Bundestag den 2. Januar 2027. In Stellungnahmen zum Gesetzgebungsverfahren trägt die App den Namen „d-you". Den Entwurf des begleitenden Digitale-Identitätengesetzes (DIdG, Drucksache 21/7408) hat das Bundeskabinett 2026 beschlossen, der Bundestag hat ihn am 23. September 2026 in erster Lesung beraten (Stand: Oktober 2026).

Die Frist dahinter kommt aus Brüssel. Die ersten Durchführungsrechtsakte zur Brieftasche wurden am 4. Dezember 2024 im Amtsblatt veröffentlicht und traten am zwanzigsten Tag danach in Kraft, also am 24. Dezember 2024. Nach Artikel 5a Absatz 1 muss jeder Mitgliedstaat binnen 24 Monaten danach mindestens eine Brieftasche bereitstellen – rechnerisch bis zum 24. Dezember 2026.

Für die Akzeptanz durch private Unternehmen gilt eine längere Frist von 36 Monaten ab demselben Stichtag, also bis Ende Dezember 2027. Wer heute plant, hat für eine Pflicht – falls sie ihn überhaupt trifft – noch gut ein Jahr Vorlauf nach dem Start der App.

Die Akzeptanzpflicht: wer die EUDI-Wallet annehmen muss

Annehmen müssen die Wallet drei Gruppen, und jede aus einem anderen Grund. Erstens öffentliche Stellen, wenn sie für einen Online-Dienst eine elektronische Identifizierung verlangen (Artikel 5f Absatz 1). Zweitens sehr große Online-Plattformen im Sinne des Digital Services Act (öffnet in neuem Tab); sie müssen die Wallet zur Anmeldung akzeptieren und erleichtern, allerdings nur, wenn der Nutzer das freiwillig wünscht, und nur für die mindestens erforderlichen Daten (Absatz 3).

Drittens private Unternehmen, die nach Gesetz oder Vertrag eine starke Nutzerauthentifizierung verlangen müssen – der Wortlaut nennt ausdrücklich Verkehr, Energie, Banken und Finanzdienstleistungen, soziale Sicherheit, Gesundheit, Trinkwasser, Postdienste, digitale Infrastruktur, Bildung und Telekommunikation (Absatz 2). Für sie gilt die Frist von 36 Monaten, und auch hier nur auf freiwilliges Verlangen des Nutzers.

Der Schlüssel liegt im Wort „verlangen müssen". Die Pflicht entsteht nicht dadurch, dass ein Unternehmen in einer der genannten Branchen tätig ist, sondern dadurch, dass es für seinen Dienst bereits heute eine starke Authentifizierung mit zwei Faktoren vorschreiben muss. Ein Energieversorger mit einem einfachen Kontaktformular ist nicht erfasst, sein Kundenkonto mit Zwei-Faktor-Pflicht womöglich schon.

eIDAS 2.0 und kleine Unternehmen: wen die Pflicht nicht trifft

Kleinst- und Kleinunternehmen sind von der Akzeptanzpflicht für private Anbieter ausdrücklich ausgenommen. Artikel 5f Absatz 2 verweist dafür auf die Empfehlung 2003/361/EG der Kommission: Kleinunternehmen haben weniger als 50 Beschäftigte und höchstens 10 Millionen Euro Jahresumsatz oder Bilanzsumme, Kleinstunternehmen weniger als 10 Beschäftigte und höchstens 2 Millionen Euro.

Damit fällt der typische Online-Shop eines mittelständischen Händlers, das Kundenportal eines Handwerksbetriebs oder die Terminbuchung einer Praxis in aller Regel aus der Pflicht – entweder, weil das Unternehmen klein ist, oder weil es keine starke Authentifizierung verlangen muss. Sehr große Online-Plattformen sind ohnehin eine Handvoll Konzerne.

Das ist die Grenze der Sache, und sie gehört ausgesprochen, weil auf der ersten Ergebnisseite zu diesem Thema vor allem Anbieter von Identitätslösungen stehen. Die Wallet kann für ein kleines Unternehmen trotzdem nützlich sein, etwa für einen Alterscheck ohne Ausweis-Upload. Aber es gibt keinen Termin, an dem ein kleiner Betrieb sie anbieten muss.

