Die Brieftasche kommt im Dezember, die Pflicht ein Jahr später.

TL;DR. Bis Dezember 2026 müssen Mitgliedstaaten eine EUDI Wallet bereitstellen, bis Dezember 2027 müssen Banken sie akzeptieren. Diese zwölf Monate sind das Problem.

Wichtige Erkenntnisse

Zwei Daten, eine Lücke. Beginnen Sie mit dem Zeitplan, denn nahezu jede Fehllesart dieser Akte entsteht daraus, die beiden Daten zu einem zu verschmelzen.
Vertrauender Beteiligter ist eine Rechtsrolle, kein Integrationsmuster. Das ist die Bestimmung, die in technischen Lesarten am häufigsten übersprungen wird, und sie hat die längste Vorlaufzeit.
Die Brieftasche hebt die starke Kundenauthentifizierung nicht auf. Ein wiederkehrender Fehler in frühen Planungsunterlagen ist die Annahme, die Annahme der Brieftasche verdränge das Authentifizierungsregime von PSD2.
Was die Prüfung Ihnen nicht sagt. Hier kommt der Teil, der Identitätsteams regelmäßig überrascht, und er gehört klar ausgesprochen.

Ein Jahrzehnt lang gehörte den Banken der Login. Das Institut stellte den Nachweis aus, führte die Authentifizierung durch, hielt den Prüfpfad und entschied, was „verifiziert" bedeutet. Die europäische Verordnung über die digitale Identität beendet diese Ordnung, ohne es je direkt auszusprechen. Sie verpflichtet jeden Mitgliedstaat, seinen Bürgern bis Dezember 2026 eine Brieftasche bereitzustellen, und sie verpflichtet Banken — sektoral benannt, nicht durch Auslegung —, diese Brieftasche bis Dezember 2027 für die starke Nutzerauthentifizierung zu akzeptieren. Zwischen diesen beiden Daten liegt ein Jahr, in dem der Nachweis existiert, Kunden ihn bei sich tragen und die Pflicht noch nicht greift. Die meisten Institute behandeln dieses Jahr als Puffer. Es ist das Bauzeitfenster.

Zusammenfassung für die Geschäftsleitung

Das ist geltendes Recht, anders als der Großteil der 2026er Akte. Regulation (EU) 2024/1183 ist in Kraft. Die Daten stehen im Text fest, statt im Trilog zu hängen, was dieses Vorhaben zu einem der wenigen macht, gegen die sich verlässlich planen lässt.

Die Bank wird zum vertrauenden Beteiligten. Das ist eine definierte Rechtsrolle mit angehängter Registrierungspflicht. Es ist das erste Identitätsregime, in dem eine Bank gegenüber einer öffentlichen Registrierungsstelle förmlich erklären muss, was sie von Kunden abzufragen gedenkt.

Annahme ist keine Authentifizierungsstrategie. Die Pflicht besteht darin, eine Brieftaschen-Präsentation anzunehmen, wenn ein Nutzer sie anbietet. Was die Bank mit der daraus gewonnenen Sicherheit tut — und wie sie das mit ihrem eigenen Risikomodell in Einklang bringt —, bleibt ihr überlassen.

Der schwierige Teil beginnt nach der erfolgreichen Prüfung. Eine kryptografisch gültige Präsentation sagt Ihnen, dass der Inhaber die Person ist, für die der Staat ihn hält. Sie sagt Ihnen nicht, ob er die Person ist, die 2014 das Konto eröffnet hat.

Zwei Daten, eine Lücke

Beginnen Sie mit dem Zeitplan, denn nahezu jede Fehllesart dieser Akte entsteht daraus, die beiden Daten zu einem zu verschmelzen.

Regulation (EU) 2024/1183 hat die ursprüngliche eIDAS-Verordnung, Regulation (EU) No 910/2014, geändert und trat im Mai 2024 in Kraft. Sie gab der Kommission das Mandat, Durchführungsrechtsakte zu erlassen, die festlegen, wie Brieftaschen gebaut, zertifiziert, registriert und genutzt werden, und sie setzte zwei Pflichten mit unterschiedlichen Uhren in Gang.

Die erste trifft die Mitgliedstaaten. Bis zum 24. Dezember 2026 muss jeder mindestens eine European Digital Identity Wallet für seine Bürger und Einwohner bereitstellen. Das ist eine Bereitstellungspflicht: Der Staat oder eine von ihm benannte Stelle liefert die Brieftasche, und natürliche Personen zahlen dafür nichts.

