Die EUDI-Wallet im Finanzsektor - Annahmepflicht und Umsetzung für Kreditinstitute und Zahlungsinstitute

Jeder EU-Mitgliedstaat muss mindestens eine solche Wallet bereitstellen oder bereitstellen lassen. Die Bundesregierung lässt dafür die App d-you entwickeln, deren Start für den 2. Januar 2027 angekündigt ist. Die Wallet soll eine elektronische Identifizierung auch in anderen EU-Mitgliedstaaten ermöglichen. Bevor der Kunde sie für seine Kontoeröffnung einsetzen kann, richtet er zunächst ihre Ausweisfunktion ein.

Für die Einrichtung benötigt der Kunde einen Personalausweis oder elektronischen Aufenthaltstitel mit aktivierter Online-Ausweisfunktion. Er gibt die sechsstellige PIN seines Online-Ausweises ein und hält die Ausweiskarte an sein Smartphone, das den Chip kontaktlos ausliest. Die Personenidentifizierungsdaten („PID“) stellt die Bundesdruckerei aus. Ihr im staatlichen Auftrag entwickelter Hintergrunddienst erstellt daraus einen elektronisch signierten Nachweis und überträgt ihn in die Wallet. Eine eigene Geheimzahl schützt anschließend die Nutzung des digitalen Ausweises.

In der Wallet soll der Kunde sehen, welche Angaben das Kreditinstitut zu welchem Zweck anfordert. Gibt er sie frei, erhält das Institut die Daten samt Nachweisen, ohne dass die Karte erneut ausgelesen wird.

Für Kredit-, Zahlungs- und E-Geld-Institute dürfte die eigentliche Arbeit erst nach dieser Freigabe beginnen.

Die Institute bauen derzeit ohnehin die neuen Geldwäschevorgaben in ihre Kundenaufnahme ein und sollten den Umgang mit der EUDI-Wallet bereits jetzt mitdenken. Soll die Wallet später auch den Kontozugang oder die Freigabe einer Zahlung ermöglichen, kämen weitere Authentifizierungs- und Haftungsfragen hinzu.

Annahmepflicht ab 2027

Art. 5f Abs. 2 der Verordnung (EU) Nr. 910/2014 über elektronische Identifizierung und Vertrauensdienste in der Fassung der Verordnung (EU) 2024/1183 („eIDAS-VO“) verlangt die Annahme der Wallet auf freiwilliges Verlangen des Nutzers spätestens ab dem 24. Dezember 2027. Erfasst sind private Diensteanbieter, die aufgrund gesetzlicher oder vertraglicher Vorgaben eine starke Nutzerauthentifizierung für die Online-Identifizierung verlangen. Bankenwesen und Finanzdienstleistungen sind ausdrücklich genannt, Kleinstunternehmen und kleine Unternehmen sind ausgenommen.

Art. 5f Abs. 2 eIDAS-VO erfasst europäische Brieftaschen, „die gemäß dieser Verordnung bereitgestellt werden“. Die Überschrift der Norm stellt zudem auf die grenzüberschreitende Verwendung ab. Daher dürften grundsätzlich auch ordnungsgemäß bereitgestellte Wallets anderer Mitgliedstaaten anzunehmen sein. Eine technische Lösung, die ausschließlich d-you verarbeiten könnte, dürfte die Annahmepflicht deswegen nicht vollständig erfüllen.

Vor der ersten Identifizierung mit der Wallet müsste sich das Kreditinstitut als vertrauender Beteiligter registrieren lassen. Dafür sieht das vom Bundestag am 15. Oktober 2026 beschlossene Digitale Identitätengesetz („DIdG“) das Bundesverwaltungsamt vor (Art. 1 § 2 Abs. 2 Satz 1 Nr. 2 Buchst. b DIdG). Das Kreditinstitut würde die Online-Kontoeröffnung als beabsichtigte Verwendung angeben und die Daten nennen, die es dafür anfordert, etwa Name, Geburtsdatum und Anschrift (Art. 5b Abs. 1 und Abs. 2 Buchst. c eIDAS-VO). Einzelheiten der Registrierung regelt die Durchführungsverordnung (EU) 2025/848. Bei jeder Anfrage würde es sich gegenüber der Wallet mit einem digitalen Zertifikat ausweisen. Damit kann der Kunde erkennen, welches Institut seine Daten anfordert. Mehr als die registrierten Daten dürfte das Institut nicht abfragen (Art. 5b Abs. 3 eIDAS-VO). Ändern sich Verwendung oder Datenumfang, muss das Institut die Registrierungsangaben unverzüglich anpassen (Art. 5b Abs. 6 eIDAS-VO).

