EUDI Wallet: Who Must Accept it by 2027?

Die Akzeptanzpflicht für die EUDI-Wallet nennt elf Sektoren in Artikel 5f Absatz 2 der eIDAS-Verordnung in der geänderten Fassung: Verkehr, [...]

Doch die Zugehörigkeit zu einem dieser Sektoren allein genügt nicht. Zwei Bedingungen müssen gleichzeitig erfüllt sein, bevor die Akzeptanzpflicht für die EUDI-Wallet Sie erreicht: Sie unterliegen bereits einer rechtlichen oder vertraglichen Pflicht zur starken Nutzerauthentifizierung bei der Online-Identifizierung, und Sie sind kein Kleinst- oder Kleinunternehmen. Deshalb können zwei Unternehmen desselben Sektors zu entgegengesetzten Ergebnissen kommen.

Beide Daten gehen auf ein einziges Ereignis zurück. Am 28. November 2024 nahm die Europäische Kommission die ersten fünf Durchführungsrechtsakte nach der Verordnung (EU) 2024/1183an, die nach Veröffentlichung im Amtsblatt am 24. Dezember 2024 in Kraft traten. Die Verordnung berechnet ihre Fristen von diesem Zeitpunkt an.

24. Dez. 2024

Die ersten fünf Durchführungsrechtsakte treten in Kraft

24. Dez. 2026

Die Mitgliedstaaten müssen mindestens eine Wallet bereitstellen. Die Akzeptanz durch die öffentliche Verwaltung beginnt

24. Dez. 2027

Akzeptanzpflicht für den privaten Sektor nach Artikel 5f Absatz 2

Danach

Die Kommission bewertet Nachfrage, Verfügbarkeit und Nutzbarkeit innerhalb von 24 Monaten nach der Einführung

Dezember 2026 ist der Zeitpunkt, ab dem die Wallets existieren. Es ist nicht der Zeitpunkt, ab dem Ihre Organisation sie akzeptieren muss.

Welche Sektoren nennt die Akzeptanzpflicht für die EUDI-Wallet?

Elf. Die Sektorliste ist der einfache Teil der Analyse und der Punkt, an dem die meiste Berichterstattung endet. Wo die Pflicht praktisch greift, unterscheidet sich je Sektor: Kontoeröffnung und Zahlungsautorisierung im Bankwesen, Onboarding und Anlegeridentifizierung bei Finanzdienstleistungen, Ticketing im Verkehr, Kundenkonten und Lieferantenwechsel bei Energie, Leistungszugang in der sozialen Sicherheit, Patientenportale und Verschreibungsdienste im Gesundheitswesen, Kundenkonten bei Trinkwasser, Einschreibsendungen bei Postdiensten, administrativer Zugang bei digitaler Infrastruktur, Einschreibung und Nachweisausgabe im Bildungsbereich sowie SIM-Registrierung und Kontowiederherstellung in der Telekommunikation.

Diese Zuordnung ist unsere Auslegung, wo die Anforderung greift, und kein Verordnungstext. Die Verordnung nennt die Sektoren und den Auslöser und überlässt die Zuordnung Ihren eigenen Prozessen.

Welche zwei Bedingungen müssen beide erfüllt sein?

Bedingung eins

Sie nutzen bereits starke Nutzerauthentifizierung, weil Sie dazu verpflichtet sind

Die Pflicht trifft vertrauende Beteiligte, die einer rechtlichen oder vertraglichen Pflicht zur starken Nutzerauthentifizierung bei der Online-Identifizierung unterliegen. Nicht jeden, der eine Anmeldemaske hat. Das Wort vertraglich leistet echte Arbeit: Eine Pflicht, die Sie in einem Vertrag mit einem Kunden, einem System oder einer Aufsichtsbehörde übernommen haben, kann Sie in den Anwendungsbereich bringen, auch wenn kein Gesetz Sie unmittelbar nennt.

