EUDI-Wallet und eIDAS 2.0: Was die digitale Brieftasche für Unternehmen bedeutet

Mit der EUDI-Wallet kommt in der EU eine digitale Brieftasche, in der Bürger Ausweisdaten und Nachweise auf dem Smartphone halten und gezielt gegenüber Unternehmen vorzeigen. Für Unternehmen heißt das nicht automatisch Handlungsdruck, aber es verschiebt, wie Identitäten geprüft, Vollmachten belegt und Verträge unterschrieben werden. Dieser Artikel klärt, ob dich die Akzeptanzpflicht trifft, was sich in Onboarding, Zugriffsverwaltung und Datenschutz ändert und was du in den nächsten 15 Monaten tun solltest. Er ist keine Rechtsberatung, klär Zweifelsfälle mit deiner Rechtsabteilung oder Kanzlei.

Was ist die EUDI-Wallet und was ändert eIDAS 2.0?

Die Abkürzung steht für European Digital Identity Wallet, im Gesetzestext „Europäische Brieftasche für die Digitale Identität". Rechtsgrundlage ist die Verordnung (EU) 2024/1183, die die eIDAS-Verordnung von 2014 ändert und deshalb kurz eIDAS 2.0 heißt. Sie wurde am 30. April 2024 im Amtsblatt veröffentlicht und trat 20 Tage später, am 20. Mai 2024, in Kraft. Eine Verordnung gilt unmittelbar, es braucht also kein deutsches Umsetzungsgesetz, damit die Pflichten für Unternehmen entstehen. Das deutsche Gesetz regelt nur Zuständigkeiten und Verfahren.

Was kann die Wallet? Der Gesetzestext nennt in Artikel 5a unter anderem das sichere Anfordern, Speichern und Vorweisen von Personenidentifizierungsdaten und elektronischen Attributsbescheinigungen, die Identifizierung online und offline sowie das Unterzeichnen mit qualifizierten elektronischen Signaturen. Eine Attributsbescheinigung ist ein digitaler Nachweis über eine einzelne Eigenschaft, etwa „über 18", „hat den Führerschein Klasse B" oder „darf die Firma X vertreten". Der Nutzer entscheidet bei jeder Anfrage, welche Angaben er weitergibt. Dieses Prinzip heißt Selective Disclosure, im Gesetz „selektive Offenlegung von Daten".

Drei Eigenschaften sind für Unternehmen wichtig:

• Freiwillig und kostenlos für natürliche Personen. Ausstellung, Nutzung und Widerruf kosten Bürger nichts (Artikel 5a Absatz 13). Wer die Wallet nicht nutzt, darf beim Zugang zu Diensten und zum Arbeitsmarkt nicht benachteiligt werden, und andere Identifizierungsmittel müssen möglich bleiben (Absatz 15).
• Auch für juristische Personen vorgesehen. Der Zweck in Absatz 1 nennt ausdrücklich natürliche und juristische Personen. In der Liste der Attribute (Anhang VI) stehen unter anderem Vollmachten und Mandate zur Vertretung einer natürlichen oder juristischen Person sowie Finanz- und Unternehmensdaten.
• Hohes Vertrauensniveau. Die Wallet wird im Rahmen eines notifizierten Identifizierungssystems mit der Sicherheitsstufe „hoch" bereitgestellt (Absatz 11) und von Konformitätsbewertungsstellen zertifiziert (Artikel 5c).

Wer muss die Wallet bis wann anbieten oder akzeptieren?

Die Fristen hängen an einem Datum, das viele Anbieter-Blogs ungenau wiedergeben. Der Gesetzestext nennt keinen festen Kalendertag, sondern zählt ab dem Inkrafttreten der Durchführungsrechtsakte der Kommission. Das Paket aus den Durchführungsverordnungen (EU) 2024/2977, 2024/2979 und weiteren wurde am 4. Dezember 2024 veröffentlicht und trat am 24. Dezember 2024 in Kraft. Daraus ergeben sich rechnerisch der 24. Dezember 2026 und der 24. Dezember 2027. Die Kommission selbst spricht von „Ende 2026". Manche Quellen nennen den 31. Dezember, das ist eine Rundung, die der Text nicht hergibt.