Mit dem Empfang der Daten wäre die Prüfung noch nicht abgeschlossen. Nach Art. 5b Abs. 9 eIDAS-VO ist das Institut selbst dafür verantwortlich, PID und elektronische Attributsbescheinigungen zu authentifizieren und zu validieren. Die deutsche Entwicklerdokumentation beschreibt dazu insbesondere die Prüfung des Ausstellers, der Signatur und der Gültigkeit sowie der Bindung des Nachweises an die vorlegende Wallet und die konkrete Anfrage. Das Institut müsste festlegen, welche Prüfergebnisse seine Software liefert und wie sie dem jeweiligen Kontoeröffnungsantrag und der Kundenakte zugeordnet werden.

Auch der Entwurf der Verordnung über Zahlungsdienste im Binnenmarkt, Ratsdok. 8543/1/26 REV 1 vom 4. November 2026 („PSR-E“) greift die Annahmepflicht auf. Erwägungsgrund 162 PSR-E verweist ausdrücklich auf Art. 5f Abs. 2 eIDAS-VO und bezieht ihn auf die Kontoanmeldung und die Auslösung von Zahlungsvorgängen. Institute müssten die Wallet daher auch für Onlinebanking und Zahlungsfreigaben mitdenken. Die Nutzung bleibt freiwillig und andere zulässige Zugangswege müssen erhalten bleiben (Art. 5a Abs. 15 eIDAS-VO).

Wallets privater Anbieter

d-you wird unter Verantwortung des Bundesministeriums für Digitales und Staatsmodernisierung entwickelt. Private Wallets sollen nach bisherigen Planungen etwa zwölf Monate nach dem Start der staatlichen Wallet hinzukommen, also voraussichtlich Anfang 2028. Neben der staatlichen Wallet und einer Wallet im staatlichen Auftrag sieht das Gesetz über die Europäische Brieftasche für die Digitale Identität („EBDIG“) auch die Anerkennung privater Angebote vor (§§ 3 bis 6 EBDIG).

Dieser Weg setzt allerdings voraus, dass das Ministerium ihn eröffnet und eine Rechtsverordnung nach § 22 Abs. 2 Nr. 3 EBDIG erlässt (§ 6 Abs. 1 EBDIG). Die unionsrechtliche Zertifizierung nach Art. 5c eIDAS-VO und der Durchführungsverordnung (EU) 2024/2981 dürfte deshalb für eine Anerkennung in Deutschland allein noch nicht genügen. § 6 Abs. 2 EBDIG verlangt zusätzlich, dass die nationalen Anforderungen erfüllt sind.

Welche Anforderungen das sein könnten, deutet die Gesetzesbegründung zu § 22 Abs. 2 Nr. 3 EBDIG, Bundestagsdrucksache 21/7408, bereits an. Sie nennt insbesondere Sicherheitsarchitektur, Interoperabilität und Zuverlässigkeit der Dienste sowie die wirtschaftliche, technische und personelle Leistungsfähigkeit der Anbieter. Veröffentlicht werden sollen die Anforderungen auf der Internetseite der zuständigen Behörde (§ 6 Abs. 3 EBDIG).

Öffnet das Ministerium den Anerkennungsweg, darf es die Zahl der anerkannten Wallets nicht begrenzen (§ 3 Abs. 2 Satz 2 EBDIG). Der angekündigte Termin Anfang 2028 ist bislang nicht gesetzlich festgelegt. Für Institute dürfte daraus keine Beschränkung ihrer Annahmepflicht auf das staatliche deutsche Angebot folgen.

Fernidentifizierung nach der AML-VO

Nutzt ein Institut heute ein Video-Ident-Verfahren, dürfte auch dessen weitere Verwendung neu zu bewerten sein.