Bedingung zwei

Sie sind kein Kleinst- oder Kleinunternehmen

Kleinst- und Kleinunternehmen sind ausgenommen. Nach der EU-Definition beschäftigt ein Kleinunternehmen weniger als 50 Personen und weist einen Jahresumsatz oder eine Bilanzsumme von höchstens 10 Millionen Euro auf. Sowohl die Beschäftigtenzahl als auch einer der finanziellen Schwellenwerte müssen erfüllt sein, um unter der Grenze zu bleiben.

Und die Bedingung, die die meisten überspringen: Die Akzeptanz ist auf freiwilliges Verlangen des Nutzers erforderlich. Die Wallet wird Bürgern nicht auferlegt, und Sie werden nicht aufgefordert, Ihre bestehende Authentifizierung zu ersetzen. Diese Unterscheidung verändert die Gestalt des Projekts erheblich. Es ist ein zusätzlicher Weg in Ihren Identitätsablauf, keine Migration.

Bedeutet ausgenommen zu sein, nicht betroffen zu sein?

Nein, und das ist der nützlichste Teil des Artikels für die Mehrheit der Leser, denn die meisten Organisationen, die ihn lesen, liegen nicht im Anwendungsbereich.

Ihre Kunden liegen im Anwendungsbereich. Wenn Sie Software an Banken, Telekommunikationsunternehmen oder Gesundheitsdienstleister verkaufen, wird Ihr Produkt Teil deren Compliance-Position. Dieselbe Dynamik gilt bereits unter DORA, das wir behandelt haben in was QA-Teams bei Banken den Aufsichtsbehörden nachweisen müssen. Rechnen Sie damit, dass Wallet-Unterstützung in Ausschreibungen und Verlängerungsverhandlungen deutlich vor Dezember 2027 auftaucht

Ihre Nutzer werden eine haben. Sobald Bürger eine Wallet besitzen und sie bei ihrer Bank verwenden, erwarten sie sie auch anderswo. Sie nicht zu akzeptieren wird zu Reibungskosten und nicht zu einem Compliance-Verstoß, ein anderes Problem mit derselben Lösung.

Freiwillige Akzeptanz wird ausdrücklich gefördert. Die Verordnung sieht Verhaltenskodizes vor, um Dienstanbieter außerhalb des verpflichtenden Anwendungsbereichs zur Annahme von Wallets zu bewegen, sowie eine Bewertung von Nachfrage und Nutzbarkeit durch die Kommission innerhalb von 24 Monaten nach der Einführung.

Klar gesagt: Die Ausnahme ist ein Grund, nach eigenem Zeitplan zu planen, kein Grund, nichts zu planen.

Sie sind unsicher, auf welcher Seite der Linie Ihre Organisation steht?

Sprechen Sie mit unserem Team

Was gilt für öffentliche Stellen und sehr große Online-Plattformen?

Drei Pflichten, drei Daten

Öffentlicher Sektor

Wo elektronische Identifizierung für den Zugang zu einem öffentlichen Online-Dienst erforderlich ist, müssen auch Wallets akzeptiert werden. Ab dem 24. Dezember 2026

›

Sehr große Online-Plattformen

Nach der Verordnung (EU) 2022/2065 benannte Plattformen sind von der Akzeptanzpflicht des Artikels 5f erfasst. Ab dem 24. Dezember 2027

›

Private vertrauende Beteiligte

Die elf genannten Sektoren, sofern beide Bedingungen erfüllt sind, auf freiwilliges Verlangen des Nutzers. Ab dem 24. Dezember 2027

Das Datum für den öffentlichen Sektor ist auch für private Unternehmen relevant. Ab Dezember 2026 gibt es in jedem Mitgliedstaat produktive Dienste, die Wallets akzeptieren, und das ist der erste Zeitpunkt, an dem man gegen etwas Echtes testen kann statt gegen eine Referenzimplementierung.

Was verlangt die Akzeptanzpflicht für die EUDI-Wallet konkret von Ihnen?

