Digitale Identität mit Annahmepflicht: EUDI-Wallet und European Business Wallet im Überblick

Ob bei der Kontoeröffnung, beim Vertragsschluss mit einem Energieversorger oder beim Antrag auf eine Gewerbeerlaubnis: Wer sich online ausweisen oder amtliche Nachweise vorlegen muss, greift bislang auf ein Nebeneinander unterschiedlicher Verfahren zurück, das von der Online-Ausweisfunktion über Videoidentifizierung bis zum Hochladen eingescannter Dokumente reicht. Mit der Reform der eIDAS-Verordnung hat der Unionsgesetzgeber hierfür die Europäische Brieftasche für die Digitale Identität (EUDI-Wallet) geschaffen, die in Deutschland unter dem Namen „d-you“ am 2. Januar 2027 und damit kurz nach Ablauf der unionsrechtlichen Bereitstellungsfrist starten soll. Das dafür erforderliche Digitale Identitätengesetz (DIdG) befindet sich nach der ersten Lesung im Bundestag allerdings noch im parlamentarischen Verfahren. Weit weniger konkret ist bislang das von der Kommission vorgeschlagene Gegenstück für Unternehmen, die sog. European Business Wallet (EBW). Die Verhandlungen zwischen Rat und Europäischem Parlament stehen erst am Anfang, sodass sowohl der endgültige Regelungsinhalt als auch der Zeitpunkt der Anwendbarkeit derzeit offen sind. Der vorliegende Beitrag stellt den Stand der EUDI-Wallet und die daraus folgenden Pflichten für Unternehmen dar, skizziert die Eckpunkte der geplanten EBW und zeigt auf, welche Vorbereitungen sich bereits jetzt anbieten.

I. Rechtlicher Rahmen

Mit der Neufassung der eIDAS-Verordnung durch die Verordnung (EU) 2024/1183 hat der Unionsgesetzgeber die Grundlage dafür gelegt, dass digitale Identitätsnachweise in allen Mitgliedstaaten nach denselben Regeln erbracht und anerkannt werden. Kern dieses Rahmens ist die EUDI-Wallet, eine Anwendung auf dem Smartphone, mit der sich Kunden, Vertragspartner und Beschäftigte ausweisen und Nachweise etwa über Führerschein, Berufsabschluss oder Alter vorlegen können, ohne auf Ausweiskopien oder Videoidentifizierung zurückgreifen zu müssen. Jeder Mitgliedstaat ist verpflichtet, bis zum 24. Dezember 2026 mindestens eine solche Wallet bereitzustellen, die für Bürgerinnen und Bürger kostenlos und freiwillig nutzbar ist. Die Nutzer entscheiden dabei selbst, welche Angaben sie freigeben. Ein Online-Händler, der lediglich die Volljährigkeit prüfen muss, soll nur diese Information erhalten und nicht den vollständigen Ausweisdatensatz.

Für Unternehmen stellen sich damit vor allem zwei Anforderungen. Wer die Wallet nutzen möchte, muss sich zuvor registrieren und angeben, welche Daten er zu welchem Zweck abfragt (Art. 5b). Zur Akzeptanz verpflichtet sind Unternehmen, die ihre Kunden aufgrund gesetzlicher oder vertraglicher Vorgaben mit starker Authentifizierung identifizieren müssen, etwa Banken, Energieversorger oder Telekommunikationsanbieter (Art. 5f). Sofern ein Unternehmen aus diesen Branchen nicht zu den Kleinst- oder kleinen Unternehmen zählt, muss es seinen Kunden ab Ende Dezember 2027 auf Wunsch die Identifizierung per Wallet ermöglichen. Gleiches gilt für sehr große Online-Plattformen, während öffentliche Stellen ohnehin zur Akzeptanz verpflichtet sind.

II. Die deutsche EUDI-Wallet „d-you“

Deutschland setzt bei der Umsetzung auf eine staatliche Wallet, die unter dem Namen „d-you“ im Auftrag des Bundesministeriums für Digitales und Staatsmodernisierung (BMDS) von der Bundesagentur für Sprunginnovationen (SPRIND) entwickelt wird. Das DIdG, das derzeit im Bundestag beraten wird, soll die Vorgaben der eIDAS-Verordnung um nationale Regelungen ergänzen, etwa zu Zuständigkeiten und zur Registrierung von Unternehmen als vertrauende Beteiligte. Die Bundesregierung verfolgt dabei einen schrittweisen Ansatz. Die Wallet soll zum Jahresbeginn 2027 mit einem Grundangebot starten und anschließend nach und nach um weitere Nachweise und Anwendungen ergänzt werden.

