EUDI Wallet Deutschland

Die Wallet enthält zwei Arten von Inhalten, erstens die Personenidentifizierungsdaten, der Kernsatz, für den ein Mitgliedstaat einsteht, etwa Name, Geburtsdatum und ein eindeutiges Kennzeichen. Das zweite sind elektronische Attributsbescheinigungen, jede eine eigene signierte Aussage über den Inhaber: eine Fahrerlaubnis, ein Hochschulabschluss, eine Rolle im Unternehmen, eine Wohnanschrift.

Beides liegt auf dem Gerät des Inhabers, und der Inhaber entscheidet je Anfrage, was herausgeht. Diese Bauweise erlaubt es einem Prüfer, eine enge Frage zu stellen, statt ein ganzes Dokument zu kopieren, und sie ist der Grund, warum es keinen zentralen Speicher darüber gibt, wer wem was nachgewiesen hat. Die EUDI-Wallet für Banken nutzt Personenidentifizierungsdaten, Vertrauenslisten und definierte Sicherheitsniveaus.

Artikel 5a Absatz 1 verlangt, dass jeder Mitgliedstaat mindestens eine Europäische Brieftasche für die digitale Identität bereitstellt, und zwar „innerhalb von 24 Monaten nach dem Datum des Inkrafttretens der Durchführungsrechtsakte“ nach Artikel 5a Absatz 23 und Artikel 5c Absatz 6. Artikel 5f Absatz 2 gibt verpflichteten privaten vertrauenden Beteiligten länger: Sie müssen die Wallet „spätestens 36 Monate nach dem Datum des Inkrafttretens“ derselben Durchführungsrechtsakte annehmen, und nur auf freiwilligen Wunsch der Nutzerin oder des Nutzers. Die Uhr läuft in beiden Artikeln ab den Durchführungsrechtsakten und nicht ab der Verordnung, was die Projektplanung für die Einführung bestimmt.

Jeder Mitgliedstaat soll bis 2026 mindestens eine EU Digital Identity Wallet nach denselben gemeinsamen Spezifikationen bereitstellen. Für die Planung ist 2026 ist das Arbeitsdatum der Kommission für die Pflicht der Mitgliedstaaten, rechtlich maßgeblich sind die 24 Monate aus Artikel 5a.

Artikel 5f Absatz 2 nennt die Bereiche, und Banken und Finanzdienstleistungen stehen darin, neben Verkehr, Energie, Sozialversicherung, Gesundheit, Trinkwasser, Postdiensten, digitaler Infrastruktur, Bildung und Telekommunikation. Die Pflicht trifft private vertrauende Beteiligte dieser Bereiche, die nach Unionsrecht, nationalem Recht oder Vertrag eine starke Nutzerauthentifizierung für die Online-Identifizierung einsetzen müssen. Kleinst- und Kleinunternehmen sind ausgenommen.

Eine deutsche Bank, die beim Login ohnehin stark authentifiziert, ist damit verpflichtete vertrauende Beteiligte und muss eine Wallet-Vorlage annehmen, wenn eine Kundin sie anbietet. Die Bank darf das aber nicht für die Erfüllung aller Pflichten halten. Die Wallet klärt, wer die Person ist; der Rest der Sorgfaltspflichten bleibt unberührt, also Zweck der Geschäftsbeziehung, Herkunft der Mittel, Sanktions- und PEP-Prüfung und die laufende Überwachung. Dazu KYC in Deutschland und Geldwäscheprävention in Deutschland, und KYC und AML trennt die beiden Begriffe.

Eine Wallet aus einem Mitgliedstaat muss bei einem Prüfer in einem anderen funktionieren, und das gelingt nur, wenn alle dieselben Formate und Protokolle umsetzen. Das Architektur- und Referenzrahmenwerk legt sie fest. Die Kommission beschreibt es als Festlegung der gemeinsamen Architektur des Wallet-Ökosystems durch Standards, Protokolle und Formate des Informationsaustauschs zwischen ausgebenden Stellen, Wallets und Diensteanbietern, und sie hält fest, dass Version 2.0 auf GitHub verfügbar ist.

Die offene, versionierte Veröffentlichung hat für alle, die es implementieren, einen praktischen Effekt: Man liest den aktuellen Text, sieht die Änderungen zwischen zwei Versionen und kann einen Punkt melden, der im Betrieb nicht trägt. Architekten einer Bank nutzen das Rahmenwerk als technische Vorgabe für ihre Integration.

