Die European Digital Identity Wallet („EUDI-Wallet“) auf Basis der novellierten eIDAS-Verordnung („eIDAS-VO“) verändert die regulatorische und technische Landschaft digitaler Identitäten in Europa grundlegend. Sie berührt unmittelbar die Fernkundenidentifizierung gemäß der neuen Geldwäscheverordnung („AML-VO“) und muss von vielen Finanzinstituten ab Ende 2027 verpflichtend akzeptiert werden.
Die wichtigsten Fristen im Überblick:
Januar 2027: Deutschland stellt die staatliche EUDI-Wallet Lösung „d-you“ bereit
10. Juli 2027: die AML-VO gilt, eIDAS konforme Fernkundenidentifizierung wird damit Pflicht
24. Dezember 2027: EUDI-Wallet Akzeptanzpflicht für viele Finanzinstitute
Ende 2028: Privatanbieter können eigene Wallet Lösungen zertifizieren lassen
Die EUDI-Wallet ist jedoch mehr als ein neues Identifizierungsverfahren. Sie ermöglicht es, Identifizierung, Authentifizierung, digitale Nachweise und qualifizierte elektronische Signaturen in einem einheitlichen digitalen Prozess zusammenzuführen. Dadurch können bislang getrennte Onboarding-, Identifizierungs- und Vertragsprozesse stärker integriert und Medienbrüche reduziert werden.
Für Finanzinstitute stellt sich daher nicht nur die Frage, wie sie die regulatorischen Anforderungen umsetzen. Die EUDI-Wallet betrifft zugleich grundlegende Entscheidungen über die künftige Identitäts-, Onboarding- und Produktarchitektur digitaler Kundenprozesse.
Aus diesem Grund sollten Finanzinstitute die rechtliche und technische Umsetzung bereits heute vorbereiten.
Definition: Die EUDI-Wallet ist eine mobile Applikation, mit der Nutzer:innen ihre Identität und weitere digitale Nachweise sicher und europaweit interoperabel bereitstellen können.
Sie ermöglicht insbesondere die Übermittlung von Identitätsdaten wie Name, Geburtsdatum und Staatsangehörigkeit sowie weiterer Nachweise, etwa Berufsqualifikationen, Führerschein oder Hochschulzeugnisse. Darüber hinaus können Nutzer:innen qualifizierte elektronische Signaturen erstellen und künftig auch weitere digitale Transaktionen, beispielsweise Zahlungen, auslösen.
Rechtsgrundlage ist die novellierte eIDAS-VO, das europäische Regelungswerk für elektronische Identifizierung und Vertrauensdienste. Die eIDAS-VO verpflichtet die Mitgliedstaaten, EUDI-Wallet-Lösungen nach gemeinsamen europäischen Vorgaben bereitzustellen. Zu diesem Zweck wurde ein gemeinsames „Architecture Reference Framework (ARF)“ entwickelt. Es wird daher keine europaweit einheitliche App geben, sondern verschiedene von Mitgliedstaaten bereitgestellte, beauftragte oder anerkannte Wallet-Lösungen, die einheitliche technische Standards erfüllen müssen. Dadurch soll sichergestellt werden, dass Finanzinstitute die unterschiedlichen Wallet-Lösungen (auch grenzüberschreitend) über einheitliche Schnittstellen anbinden können.
In Deutschland wird ab Januar 2027 eine staatliche EUDI-Wallet-Lösung unter dem Namen „d-you“ bereitgestellt. Ab Ende 2028 soll auch für Privatanbieter die Möglichkeit bestehen selbstentwickelte Lösungen zertifizieren zu lassen.
Die EUDI-Wallet ist ein wesentlicher von der neuen AML-VO anerkannter Weg der Fernkundenidentifizierung. Die AML-VO gilt ab dem 10. Juli 2027 unmittelbar in allen Mitgliedstaaten. Sie vereinheitlicht Anforderungen an Kundensorgfaltspflichten in der EU und knüpft für die Identifizierung von Kund:innen in wesentlichen Teilen an die Instrumente der eIDAS-VO an.
