eIDAS 2.0: die Pflichten der Unternehmen im Umgang mit der EUDI Wallet bis 2027

Kurz gesagt: Die Verordnung eIDAS 2.0 (Verordnung (EU) 2024/1183) schafft eine europäische digitale Identitäts-Wallet, die EUDI Wallet. Jeder Mitgliedstaat muss seinen Bürgern bis zum 24. Dezember 2026 mindestens eine solche Wallet anbieten.

Anschließend, ab dem 24. Dezember 2027, wird eine große Zahl regulierter Unternehmen verpflichtet sein, diese Wallet zu akzeptieren, wenn ein Nutzer sie zum Nachweis seiner Identität verwenden möchte. Diese Pflicht ist nicht optional, sie beschränkt sich nicht auf einen einzigen Kanal, und sie wird nicht dadurch erfüllt, dass man stattdessen eine andere digitale Identität akzeptiert.

‍

Hier lesen Sie, was das konkret für Ihr Unternehmen bedeutet und wie Sie sich vorbereiten, ohne alles neu zu bauen.

‍

Was eIDAS 2.0 besagt

‍

eIDAS 2.0 ist die gebräuchliche Bezeichnung für die Verordnung (EU) 2024/1183, die den europäischen Rahmen für die elektronische Identifizierung und Vertrauensdienste überarbeitet. Ihr zentraler Beitrag: die europäische digitale Identitäts-Wallet (European Digital Identity Wallet, oder EUDI Wallet).

‍

Die Idee ist einfach formuliert. Jeder Bürger, jeder Einwohner und jedes Unternehmen der Union soll über eine digitale Wallet verfügen können, die kostenlos und in der gesamten EU interoperabel ist, um Identitätsnachweise und überprüfte Attribute (Name, Geburtsdatum, Diplom, Führerschein, berufliches Mandat usw.) zu speichern und vorzuzeigen. Der Nutzer behält die Kontrolle: Er entscheidet, welche Informationen er teilt, mit wem und zu welchem Zweck.

‍

Um die Funktionsweise der Wallet selbst, ihre Anwendungsfälle und ihre Architektur genau zu verstehen, können Sie unseren Grundlagenartikel lesen: eIDAS 2.0: die europäische digitale Identitäts-Wallet, was Sie wissen müssen.

‍

Der Punkt, der Unternehmen direkt betrifft, liegt woanders: Die Verordnung schafft nicht nur ein Werkzeug, sie verpflichtet bestimmte Akteure, es zu akzeptieren.

‍

Wer betroffen ist (und ab wann)

‍

Das ist die Frage, die am häufigsten auftaucht: Muss mein Unternehmen die europäische Wallet akzeptieren, und ab wann?

‍

Die direkt betroffenen regulierten Sektoren

‍

Die Annahmepflicht betrifft vorrangig die Akteure aus Sektoren, die als wesentlich gelten und in denen ein zuverlässiger Identitätsnachweis eine tägliche Herausforderung darstellt. Betroffen sind:

• das Bankwesen und die Finanzdienstleistungen;
• das Gesundheitswesen;
• die Telekommunikation;
• die Energie;
• der Verkehr;
• die Bildung.

‍

Zu dieser Liste kommen die sehr großen Online-Plattformen hinzu, das heißt jene mit mehr als 45 Millionen Nutzern in der Union.

‍

Die zur starken Authentifizierung verpflichteten Akteure

‍

Der Geltungsbereich endet nicht bei den aufgeführten Sektoren. Jeder private Akteur, der zu einer starken Kundenauthentifizierung (SCA) verpflichtet ist, sei es durch eine gesetzliche oder eine vertragliche Verpflichtung, fällt ebenfalls in den Anwendungsbereich der verpflichtenden Annahme. Anders gesagt: Wenn Ihre Tätigkeit bereits eine robuste Überprüfung der Identität Ihrer Kunden erfordert, sollten Sie sich die Frage schon heute stellen.

‍

Das entscheidende Datum: der 24. Dezember 2027

‍

Der Zeitplan beruht auf zwei Meilensteinen. Zunächst muss jeder Mitgliedstaat seinen Bürgern bis zum 24. Dezember 2026 mindestens eine interoperable Wallet anbieten. Das ist die Phase der Bereitstellung des Werkzeugs.