Der Zeitstrahl im Überblick

Wer nach Terminen in anderen Quellen sucht, findet zum Teil abweichende Angaben. Der „Rollout bis 2029", der in einzelnen Berichten auftaucht, ist weder in der Verordnung noch in den amtlichen Seiten des Bundes belegt. Er steht deshalb nicht in der Tabelle.

Mitgliedstaaten und öffentliche Stellen

Jeder Mitgliedstaat stellt innerhalb von 24 Monaten nach Inkrafttreten der Durchführungsrechtsakte mindestens eine Wallet bereit (Artikel 5a Absatz 1). Sie kann direkt vom Staat, in seinem Auftrag oder von einem unabhängigen Anbieter kommen, den der Staat anerkennt. Verlangt ein Mitgliedstaat für einen Online-Dienst einer öffentlichen Stelle eine elektronische Identifizierung, muss er auch die Wallet akzeptieren (Artikel 5f Absatz 1). Für diese Akzeptanz nennt der Text keine eigene Frist, sie gilt also praktisch ab der Bereitstellung. Für dich als Unternehmen ist das relevant, wenn du Behörden gegenüber digital auftrittst, etwa bei Anträgen oder Meldungen: Dort wird die Wallet bald ein gängiger Weg sein.

Private Unternehmen: Absatz 2 und seine Bedingungen

Artikel 5f Absatz 2 ist der Kern. Private Relying Parties, die Dienste erbringen, müssen die Wallet akzeptieren, wenn drei Bedingungen zusammenkommen:

1. Sie sind kein Kleinst- oder kleines Unternehmen im Sinne der Empfehlung 2003/361/EG. Kleine Unternehmen haben weniger als 50 Beschäftigte und höchstens 10 Millionen Euro Jahresumsatz oder Jahresbilanzsumme.
2. Eine Online-Identifizierung mit starker Nutzerauthentifizierung ist durch Unionsrecht oder nationales Recht vorgeschrieben, oder sie ist vertraglich vorgeschrieben.
3. Der Nutzer verlangt die Wallet freiwillig.

Das „auch in den Bereichen" im Gesetzestext ist eine Aufzählung von Beispielen, keine abschließende Liste: Verkehr, Energie, Bankenwesen, Finanzdienstleistungen, soziale Sicherheit, Gesundheit, Trinkwasser, Postdienste, digitale Infrastrukturen, Bildung und Telekommunikation. Wer in einem dieser Sektoren arbeitet und online eine starke Authentifizierung verlangt, ist typischer Kandidat. Wer in einem anderen Sektor arbeitet, kann trotzdem betroffen sein, wenn Gesetz oder Vertrag eine starke Authentifizierung vorsehen. Die Frist endet spätestens 36 Monate nach den Durchführungsrechtsakten, rechnerisch am 24. Dezember 2027.

Sehr große Online-Plattformen

Anbieter sehr großer Online-Plattformen im Sinne von Artikel 33 des Digital Services Act müssen die Wallet akzeptieren und erleichtern, wenn sie für den Zugang eine Nutzerauthentifizierung verlangen, und zwar nur auf freiwilliges Verlangen des Nutzers und nur mit den Mindestdaten, die der Dienst braucht (Artikel 5f Absatz 3). Eine ausdrückliche 36-Monats-Frist steht in diesem Absatz nicht. Für einen Mittelständler ist das selten relevant, aber wenn du auf einer solchen Plattform Händler oder Dienstleister bist, wirst du die Wallet dort bald zu sehen bekommen.

Bist du akzeptanzpflichtig? Drei Fragen für dein Unternehmen

Nimm ein Beispiel: Du leitest die IT eines Maschinenbauers mit 100 Mitarbeitenden und 30 Millionen Euro Umsatz. Das Unternehmen ist mittelgroß, also nicht von der Ausnahme für Kleinst- und kleine Unternehmen erfasst. Aber verlangst du von Kunden oder Lieferanten eine Online-Identifizierung mit starker Authentifizierung, weil ein Gesetz es vorschreibt? Meistens nicht. Dein Kundenportal nutzt vielleicht Login und Zwei-Faktor-Anmeldung, aber kein Gesetz verlangt das. Damit greift die Akzeptanzpflicht im Normalfall nicht.