Vier Dinge, und nur eines davon ist, was die meisten Teams sich vorstellen.

Registrierung als vertrauender Beteiligter. Ein formaler Schritt bei der nationalen Behörde, keine Konfigurationsänderung, und er umfasst die Erklärung, was Sie abfragen wollen. Die Registrierung ist Voraussetzung für die Abfrage von Attributen und gehört daher an den Anfang eines Projektplans, nicht an das Ende.

Nur abfragen, was Sie brauchen. Der Rahmen ist auf selektive Offenlegung ausgelegt, sodass Sie fragen können, ob jemand über achtzehn ist, statt ein Geburtsdatum zu erhalten. Den vollständigen Identitätsdatensatz abzufragen, weil er technisch verfügbar ist, widerspricht sowohl der Systemgestaltung als auch der Datenminimierung.

Prüfen, was ankommt. Eine vorgelegte Attestierung muss gegen die geltende Vertrauensliste geprüft werden, ein anderes Prüfmodell als die Prüfung eines Dokuments oder eines nationalen eID-Zertifikats, oder als das direkte Lesen eines Bürgerausweises.

Einen Weg für alle anderen offen halten. Die Nutzung der Wallet ist für Bürger freiwillig, weshalb Ihr bestehender Identifizierungsweg auf absehbare Zeit parallel weiterlaufen muss.

Der letzte Punkt verändert Budgets. Das ist eine Ergänzung Ihres Identitäts-Stacks, kein Ersatz, was bedeutet, zwei Wege zu pflegen und deren Ergebnisse abzugleichen. Die technische Seite behandelt unser Leitfaden zur Relying-Party-Integration, die Entscheidung zum Nachweisformat in SD-JWT VC oder ISO mdoc, und das weitere Pflichtenfeld in unserem Leitfaden zur eIDAS-2.0-Umsetzung.

Was sollten Sie vor Ende 2026 geklärt haben?

Vier Fragen, in dieser Reihenfolge. Keine ist eine Entwicklungsaufgabe, und jede blockiert eine. Liegen Sie im Anwendungsbereich, schriftlich festgestellt von der Rechtsabteilung. Welche Ihrer Abläufe sind betroffen, wobei Onboarding selten der einzige ist und Kontowiederherstellung, Vertragsänderungen, persönliche Identifizierung und Back-Office-Prüfung ebenfalls Identifizierungsabläufe sind. Was Sie tatsächlich abfragen werden, je Ablauf entschieden, bevor jemand eine Maske entwirft. Und wer sich registriert, und wann, wobei die Registrierung als vertrauender Beteiligter als Vorlaufabhängigkeit gegenüber einer externen Stelle zu behandeln ist.

Wenn Sie im Anwendungsbereich liegen und keine der vier Fragen einen Verantwortlichen hat, ist das der Befund, und der Dezember 2027 ist näher, als er wirkt.

Weiterführende Beiträge

Leitfaden zur Relying-Party-Integration der EUDI-Wallet Wenn Sie wissen, dass Sie im Anwendungsbereich liegen, ist dies die technische Seite: Registrierung, Attributabfragen und Prüfung gegen die Vertrauensliste.

SD-JWT VC oder ISO mdoc: was zuerst bauen? Der Rahmen verlangt beide Formate. Welches zuerst umzusetzen ist, hängt davon ab, was Sie prüfen und wo.

Leitfaden zur eIDAS-2.0-Umsetzung Das weitere Pflichtenfeld, das vor Dezember 2026 wirksam wird.

Was LisbonID 2026 über digitale Identität in Europa gezeigt hat Wo politischer Anspruch und operative Wirklichkeit noch auseinandergehen, nach den Beiträgen der Konferenz.

eID Box Identitäts-Middleware für Organisationen, die Nachweise aus mehr als einer Quelle akzeptieren müssen.

