EUDI, EUBW, d-you: Was heißt das für Verpflichtete und muss ich Wallets akzeptieren?
EUDI-Wallet, eIDAS 2.0, Videoident nur noch eingeschränkt zulässig - Unter der AMLR ändert sich KYC grundsätzlich. U.a. werden Banken zur Akzeptanz der der EUDI-Wallet verpflichtet. Der Beitrag stellt die Folgen für Verpflichtete dar.
Digitale Identitäten sollen nach dem Willen des europäischen Gesetzgebers eine zentrale Rolle, etwa bei der geldwäscherechtlichen Identifizierung unter der AMLR , spielen. Herzstück ist für natürliche Personen dabei die European Digital Identity (EUDI), die in Deutschland am 2.1.2027 mit der "d-you"startet. Was heißt das für Verpflichtete, die die EUDI-Wallet künftig einsetzen wollen?
Die (reformierte) eIDAS-Verordnung
Den Rechtsrahmen für digitale Identitäten bildet die eIDAS-Verordnung. Mit der Reform der eIDAS im Jahr 2024 (eIDAS "2.0") erhielt die digitale Identifizierung in der Europäischen Union einen neuen Rechtsrahmen. Eine zentrale Neuerung der Reform war dabei die Schaffung der rechtlichen Voraussetzungen für Identitäts-Wallets, insbesondere der EUDI-Wallet.
In Deutschland soll das Digitale-Identitäten-Gesetz (DIdG), das sich mit Stand September 2026 noch im Gesetzgebungsverfahren befindet, nationales Recht zur Akzeptanz der EUDI-Wallet anpassen.
Was ist die EUDI-Wallet?
Die European Digital Identity Wallet (EUDI-Wallet) ist ein digitales Identifizierungsmittel, mit dem Nutzer Identitätsdaten und elektronische Nachweise sicher speichern und gegenüber Unternehmen vorlegen können. Sie soll online und offline einsetzbar sein. Die deutsche EUDI-Wallet soll unter dem Namen „d-you“ ab Januar 2027 zur Verfügung stehen.
Die EUDI-Wallet enthält Personenidentifizierungsdaten (PID) zur Identitätsfeststellung und ermöglicht die Vorlage elektronischer Attributsbescheinigungen (EAA), etwa zu Führerscheinen, Bildungsabschlüssen oder anderen Eigenschaften. Zudem können Nutzer mit einer qualifizierten elektronischen Signatur (QES) Dokumente rechtswirksam digital unterzeichnen.
Für Bürgerinnen und Bürger ist die Nutzung der EUDI-Wallet freiwillig und kostenlos. Unternehmen können die Wallet insbesondere zur digitalen Identifizierung und zur Überprüfung erforderlicher Nachweise einsetzen.
Die deutsche EUDI-Wallet wird unter dem Namen „d-you“ und unter Federführung des Bundesministeriums für Digitales und Staatsmodernisierung (BMDS) entwickelt. Sie soll Identifizierungs- und Verifizierungsprozesse sicherer und effizienter gestalten und Unternehmen insbesondere eine Vereinfachung von KYC-Prozessen sowie damit verbundene Kosten- und Sicherheitsvorteile ermöglichen.
Grenzüberschreitende Akzeptanz ausländischer EUDI-Wallets
Die EUDI-Wallet ist grenzüberschreitend angelegt. Akzeptanzpflichtige Unternehmen müssen daher grundsätzlich nicht nur die deutsche „d-you“, sondern EUDI-Wallets aus allen EU-Mitgliedstaaten akzeptieren. Dies ermöglicht insbesondere grenzüberschreitende KYC-Verfahren: Kunden aus anderen Mitgliedstaaten können sich digital identifizieren und Nachweise vorlegen, wodurch manuelle Dokumentenprüfungen und bisherige Sonderverfahren reduziert werden können.
Die hierfür erforderliche Interoperabilität wird durch gemeinsame europäische Standards und das Architecture and Reference Framework (ARF) sichergestellt. Standardisierte Datenformate wie SD-JWT VC und ISO/IEC 18013-5 mdoc ermöglichen es Unternehmen, unterschiedliche nationale Wallets über einheitliche Verfahren in ihre Systeme zu integrieren.