Anders sieht es bei einem Stadtwerk mit ebenfalls 100 Mitarbeitenden aus. Energie steht in der Beispielliste, und wenn der Anbieter Kunden online identifiziert und dafür eine starke Authentifizierung vorschreibt, greift die Pflicht. Ähnlich ist es bei Krankenkassen, Banken, Telekommunikationsanbietern oder Lernplattformen.

Prüfe deshalb drei Fragen, in dieser Reihenfolge:

1. Größe: Bist du ein Kleinst- oder kleines Unternehmen nach der Empfehlung 2003/361/EG (unter 50 Beschäftigte, höchstens 10 Millionen Euro Umsatz oder Bilanzsumme)? Dann bist du von der Pflicht ausgenommen.
2. Auslöser: Verlangst du in einem Online-Prozess eine starke Nutzerauthentifizierung, weil ein Gesetz es fordert oder weil ein Vertrag es vorschreibt? Notiere jeden solchen Prozess.
3. Kunden: Sind deine Kunden natürliche Personen, die sich online ausweisen? Dann nutzt die Wallet vor allem ihnen.

Der Auslöser „vertraglich vorgeschrieben" ist der Teil, der am meisten Interpretationsspielraum lässt. Wenn dein Vertrag eine starke Authentifizierung zusichert, kann das reichen. Lass solche Fälle rechtlich bewerten, bevor du dich auf die Ausnahme verlässt.

Wie startet Deutschland? d-you und das Digitale-Identitäten-Gesetz

Das Bundesministerium für Digitales und Staatsmodernisierung (BMDS) nennt die deutsche Wallet d-you. Das „d" steht für digital und Deutschland, „you" stellt die Nutzer in den Mittelpunkt. Nach der Seite des BMDS steht sie ab Anfang 2027 allen Bürgern und Einwohnern kostenfrei und freiwillig zur Verfügung, der geplante Starttermin ist der 2. Januar 2027. Rund 40 Partner aus Wirtschaft, Wissenschaft und Verwaltung sollen zum Start Anwendungen anbieten. Alternative Wallet-Anbieter sollen etwa zwölf Monate später die Möglichkeit bekommen, ihre Lösungen in Deutschland zertifizieren zu lassen.

Die rechtliche Grundlage ist das Digitale-Identitäten-Gesetz (DIdG). Das Kabinett hat den Entwurf im Mai 2026 beschlossen, der Bundestag hat ihn am 23. September 2026 in erster Lesung beraten, die öffentliche Anhörung im Ausschuss für Digitales und Staatsmodernisierung steht am 6. Oktober 2026 an. Stand Oktober 2026 ist das Gesetz also nicht verabschiedet, die Inhalte können sich noch ändern. Zwei Punkte aus dem Kabinettsentwurf sind für Unternehmen wichtig:

• Das Bundesverwaltungsamt soll die Registrierungsstelle für Relying Parties sein und die Liste der registrierten Beteiligten führen. Dieselbe Behörde soll Zugriffs- und Registrierungszertifikate ausstellen. Die Registrierung erfolgt zentral für Deutschland.
• Der Entwurf lässt befristete Abweichungen und Ergänzungen zu, darunter besondere Maßgaben zur Akzeptanz in einzelnen Wirtschaftsbereichen. Ob und wie Deutschland von dieser Möglichkeit Gebrauch macht, ist offen.