Die zweite trifft die vertrauenden Beteiligten. Bis zum 24. Dezember 2027 müssen nach Article 5f große und mittlere vertrauende Beteiligte, die rechtlich oder vertraglich zur starken Nutzerauthentifizierung bei der Identifizierung verpflichtet sind — und die in einem der gelisteten Sektoren tätig sind, zu denen Banken und Finanzdienstleistungen zählen —, die Brieftasche akzeptieren, wenn ein Nutzer freiwillig darum bittet, sie zu verwenden.

Dazwischen liegen zwölf Monate, und die Reihenfolge zählt. Der Nachweis kommt zuerst. Die Pflicht, ihn anzunehmen, kommt ein Jahr später.

Die meisten Programmpläne, die ich gesehen habe, verankern sich am Datum 2027. Das ist eine vertretbare Lesart einer Compliance-Frist und eine schwache Lesart des tatsächlichen Risikos. Ab Dezember 2026 können die Kunden einer Bank einen staatlich ausgestellten digitalen Identitätsnachweis halten, den die Bank noch nicht verarbeiten kann. Wettbewerber, die es können, werden ihn nutzen — für eine Kundenanlage in Sekunden statt in Tagen und für Re-Authentifizierungsstrecken, die den Dokumenten-Upload vollständig überspringen. Die Frist ist 2027. Die Wettbewerbsexposition beginnt 2026.

Vertrauender Beteiligter ist eine Rechtsrolle, kein Integrationsmuster

Das ist die Bestimmung, die in technischen Lesarten am häufigsten übersprungen wird, und sie hat die längste Vorlaufzeit.

Nach Article 5b muss sich eine Partei, die sich auf European Digital Identity Wallets stützen will, in dem Mitgliedstaat registrieren, in dem sie niedergelassen ist. Die Registrierung ist keine Anmeldung im Entwicklerportal. Sie identifiziert das Institut, erfasst den Mitgliedstaat der Niederlassung und die Registernummer und deckt — entscheidend — den beabsichtigten Verwendungszweck ab, einschließlich der Attribute, die der vertrauende Beteiligte abfragen wird.

Daraus folgen drei Konsequenzen, und keine davon ist ein technisches Problem.

Die Attributabfrage wird zur erklärten Position. Eine Bank muss vorab und aktenkundig entscheiden, was sie Kunden zur Offenlegung abverlangt. „Alles, was die Brieftasche uns gibt" ist keine verfügbare Antwort. Datenminimierung ist dann kein Prinzip mehr, für das der Datenschutz wirbt, sondern eine Beschränkung, die in der Registrierung kodiert ist.

Produktänderungen erhalten eine Registrierungsabhängigkeit. Eine neue Strecke, die ein Attribut außerhalb des registrierten Umfangs benötigt, ist kein Sprint-Element. Wie lange die Bearbeitung in jedem Mitgliedstaat auch dauern mag: am selben Tag ist sie nicht erledigt.

Banken in mehreren Rechtsordnungen registrieren sich an mehreren Stellen. Ein Institut mit Niederlassungen in mehreren Mitgliedstaaten hat es mit mehreren Registrierungsstellen zu tun. Die Brieftasche ist grenzüberschreitend ausgelegt — eine deutsche Brieftasche funktioniert bei einem französischen vertrauenden Beteiligten —, doch die Registrierungspflicht knüpft an die Niederlassung an, und die Konzernstruktur bestimmt, wie viele Gespräche das bedeutet.

Tabelle 1: Wo die Bank vorher und nachher steht

Dimension	Bankeigene Identität (heute)	EUDI Wallet (Article 5f)
Wer den Nachweis ausstellt	Die Bank, nach eigener Kundenanlage	Der Mitgliedstaat oder ein benannter Anbieter
Wer über die Gültigkeit entscheidet	Die Bank, anhand eigener Daten	Die Bank, anhand Signatur und Status des Ausstellers
Was der Kunde steuert	Wenig; die Bank hält die Beziehung	Welche Attribute je Präsentation freigegeben werden
Was die Bank tun muss	Was ihr Risikoappetit trägt	Eine Präsentation annehmen, wenn ein Nutzer darum bittet
Voraussetzung zur Teilnahme	Keine über die eigenen Systeme hinaus	Registrierung als vertrauender Beteiligter nach Article 5b
Preis für mehr Datenabfrage	Eine interne Produktentscheidung	Eine Änderung an einem registrierten, erklärten Umfang

Die Brieftasche hebt die starke Kundenauthentifizierung nicht auf

Ein wiederkehrender Fehler in frühen Planungsunterlagen ist die Annahme, die Annahme der Brieftasche verdränge das Authentifizierungsregime von PSD2. Das tut sie nicht.