Bei der nationalen Umsetzung verfolgen die Mitgliedstaaten unterschiedliche Ansätze. Während Deutschland mit „d-you“ und die Niederlande mit der „Public NL Wallet“ neue staatliche Wallets entwickeln, bauen Polen mit „mObywatel“ und Frankreich mit „France Identité“ auf bestehenden digitalen Identitätslösungen auf. Unabhängig vom jeweiligen Ansatz müssen die Wallets die europäischen Anforderungen erfüllen und grenzüberschreitend interoperabel sein.
eIDAS, EUDI-Wallet und die AMLR
Ein zentraler Use-Case der EUDI-Wallet ist die Speicherung von Person Identification Data (PID). PID meint dabei ganz allgemein Identifizierung einer Person in diversen Kontexten - insbesondere aber eben auch die geldwäscherechtliche Identifizierung wie heute nach § 10 Abs. 1 GwG bzw. künftig nach den Art. 20 ff. der AMLR.
Der PID-Prozess erfolgt dabei nach einem standardisiertem Prozess zum Austausch der zur Identifizierung notwendigen Daten und der Bestätigung der Identität durch den Wallet-Betreiber, der durch das PID-based identification for online services Manual detailliert vorgegeben wird.
Muss ich die EUDI-Wallet akzeptieren?
Bislang lässt das GwG Verpflichteten die Wahl, welches Mittel zur Identifizierung sie einsetzen. Die eIDAS2.0 enthält dagegen in Art. 5f Abs. 2 eIDAS 2.0 folgende Formulierung:
Sind private vertrauende Beteiligte, die Dienste erbringen — mit Ausnahme von Kleinst- und kleinen Unternehmen im Sinne von Artikel 2 des Anhangs der Empfehlung 2003/361/EG der Kommission ( 5 ) –, nach Unionsrecht oder nationalem Recht verpflichtet, eine Online-Identifizierung mit starker Nutzerauthentifizierung vorzunehmen, oder ist eine Online-Identifizierung mit starker Nutzerauthentifizierung vertraglich vorgeschrieben, auch in den Bereichen Verkehr, Energie, Bankenwesen, Finanzdienstleistungen, soziale Sicherheit, Gesundheit, Trinkwasser, Postdienste, digitale Infrastrukturen, Bildung oder Telekommunikation, so akzeptieren diese privaten vertrauenden Beteiligten hierfür spätestens 36 Monate nach dem Tag des Inkrafttretens der Durchführungsrechtsakte gemäß Artikel 5a Absatz 23 und Artikel 5c Absatz 6 und nur auf das freiwilliges Verlangen des Nutzers auch europäische Brieftaschen für die Digitale Identität, die gemäß dieser Verordnung bereitgestellt werden.
Von einer freiwilligen Akzeptanz ist hier keine Rede mehr. Die eIDAS-VO formuliert hier eine harte Akzeptanzpflicht, unter den genannten Voraussetzungen.
Welche Unternehmen sind verpflichtet?
Private Unternehmen müssen die EUDI-Wallet also akzeptieren, wenn sie aufgrund unionsrechtlicher, nationaler oder vertraglicher Vorgaben eine starke Nutzerauthentifizierung für die Online-Identifizierung verlangen. Art. 5f nennt insbesondere die Bereiche Verkehr, Energie, Bank- und Finanzdienstleistungen, soziale Sicherheit, Gesundheit, Trinkwasser, Postdienste, digitale Infrastruktur, Bildung und Telekommunikation. Die Zugehörigkeit zu einem dieser Bereiche begründet jedoch für sich genommen noch keine Akzeptanzpflicht. Entscheidend ist, dass die weiteren Voraussetzungen des Art. 5f Abs. 2 eIDAS erfüllt sind.
Kleinst- und kleine Unternehmen im Sinne der Empfehlung 2003/361/EG sind von dieser Verpflichtung ausgenommen. Die Ausnahme gilt jedoch nicht für mittlere Unternehmen.
Im Bereich Finanzdienstleistungen entsteht die Nutzungspflicht daher bereits dann, wenn eine gesetzliche Pflicht zur Anwendung starker Kundenauthentifizierung besteht und damit für sämtliche Kreditinstitute, die Zahlungskonten führen und für Zahlungsdienstleister, die eine starke Kundenauthentifizierung anwenden müssen. Auch dies stellt die Kommission ausdrücklich in ihren FAQ klar.
Sonderfall: Sehr große Online-Plattformen
Eine gesonderte Regelung gilt für sehr große Online-Plattformen (VLOPs) im Sinne des Art. 33 des Digital Services Act. Verlangen sie eine Nutzerauthentifizierung, müssen sie auf Wunsch der Nutzer auch die EUDI-Wallet akzeptieren. Dabei dürfen nur die für den jeweiligen Dienst erforderlichen Daten verlangt werden.
Schnellcheck: Die folgende Prüfungsmatrix zeigt vereinfacht, unter welchen Voraussetzungen Unternehmen die EUDI-Wallet akzeptieren müssen.