Art. 22 Abs. 6 AML-VO legt fest, auf welche Weise Verpflichtete, einschließlich Finanzinstitute, die Identität von Kund:in oder eines Kunden überprüfen müssen. Drei Wege sind vorgesehen:
Vorlage eines Ausweisdokuments, etwa eines Personalausweises, Reisepasses oder eines gleichwertigen Dokuments, „vor Ort“,
Nutzung eines elektronischen Identifizierungsmittels mit dem Vertrauensniveau „substanziell“ oder „hoch“ im Sinne der eIDAS-VO, insbesondere der Online-Ausweisfunktion des Personalausweises („eID“) oder der EUDI-Wallet,
Durchführung der Identitätsprüfung durch einen qualifizierten Vertrauensdiensteanbieter im Sinne der eIDAS-VO, der entsprechend zertifiziert ist.
Die EUDI-Wallet wird damit ausdrücklich als zulässiger Identifizierungsweg anerkannt. Andere, nicht eIDAS-konforme Identifikationswege, können allenfalls in eng begrenzten Einzelfällen als „Fallback“-Lösung genutzt werden.
Insbesondere das bislang in Deutschland genutzte manuelle und nicht eIDAS-konforme Videoident-Verfahren nach den Vorgaben der BaFin genügt den Anforderungen des Art. 22 Abs. 6 AML-VO nicht. Es ist daher ab dem 10. Juli 2027 nur noch in Ausnahmekonstellationen nutzbar und keinesfalls mehr als „Default“-Lösung. Der Einsatz dieses Verfahrens beschränkt sich auf Fälle, in denen eIDAS-konforme Verfahren nicht verfügbar sind oder deren Bereitstellung vernünftigerweise nicht erwartet werden kann.
Kund:innen sind nicht zur Nutzung der EUDI-Wallet verpflichtet. Finanzinstitute sollten daher auch künftig alternative Identifizierungsverfahren vorhalten. Hinzu kommt, dass die Einrichtung der EUDI-Wallet auf Nutzerseite eine funktionsfähige eID voraussetzt. Die eID ist in Deutschland bislang noch weit von einer flächendeckenden Akzeptanz entfernt und könnte daher zum „Bottleneck“ für die Einführung der EUDI-Wallet werden. Am Markt etablieren sich zunehmend eIDAS-konforme Identifizierungslösungen qualifizierter Vertrauensdiensteanbieter. Diese kombinieren häufig eine digitale (videobasierte) Identitätsprüfung mit der Nutzung einer qualifizierten elektronischen Signatur.
Die zentrale Gestaltungsfrage lautet daher nicht, ob bestehende Fernkundenidentifizierungsverfahren vollständig durch die EUDI-Wallet verdrängt werden, sondern welche belastbare Kombination aus EUDI-Wallet, sonstigem elektronischem Identitätsnachweis, qualifizierten Vertrauensdiensten künftig angeboten werden soll.
Für viele Finanzinstitute ist die EUDI-Wallet nicht nur eine zusätzliche Identifizierungsmöglichkeit. Nach der eIDAS-Verordnung müssen Finanzinstitute die EUDI-Wallet ab dem 24. Dezember 2027 grundsätzlich akzeptieren, wenn sie für Online-Identifizierungsprozesse eine starke Nutzerauthentifizierung verlangen.
Eine Ausnahme gilt nur für Kleinst- und Kleinunternehmen. Maßgeblich sind insbesondere:
weniger als 50 Beschäftigte und
Ob und in welchen digitalen Kundenprozessen die Akzeptanzpflicht greift, ist für jedes Finanzinstitut im Einzelfall zu prüfen.
Die EUDI-Wallet ist nicht nur für Zwecke der Kundenidentifizierung relevant. Ihre technische Architektur setzt zugleich zentrale datenschutzrechtliche Grundsätze unmittelbar um. Im Mittelpunkt steht dabei die Datenminimierung: Anstatt pauschal ein vollständiges Ausweisdokument zu übermitteln, sollen nur diejenigen Personenidentifizierungsdaten oder Nachweise verarbeitet werden, die für den jeweiligen Zweck erforderlich sind.