‍

Anschließend wird die Annahme für die regulierten Akteure bis zum 24. Dezember 2027 verpflichtend, also 36 Monate nach Inkrafttreten der Durchführungsrechtsakte. Zu diesem Zeitpunkt muss das betroffene Unternehmen in der Lage sein, eine von einem Nutzer vorgelegte Wallet entgegenzunehmen und zu überprüfen.

‍

Drei wichtige Klarstellungen, denn dies sind die häufigsten Missverständnisse:

• die Pflicht ist nicht optional;
• sie beschränkt sich nicht auf die Kundenkanäle (sie kann auch andere Prozesse betreffen als den reinen Kaufprozess);
• sie wird nicht dadurch erfüllt, dass man stattdessen eine andere digitale Identität akzeptiert. Eine eigene Identifizierungslösung anzubieten, entbindet Sie nicht davon, die europäische Wallet zu akzeptieren, wenn der Nutzer sich für ihre Verwendung entscheidet.

‍

Was es konkret bedeutet, „die Wallet zu akzeptieren"

‍

Die Wallet zu akzeptieren, bedeutet nicht, ein Kästchen anzukreuzen. Es bedeutet, zu dem zu werden, was die Verordnung eine relying party (nutzende Partei) nennt, und einen neuen Baustein in Ihre Prozesse zu integrieren. Hier sind die vier Aspekte, die Sie einplanen sollten.

‍

1. Relying party werden

‍

Ihr Unternehmen muss in der Lage sein, über die Wallet einen Identitätsnachweis oder ein Attribut anzufordern und die Antwort des Nutzers entgegenzunehmen. Technisch setzt dies voraus, dass Sie die im europäischen Rahmen vorgesehenen Austauschprotokolle in Ihre Prozesse für Onboarding, Anmeldung oder Signatur integrieren.

‍

2. Attribute entgegennehmen und überprüfen

‍

Eine Information entgegenzunehmen genügt nicht: Man muss ihre Echtheit und Gültigkeit überprüfen. Die Wallet legt Attribute vor, die von vertrauenswürdigen Ausstellern kryptografisch signiert sind. Ihr System muss in der Lage sein, diese Signaturen zu prüfen, sicherzustellen, dass das Attribut nicht widerrufen wurde, und eine ungültige Vorlage abzulehnen. Das ist die natürliche Fortsetzung eines Identitätsprüfungsprozesses, der in vielen Unternehmen bereits besteht: siehe unseren vollständigen KYC-Leitfaden.

‍

3. Die Einwilligung verwalten

‍

Die Wallet stellt den Nutzer in den Mittelpunkt. Jede Weitergabe eines Attributs beruht auf seiner ausdrücklichen Einwilligung. Ihr Prozess muss daher klar anzeigen, welche Daten Sie anfordern und warum, die Zustimmung der Person einholen und diese Einwilligung nachvollziehbar dokumentieren.

‍

4. Sich im eigenen Mitgliedstaat registrieren

‍

Die privaten relying parties müssen sich in ihrem Niederlassungsmitgliedstaat registrieren. Diese Registrierung setzt voraus, dass der verfolgte Zweck und die angeforderten Daten angegeben werden. Das ist ein administrativer Schritt, den man nicht unterschätzen sollte, denn er ist Voraussetzung für das Recht, die Wallet abzufragen.

‍

Hinzu kommt ein übergreifendes Prinzip: die Minimierung. Sie dürfen nur die Attribute anfordern, die für Ihren Zweck unbedingt erforderlich sind. Wenn ein Volljährigkeitsnachweis ausreicht, darf nicht das vollständige Geburtsdatum verlangt werden. Dieses Prinzip schützt den Nutzer und verringert Ihre eigene Exposition im Fall eines Zwischenfalls.

‍

Der Zeitplan zum Merken

‍

Zwei Daten strukturieren Ihren Fahrplan.

‍

2026: die Bereitstellung

‍

Bis zum 24. Dezember 2026 stellt jeder Mitgliedstaat mindestens eine interoperable Wallet bereit. Das ist das Zeitfenster, in dem Sie Ihr Projekt umreißen, Ihre betroffenen Prozesse ermitteln und Ihre Integrationsarbeiten starten müssen.

