eIDAS 2.0 und die EUDI-Wallet: Was sich für Unternehmen ändert

Bis Ende 2026 muss jeder EU-Mitgliedstaat seinen Bürgern eine kostenlose, staatlich gestützte Wallet für die digitale Identität anbieten. Das ist keine Roadmap-Folie, sondern eine gesetzliche Frist – und die Uhr dahinter läuft bereits seit über anderthalb Jahren. Das Gesetz dahinter ist eIDAS 2.0, formell die Verordnung (EU) 2024/1183: eine Änderung der EU-Verordnung von 2014 über elektronische Identifizierung und Vertrauensdienste (eIDAS). Im Klartext: Jeder Mitgliedstaat muss seinen Einwohnern eine Identitäts-Wallet auf dem Smartphone in die Hand geben, und Unternehmen in regulierten Sektoren werden schrittweise verpflichtet, sie zu akzeptieren.

Wenn Sie in einem europäischen Unternehmen Identität, Sicherheit oder Compliance verantworten, ist das jetzt fünfzehn Minuten wert – weil die Pflichten einem Zeitplan folgen, mit dem Sie planen können, und weil vieles, was derzeit über die Wallet geschrieben wird, stillschweigend überzeichnet, was sie für Sie leisten wird.

Der Zeitplan, mit dem Sie planen können

Die Verordnung ist am 20. Mai 2024 in Kraft getreten. Die Termine, die für ein Unternehmen zählen, hängen an den Durchführungsrechtsakten – den technischen Regelwerken, die die Europäische Kommission unterhalb der Verordnung veröffentlicht. Das erste Paket wurde Ende November 2024 angenommen und trat im Dezember 2024 in Kraft, womit zwei Countdowns begannen:

• 24 Monate – Ende 2026. Jeder Mitgliedstaat muss seinen Bürgern, Einwohnern und Unternehmen mindestens eine EU-Wallet für die digitale Identität (EU Digital Identity Wallet, kurz EUDI-Wallet) bereitstellen – kostenlos.
• 36 Monate – Ende 2027. Nach Artikel 5f der Verordnung müssen private vertrauende Beteiligte, die per Gesetz oder Vertrag zu starker Nutzerauthentifizierung verpflichtet sind, die Wallet akzeptieren, wenn ein Nutzer sie verwenden möchte. Zu den Sektoren, auf die das zielt, gehören Verkehr, Energie, Bankwesen, Finanzdienstleistungen, soziale Sicherheit, Gesundheit, Trinkwasser, Postdienste, digitale Infrastruktur, Bildung und Telekommunikation. Kleinst- und Kleinunternehmen sind ausgenommen. Sehr große Online-Plattformen (die vom Gesetz über digitale Dienste regulierte Kategorie ab 45 Millionen Nutzern) fallen unter dieselbe Frist.

Wie weit ist die Einführung in der Praxis? Eine Statuserhebung vom April 2026 fand in keinem Mitgliedstaat eine zertifizierte, produktiv laufende Wallet: Dänemark, Irland, Frankreich und Deutschland hatten öffentliche Sandboxes für Integrationstests geöffnet, mehrere Länder planen den Umbau bestehender nationaler Identitäts-Apps, und der Rest hatte nichts Öffentliches, gegen das sich testen ließe. Die Frist steht fest; der Reifegrad ist ungleich verteilt. Beide Tatsachen sollten Ihre Planung prägen.

Was sich für Ihr Unternehmen ändert

Vier Dinge, ganz konkret.