Zum Start am 2. Januar 2027 soll zunächst nur der digitale Personalausweis nutzbar sein. Für die Einrichtung liest der Nutzer die Daten aus dem Chip seines Ausweises mit der Ausweis-PIN über die NFC-Schnittstelle des Smartphones aus und legt anschließend eine eigene Wallet-PIN fest. Nach Angaben des Ministeriums werden die Daten verschlüsselt auf dem Gerät gespeichert, während Signaturen über eine gesicherte Cloud-Verbindung mit einem personengebundenen Schlüssel erfolgen. Ein Lichtbildnachweis soll kurz nach dem Start folgen, wenig später der Führerschein, für den jedoch noch kein fester Termin geplant ist. Weitere Nachweise etwa von Kommunen und Hochschulen sind in Vorbereitung. Derzeit entwickeln rund 40 Partner aus Wirtschaft, Wissenschaft und Verwaltung Anwendungsfälle, die zum Start verfügbar sein sollen. Geplant sind etwa die Paketabholung, der Altersnachweis im Einzelhandel und die Kundenverifikation im Bankensektor.

Mehrere Funktionen, die die eIDAS-Verordnung für die Wallet vorsieht, werden zum Start allerdings noch nicht verfügbar sein. So lässt sich die Wallet vorerst nur mit Internetverbindung verwenden, weil die kryptografische Echtheitsprüfung nicht auf dem Gerät, sondern auf einem Server erfolgt. Eine Offline-Nutzung soll erst möglich werden, wenn die Gerätehersteller die erforderlichen Sicherheitskomponenten der Smartphones zur Verfügung stellen. Ebenso wenig möglich ist die bloße Bestätigung eines Mindestalters ohne Übermittlung weiterer Ausweisdaten. Behörden können zudem keine Bescheide in die Wallet übermitteln, da sie über keine Benachrichtigungsfunktion verfügt.

Bei einem Wechsel des Smartphones müssen die Ausweisdaten neu eingelesen werden, weil gerätegebundene Inhalte nicht übertragen und keine Cloud-Sicherungen angelegt werden können. Eine nach mehrfacher Falscheingabe der PIN gesperrte Wallet muss vollständig neu eingerichtet werden. Ob ein Dienst zum Zurücksetzen der PIN rechtzeitig zur Verfügung steht, ist noch offen, ebenso die ausstehende Sicherheitsbewertung. Derzeit kann die App zudem ausschließlich über den Apple App Store oder den Google Play Store bezogen werden, was ein Nutzerkonto bei einem dieser Anbieter erforderlich macht.

Für Unternehmen, die die Wallet in ihre Prozesse einbinden wollen oder ab Ende 2027 müssen, dürfte daher mit einer breiten Nutzung unmittelbar nach dem Start kaum zu rechnen sein. Bestehende Identifizierungsverfahren werden bis auf Weiteres parallel vorzuhalten sein. Bei der Planung sollte zudem berücksichtigt werden, dass sich der Funktionsumfang in den kommenden Monaten schrittweise erweitern wird.

III. Die European Business Wallet (EBW)

Während sich die EUDI-Wallet an natürliche Personen richtet, soll die EBW Unternehmen ein eigenes Instrument für den digitalen Rechtsverkehr mit Behörden und Geschäftspartnern bieten. Die Kommission hat hierzu im November 2025 einen Verordnungsvorschlag vorgelegt. Anders als die EUDI-Wallet ist die EBW nicht als Smartphone-Anwendung, sondern als cloudbasierte Infrastruktur konzipiert, da Unternehmensprozesse nicht in jedem Fall das persönliche Tätigwerden einer Führungskraft voraussetzen sollen.

Nach dem Vorschlag sollen sich Unternehmen über die EBW unionsweit identifizieren, Dokumente elektronisch signieren und siegeln sowie Nachweise wie die Umsatzsteuer-Identifikationsnummer oder eine Gewerbeerlaubnis hinterlegen und vorlegen können. Beschäftigten sollen dabei abgestufte Berechtigungen eingeräumt werden können. Über einen gesicherten Zustellkanal soll zudem eine rechtsverbindliche Kommunikation mit Behörden möglich sein, vergleichbar einem digitalen Einschreiben. Als Anwendungsfälle nennt die Kommission unter anderem Steuererklärungen, Förderanträge, Vergabeverfahren und die Gründung einer Niederlassung in einem anderen Mitgliedstaat. Vorgänge über die Wallet sollen dem Papierverfahren oder der persönlichen Vorsprache rechtlich gleichgestellt sein. Die Nutzung ist für Unternehmen, Selbstständige und Vereine freiwillig, öffentliche Stellen sollen die EBW jedoch akzeptieren müssen.

Rat und Europäisches Parlament haben ihre Verhandlungspositionen im Juni und September 2026 festgelegt. Das Parlament fordert unter anderem, dass Anbieter weder direkt noch indirekt von Drittstaaten kontrolliert werden und die Daten ausschließlich in der EU gespeichert werden. Angestrebt wird eine politische Einigung bis Ende 2026. Da anschließend noch die förmliche Annahme und technische Durchführungsrechtsakte erforderlich sind, dürfte die EBW frühestens in einigen Jahren praktisch verfügbar sein.