Ist das Unternehmen ein Kleinst- oder kleines Unternehmen?
Empfehlung 2003/361/EGMuss für die Online-Identifizierung eine starke Nutzerauthentifizierung vorgenommen werden?
Beruht diese Anforderung auf EU-Recht, nationalem Recht oder einer vertraglichen Verpflichtung?
Möchte der Nutzer die EUDI-Wallet freiwillig für diese Identifizierung einsetzen?
Verlangt die Plattform für den Zugang zum Online-Dienst eine Nutzerauthentifizierung?
Möchte der Nutzer die EUDI-Wallet freiwillig verwenden?
Freiwillige Integration
Unbenommen bleibt Unternehmen, die nicht unter die Akzeptanzpflicht fallen, die freiwillige Akzeptanz der EUDI-Wallet aufgrund der damit verbundenen Vorteile (Integrität der Daten, hohes Schutzniveau der Identifizierung, Nachweis bei Bestreitens des Vertragsschlusses durch den Kunden, Kosten, etc.).
Ab wann gilt die Akzeptanzpflicht?
Für verpflichtete private Unternehmen gilt eine Übergangsfrist von 36 Monaten nach Inkrafttreten der maßgeblichen Durchführungsrechtsakte. Diese traten am 24. Dezember 2024 in Kraft. Die zur Akzeptanz verpflichteten Unternehmen sind daher spätestens ab dem 24. Dezember 2027 verpflichtet, die EUDI-Wallet zur Identifizierung zu akzeptieren.1
Wie können Unternehmen die EUDI-Wallet integrieren?
Registrierung als vertrauender Beteiligter (Relying Party)
Unternehmen, die die EUDI-Wallet zur Identifizierung oder zum Abruf digitaler Nachweise einsetzen möchten, müssen sich als vertrauende Beteiligte (Relying Parties) registrieren. Die Durchführungsverordnung (EU) 2025/848 sieht hierfür nationale Register vor. Bei der Registrierung sind insbesondere Identität und Kontaktdaten des Unternehmens, der vorgesehene Verwendungszweck sowie die über die Wallet anzufordernden Daten bzw. Attribute anzugeben. Auf dieser Grundlage erhält das Unternehmen die erforderlichen Berechtigungen zur Interaktion mit der EUDI-Wallet.
Die konkrete Ausgestaltung des Registrierungsverfahrens in Deutschland, insbesondere die zuständige Anlaufstelle und der operative Ablauf, befindet sich derzeit noch in der Umsetzung.
Technische Anbindung und Architektur
Die technische Einbindung der EUDI-Wallet richtet sich nach dem europäischen Architecture and Reference Framework (ARF) sowie den einschlägigen nationalen Vorgaben. Unternehmen können die Wallet über standardisierte Schnittstellen in ihre bestehenden Systeme und Fachverfahren integrieren.
Nutzung von Service Providern und Intermediären
Unternehmen müssen die technische Anbindung nicht vollständig selbst umsetzen, sondern können hierfür spezialisierte Service Provider bzw. Intermediäre einsetzen. Diese unterstützen bei der Integration der Wallet-Infrastruktur in bestehende Systeme und Prozesse.
Weitere Informationen zu möglichen Integrationspartnern bietet die FAQ der deutschen EUDI-Wallet.
Erprobung in der staatlichen Sandbox
Für die technische Erprobung stellen BMDS und SPRIND eine nationale Sandbox als Testumgebung bereit. Unternehmen können dort mit Testdaten konkrete Anwendungsfälle, insbesondere den Umgang mit Personenidentifizierungsdaten (PID) und elektronischen Attributsbescheinigungen (EAA), erproben und ihre Integration vorbereiten. Quellcode und technische Dokumentation werden über die Open-Source-Plattform OpenCoDE bereitgestellt.
Welche Daten dürfen Unternehmen über die EUDI-Wallet verarbeiten?
Herkunft und Verlässlichkeit digitaler Nachweise
Die Authentizität und Verlässlichkeit der über die EUDI-Wallet bereitgestellten Daten wird durch vertrauenswürdige Quellen und Aussteller sichergestellt. Digitale Nachweise werden von berechtigten öffentlichen oder privaten Ausstellern (Issuern) ausgestellt, digital signiert und über die Wallet bereitgestellt.
Welche Daten darf ein Unternehmen anfordern?
