Die EUDI-Wallet in Deutschland: was das EU-Recht verlangt und ab wann

Zwei Arten von Inhalten. Das erste sind die Personenidentifizierungsdaten, der Kernsatz, für den ein Mitgliedstaat einsteht, etwa Name, Geburtsdatum und ein eindeutiges Kennzeichen. Das zweite sind elektronische Attributsbescheinigungen, jede eine eigene signierte Aussage über den Inhaber: eine Fahrerlaubnis, ein Hochschulabschluss, eine Rolle im Unternehmen, eine Wohnanschrift.

Beides liegt auf dem Gerät des Inhabers, und der Inhaber entscheidet je Anfrage, was herausgeht. Diese Bauweise erlaubt es einem Prüfer, eine enge Frage zu stellen, statt ein ganzes Dokument zu kopieren, und sie ist der Grund, warum es keinen zentralen Speicher darüber gibt, wer wem was nachgewiesen hat. Die EUDI-Wallet für Banken geht Personenidentifizierungsdaten, Vertrauenslisten und Sicherheitsniveaus im Einzelnen durch.

Artikel 5a Absatz 1 verlangt, dass jeder Mitgliedstaat mindestens eine Europäische Brieftasche für die digitale Identität bereitstellt, und zwar „innerhalb von 24 Monaten nach dem Datum des Inkrafttretens der Durchführungsrechtsakte“ nach Artikel 5a Absatz 23 und Artikel 5c Absatz 6. Artikel 5f Absatz 2 gibt verpflichteten privaten vertrauenden Beteiligten länger: Sie müssen die Wallet „spätestens 36 Monate nach dem Datum des Inkrafttretens“ derselben Durchführungsrechtsakte annehmen, und nur auf freiwilligen Wunsch der Nutzerin oder des Nutzers. Die Uhr läuft in beiden Artikeln ab den Durchführungsrechtsakten und nicht ab der Verordnung, und genau daran hängt ein Projektplan.

Die Europäische Kommission übersetzt die erste Frist auf ihren eigenen Seiten zur EU Digital Identity Wallet in ein klares Ziel: Jeder Mitgliedstaat soll bis 2026 mindestens eine Wallet nach denselben gemeinsamen Spezifikationen bereitstellen. Beides zusammen gelesen: 2026 ist das Arbeitsdatum der Kommission für die Pflicht der Mitgliedstaaten, rechtlich maßgeblich sind die 24 Monate aus Artikel 5a.

Artikel 5f Absatz 2 nennt die Bereiche, und Banken und Finanzdienstleistungen stehen darin, neben Verkehr, Energie, Sozialversicherung, Gesundheit, Trinkwasser, Postdiensten, digitaler Infrastruktur, Bildung und Telekommunikation. Die Pflicht trifft private vertrauende Beteiligte dieser Bereiche, die nach Unionsrecht, nationalem Recht oder Vertrag eine starke Nutzerauthentifizierung für die Online-Identifizierung einsetzen müssen. Kleinst- und Kleinunternehmen sind ausgenommen.

Eine deutsche Bank, die beim Login ohnehin stark authentifiziert, ist damit verpflichtete vertrauende Beteiligte und muss eine Wallet-Vorlage annehmen, wenn eine Kundin sie anbietet. Sie darf das aber nicht für die Erfüllung aller Pflichten halten. Die Wallet klärt, wer die Person ist; der Rest der Sorgfaltspflichten bleibt unberührt, also Zweck der Geschäftsbeziehung, Herkunft der Mittel, Sanktions- und PEP-Prüfung und die laufende Überwachung. Dazu KYC in Deutschland und Geldwäscheprävention in Deutschland, und KYC und AML trennt die beiden Begriffe.

Eine Wallet aus einem Mitgliedstaat muss bei einem Prüfer in einem anderen funktionieren, und das gelingt nur, wenn alle dieselben Formate und Protokolle umsetzen. Das Architektur- und Referenzrahmenwerk legt sie fest. Die Kommission beschreibt es als Festlegung der gemeinsamen Architektur des Wallet-Ökosystems durch Standards, Protokolle und Formate des Informationsaustauschs zwischen ausgebenden Stellen, Wallets und Diensteanbietern, und sie hält fest, dass Version 2.0 auf GitHub verfügbar ist.

Die offene, versionierte Veröffentlichung hat für alle, die dagegen bauen, einen praktischen Effekt: Man liest den aktuellen Text, sieht die Änderungen zwischen zwei Versionen und kann einen Punkt melden, der im Betrieb nicht trägt. Für die Architekten einer Bank zählt das mehr als die Erwägungsgründe der Verordnung, denn gebaut wird gegen das Rahmenwerk.