Ab dem 10. Juli 2027 richtet sich die Identitätsprüfung grundsätzlich nach der Verordnung (EU) 2024/1624 zur Verhinderung der Nutzung des Finanzsystems für Zwecke der Geldwäsche oder der Terrorismusfinanzierung („AML-VO“). Entscheidend wäre dann, unter welchen Voraussetzungen sich das bisherige Verfahren in diesen Rechtsrahmen einordnen ließe. Art. 22 Abs. 6 Buchst. b AML-VO lässt elektronische Identifizierungsmittel auf dem Sicherheitsniveau „substanziell“ oder „hoch“ nach Art. 8 Abs. 2 Buchst. b und c eIDAS-VO zu, ebenso einschlägige qualifizierte Vertrauensdienste. Die Mindestanforderungen dafür konkretisiert die Durchführungsverordnung (EU) 2015/1502. Die EUDI-Wallet muss selbst das Niveau „hoch“ erreichen (Art. 5a Abs. 11 eIDAS-VO). Einen allgemeinen Vorrang der Wallet vor anderen zulässigen elektronischen Mitteln dürfte Art. 22 Abs. 6 Buchst. b AML-VO aber nicht begründen.

Für ein Video-Ident-Verfahren, das selbst kein solches Mittel und kein einschlägiger Vertrauensdienst ist, wäre vor allem Art. 7 eines Entwurfs technischer Regulierungsstandards der Behörde zur Bekämpfung der Geldwäsche und der Terrorismusfinanzierung maßgeblich, den sie am 30. September 2026 als Final Report zu Art. 28 Abs. 1 AML-VO vorgelegt hat („CDD-RTS-E“).

Art. 7 Abs. 1 CDD-RTS-E setzt kumulativ voraus, dass dem Kunden die persönliche Vorlage seines Identitätsdokuments nicht vernünftigerweise zugemutet werden kann und er keinen Zugang zu den Mitteln bzw. einschlägigen Vertrauensdiensten nach Art. 22 Abs. 6 Buchst. b AML-VO hat. Die Online-Ausweisfunktion des Personalausweises ist bereits auf dem höchsten Sicherheitsniveau nach der eIDAS-VO notifiziert, sodass vielen Kunden in Deutschland ein solcher Zugang offenstehen dürfte. Ein Institut könnte Video-Ident danach wohl nicht schon deshalb für alle Kunden fortführen, weil sich das Verfahren bewährt hat. Auch ein geringes Kundenrisiko würde diese Voraussetzungen nicht ersetzen.

Nach Art. 7 Abs. 3 CDD-RTS-E müsste das Institut gegenüber der Aufsicht begründen können, weshalb die regulären Mittel nicht genutzt werden konnten und nachweisen können, wie das Ersatzverfahren die Anforderungen erfüllt.

Institute mit Video-Ident müssten deshalb klären, welche Kunden künftig noch auf diesem Weg identifiziert werden könnten und welche Nachweise der Dienstleister dafür liefern müsste. Lehnt ein Kunde eine verfügbare Wallet bloß ab, dürfte das nach dem Wortlaut des Entwurfs noch keinen fehlenden Zugang im Sinne von Art. 7 Abs. 1 CDD-RTS-E belegen.

Registerdaten in der Wallet

Eröffnet eine Gesellschaft ein Konto, müsste das Kreditinstitut neben der Identität des handelnden Vertreters auch Angaben zur Gesellschaft, zur Vertretungsbefugnis und zu den wirtschaftlichen Eigentümern erheben und prüfen.

Bei neuen Geschäftsbeziehungen mit Gesellschaften verlangt Art. 23 Abs. 4 AML-VO außerdem einen gültigen Nachweis der Registrierung oder einen aktuellen Registerauszug. Gemeint ist die Eintragung der wirtschaftlichen Eigentümer im Transparenzregister. Die Wallet könnte dafür künftig einen weiteren Weg bieten. Nach § 18 Abs. 5 Satz 4 des Geldwäschebekämpfungsgesetzes („GwBG-E“) (Referentenentwurf des Bundesfinanzministeriums vom 28. Oktober 2026) soll die registerführende Stelle auf Antrag einen solchen Nachweis über aktuelle Angaben im Transparenzregister direkt in die EUDI-Wallet ausstellen können. Der Nachweis wäre eine elektronische Attributsbescheinigung einer öffentlichen Stelle, die für eine authentische Quelle zuständig ist (Art. 3 Nr. 46 eIDAS-VO). Seine Gültigkeit zum Zeitpunkt der Verwendung soll sich elektronisch prüfen lassen (§ 18 Abs. 5 Satz 3 GwBG-E).