• Das Kunden-Onboarding bekommt eine neue Eingangstür. Heute bedeutet die Online-Identitätsprüfung eines Neukunden Dokumentenfotos, Videoanrufe oder einen Umweg über das Bank-Login – je Land, je Anbieter. Eine Wallet enthält staatlich verifizierte Attribute, die der Nutzer in Sekunden vorlegen kann, gültig in allen Mitgliedstaaten. Für jedes Unternehmen mit Legitimationsprüfungen (Know Your Customer, KYC) ist das ein günstigerer und schnellerer Kanal als die Wege, die er ablöst – und einer, den viele Unternehmen in den genannten Sektoren ohnehin akzeptieren müssen.
• Die Pflicht landet dort, wo PSD2 bereits gilt. Banken und Zahlungsdienstleister unterliegen schon heute der PSD2, der EU-Zahlungsdiensterichtlinie, die starke Kundenauthentifizierung (SCA) vorschreibt. Die Akzeptanzpflicht ist für genau diese Gruppe geschrieben: vertrauende Beteiligte, die ihre Nutzer ohnehin stark authentifizieren müssen. Was sie nicht tut: die PSD2 neu schreiben. Wie eine Zahlung freigegeben wird und wie diese Freigabe an Betrag und Empfänger gebunden ist, regeln dieselben Vorschriften wie zuvor.
• Qualifizierte Signaturen sind kein kostenpflichtiges Extra mehr. Mit der Wallet können Bürger qualifizierte elektronische Signaturen (QES) erstellen – die Art, die einer handschriftlichen Unterschrift rechtlich gleichgestellt ist – für nicht berufliche Zwecke kostenlos. Rechnen Sie damit, dass Kunden mit der Zeit in der Lage sein werden, Verträge auf einem Vertrauensniveau zu unterzeichnen, das bislang ein kostenpflichtiges Zertifikat erforderte.
• „Anmelden mit der Wallet“ wird zur Erwartung. Sobald Behörden und Banken sie akzeptieren, werden Nutzer fragen, warum Ihr Kundenportal das nicht tut. Für mittlere und große Unternehmen in den genannten Sektoren hat diese Frage eine rechtliche Antwort mit einem Datum: 2027.

Was eIDAS 2.0 nicht bedeutet

Diesen Abschnitt lässt das meiste Anbietermaterial aus, also reden wir Klartext.

• Die Wallet verwaltet nicht Ihre Belegschaft. Sie ist ein an Bürger gerichtetes Ausweisinstrument für den Zugang zu öffentlichen Diensten und regulierten privaten Diensten. Über Ihre Mitarbeiter, deren Rollen, deren VPN-Zugang, deren Windows-Anmeldungen oder deren Admin-Konsolen sagt sie nichts. Nichts in der Verordnung ersetzt Ihre Identitäts- und Zugriffsverwaltung (Identity and Access Management, IAM), und Ihre Pflichten aus NIS2, genau diese Mitarbeiter-Anmeldungen zu schützen, bleiben vollständig unverändert.
• Sie ist kein Single Sign-On für Mitarbeiter. Dass ein Mitarbeiter dem Staat gegenüber nachweist, wer er ist, ist ein anderes Problem, als dass ein Arbeitgeber steuert, was ein authentifizierter Mitarbeiter tun darf. Die Wallet deckt das Erste ab; Single Sign-On (SSO), Sitzungsrichtlinien und privilegierte Zugriffe bleiben Ihre Aufgabe.
• Die Termine sind Fristen, keine Liefertermine. Die gesetzgeberischen Meilensteine sind bislang pünktlich eingetreten, doch im Frühjahr 2026 war keine Wallet für den Produktivbetrieb zertifiziert, und der nationale Reifegrad schwankte stark. Die Wallet-Akzeptanz einzuplanen, ist klug; die eigene Sicherheitsaufstellung für 2026 um das Eintreffen der Wallet herum zu planen, ist es nicht.
• Notakey ist kein EUDI-Wallet-Anbieter. Wallets werden von Mitgliedstaaten ausgegeben oder von Anbietern, die diese beauftragen und zertifizieren. Wir bauen keine, und dieser Beitrag behauptet auch nicht, wir täten es. Wir sind auch kein qualifizierter Vertrauensdiensteanbieter: Eine Notakey-Freigabe ist eine kryptografische Signatur über eine konkrete Anfrage, keine qualifizierte elektronische Signatur. Was wir bauen, steht neben der Wallet – davon handelt der nächste Abschnitt.

Wo Unternehmens-Authentifizierung neben der Wallet ihren Platz hat

Die Wallet beantwortet eine Frage außerordentlich gut: Wer ist diese Person? Sie ist ein Instrument für Identifizierung und Onboarding. Die Frage, die Ihre Systeme den ganzen Tag beantworten, ist eine andere: Hat genau diese Person gerade genau diese Aktion freigegeben? Eine Zahlungsfreigabe, eine VPN-Sitzung, eine Server-Anmeldung, eine Änderung am Auszahlungskonto. Das ist Authentifizierung und Transaktionsfreigabe, sie findet lange nach dem Onboarding statt, und sie bleibt Aufgabe des Unternehmens – mit oder ohne Wallet.

Genau diese operative Schicht liefert Notakey.