Relying Party werden: Registrierung, Zertifikate und Pflichten

Wenn du die Wallet für deine Dienste nutzen willst, bist du eine Relying Party, auf Deutsch „vertrauender Beteiligter". Das gilt auch dann, wenn du nicht akzeptanzpflichtig bist und freiwillig mitmachst. Artikel 5b regelt, was dann gilt:

• Registrierung am Sitz. Du registrierst dich in dem Mitgliedstaat, in dem du niedergelassen bist (Absatz 1).
• Angaben zur Registrierung. Du nennst Mitgliedstaat, Namen, gegebenenfalls Registernummer, Kontaktdaten und die beabsichtigte Verwendung der Wallet einschließlich der Daten, die du von Nutzern anfordern willst (Absatz 2). Das Verfahren muss kosteneffizient und dem Risiko angemessen sein.
• Keine Daten über die Registrierung hinaus. Du darfst von Nutzern keine anderen Daten verlangen als die, die du registriert hast (Absatz 3).
• Änderungen melden. Ändert sich etwas an den registrierten Angaben, informierst du die Registrierungsstelle unverzüglich (Absatz 6).
• Dich identifizieren und Pseudonyme akzeptieren. Du musst dich gegenüber dem Nutzer identifizieren (Absatz 8). Pseudonyme darfst du nicht verweigern, wenn eine Identifizierung nicht gesetzlich vorgeschrieben ist (Absatz 9).
• Die Prüfung liegt bei dir. Du bist für Authentifizierung und Validierung der vorgelegten Daten verantwortlich (Absatz 9).
• Vermittler sind Relying Parties. Ein Dienstleister, der für dich Wallet-Anfragen abwickelt, gilt selbst als Relying Party und darf keine Inhalte der Transaktion speichern (Absatz 10).

Die technische Seite regelt die Durchführungsverordnung (EU) 2025/848 vom 6. Mai 2025. Sie gilt ab dem 24. Dezember 2026 und sieht vor, dass jeder Mitgliedstaat mindestens eine Stelle zur Ausgabe von Zugriffszertifikaten für Relying Parties zulässt. Mit einem solchen Zertifikat weist du dich gegenüber der Wallet aus. Die Verordnung enthält außerdem eine Liste der Angaben für die Registrierung, darunter Name, Kennungen wie Umsatzsteuer-ID, LEI oder nationale Registernummern, Adresse, Kontakt und eine maschinenlesbare Liste der Daten, die du anfragen willst.

Praktisch heißt das: Du entscheidest vorher, welche Attribute du wirklich brauchst. Das ist gleichzeitig die Datenminimierung nach DSGVO, nur dass die Registrierung sie in einen Verwaltungsakt verwandelt.

Was ändert sich für Identitätsprüfung und Onboarding?

Kunden-Onboarding

Heute läuft die Identifizierung neuer Kunden online meist über Video-Ident, Post-Ident, eID des Personalausweises oder Bankverbindung. Jedes Verfahren hat Medienbrüche, Abbruchquoten oder Kosten pro Prüfung. Die Wallet soll diese Verfahren ergänzen. Ein Kunde zeigt seine Personenidentifizierungsdaten aus der Wallet, dein System prüft die Signatur des Ausstellers und bekommt nur die Attribute, die du registriert hast. Als Datenformat nennt die Durchführungsverordnung (EU) 2024/2977 unter anderem das Format nach ISO/IEC 18013-5 und das W3C-Datenmodell für Verifiable Credentials. Wie dein Backend das anbindet, ist eine Frage der Architektur: Entweder baust du eine Verifier-Komponente selbst, oder du nutzt einen Anbieter, der als Vermittler auftritt und selbst als Relying Party gilt.

Was solltest du jetzt tun? Liste alle Prozesse, in denen du heute eine Identität online prüfst. Notiere pro Prozess, welche Daten du erhebst, warum, und welche davon du tatsächlich brauchst. Oft zeigt sich, dass du ein Geburtsdatum speicherst, obwohl nur die Volljährigkeit relevant war. Mit der Wallet wäre „über 18" ausreichend.

Mitarbeiter-Onboarding

Auch beim Einstellen und Anlegen von Konten taucht die Wallet auf. Wer remote einstellt, prüft üblicherweise die Identität des Bewerbers. Ein Nachweis aus der Wallet kann das erleichtern. Gleichzeitig gilt Artikel 5a Absatz 15: Wer die Wallet nicht nutzt, darf beim Zugang zum Arbeitsmarkt nicht benachteiligt werden. Du kannst die Wallet also anbieten, aber nie verlangen. Ein Onboarding, das nur mit Wallet funktioniert, wäre rechtlich angreifbar.