Der handelnde Vertreter könnte damit neben seinen PID einen überprüfbaren Registerbeleg vorlegen. Die Identitätsüberprüfung des wirtschaftlichen Eigentümers nach Art. 22 Abs. 7 AML-VO bliebe erforderlich. Für das Institut wäre insbesondere zu prüfen, ob und wie es den elektronischen Registerbeleg in seine Prüfung der Gesellschaft einbeziehen und dessen Gültigkeit dokumentieren könnte.

SCARLET und Zahlungsnutzung

Die Wallet könnte auch beim Zugang zum Onlinebanking und bei Zahlungsfreigaben eingesetzt werden.

Dafür müsste sie mit einem bestehenden Zahlungskonto verbunden werden. Nach der europäischen Spezifikation zur starken Kundenauthentifizierung mit der Wallet (Technische Spezifikation 12, Version 1.0.1 vom 30. Januar 2026) stellt das kontoführende Institut dazu einen eigenen Authentifizierungsnachweis in der Wallet aus. Mit ihm ließe sich die Wallet dem Kunden und ggf. seinem Konto zuordnen.

Bei einer Überweisung würde das Institut die Zahlungsdaten an die Wallet übermitteln. Der Kunde sähe dort Betrag und Empfänger und gäbe die Zahlung frei. Die technische Rückmeldung würde seine Freigabe genau mit diesen Daten verknüpfen.

Das Institut müsste diese Rückmeldung vor der Ausführung auswerten. Hier setzt die dynamische Verknüpfung nach Art. 5 der Delegierten Verordnung (EU) 2018/389 mit technischen Regulierungsstandards für die starke Kundenauthentifizierung („SCA-RTS“) an. Die Pflicht zur starken Kundenauthentifizierung bei elektronisch ausgelösten Zahlungen folgt aus § 55 des Zahlungsdiensteaufsichtsgesetzes („ZAG“). Art. 91 Abs. 6 PSR-E führt die dynamische Verknüpfung fort.

Wie Zahlungsdienstleister, Wallet-Anbieter und technische Dienstleister dabei zusammenarbeiten und haften sollen, will der European Payments Council mit dem Strong Customer Authentication Acceptance Rulebook and Liability Framework for EUDIW Transactions („SCARLET“) vereinheitlichen. Nach der Ankündigung vom 19. Oktober 2026 soll das Regelwerk Teilnahmevoraussetzungen, Aufgaben, technische Anforderungen und Haftung festlegen. Version 1.0 soll auf der Richtlinie (EU) 2015/2366 und den SCA-RTS aufbauen, Version 1.1 dann die künftige Zahlungsdiensteverordnung berücksichtigen.

Die öffentliche Konsultation ist für Sommer 2027 und die erste Veröffentlichung für Dezember 2027 vorgesehen, gefolgt von einer Implementierungsphase. Die erste Fassung erscheint damit im selben Monat, in dem die Annahmepflicht nach Art. 5f Abs. 2 eIDAS-VO spätestens greift. Mit ihrer Vorbereitung dürften Institute deshalb nicht bis zur Veröffentlichung warten können. Technische Planung und Verträge müssten Raum für die späteren Vorgaben lassen.

Anbindung und Dienstleister

Ein Kreditinstitut könnte die Software zur Anforderung und Prüfung der Nachweise selbst betreiben oder einen Anbieter beauftragen, der diese Prüfung laufend übernimmt. Im zweiten Fall wäre konkret zu vereinbaren, ob der Dienstleister nur die Echtheit und Gültigkeit des Nachweises prüft oder auch dessen Zuordnung zur vorlegenden Wallet und zur jeweiligen Kontoeröffnung. Davon hinge ab, welche Ergebnisse das Institut selbst noch prüfen und in seine Kundenakte übernehmen müsste. Handelt ein Dienstleister im Namen des Instituts, gilt er nach Art. 5b Abs. 10 eIDAS-VO selbst als vertrauender Beteiligter und dürfte wohl keine Daten über den Inhalt der Transaktion speichern.

Ein dauerhaft bereitgestellter externer Prüf- oder Schnittstellendienst dürfte regelmäßig eine Dienstleistung der Informations- und Kommunikationstechnologie („IKT“) nach Art. 3 Nr. 21 der Verordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor („DORA“) darstellen. Maßgeblich wären die tatsächlich vereinbarte Leistung und ihre laufende Bereitstellung über IKT-Systeme. Nimmt das Institut dagegen nur eine vom Kunden vorgelegte staatliche Wallet an, dürfte darin noch keine Beauftragung des Wallet-Anbieters liegen.