Registrierung als Vertrauenspartei: Regeln und Kritik im Bundestag

Wer die Wallet nutzen will, muss sich vorher als „vertrauender Beteiligter" registrieren, und zwar in dem Mitgliedstaat, in dem er niedergelassen ist (Artikel 5b Absatz 1). Anzugeben sind unter anderem die Registernummer, Kontaktdaten und die beabsichtigte Verwendung einschließlich der Daten, die abgefragt werden sollen.

Diese Angabe ist bindend: Nach Artikel 5b Absatz 3 dürfen vertrauende Beteiligte von Nutzern keine anderen Daten verlangen als die bei der Registrierung angegebenen. Ein Shop, der sich für den Altersnachweis registriert hat, kann über die Wallet also nicht nebenbei die Wohnadresse abfragen. Die Wallet zeigt dem Nutzer vor jeder Freigabe an, wer anfragt und welche Daten.

In Deutschland soll nach dem Regierungsentwurf des DIdG das Bundesverwaltungsamt die Registrierung übernehmen. Der Entwurf schätzt den Aufwand für eine erstmalige Registrierung auf rund 40 Stunden je Unternehmen, umgerechnet rund 2.300 Euro, und rechnet in der Einführungsphase mit rund 4.200 registrierten Unternehmen – überwiegend aus Finanzwesen, Telekommunikation, Energie und Mobilität. Datenschutzrechtlich bleibt das Unternehmen für die abgefragten Angaben verantwortlich; die Wallet ersetzt weder Rechtsgrundlage noch Löschkonzept nach der DSGVO.

Die Sachverständigen in der öffentlichen Anhörung des Ausschusses für Digitales und Staatsmodernisierung am 6. Oktober 2026 haben die Einführung der Wallet grundsätzlich begrüßt, aber Nachbesserungen am Gesetzentwurf verlangt; über die Sitzung berichtete heise online (öffnet in neuem Tab). Nach der Zusammenfassung des Bundestags (öffnet in neuem Tab) bemängelte der Bundesdatenschutzbeauftragte, dass sich die Wallet nicht pseudonym nutzen lässt, und eine Sicherheitsforscherin der Universität Potsdam wies darauf hin, dass mehr als die Hälfte der genutzten Android-Geräte weltweit keine Updates mehr erhält.

Für Unternehmen am wichtigsten ist die Kritik an der Registrierung. Vertrauende Beteiligte müssen ihre Identität nachweisen; ob ein Mitgliedstaat zusätzlich prüft, ob die beantragten Daten zum Anwendungsfall passen, bleibt ihm überlassen. Die Stellungnahme von epicenter.works (öffnet in neuem Tab) verweist auf Österreich, wo eine solche Prüfung längst üblich ist, und auf Pläne der Niederlande, für den Eintrag eine Gebühr zu verlangen, und fordert für Deutschland eine Vorabprüfung durch die Datenschutzaufsicht. Eine weitere Sachverständige warnte vor einem „Cookie-Banner 2.0", wenn Nutzer ständig Freigaben bestätigen sollen, deren Zweck niemand geprüft hat.

Der Verbraucherzentrale Bundesverband geht in seiner Stellungnahme zum DIdG (öffnet in neuem Tab) noch weiter: Der Klarname solle nur abgefragt werden dürfen, wenn ein Gesetz die Identifizierung verlangt, etwa bei einer Kontoeröffnung, und das Gesetz müsse verhindern, dass sich Nutzungsvorgänge über verschiedene Dienste hinweg zu Profilen verknüpfen lassen. Laut derselben Stellungnahme geht die Bundesregierung selbst davon aus, dass Pseudonyme zum Start von „d-you" noch nicht verfügbar sind. Ob und wie der Bundestag den Entwurf daraufhin ändert, ist offen – wer heute plant, sollte damit rechnen, dass die Abfrage des vollen Namens ohne gesetzliche Pflicht künftig schwerer zu begründen ist.