Für den Onboarding- und Offboarding-Prozess im Identity-Management heißt das: Die Wallet ändert vor allem den ersten Schritt, die Identitätsprüfung. Danach läuft alles wie bisher über dein Personalsystem, dein Verzeichnis und deine Rollen. Eine Wallet ersetzt kein Joiner-Mover-Leaver-Verfahren.

Vollmachten, Signaturen und B2B-Prozesse

Im Mittelstand hängen viele Abläufe an Unterschriften und Vertretungsnachweisen: Wer darf bei Ausschreibungen unterschreiben? Wer darf Bestellungen auslösen? Wer vertritt das Unternehmen gegenüber der Bank?

Zwei Funktionen der Wallet sind hier relevant. Erstens kann sie qualifizierte elektronische Signaturen erstellen, und Mitgliedstaaten müssen allen natürlichen Personen ermöglichen, damit kostenlos zu unterzeichnen. Sie dürfen das auf nichtgewerbliche Zwecke beschränken (Artikel 5a Absatz 5 Buchstabe g). Für Geschäftsprozesse heißt das: Die kostenlose Signatur nutzt Privatpersonen, nicht automatisch deinem Außendienst. Zweitens listet Anhang VI die Vollmachten und Mandate zur Vertretung natürlicher oder juristischer Personen sowie Unternehmensdaten als Attribute, die Staaten in authentischen Quellen prüfbar machen sollen. Der Gesetzgeber hat also im Blick, dass jemand mit der Wallet nachweisen kann, dass er für eine Firma handelt.

Wie weit das in Deutschland tragen wird, hängt von den Registern ab. Nach dem DIdG-Entwurf bleiben die bisherigen Stellen für Nachweise aus Handels-, Genossenschafts-, Partnerschafts- und anderen Registern zuständig. Rechne nicht damit, dass dein Prokurist ab Januar 2027 im Portal eines Lieferanten per Wallet seine Prokura nachweist. Aber plane, dass du in absehbarer Zeit Anfragen bekommst, ob dein System Vertretungsnachweise aus einer Wallet akzeptiert.

Auf der Unternehmensseite kommt die European Business Wallet dazu. Die Kommission hat sie am 19. November 2025 vorgeschlagen, sie soll Unternehmen und öffentlichen Stellen erlauben, sich grenzüberschreitend zu identifizieren, zu authentifizieren und Daten mit Rechtswirkung auszutauschen. Der Rat hat am 9. Juni 2026 seine Verhandlungsposition beschlossen, das Verfahren ist aber nicht abgeschlossen. Es ist ein Vorschlag, kein geltendes Recht. Beobachte ihn, aber plane noch nicht damit.

Wer heute schon Vertretungsrechte verwaltet, sollte sie sauber im Berechtigungskonzept dokumentieren: Wer darf was im Namen der Firma, wer hat die Vollmacht erteilt, bis wann gilt sie? Diese Struktur braucht jede digitale Vollmacht, egal ob aus der Wallet oder aus einem anderen Verfahren.

EUDI-Wallet und IAM: Auswirkungen auf SSO, Passwordless und Zugriffe

Die Wallet ist kein Ersatz für dein Identity-and-Access-Management. Sie liefert Identitätsdaten von Bürgern, aber sie hält dein Single Sign-On nicht am Laufen und verwaltet keine Rollen. Für die Anmeldung deiner Mitarbeiter bleibt dein Identity-Provider, etwa Entra ID oder ein anderer Verzeichnisdienst, die führende Instanz.

Wo wird es trotzdem interessant?