Dieses Prinzip wird zunächst durch die Registrierungspflicht für sogenannte vertrauende Beteiligte abgesichert. Vertrauende Beteiligte sind Unternehmen, Behörden oder andere Stellen, die Daten oder Nachweise aus einer EUDI-Wallet anfordern und für ihre Prozesse nutzen möchten. Sie müssen sich in dem Mitgliedstaat ihrer Niederlassung registrieren und dabei offenlegen, welche Daten sie für welche Zwecke benötigen. Nur diese registrierten Datenkategorien können anschließend über die Wallet angefordert werden. Nicht erforderliche Informationen dürfen weder verlangt noch technisch abgerufen werden.
Darüber hinaus unterstützt die EUDI-Wallet datenschutzfreundliche Nachweisverfahren. Je nach Art des verwendeten Nachweises kann eine bestimmte Eigenschaft bestätigt werden, ohne die zugrunde liegenden Daten offenzulegen. So lässt sich beispielsweise die Volljährigkeit nachweisen, ohne das konkrete Geburtsdatum zu übermitteln. Dadurch können Identifizierungs- und Verifizierungsprozesse in vielen Fällen mit weniger personenbezogenen Daten durchgeführt werden.
Hinzu kommt, dass Nutzer:innen über die EUDI-Wallet deutlich mehr Transparenz über erfolgte Datenübermittlungen erhalten. Über ein Dashboard können sie nachvollziehen, welche Daten mit welchen vertrauenden Beteiligten geteilt wurden. Zudem kann die Ausübung datenschutzrechtlicher Betroffenenrechte dadurch erleichtert werden. Insbesondere ist zu erwarten, dass Löschanfragen künftig häufiger und strukturierter gestellt werden. Finanzinstitute sollten daher über ein belastbares Löschkonzept und klare Prozesse für die Bearbeitung von Lösch-, Auskunfts- und sonstigen Betroffenenanfragen verfügen.
Für Finanzinstitute verlagert sich die datenschutzrechtliche Prüfung damit in eine frühe Phase der Implementierung. Bereits vor der Registrierung als vertrauender Beteiligter sind drei Fragen zu klären:
Welche Daten für welche Prozesse tatsächlich erforderlich sind
Auf welche Rechtsgrundlagen sich die Verarbeitung stützt
Wie die Einhaltung von Aufbewahrungs-, Lösch- und Auskunftspflichten sichergestellt wird
Die Einführung der EUDI-Wallet erfordert daher bereits im Vorfeld eine Analyse der betroffenen Prozesse sowie der hierfür benötigten Daten und Nachweise.
Die EUDI-Wallet sollte nicht als reines Compliance-Projekt verstanden werden. Vielmehr bietet sie die Möglichkeit, Identifizierung, Authentifizierung, digitale Nachweise und qualifizierte elektronische Signaturen in einem einheitlichen Prozess zu bündeln. Hinzu kommen Nutzungsmöglichkeiten für weitere digitale Transaktionen wie z.B. Zahlungsauslösungen. Dadurch können Medienbrüche reduziert, Onboarding-Prozesse vereinfacht und digitale Kundeninteraktionen insgesamt nutzerfreundlicher gestaltet werden.
Ob sich diese Potenziale tatsächlich realisieren lassen, wird maßgeblich von der Verbreitung der Wallet, der Verfügbarkeit relevanter Nachweise und der Akzeptanz durch Nutzer:innen abhängen. In der Übergangsphase werden alternative Identifizierungsverfahren daher regelmäßig parallel vorgehalten werden müssen. Finanzinstitute sollten die anstehende technische Integration dennoch frühzeitig zum Anlass nehmen, ein Zielbild für den zukünftigen digitalen Kundenprozess zu entwickeln. Zu prüfen ist insbesondere, welche Prozesse regulatorisch angepasst werden müssen, welche Daten und Nachweise künftig über die EUDI-Wallet bezogen werden sollen, welche Alternativverfahren weiterhin erforderlich bleiben und an welchen Stellen sich die regulatorischen Vorgaben zugleich für eine bessere Nutzererfahrung und effizientere Prozesse nutzen lassen.
Die Chancen und Herausforderungen der EUDI-Wallet haben wir gemeinsam mit Jonas Groß in unserem YPOG Webinar vom 2. September 2026 diskutiert.