EUDI-Wallet in Website oder Kundenportal einbinden

Technisch fragt eine Website die Wallet über das Protokoll OpenID for Verifiable Presentations (OpenID4VP) ab. So sieht es das Architektur- und Referenz-Rahmenwerk der Kommission für Abfragen aus der Ferne vor; für Abfragen vor Ort, etwa am Schalter, gilt der Standard ISO/IEC 18013-5. Die Nachweise kommen als SD-JWT VC oder im mdoc-Format und sind kryptografisch signiert.

Im Ablauf zeigt die Website einen QR-Code oder öffnet auf dem Smartphone direkt die Wallet. Der Nutzer bestätigt in der Wallet, welche Angaben er teilt, und die Website erhält eine signierte Antwort, die sie prüfen muss: Stammt der Nachweis von einem anerkannten Aussteller, ist er unverändert, gehört er zu diesem Gerät? Erst danach wird das Ergebnis im eigenen System verwendet.

Für ein bestehendes Kundenportal bedeutet das in der Regel keinen Umbau der Anmeldung, sondern einen zusätzlichen Prüfschritt an der Stelle, an der heute Identität nachgewiesen wird – bei der Registrierung, beim Vertragsabschluss, beim Alterscheck. Etablierte Identitätsdienste und Open-Source-Bausteine bringen Prüfkomponenten mit; der Aufwand liegt vor allem in der Anbindung an die eigenen Abläufe und in der Registrierung.

EUDI-Wallet oder Passkey: Identität beweisen statt sich anmelden

Die EUDI-Wallet und Passkeys lösen zwei verschiedene Aufgaben und konkurrieren nicht miteinander. Ein Passkey beweist, dass dieselbe Person wiederkommt, die sich früher registriert hat – er ist ein Anmeldeverfahren ohne Passwort. Die Wallet beweist, wer jemand ist oder welche Eigenschaft er hat, und zwar mit einer staatlich geprüften Grundlage.

In einem Kundenportal ergänzen sich beide: Bei der Kontoeröffnung weist der Kunde einmal per Wallet seine Identität nach, danach meldet er sich per Passkey an. Wie Passkeys funktionieren und was ihr Einbau verlangt, beschreibt unser Beitrag Passkeys einbauen im Kundenportal. Die Wallet als tägliches Login zu verwenden ist möglich, für die meisten Portale aber umständlicher als nötig.

Die Unterscheidung hat auch Folgen für den Datenschutz. Ein Passkey überträgt keine personenbezogenen Merkmale, ein Wallet-Nachweis schon. Wer die Wallet nur zum Anmelden nutzt, verarbeitet bei jeder Anmeldung Identitätsdaten, die er dafür gar nicht braucht – genau die Art von Abfrage, die in der Bundestagsanhörung als Risiko für Profilbildung genannt wurde.

Was jetzt sinnvoll ist – und was bis 2027 warten kann

Der erste Schritt ist eine Einordnung in fünf Minuten: Ist das Unternehmen größer als ein Kleinunternehmen, gehört es zu einem der genannten Sektoren, und muss es für einen Online-Dienst schon heute eine starke Authentifizierung verlangen? Nur wenn alle drei Fragen mit Ja beantwortet werden, besteht spätestens ab Ende Dezember 2027 eine Pflicht.

Für alle anderen ist die Wallet eine Option, keine Frist. Sinnvoll wird sie dort, wo heute ein Identitätsnachweis teuer oder abschreckend ist – Video-Ident mit Abbruchquoten, Ausweis-Uploads, die gespeichert und gelöscht werden müssen, Altersprüfungen mit Medienbruch. Dort lohnt es sich, den Start im Januar 2027 abzuwarten, das endgültige DIdG zu lesen und dann zu prüfen, wie viele Kunden die App tatsächlich nutzen. Wer dabei eine zweite Meinung zum Aufwand will, findet sie in einer technischen Beratung vor dem ersten Code.

Ob die Wallet breit angenommen wird, ist offen. Die Verordnung selbst sieht in Artikel 5f Absatz 5 eine Bewertung von Nachfrage und Nutzung 24 Monate nach der Einführung vor. Eine Investition, die sich nur bei hoher Verbreitung rechnet, kann diese Daten abwarten; eine Pflicht, die besteht, nicht.