Häufige Fragen

Anwendungsbereich der Akzeptanzpflicht für die EUDI-Wallet

Welche Sektoren müssen die EUDI-Wallet akzeptieren?

Artikel 5f Absatz 2 der eIDAS-Verordnung in der geänderten Fassung nennt Verkehr, Energie, Bankwesen, Finanzdienstleistungen, soziale Sicherheit, Gesundheit, Trinkwasser, Postdienste, digitale Infrastruktur, Bildung und Telekommunikation. Anbieter sehr großer Online-Plattformen nach dem Gesetz über digitale Dienste sind ebenfalls erfasst. Die Pflicht gilt ab dem 24. Dezember 2027.

Ist mein Unternehmen von der EUDI-Wallet-Pflicht ausgenommen?

Sie liegen außerhalb des verpflichtenden Anwendungsbereichs, wenn Sie keinem der elf genannten Sektoren angehören, wenn Sie keiner rechtlichen oder vertraglichen Pflicht zur starken Nutzerauthentifizierung bei der Online-Identifizierung unterliegen, oder wenn Sie ein Kleinst- oder Kleinunternehmen sind. Ein Kleinunternehmen beschäftigt weniger als 50 Personen bei einem Umsatz oder einer Bilanzsumme von höchstens 10 Millionen Euro.

Die zwei Daten

Warum werden sowohl Dezember 2026 als auch Dezember 2027 genannt?

Weil beide zutreffen und Unterschiedliches messen. Die ersten fünf Durchführungsrechtsakte traten am 24. Dezember 2024 in Kraft. Die Mitgliedstaaten müssen 24 Monate später, am 24. Dezember 2026, eine Wallet bereitstellen. Die Akzeptanzpflicht des privaten Sektors folgt 12 Monate danach, am 24. Dezember 2027.

Bedeutet die Annahme der Wallet, unser bisheriges Login zu ersetzen?

Nein. Die Akzeptanz ist auf freiwilliges Verlangen des Nutzers erforderlich, und die Nutzung der Wallet ist für Bürger freiwillig. Ihre bestehenden Identifizierungswege müssen parallel zur Wallet weiterlaufen, was dies zu einer Ergänzung Ihres Identitäts-Stacks und nicht zu einer Migration macht.

Was es in der Praxis bedeutet

Müssen wir uns registrieren, bevor wir Wallets akzeptieren?

Ja. Vertrauende Beteiligte müssen sich bei der zuständigen nationalen Behörde registrieren und ihre beabsichtigte Nutzung erklären, bevor sie Attribute von einer Wallet abfragen. Da die Registrierung von einer externen Stelle abhängt, ist sie ein Vorlaufposten und gehört früh in den Projektplan.

Was passiert, wenn wir ausgenommen sind, unsere Kunden aber nicht?

Deren Pflicht wird zu Ihrer kommerziellen Anforderung. Wenn Sie Software oder Dienste an Organisationen in den elf genannten Sektoren liefern, wird Wallet-Unterstützung voraussichtlich vor Dezember 2027 in deren Beschaffungs- und Verlängerungsprozessen auftauchen, unabhängig davon, ob die Verordnung Sie nennt.

Team Caixa Mágica

Caixa Mágica Software ist ein portugiesisches Softwareunternehmen mit über 20 Jahren Erfahrung in maßgeschneiderter Softwareentwicklung, KI-Lösungen und Nearshore-Entwicklungsteams für europäische Unternehmen. Wir arbeiten seit über einem Jahrzehnt an nationaler eID-Middleware.

eID Box · Caixa Mágica Software

Finden Sie heraus, welche Ihrer Abläufe im Anwendungsbereich liegen

Nennen Sie uns Ihren Sektor und die Abläufe, in denen Sie heute Identität prüfen. Wir sagen Ihnen, welche voraussichtlich erfasst sind, wie der Registrierungsweg aussieht und wo die Akzeptanzpflicht über das Onboarding hinausreicht.

Mehr über eID Box Sprechen Sie mit uns