• Kundenkonten (CIAM). Wenn du ein Kundenportal betreibst, kann die Wallet als zusätzlicher Anmeldeweg dienen: einmal Identität nachweisen, danach Konto mit starkem Faktor absichern. Dein Portal unterstützt dann parallel Passwort, Passkey und Wallet, und alle drei müssen zu deinem Konzept für starke Authentifizierung passen.
• Passwordless. Wer bereits Passkeys und FIDO2 einsetzt, hat ein ähnliches Muster: kryptografischer Nachweis statt Passwort. Die Wallet geht einen Schritt weiter, weil sie nicht nur ein Gerät, sondern eine geprüfte Identität bestätigt. Beide ergänzen sich, ersetzen sich aber nicht.
• Konto-Wiederherstellung und Helpdesk. Hier lohnt der genaue Blick. Viele Angriffe auf Unternehmen laufen über den Helpdesk, der ein Konto auf Zuruf zurücksetzt. Eine Identitätsprüfung per Wallet könnte diesen Prozess härten, sofern dein Helpdesk sie technisch verlangen kann. Prüfe das, bevor du es zusagst.
• Zugriff für externe Partner. Wenn Dienstleister, Berater oder Kunden Zugriff auf deine Systeme brauchen, kannst du prüfen, ob eine Wallet-Identifizierung beim Anlegen des Gastkontos Sinn ergibt.

Der Maßstab bleibt dein Schutzbedarf. Eine Wallet bringt eine hohe Identitätssicherheit beim ersten Kontakt, aber was danach passiert, entscheiden Sitzungsdauer, zweiter Faktor und Zugriffsrechte.

Datenschutz: Selective Disclosure und Datenminimierung

Aus Sicht des Datenschutzes ist die Wallet ein Vorteil, wenn du sie richtig einsetzt. Das Prinzip der selektiven Offenlegung zwingt dich, genau zu bestimmen, was du brauchst. Und der Nutzer sieht in einem Dashboard, welche Relying Parties welche Daten erhalten haben, kann bei ihnen die Löschung nach Artikel 17 DSGVO verlangen und verdächtige Datenanfragen an die Datenschutzbehörde melden (Artikel 5a Absatz 4 Buchstabe d). Das hat Folgen für dich:

• Du brauchst eine klare Rechtsgrundlage für jedes Attribut. Die Wallet liefert die Daten, aber ob du sie verarbeiten darfst, folgt aus der DSGVO. In vielen Fällen ist das der Vertrag oder eine rechtliche Pflicht, bei freiwilligen Zusatzdaten kann es die Einwilligung sein. Die Anfrage in der Wallet ersetzt die Einwilligung nicht automatisch.
• Die Registrierung ist dein Zweckversprechen. Du darfst nur Daten verlangen, die du angegeben hast. Stimmen Registrierung und Prozess nicht überein, hast du ein Datenschutzproblem und ein Registrierungsproblem.
• Dein Verarbeitungsverzeichnis und deine TOMs ändern sich. Neue Verarbeitungstätigkeit, neue Empfängerkategorie, neue technische Maßnahmen. Ob eine Datenschutz-Folgenabschätzung nötig ist, hängt vom Umfang ab. Wallet-Daten sind Ausweisdaten und für die Betroffenen entsprechend sensibel.
• Die Pflichten des Wallet-Anbieters entlasten dich nicht. Er darf keine Nutzungsdaten sammeln, die er für die Bereitstellung nicht braucht (Artikel 5a Absatz 14). Du bleibst aber selbst Verantwortlicher für alles, was du aus Wallet-Daten speicherst.

Wer ein Datenschutz-Managementsystem aufbaut, kann die Wallet-Verarbeitung dort als eigenen Prozess abbilden. Wie das mit der Norm zusammenpasst, erklärt der Artikel zu ISO 27701.

In ISMS Lite legst du Wallet-Anbindungen als Verarbeitungstätigkeit an, verknüpfst sie mit den beteiligten Dienstleistern und den technischen und organisatorischen Maßnahmen und hältst die Nachweise an einem Ort.

Sicherheit: Relying-Party-Zertifikate, Phishing und Deepfakes

Eine Wallet verschiebt Angriffe, sie beseitigt sie nicht. Es lohnt sich, die Schutzmechanismen und die Lücken getrennt anzusehen.