IV. Handlungsempfehlungen

Unternehmen sollten zunächst klären, ob sie von der Akzeptanzpflicht nach Art. 5f erfasst sind. Maßgeblich ist, ob sie ihre Kunden aufgrund gesetzlicher oder vertraglicher Vorgaben mit starker Authentifizierung identifizieren müssen und ob sie die Schwellenwerte für kleine Unternehmen überschreiten. Auch ohne entsprechende Pflicht kann eine freiwillige Einbindung sinnvoll sein, etwa wenn regelmäßig Alters- oder Identitätsnachweise geprüft werden. Der aktuell eingeschränkte Funktionsumfang spricht dafür, diese Entscheidung nicht allein am Starttermin auszurichten.

Anschließend empfiehlt sich eine Bestandsaufnahme der Prozesse, in denen Kunden, Vertragspartner oder Beschäftigte identifiziert werden, etwa bei der Kontoeröffnung, beim Vertragsschluss oder bei der Wiederherstellung von Zugängen. Darauf aufbauend lässt sich planen, an welchen Stellen die Wallet technisch eingebunden werden kann. Da sie vorerst nur online funktioniert und einzelne Funktionen erst schrittweise hinzukommen, sollten bestehende Verfahren als Rückfalloption erhalten bleiben. Unternehmen, die für die Identitätsprüfung externe Dienstleister einsetzen, sollten frühzeitig klären, ob und wann diese eine Anbindung an die Wallet anbieten.

Vor der Nutzung ist die Registrierung als vertrauender Beteiligter vorzubereiten. Dabei ist festzulegen, welche Daten für welchen Zweck tatsächlich benötigt werden, da über die registrierten Angaben hinaus keine Daten abgefragt werden dürfen. Die Nutzer sollen die Anfragen zudem nachvollziehen und mutmaßlich unzulässige Datenabfragen der Datenschutzaufsicht melden können. Die Registrierung sollte daher mit der datenschutzrechtlichen Prüfung verbunden werden. Dazu gehören insbesondere Rechtsgrundlage, Informationspflichten, das Verzeichnis von Verarbeitungstätigkeiten und gegebenenfalls eine Datenschutz-Folgenabschätzung (DSFA).

Daneben sind organisatorische Fragen zu klären. Zuständigkeiten für Einführung und Betrieb sollten ebenso festgelegt werden wie Abläufe für technische Störungen. Da die Wallet nach einem Gerätewechsel oder einer Sperrung neu eingerichtet werden muss, ist mit Rückfragen von Kunden zu rechnen. Mitarbeitende im Kundenservice sollten darauf vorbereitet werden.

Mit Blick auf die EBW ist derzeit Beobachten und Vorbereiten sinnvoller als Umsetzen. Unternehmen können jedoch bereits erfassen, in welchen Verfahren sie mit Behörden kommunizieren, und ihre Vertretungs- und Zeichnungsregelungen überprüfen. Eine solche Bestandsaufnahme erleichtert es, später ein Berechtigungskonzept für die Wallet zu entwickeln. Zudem wäre zu klären, wie eingehende Zustellungen über einen digitalen Kanal fristgerecht erfasst und bearbeitet würden. Der weitere Gesetzgebungsverlauf sollte verfolgt werden, insbesondere mit Blick auf die Anforderungen an Anbieter und die Übergangsfristen.

V. Fazit und Ausblick

Mit dem Start von „d-you“ Anfang 2027 wird die EUDI-Wallet in Deutschland erstmals praktisch nutzbar, zunächst jedoch mit deutlich eingeschränktem Funktionsumfang und vorbehaltlich der rechtzeitigen Verabschiedung des DIdG. Für Unternehmen ist vor allem Ende Dezember 2027 maßgeblich, wenn die Akzeptanzpflicht für viele private Anbieter greift. Welchen Nutzen die Wallet im Alltag entfaltet, wird maßgeblich davon abhängen, wie schnell zentrale Funktionen wie die Offline-Nutzung, die Bestätigung einzelner Merkmale und weitere Nachweise hinzukommen.

Die EBW befindet sich demgegenüber noch im Gesetzgebungsverfahren. Selbst bei einer politischen Einigung bis Ende 2026 dürfte bis zu ihrer praktischen Verfügbarkeit noch einige Zeit vergehen. Unternehmen sind daher gut beraten, sich bei der EUDI-Wallet auf die absehbaren Pflichten einzustellen und die Entwicklung der EBW zunächst zu beobachten.

Dieser Beitrag wurde in Zusammenarbeit mit unserer stud. Mitarbeiterin Emily Bernklau erstellt.