Prozesse und Handbücher

Geldwäschehandbuch und Arbeitsanweisungen müssten die neuen Schritte bei der Kontoeröffnung abbilden, also Datenanforderung, Prüfung der Nachweise und Übernahme in die Kundenakte. Fehlende oder widersprüchliche Angaben müssten an eine zuständige Stelle zur Bearbeitung gehen. Bei Vertretern einer Gesellschaft kämen die Vertretungsbefugnis und gegebenenfalls der elektronische Beleg aus dem Transparenzregister hinzu.

Auch eine intern betriebene Prüflösung dürfte das eigene IKT-Risikomanagement berühren. Vor dem Start böte sich eine Erprobung des gesamten Ablaufs an. Zu prüfen wäre etwa, ob ein unvollständiger Nachweis in der Kundenakte eine Nachbearbeitung auslöst und ob ein abgebrochener Prüfvorgang nicht irrtümlich als erfolgreiche Identifizierung übernommen wird. Arbeitsanweisungen und Schulungen sollten solche Fälle und die zulässigen Ersatzwege bei Geräteverlust oder Dienstausfall nachvollziehbar beschreiben.

Wero als Zahlungsoption

Über die Authentifizierung hinaus könnte die Wallet auch eine (eigene) Zahlungsfunktion erhalten. Dass im Bankensektor über eine Verbindung mit Wero nachgedacht wird, wurde verschiedentlich in der Fachpresse diskutiert.

§ 17 EBDIG würde es jedenfalls, bestehende Zahlungsmittel zugelassener Zahlungsdienstleister in die Wallet einzubinden. Die zusätzliche Funktion darf die Sicherheit der Wallet nicht beeinträchtigen und keine unangemessenen Risiken verursachen. Der Wallet-Anbieter müsste die geplante Einbindung mindestens drei Monate vor der Verwendbarkeit dem Bundesamt für Sicherheit in der Informationstechnik anzeigen (§ 17 Satz 3 EBDIG). Weitere Anforderungen an einen fairen, angemessenen und nichtdiskriminierenden Zugang kann eine Rechtsverordnung nach § 22 Abs. 2 Nr. 4 EBDIG festlegen.

Für eine Anbindung an Wero müssten die Beteiligten vor allem Zahlungsabwicklung, Prüfung der Authentifizierung und Haftung vereinbaren. SCARLET könnte die Authentifizierung über die Wallet vereinheitlichen, dürfte die Teilnahme am Wero-System aber nicht ersetzen. Erbringt ein Beteiligter selbst Zahlungsdienste, wäre eine Erlaubnispflicht nach § 10 Abs. 1 ZAG zu prüfen. Wero wäre damit eine zusätzliche Produktentscheidung neben der gesetzlichen Pflicht zur Annahme der Wallet.

Fazit

Die staatliche Wallet kommt Anfang 2027, die Annahmepflicht spätestens Ende 2027.

Dazwischen gilt ab Juli 2027 (so ganz nebenbei) die AML-VO, und das weitverbreitete Video-Ident dürfte in seiner jetzigen Form zumindest auf dem Prüfstand stehen.

Daraus ergeben sich für Institute vor allem diese To-Do‘s:

• Die von Art. 5f Abs. 2 eIDAS-VO erfassten Dienste bestimmen und Registrierung, Datenumfang und Anbindung so planen, dass die Annahme spätestens ab dem 24. Dezember 2027 funktioniert.
• PID und weitere Nachweise mit den Anforderungen der AML-VO ab dem 10. Juli 2027 abgleichen und Geldwäschehandbuch und Arbeitsanweisungen anpassen.
• Bestehende Video-Ident-Verfahren an Art. 22 Abs. 6 Buchst. b AML-VO und Art. 7 CDD-RTS-E messen und die zulässigen Einsatzfälle mit dem Dienstleister klären.
• Externe Prüf- und Betriebsleistungen unter DORA einordnen und dabei auch klären, ob sie eine kritische oder wichtige Funktion unterstützen.
• Den gesamten Ablauf bis in die Kundenakte einschließlich Fehler- und Ausfallszenarien testen und die Mitarbeitenden vor dem Start schulen.