Was die Verordnung vorsieht. Wallets müssen die Authentifizierung und Identifizierung von Relying Parties unterstützen (Artikel 5a Absatz 5), und Nutzer können die Echtheit registrierter Beteiligter überprüfen (Absatz 8 Buchstabe b). Wird eine Wallet kompromittiert, setzt der Mitgliedstaat sie aus oder entzieht sie, und wenn die Ursache nicht binnen drei Monaten behoben ist, wird sie widerrufen (Artikel 5e). Die Zertifizierung einer Wallet gilt höchstens fünf Jahre und nur, wenn alle zwei Jahre eine Schwachstellenbeurteilung erfolgt (Artikel 5c Absatz 4).

Was bei dir liegt.

• Dein Zugriffszertifikat ist ein Schlüssel. Wer es stiehlt, kann sich als dein Unternehmen ausgeben. Behandle es wie jedes Code-Signing- oder TLS-Zertifikat: im Secrets-Management, mit Rotation und Zuständigkeit.
• Dein Verifier ist ein neues System. Es verarbeitet Ausweisdaten und braucht dieselbe Härtung wie ein Identity-Provider: Logging, Patches, Zugriffsbeschränkung, Backup.
• Der Nutzer bleibt das schwächste Glied. Eine Wallet bringt nichts, wenn der Nutzer auf gefälschte Anfragen hereinfällt. Nutzer müssen lernen, zu prüfen, wer Daten anfragt. Die Wallet ist deshalb ein neues Phishing-Ziel. Erwarte Kampagnen, die Nutzer bitten, ihre Wallet für eine angebliche Kontoprüfung zu öffnen.
• Deine Mitarbeiter sind Ziel von Social Engineering um die Wallet. Wer im Support oder im Vertrieb Ausweisdaten entgegennimmt, muss wissen, wie echte Anfragen aussehen. Verbinde das mit deiner Awareness, etwa mit dem Artikel zu Deepfake- und Voice-Clone-Betrug, denn bildbasierte Identitätsprüfung ist anfällig für Fälschungen. Kryptografisch signierte Nachweise reduzieren diese Abhängigkeit, sofern du die Signatur tatsächlich prüfst.

Was du 2026 und 2027 konkret tun solltest

Auch wenn du nicht akzeptanzpflichtig bist, lohnt sich ein schlanker Plan. Die folgende Übersicht zeigt, was in welchem Zeitraum sinnvoll ist.

Wie ernst nimmst du das Thema? Ein sinnvolles Maß ist: Wenn du in einem der genannten Sektoren arbeitest oder Kunden online identifizierst, setze es auf die Agenda. Wenn nicht, reicht eine Bestandsaufnahme und ein Beobachtungsvermerk.

Dabei hilft dir dein Managementsystem, in ISMS Lite zum Beispiel über die Fristen auf dem Dashboard. Lege die Identifizierungsverfahren als Assets an, bewerte das Risiko „Identitätsfälschung beim Onboarding" und leite daraus Maßnahmen ab. Wenn du die Wallet später einführst, hängst du die neue Verarbeitung an dieselben Objekte, statt eine zweite Dokumentation aufzubauen.

Checkliste: Vorbereitung auf die EUDI-Wallet

Betroffenheit klären

• Unternehmensgröße nach Empfehlung 2003/361/EG festgestellt (Kleinst- oder kleines Unternehmen: ausgenommen)
• Alle Online-Prozesse mit Identitätsprüfung oder starker Authentifizierung erfasst
• Für jeden Prozess geprüft: Schreibt ein Gesetz oder ein Vertrag die starke Authentifizierung vor?
• Sektor mit der Beispielliste aus Artikel 5f Absatz 2 abgeglichen
• Ergebnis und Begründung schriftlich festgehalten, mit Datum und Verantwortlichem