Bevor die Pflicht greift, wird das Ökosystem in vier Konsortien getestet, die die Kommission als Zusammenschluss öffentlicher und privater Fachkompetenz aus der ganzen EU beschreibt, finanziert aus Zuschüssen der Europäischen Kommission, die Prototypen bauen und Alltagsanwendungen testen. Es sind POTENTIAL, NOBID, EWC und DC4EU.

Für eine Bank zählen sie aus einem Grund: Die Zahlungs- und Finanzanwendungen werden dort zuerst durchgearbeitet, sodass die Integrationsmuster, die im Rahmenwerk ankommen, meist einen Piloten hinter sich haben. Wer sehen will, wie sich eine Wallet bei einer Kontoeröffnung oder bei einer Zahlungsfreigabe verhält, liest heute, was die Piloten veröffentlicht haben.

Deutschland baut eine eigene. Die Projektseite eudi-wallet.gov.de stellt sie als offizielles Projekt von Bund, Ländern und Kommunen vor, nennt für die deutsche EUDI-Wallet-App den Start Anfang 2027 und beschreibt die Nutzung als freiwillig und europaweit reguliert. Zu den Daten ist sie deutlich: Dokumente werden verschlüsselt auf dem Smartphone gespeichert, eine zentrale Datensammlung gibt es nicht.

Für eine Bank in Deutschland legt das zwei Planungsannahmen fest. Die staatliche Wallet ist die, die die meisten Kunden tragen werden, also die erste Testumgebung, und weil die Nutzung freiwillig ist, braucht eine Bank ihre bestehenden Identifizierungswege für alle, die keine Wallet nutzen. Die eID- und Video-Verfahren auf KYC in Deutschland bleiben im Produkt.

An der Kasse beantwortet ein Wallet-Nachweis eine Frage, mit der die Zahlungsschienen schlecht umgehen: Wer ist das, und stimmt ein Merkmal über diese Person. Ein Händler, der ein Alter, einen Wohnsitz oder eine Unternehmensrolle feststellen muss, bekommt eine signierte Antwort statt eines Scans. Die Zahlung selbst läuft weiter über Karte, Überweisung oder Stablecoin, siehe die digitale Brieftasche.

Identitäts- und Zahlungsrecht treffen sich bei der Authentifizierung, denn eine Wallet kann die starke Authentifizierung leisten, die das Zahlungsrecht fordert. Das kommende Regelwerk behandelt PSD3, und die Verordnung, die die Wallet geschaffen hat, mit ihren Vertrauensdiensten, Signaturen und Siegeln, eIDAS 2 im Finanzwesen.

Mitgliedstaaten müssen innerhalb von 24 Monaten nach Inkrafttreten der Durchführungsrechtsakte nach Artikel 5a Absatz 23 und Artikel 5c Absatz 6 mindestens eine Wallet bereitstellen, und das Arbeitsdatum der Europäischen Kommission für diese Pflicht ist 2026. Verpflichtete private vertrauende Beteiligte haben ab demselben Zeitpunkt 36 Monate. Die deutsche App ist auf eudi-wallet.gov.de für Anfang 2027 angekündigt.

Nein. Die Verordnung verpflichtet Mitgliedstaaten zur Bereitstellung und verpflichtete vertrauende Beteiligte zur Annahme, und Artikel 5f Absatz 2 ergänzt, dass die Annahme nur auf freiwilligen Wunsch der Nutzerin oder des Nutzers erfolgt. Die deutsche Projektseite hält klar fest, dass die Nutzung freiwillig ist. Niemand muss sie installieren, und Dienste müssen für Menschen ohne Wallet weiter funktionieren.

Für den Identifizierungsschritt ja: Eine Wallet-Vorlage liefert Identitätsmerkmale, für die ein Mitgliedstaat einsteht, auf einem Sicherheitsniveau, das das System definiert. Den übrigen Teil der Sorgfaltspflichten liefert sie nicht. Zweck der Geschäftsbeziehung, wirtschaftlich Berechtigte, Herkunft der Mittel, Sanktions- und PEP-Prüfung und laufende Überwachung bleiben nach den Geldwäscheregeln auf Geldwäscheprävention in Deutschland Aufgabe der Bank.

eIDAS 2 ist das Recht, die EUDI-Wallet ist das, was dieses Recht verlangt. Die Verordnung (EU) 2024/1183 hat die eIDAS-Verordnung von 2014 geändert und den europäischen Rahmen für die digitale Identität geschaffen, in dem die Wallet ein Teil neben den Vertrauensdiensten für Signaturen, Siegel und Bescheinigungen ist. Den Rest der Verordnung behandelt eIDAS 2 im Finanzwesen.