Bevor die Pflicht greift, wird das Ökosystem in vier Konsortien getestet, die die Kommission als Zusammenschluss öffentlicher und privater Fachkompetenz aus der ganzen EU beschreibt, finanziert aus Zuschüssen der Europäischen Kommission, die Prototypen bauen und Alltagsanwendungen testen. Es sind POTENTIAL, NOBID, EWC und DC4EU.

Die Zahlungs- und Finanzanwendungen werden dort zuerst durchgearbeitet, sodass die Integrationsmuster, die im Rahmenwerk ankommen, meist einen Piloten hinter sich haben. Wer sehen will, wie sich eine Wallet bei einer Kontoeröffnung oder bei einer Zahlungsfreigabe verhält, liest heute, was die Piloten veröffentlicht haben.

Deutschland entwickelt eine eigene Wallet, und die Projektseite eudi-wallet.gov.de stellt sie als offizielles Projekt von Bund, Ländern und Kommunen vor, nennt für die deutsche EUDI-Wallet-App den Start Anfang 2027 und beschreibt die Nutzung als freiwillig und europaweit reguliert. Zu den Daten ist sie deutlich: Dokumente werden verschlüsselt auf dem Smartphone gespeichert, eine zentrale Datensammlung gibt es nicht.

Für eine Bank in Deutschland ist die staatliche Wallet die, die die meisten Kunden verwenden werden, also die erste Testumgebung, und weil die Nutzung freiwillig ist, braucht eine Bank ihre bestehenden Identifizierungswege für alle, die keine Wallet nutzen. Die eID- und Video-Verfahren für KYC in Deutschland bleiben im Produkt.

An der Kasse belegt ein Wallet-Nachweis die Identität eines Kunden und ein Merkmal dieser Person. Ein Händler, der ein Alter, einen Wohnsitz oder eine Unternehmensrolle feststellen muss, bekommt eine signierte Antwort statt eines Scans. Die Zahlung selbst läuft weiter über Karte, Überweisung oder Stablecoin, wie bei der digitalen Brieftasche.

Identitäts- und Zahlungsrecht treffen sich bei der Authentifizierung, denn eine Wallet kann die starke Authentifizierung leisten, die das Zahlungsrecht fordert. Das kommende Regelwerk ist PSD3, und die Verordnung, die die Wallet geschaffen hat, mit ihren Vertrauensdiensten, Signaturen und Siegeln, ist eIDAS 2 im Finanzwesen.

Mitgliedstaaten müssen innerhalb von 24 Monaten nach Inkrafttreten der Durchführungsrechtsakte nach Artikel 5a Absatz 23 und Artikel 5c Absatz 6 mindestens eine Wallet bereitstellen, und das Arbeitsdatum der Europäischen Kommission für diese Pflicht ist 2026. Verpflichtete private vertrauende Beteiligte haben ab demselben Zeitpunkt 36 Monate. Die deutsche App ist auf eudi-wallet.gov.de für Anfang 2027 angekündigt.

Die Verordnung verpflichtet Mitgliedstaaten zur Bereitstellung und verpflichtete vertrauende Beteiligte zur Annahme, und Artikel 5f Absatz 2 ergänzt, dass die Annahme nur auf freiwilligen Wunsch der Nutzerin oder des Nutzers erfolgt. Die Nutzung der deutschen Wallet ist freiwillig, wie die Projektbeschreibung erläutert. Niemand muss sie installieren, und Dienste müssen für Menschen ohne Wallet weiter funktionieren.

Für den Identifizierungsschritt liefert eine Wallet-Vorlage Identitätsmerkmale, für die ein Mitgliedstaat einsteht, auf einem Sicherheitsniveau, das das System definiert. Den übrigen Teil der Sorgfaltspflichten liefert sie nicht. Zweck der Geschäftsbeziehung, wirtschaftlich Berechtigte, Herkunft der Mittel, Sanktions- und PEP-Prüfung und laufende Überwachung bleiben nach den Regeln zur Geldwäscheprävention in Deutschland Aufgabe der Bank.

eIDAS 2 ist das Recht, die EUDI-Wallet ist die dadurch vorgeschriebene App. Die Verordnung (EU) 2024/1183 hat die eIDAS-Verordnung von 2014 geändert und den europäischen Rahmen für die digitale Identität geschaffen, in dem die Wallet ein Teil neben den Vertrauensdiensten für Signaturen, Siegel und Bescheinigungen ist. Auch diese Vertrauensdienste für elektronische Transaktionen regelt eIDAS 2 im Finanzwesen.