Prozesse und Technik

• Verfahren für Kunden-Onboarding und Konto-Wiederherstellung beschrieben
• Erforderliche Attribute pro Prozess festgelegt (nicht mehr als nötig)
• Entscheidung getroffen: eigener Verifier oder Anbieter als Vermittler
• Alternativen ohne Wallet bleiben bestehen
• Zugriffszertifikat und Schlüssel im Secrets-Management eingeplant

Datenschutz und Recht

• Rechtsgrundlage je Attribut dokumentiert
• Verarbeitungsverzeichnis und TOMs um die Wallet-Verarbeitung ergänzt
• Prüfung einer Datenschutz-Folgenabschätzung dokumentiert
• Dienstleister, die Wallet-Daten verarbeiten, per Vertrag eingebunden
• Registrierung als Relying Party vorbereitet (Name, Kennungen, Kontakt, Datenliste, Zweck)

Sicherheit und Organisation

• Verifier in Patch-, Logging- und Backup-Prozesse aufgenommen
• Helpdesk-Prozess für Kontoänderungen überprüft
• Mitarbeiter im Support zu gefälschten Ausweisdaten und Social Engineering geschult
• Beobachtungsvermerk für DIdG, Business Wallet und Branchenvorgaben angelegt, mit Wiedervorlage

Häufige Fehler bei der Vorbereitung auf die EUDI-Wallet

Die Akzeptanzpflicht pauschal annehmen oder pauschal abtun. „Das betrifft nur Banken" ist ebenso falsch wie „wir müssen alles bis Januar umbauen". Entscheidend sind Größe, Sektor und die Frage, ob Gesetz oder Vertrag eine starke Authentifizierung verlangen. Prüfe das für jeden Prozess einzeln.

Fristen aus Anbieter-Blogs übernehmen. Der 31. Dezember 2026 und der 31. Dezember 2027 tauchen häufig auf, der Gesetzestext rechnet aber ab dem Inkrafttreten der Durchführungsrechtsakte. Der Rollout in Deutschland ist ein politischer Plan und kein Gesetzestermin. Nimm Termine aus der Verordnung und dem BMDS, nicht aus Zusammenfassungen.

Mehr Daten anfordern, als registriert sind. Als Relying Party darfst du nur Attribute verlangen, die du bei der Registrierung angegeben hast. Wer pragmatisch „vorsichtshalber alles" abfragt, verstößt gegen Artikel 5b und gegen die Datenminimierung.

Die Wallet verpflichtend machen. Weder Kunden noch Mitarbeiter oder Bewerber dürfen benachteiligt werden, wenn sie die Wallet nicht nutzen. Jeder Prozess braucht einen gleichwertigen Weg ohne sie.

Das Zugriffszertifikat und den Verifier wie ein Nebenprodukt behandeln. Das Zertifikat identifiziert dich gegenüber jeder Wallet, der Verifier verarbeitet Ausweisdaten. Beides gehört in dein Schlüssel- und Systemmanagement, nicht in eine Datei auf dem Entwicklerlaptop.

Fazit: Jetzt klären, was dich betrifft, dann ruhig pilotieren

Die EUDI-Wallet wird ab Ende 2026 verfügbar, in Deutschland als d-you ab dem 2. Januar 2027, und die Akzeptanzpflicht für regulierte Branchen läuft rechnerisch bis zum 24. Dezember 2027. Starte jetzt mit der Bestandsaufnahme deiner Identitätsprozesse und der Betroffenheitsprüfung, den Pilot und die Registrierung kannst du später folgen lassen. Wenn du Identifizierungsverfahren, Verarbeitungstätigkeiten und Maßnahmen in ISMS Lite pflegst, hast du dafür eine Struktur, die mit dem Thema wachsen kann.

Weiterführende Artikel

• Multi-Faktor-Authentifizierung (MFA) einführen: Strategie, Rollout und Akzeptanz
• Datenschutz-Folgenabschätzung (DSFA): Wann nötig und wie durchführen
• Phishing erkennen und melden: Praxisguide für Mitarbeiter und IT
• Zero Trust im Mittelstand: Prinzipien ohne Enterprise-Budget umsetzen
• Informationssicherheit im Onboarding: Neue Mitarbeiter von Tag 1 mitnehmen