‍

2027: die verpflichtende Annahme

‍

Bis zum 24. Dezember 2027 wird die Annahme für die regulierten Akteure verpflichtend. Zu diesem Datum muss Ihr Unternehmen einsatzbereit sein: fähig, die Vorlage einer Wallet entgegenzunehmen, zu überprüfen und zu verarbeiten, mit einer ordnungsgemäßen Registrierung und einer konformen Verwaltung der Einwilligung.

‍

Zwischen beiden bleibt also nur ein Zeitfenster von etwa zwölf Monaten, um von der Bereitstellung des Werkzeugs zu einer tatsächlich produktiven Integration zu gelangen. Das ist kurz für ein Unternehmen, dessen Projektzyklen in Quartalen gemessen werden.

‍

Wie man sich vorbereitet, ohne alles neu zu bauen

‍

Die gute Nachricht: Die europäische Wallet zu akzeptieren, bedeutet nicht, Ihre bestehenden Systeme wegzuwerfen. Es bedeutet, einen vertrauenswürdigen Identitätskanal neben dem hinzuzufügen, was Sie bereits tun. Hier ist ein pragmatischer Weg.

‍

• Ihre Prozesse kartografieren. Ermitteln Sie, wo Sie heute eine Identität überprüfen: Kunden-Onboarding, Kontoeröffnung, Anmeldung, Signatur, sensible Vorgänge. Das sind Ihre vorrangigen Integrationspunkte.
• Ihren Status bestätigen. Klären Sie, ob Sie unter einen betroffenen regulierten Sektor oder eine Pflicht zur starken Authentifizierung fallen. Im Zweifelsfall behandeln Sie das Thema so, als wären Sie betroffen.
• Die Registrierung vorbereiten. Bereiten Sie die Angabe Ihrer Zwecke und der angeforderten Daten bei Ihrem Mitgliedstaat vor und wenden Sie schon jetzt das Prinzip der Minimierung an.
• Ihr Prüffundament stärken. Die Wallet liefert vertrauenswürdige Attribute, aber sie ersetzt weder die Analyse des Betrugsrisikos, noch die Kontrolle der Unternehmen und ihrer wirtschaftlich Berechtigten, noch die Bewertung der Bonität.

‍

Genau hier ergänzen sich die Wallet und eine Plattform wie Meelo. Die Wallet beweist, wer die Person ist; die Betrugserkennung und das KYB bewerten das mit der Transaktion und ihrem Kontext verbundene Risiko. Meelo stützt sich auf mehr als 400 Signale, die Verhaltensanalyse und die Geräteanalyse, um eine Entscheidung in 2 bis 5 Sekunden zu treffen, dokumentiert und auditierbar: entdecken Sie unseren Ansatz zur Betrugsbewertung und Identitätsprüfung.

‍

Einen detaillierten Fahrplan Schritt für Schritt finden Sie außerdem in unserem Artikel eIDAS 2.0: richtig vorbereiten.

‍

Fazit

‍

eIDAS 2.0 ist keine ferne Reform. Die europäische Wallet kommt Ende 2026, und ihre Annahme wird für zahlreiche regulierte Akteure ab dem 24. Dezember 2027 verpflichtend.

‍

Die Pflicht ist klar: Sie ist weder optional, noch auf einen Kanal beschränkt, noch umgehbar, indem man eine andere digitale Identität anbietet. Die betroffenen Unternehmen tun gut daran, jetzt zu handeln: ihre Prozesse zu kartografieren, ihren Status zu bestätigen, ihre Registrierung vorzubereiten und ihr Prüffundament zu stärken.

‍

Die Wallet zu akzeptieren, bedeutet nicht, alles neu zu bauen, sondern einen vertrauenswürdigen Identitätskanal hinzuzufügen und ihn durch eine solide Risikoanalyse zu ergänzen. Wer sich früh darum kümmert, verwandelt eine regulatorische Auflage in einen operativen Vorteil.

‍

Quellen: Verordnung (EU) 2024/1183 (eIDAS 2.0); Europäische Kommission, European Digital Identity Wallet.

‍