Die starke Kundenauthentifizierung nach Directive (EU) 2015/2366 und den technischen Regulierungsstandards in Commission Delegated Regulation (EU) 2018/389 regelt weiterhin, wie Zahlungsdienstleister Zahler authentifizieren und Transaktionen autorisieren. Die Pflicht aus Article 5f legt sich darüber, sie ersetzt sie nicht. Eine Bank muss ihre SCA-Pflichten weiterhin erfüllen; sie muss zusätzlich eine Brieftasche annehmen, wenn ein Kunde sie zur starken Nutzerauthentifizierung anbietet.

Die praktische Frage lautet daher nicht „ersetzt die Brieftasche unsere SCA-Faktoren", sondern „was trägt eine Brieftaschen-Präsentation zu einer SCA-konformen Authentifizierung bei, und was müssen wir weiterhin selbst leisten". Das ist eine Architekturfrage mit einer realen Antwort, und sie lohnt sich vor der Frist statt während ihrer, denn die beiden Regime wurden von unterschiedlichen Rechtsakten zu unterschiedlichen Zwecken verfasst und treffen sich in Ihrem Authentifizierungsdienst.

Es gibt eine verwandte Falle im Haftungsmodell. In der heutigen Ordnung stellt die Bank den Nachweis aus und besitzt damit die meisten Fehlerbilder. In der neuen wird der Nachweis anderswo ausgestellt und von der Bank geprüft. Eine Prüfung, die im Fehlerfall durchlässt, ein veralteter Widerrufsstatus des Ausstellers oder eine wiederholt eingespielte Präsentation sind Fehlerbilder, mit denen das Institut wenig Erfahrung hat, und die Verteilung des Schadens zwischen Brieftaschen-Anbieter, Aussteller und vertrauendem Beteiligten ist genau die Art von Frage, die nach dem ersten Vorfall langsam und teuer geklärt wird.

Was die Prüfung Ihnen nicht sagt

Hier kommt der Teil, der Identitätsteams regelmäßig überrascht, und er gehört klar ausgesprochen.

Eine Brieftaschen-Präsentation liefert die kryptografische Sicherheit, dass eine Menge von Attributen von einer vertrauenswürdigen Stelle an den Inhaber der Brieftasche ausgestellt wurde und dass der Inhaber anwesend ist. Sie sagt Ihnen mit hoher Zuverlässigkeit, dass diese Person die ist, für die der Staat sie hält.

Sie sagt Ihnen nicht, dass diese Person der Kunde ist, der das Konto eröffnet hat.

Für die Kundenanlage macht dieser Unterschied wenig aus — die Brieftasche kommt dem Ideal nahe, und eine Identitätsprüfung, die heute einen Dokumentenscan, eine Lebendprüfung und eine manuelle Sichtung erfordert, schrumpft auf eine einzige Präsentation. Für den Bestand macht er enorm viel aus. Eine staatlich ausgestellte digitale Identität an ein Konto zu binden, das 2014 gegen einen inzwischen abgelaufenen Reisepass unter einem möglicherweise geänderten Namen eröffnet wurde, ist ein Datensatz-Verknüpfungsproblem. Es ist dieselbe Entitätsauflösung, die Open-Finance- und Kundendatenprogramme immer wieder neu entdecken, und sie wird nicht leichter, nur weil der eingehende Nachweis kryptografisch exzellent ist.

Institute, die die Brieftaschen-Integration als Kanalprojekt behandeln, bauen eine funktionierende Präsentationsstrecke und stellen dann fest, dass der interessante Fehler die Trefferquote gegen ihren eigenen Kundenstamm ist. Diese Arbeit hat eine lange Vorlaufzeit und keine Abhängigkeit von irgendeinem Durchführungsrechtsakt. Sie kann jetzt beginnen.