• Jede Freigabe ist lesbar und konkret. Das Telefon des Nutzers zeigt genau, was freigegeben wird – welches System, welche Aktion, welcher Betrag – und die Freigabe ist eine kryptografische Signatur über genau diese Anfrage. Das ist das Dynamic-Linking-Modell, auf dem die starke Kundenauthentifizierung der PSD2 aufbaut, und es ist das Einzige, was Push-Bombing besiegt: Eine Aufforderung, die der Nutzer nicht selbst ausgelöst hat, ist für ihn sofort als fremd erkennbar.
• Der Schlüssel verlässt das Telefon nie. Er wird in der sicheren Hardware des Geräts erzeugt, es gibt also kein gemeinsames Geheimnis, das sich phishen, abfangen oder per Helpdesk-Anruf zurücksetzen ließe.
• Jedes Ereignis ist ein Nachweis. Jede Anmeldung und jede signierte Transaktion erzeugt einen mit Zeitstempel versehenen, manipulationssicheren Eintrag – den Prüfpfad, den PSD2-, NIS2- und DSGVO-Bewertungen von Ihnen verlangen.
• Es läuft dort, wo Ihre Daten bleiben müssen. On-premise in Ihrer eigenen Infrastruktur oder in der Cloud, mit Nutzern aus den Active-Directory-, LDAP- oder RADIUS-Quellen, die Sie ohnehin pflegen.

Eine vernünftige Architektur für 2027 heißt also nicht Wallet oder Unternehmens-Authentifizierung. Sie heißt: Wallet an der Eingangstür für die Identifizierung – und dahinter starke, prüfbare Transaktionsfreigaben für alles, was Kunde oder Mitarbeiter danach tut.

So bereiten Sie sich vor: eine kurze Checkliste

1. Ordnen Sie sich selbst ein. Gehören Sie zu einem der Sektoren aus Artikel 5f, liegen Sie über der Schwelle für Kleinunternehmen und sind Sie per Gesetz oder Vertrag zu starker Nutzerauthentifizierung verpflichtet? Wenn ja, ist die Wallet-Akzeptanz eine gesetzliche Pflicht und keine Produktentscheidung – und Arbeit, die erst 2027 beginnt, beginnt zu spät.
2. Inventarisieren Sie die Abläufe. Listen Sie jeden kundenseitigen Punkt auf, an dem Sie eine Person identifizieren oder SCA verlangen: Onboarding, Anmeldung, Zahlungsfreigabe, Vertragsunterzeichnung. Jeder ist ein Kandidat für die Wallet-Akzeptanz; jeder braucht zudem einen Rückfallweg, denn die Nutzung liegt im Ermessen des Nutzers.
3. Verfolgen Sie die Wallet Ihres Mitgliedstaats. Die Fristen gelten EU-weit; Sandboxes, Zertifizierung und Starttermine sind national. Wenn es in Ihrem Markt eine öffentliche Sandbox gibt, ist ein früher Integrationstest eine günstige Versicherung.
4. Halten Sie Kundenidentität und Mitarbeiterzugriff getrennt. Die Wallet wird das Erste verändern und das Zweite nicht. Budgetieren und besetzen Sie beide als die getrennten Probleme, die sie sind.
5. Schließen Sie die heutigen Authentifizierungslücken heute. Ein SMS-Code, der sich abfangen lässt, oder eine leere Bestätigungsaufforderung, zu deren Antippen sich ein Nutzer drängen lässt, wird nicht dadurch akzeptabel, dass Sie auf die Wallets warten. Angreifer arbeiten nicht nach demselben Zeitplan.

Sehen Sie, wo Ihre Abläufe stehen

Am schnellsten verstehen Sie die Freigabeschicht, wenn Sie sie einmal nutzen: indem Sie eine konkrete Transaktion auf Ihrem eigenen Telefon lesen und signieren, so wie es Ihre Kunden oder Administratoren täten.

Testen Sie die Live-Demo und signieren Sie eine in etwa zwei Minuten, oder fordern Sie eine Demo an, und wir bilden Ihre kundenseitigen SCA-Abläufe und internen Zugriffswege in einem Pilotprojekt auf Ihrer eigenen Infrastruktur ab.

Dieser Artikel enthält allgemeine Informationen und keine Rechtsberatung. Die Pflichten aus eIDAS 2.0 hängen von Sektor, Größe und nationaler Umsetzung ab; die Durchführungsrechtsakte werden noch erweitert. Bestätigen Sie die Fristen und Pflichten, die für Ihre Organisation gelten, mit qualifiziertem Rechtsbeistand.