Unternehmen dürfen über die EUDI-Wallet nicht beliebig Daten anfordern. Bereits bei der Registrierung als Relying Party müssen sie angeben, zu welchem Zweck sie die Wallet einsetzen und welche Daten bzw. Attribute hierfür benötigt werden. Daneben gelten insbesondere die datenschutzrechtlichen Grundsätze der Zweckbindung und Datenminimierung. Für jeden Anwendungsfall ist daher zu bestimmen, welche Informationen tatsächlich erforderlich sind.
Status- und Gültigkeitsprüfung
Bei der Vorlage eines digitalen Nachweises kann das Unternehmen dessen Echtheit und Gültigkeit automatisiert überprüfen. Hierzu sehen die technischen Vorgaben der EUDI-Wallet insbesondere Mechanismen vor, mit denen festgestellt werden kann, ob ein Nachweis widerrufen wurde.
Die hierfür eingesetzten Verfahren müssen zugleich den Schutz der Privatsphäre gewährleisten. Insbesondere sollen Status- und Widerrufsprüfungen so ausgestaltet sein, dass sie nicht zur Nachverfolgung oder Verknüpfung einzelner Nutzungsvorgänge verwendet werden können.
Datensparsamkeit und Selective Disclosure
Die EUDI-Wallet ermöglicht eine selektive Offenlegung (Selective Disclosure). Nutzer können dadurch nur diejenigen Informationen freigeben, die für den jeweiligen Vorgang erforderlich sind. So kann beispielsweise lediglich nachgewiesen werden, dass eine Person über 18 Jahre alt ist, ohne das vollständige Geburtsdatum offenzulegen. Die Identitätsdaten werden dabei grundsätzlich direkt zwischen der Wallet und dem Unternehmen ausgetauscht.
Was kostet die EUDI-Wallet?
Für Unternehmen können durch die EUDI-Wallet Implementierungs- und laufende Betriebskosten entstehen. Deren Höhe hängt insbesondere von der bestehenden IT-Infrastruktur, der Anzahl der Anwendungsfälle und dem gewählten Integrationsmodell ab. Der europäische Rechtsrahmen sieht dabei vor, dass Registrierungs- und Prüfverfahren sowie technische Anforderungen für vertrauende Beteiligte verhältnismäßig und kosteneffizient ausgestaltet werden.2
Dem stehen mögliche Einsparungen bei Identifizierungs-, Registrierungs- und KYC-Prozessen gegenüber. Durch die automatisierte Verarbeitung verifizierter Identitätsdaten können manuelle Prüfungen reduziert und Prozesse beschleunigt werden. Dies kann insbesondere bei einem hohen Identifizierungs- und Transaktionsvolumen zu geringeren Prozesskosten führen. Zugleich können standardisierte digitale Nachweise den Prüfaufwand und Risiken durch fehlerhafte oder manipulierte Identitätsdaten reduzieren.
Modellrechnungen gehen davon aus, dass sich hieraus je nach Unternehmensgröße und Nutzungsumfang erhebliche Einsparpotenziale ergeben können. Den möglichen Einsparungen sind jedoch die jeweiligen Implementierungs- und Betriebskosten gegenüberzustellen. Ob sich die Integration wirtschaftlich rechnet, hängt daher insbesondere vom bisherigen Aufwand für Identifizierung und KYC, dem Transaktionsvolumen und der gewählten technischen Umsetzung ab. Die Modellrechnungen der Kommission finden sich in Kapitel 6 der Folgenabschätzung SWD(2021) 124 final.
Für Bürgerinnen und Bürger ist die Bereitstellung und Nutzung der EUDI-Wallet grundsätzlich kostenfrei. Auch qualifizierte elektronische Signaturen (QES) sollen natürlichen Personen für nicht-gewerbliche Zwecke grundsätzlich kostenlos zur Verfügung stehen.
Wie beeinflusst die Wallet bestehende eID-Verfahren?
Auswirkungen auf KYC und Fernidentifizierung
Die AMLR verändert die Anforderungen an die Identifizierung und Überprüfung der Kundenidentität. Nach Art. 22 Abs. 6 AMLR kann die Identität insbesondere anhand von Ausweisdokumenten oder durch elektronische Identifizierungsmittel mit dem eIDAS-Sicherheitsniveau „substanziell“ oder „hoch“ sowie einschlägige qualifizierte Vertrauensdienste überprüft werden. Damit gewinnen eIDAS-konforme elektronische Identifizierungsmittel und insbesondere die EUDI-Wallet für digitale KYC-Prozesse an Bedeutung.
Es besteht ein begrenztes Vertrauen in die behauptete Identität. Die Sicherheitsmaßnahmen sollen das Risiko eines Identitätsmissbrauchs oder einer Identitätsveränderung mindern.