Tabelle 2: Woraus der Aufbau tatsächlich besteht

Arbeitspaket	Setzt die Existenz der Brieftasche voraus?	Kann jetzt beginnen
Registrierung als vertrauender Beteiligter in jedem Mitgliedstaat der Niederlassung	Registrierungsstelle betriebsbereit	Den Attributumfang festlegen, den Sie erklären werden
Präsentationsprüfung, Vertrauensliste und Widerruf	Ja, für Ende-zu-Ende-Tests	Protokollwahl und Servicedesign
Bindung einer geprüften Identität an einen bestehenden Kundendatensatz	Nein	Ja — das ist der längste Balken
Abgleich der Brieftaschen-Annahme mit den SCA-Pflichten	Nein	Ja
Haftung, Vorfall- und Streitbearbeitung für einen Nachweis, den Sie nicht ausgestellt haben	Nein	Ja
Prüfung bestehender Strecken auf Attributminimierung	Nein	Ja

Vier von sechs warten auf nichts.

Das operative Vorgehen

Sechs Schritte, in der Reihenfolge, in der ich sie sequenzieren würde.

Benennen Sie den verantwortlichen Eigentümer. Das liegt quer über Identität, Kundenanlage, Zahlungsverkehr und Recht, was in den meisten Banken heißt: nirgends. Die Annahme der Brieftasche scheitert als föderierte Initiative.
Legen Sie den Attributumfang fest, bevor die Registrierungsstelle fragt. Die Registrierung erklärt, was Sie abfragen werden. Ermitteln Sie das Minimum, das Ihre Strecken trägt, denn ein erklärter Umfang lässt sich bewusst leichter erweitern als nach einer Datenschutzprüfung wieder einengen.
Beginnen Sie jetzt mit dem Bindungsproblem. Eine staatliche Identität einem bestehenden Kundendatensatz zuzuordnen, ist das Arbeitspaket mit dem längsten Nachlauf und den wenigsten Abhängigkeiten. Es entscheidet zugleich darüber, ob die Annahme ein gutes Erlebnis wird oder eine Warteschlange im Support.
Schreiben Sie den SCA-Abgleich auf. Dokumentieren Sie, wie eine Brieftaschen-Präsentation mit Ihren bestehenden Authentifizierungsfaktoren zusammenwirkt und wo die Regime sich treffen. Als Architekturentscheidungsprotokoll, nicht als Folie.
Modellieren Sie die Fehlerbilder, die Sie nie besessen haben. Veralteter Widerruf, Ausfall des Ausstellers, eine Prüfung, die durchlässt. Sie haben diesen Nachweis nicht ausgestellt; gehen Sie davon aus, dass die Fehlerbilder nicht Ihrer Kontrolle unterliegen, und entwerfen Sie entsprechend.
Nutzen Sie die zwölf Monate bewusst. Brieftaschen sind ab Dezember 2026 produktiv. Behandeln Sie 2027 als das Jahr, in dem Sie die Fähigkeit betreiben, nicht als das Jahr, in dem Sie sie bauen.

Banken haben in der Open-Banking-Ära gelernt, dass eine vorgeschriebene Schnittstelle selten nur eine Schnittstelle ist. Dieselbe Lektion kommt jetzt über einen anderen Rechtsakt. Institute, die Article 5f als Integrationsticket lesen, liefern pünktlich eine konforme Präsentationsstrecke und können die einzige Frage, die am Schalter zählt, trotzdem nicht beantworten: Ist die Person mit dieser Brieftasche die Person, deren Konto Sie gleich eröffnen?

Häufig gestellte Fragen

Wann genau muss eine Bank die Brieftasche akzeptieren?
Bis zum 24. Dezember 2027 für große und mittlere vertrauende Beteiligte, die rechtlich oder vertraglich zur starken Nutzerauthentifizierung verpflichtet sind und in einem gelisteten Sektor tätig sind, wozu Banken und Finanzdienstleistungen zählen. Die separate Pflicht der Mitgliedstaaten, mindestens eine Brieftasche bereitzustellen, läuft ein Jahr früher, bis zum 24. Dezember 2026.

Ist das entschieden, oder können sich die Daten verschieben?
Regulation (EU) 2024/1183 ist in Kraft, und die Daten stehen im verabschiedeten Text, nicht in einem Vorschlag, über den noch verhandelt wird. Das macht sie deutlich fester als das meiste, wogegen Banken derzeit planen, und es ist einer der Gründe, warum frühe Arbeit an dieser Akte sich auszahlt.

Heißt die Annahme einer Brieftasche, dass wir unsere eigene Authentifizierung abschalten können?
Nein. Die Pflicht besteht darin, eine Brieftaschen-Präsentation anzunehmen, wenn ein Nutzer freiwillig darum bittet, sie zu verwenden. Kunden, die keine Brieftasche haben oder sie nicht nutzen wollen, müssen weiterhin bedient werden, und die Anforderungen der starken Kundenauthentifizierung aus PSD2 gelten für Zahlungsstrecken unabhängig davon weiter.

Worauf verpflichtet uns die Registrierung nach Article 5b konkret?
Auf eine Registrierung in dem Mitgliedstaat, in dem Sie niedergelassen sind, auf die Identifizierung des Instituts und auf die Erklärung des beabsichtigten Verwendungszwecks einschließlich der Attribute, die Sie abfragen wollen. Praktisch heißt das: Ihre Position zur Datenminimierung wird öffentlich aktenkundig und zu einer Beschränkung künftiger Produktänderungen.

Wir sind nicht in der EU niedergelassen. Erreicht uns das?
Die Annahmepflicht aus Article 5f knüpft an vertrauende Beteiligte an, die in den gelisteten Sektoren innerhalb des Unionsrahmens tätig sind, und die Registrierungspflicht knüpft an den Mitgliedstaat der Niederlassung an. Konzernstruktur und der Ort, an dem jede regulierte Einheit niedergelassen ist, bestimmen die Antwort — eine Rechtsfrage, die früh geklärt gehört, keine technische.

Was ist das Nützlichste, womit wir dieses Quartal beginnen können?
Entitätsauflösung zwischen einer staatlich ausgestellten Identität und Ihrem bestehenden Kundenstamm. Sie hängt weder von Brieftaschen noch von Durchführungsrechtsakten oder Registrierungsstellen ab, sie ist das Arbeitspaket, das am ehesten darüber entscheidet, ob die Annahme in der Praxis funktioniert, und sie ist die eine Aufgabe, die standardmäßig niemand besitzt.

Quellen

Europäisches Parlament und Rat der Europäischen Union, 2024. Regulation (EU) 2024/1183 zur Änderung der Regulation (EU) No 910/2014 im Hinblick auf die Schaffung des europäischen Rahmens für eine digitale Identität. Brüssel: Amtsblatt der Europäischen Union. Verfügbar unter: Europäisches Parlament und Rat der Europäischen Union, 2024..
Europäische Kommission, 2026. European Digital Identity Wallet. Brüssel: Generaldirektion Kommunikationsnetze, Inhalte und Technologien. Verfügbar unter: Europäische Kommission, 2026..
Europäische Kommission, 2026. EUDI Wallet Architecture and Reference Framework. Brüssel: Europäische Kommission. Verfügbar unter: Europäische Kommission, 2026..
Europäisches Parlament und Rat der Europäischen Union, 2015. Directive (EU) 2015/2366 über Zahlungsdienste im Binnenmarkt (PSD2). Brüssel: Amtsblatt der Europäischen Union. Verfügbar unter: Europäisches Parlament und Rat der Europäischen Union, 2015..
Europäische Kommission, 2018. Commission Delegated Regulation (EU) 2018/389 zur Ergänzung der Directive (EU) 2015/2366 im Hinblick auf technische Regulierungsstandards für die starke Kundenauthentifizierung. Brüssel: Amtsblatt der Europäischen Union. Verfügbar unter: Europäische Kommission, 2018..
OpenID Foundation, 2026. OpenID for Verifiable Presentations. San Ramon: OpenID Foundation. Verfügbar unter: OpenID Foundation, 2026..

Zuletzt überprüft 2026-08-08.

Diesen Artikel republizieren

Die Brieftasche kommt im Dezember, die Pflicht ein Jahr später. — Sebastien Rousseau

Bis Dezember 2026 müssen Mitgliedstaaten eine EUDI Wallet bereitstellen, bis Dezember 2027 müssen Banken sie akzeptieren. Diese zwölf Monate sind das Problem.

Dieser Artikel ist lizenziert unter Creative Commons Attribution 4.0 International. Eine Republikation erfordert Attribution zur kanonischen URL.

Die Brieftasche kommt im Dezember, die Pflicht ein Jahr später. — Sebastien Rousseau

Bis Dezember 2026 müssen Mitgliedstaaten eine EUDI Wallet bereitstellen, bis Dezember 2027 müssen Banken sie akzeptieren. Diese zwölf Monate sind das Problem.

Originally published at https://sebastienrousseau.com/de/2026-08-01-eudi-wallet-eidas-2-banks-relying-party-2026/ by Sebastien Rousseau.
Licensed under CC-BY-4.0.

SEBASTIEN ROUSSEAU FOUNDER · ENGINEER