Es besteht ein substanzielles Vertrauen in die behauptete Identität. Die Sicherheitsmaßnahmen müssen das Risiko eines Identitätsmissbrauchs oder einer Identitätsveränderung erheblich mindern.
Es besteht ein höheres Vertrauen als beim Niveau „substanziell“. Die Sicherheitsmaßnahmen sind darauf ausgerichtet, einen Identitätsmissbrauch oder eine Identitätsveränderung zu verhindern.
Auswirkungen auf VideoIdent
Für Unternehmen stellt sich insbesondere die Frage, welche Rolle etablierte VideoIdent-Verfahren künftig spielen werden. Diese haben sich unter dem deutschen Geldwäscherecht als verbreitete Form der Fernidentifizierung etabliert, sind jedoch nicht ohne Weiteres mit eIDAS-konformen elektronischen Identifizierungsmitteln gleichzusetzen.
Die künftigen Anforderungen an solche Fernidentifizierungsverfahren werden durch technische Regulierungsstandards (RTS) weiter konkretisiert. Nach dem derzeitigen Stand können neben elektronischen Identifizierungslösungen auch andere Fernidentifizierungsverfahren eingesetzt werden, sofern sie die hierfür vorgesehenen Anforderungen an Sicherheit, Zuverlässigkeit und Qualität der Identitätsprüfung erfüllen. Dazu gehören insbesondere Anforderungen an die Echtheit und Qualität der verwendeten Identitätsdaten sowie an die sichere Durchführung und Dokumentation des Identifizierungsprozesses.
Damit ist derzeit noch nicht abschließend geklärt, welche Rolle die in Deutschland etablierten VideoIdent-Verfahren künftig in ihrer bestehenden Form spielen werden. In der Finanzwirtschaft wird insbesondere darauf hingewiesen, dass alternative Verfahren weiterhin benötigt werden können, etwa wenn Kunden über kein geeignetes elektronisches Identifizierungsmittel verfügen.
Konsequenzen für Unternehmen
Für geldwäscherechtlich verpflichtete Unternehmen empfiehlt es sich daher, bestehende Fernidentifizierungs- und KYC-Prozesse frühzeitig zu überprüfen. eIDAS-konforme Identifizierungsmittel und die EUDI-Wallet dürften für digitale Identifizierungsprozesse erheblich an Bedeutung gewinnen. Zugleich sollten Unternehmen beobachten, unter welchen Voraussetzungen bestehende Verfahren wie VideoIdent nach den endgültigen regulatorischen Vorgaben weiterhin eingesetzt werden können.
Ausblick auf die European Business Wallet
Ergänzend zur EUDI-Wallet hat die Europäische Kommission am 19. November 2025 einen Verordnungsvorschlag zur Einführung der European Business Wallet (EUBW) vorgelegt. Sie soll insbesondere Unternehmen und öffentlichen Stellen eine unionsweit nutzbare digitale Identität ermöglichen und den sicheren Austausch verifizierter Unternehmensdaten und Nachweise vereinfachen.
Die EUBW soll die EUDI-Wallet nicht ersetzen, sondern ergänzen und mit ihr interoperabel sein. Während die EUDI-Wallet primär auf die digitale Identität natürlicher Personen ausgerichtet ist, adressiert die EUBW insbesondere geschäftliche Anwendungsfälle. Dazu gehören neben der Identifizierung und dem Austausch von Nachweisen auch die digitale Verwaltung von Vertretungsrechten und Vollmachten.
Der Vorschlag befindet sich mit Stand September 2026 noch im europäischen Gesetzgebungsverfahren.
Fazit und Handlungsempfehlungen
Mit dem geplanten Start von „d-you“ am 2. Januar 2027 beginnt die praktische Einführung der staatlichen EUDI-Wallet in Deutschland. Dann wird sich zeigen, welche Bedeutung Wallets bei der Identifizierung gewinnen.
Zur Akzeptanz verpflichtete Unternehmen müssen bis Dezember 2027 die Voraussetzungen schaffen, um Wallets in ihre Onboarding-Abläufe und Datenlandschaft zu akzeptieren - mit Aussicht auf die damit verbundenen Vorteile.
1 Vgl. Art. 5f Abs. 2 eIDAS i. V. m. den Durchführungsrechtsakten nach Art. 5a Abs. 23 und Art. 5c Abs. 6 eIDAS, insbesondere den Durchführungsverordnungen (EU) 2024/2977, 2024/2979, 2024/2980, 2024/2981 und 2024/2982. ↩
2 Vgl. Art. 5b eIDAS (Verordnung (EU) Nr. 910/2014 i. d. F. der Verordnung (EU) 2024/1183). ↩
