EUDI-Wallet: Was Unternehmen jetzt wissen müssen (2026)

Die EUDI-Wallet ist eine zertifizierte App, mit der sich Menschen in der EU digital ausweisen und Nachweise wie Alter, Führerschein oder Zeugnisse vorzeigen. In Deutschland startet sie am 2. Januar 2027 unter dem Namen d-you. Für Bürgerinnen und Bürger bleibt die Nutzung freiwillig und kostenlos. Für viele Unternehmen sieht das anders aus: Banken, Telekommunikationsanbieter, Energieversorger und weitere regulierte Branchen müssen die Wallet spätestens Ende 2027 akzeptieren, sofern sie Kunden online mit starker Authentifizierung identifizieren. Behörden müssen sie schon ab dem Start annehmen.

Im Moment wirkt das Thema weit weg. Die App steht noch nicht im Store, die Frist für private Unternehmen liegt mehr als ein Jahr entfernt, und im IT-Budget für 2027 taucht die Wallet selten auf. Das ist verständlich, aber riskant. Identitätsprüfung berührt Onboarding, Vertragsabschluss, Kundenkonto und Compliance zugleich. Solche Querschnittsthemen erledigt kein Team nebenbei in einem Quartal. Dieser Ratgeber erklärt, was die Wallet kann, welche Pflichten gelten und wie Sie die Umsetzung realistisch planen.

Stand: 10. September 2026. Grundlage sind die eIDAS-Verordnung (EU) 2024/1183 und die Angaben des Bundesministeriums für Digitales und Staatsmodernisierung (BMDS).

Was ist die EUDI-Wallet?

Kurz erklärt: Die EUDI-Wallet (European Digital Identity Wallet, auch EU Digital Identity Wallet) ist eine digitale Brieftasche für Identitätsdaten und Nachweise. Jeder EU-Mitgliedstaat muss seinen Bürgern bis Ende 2026 mindestens eine solche Wallet anbieten.

Die App verwaltet zwei Arten von Daten. Die erste sind die Personenidentifizierungsdaten, kurz PID. Sie stammen aus dem Personalausweis oder dem elektronischen Aufenthaltstitel und bilden die digitale Identität. Die zweite Gruppe sind elektronische Nachweise über einzelne Eigenschaften: ein Führerschein, ein Hochschulabschluss, eine Berufsberechtigung oder ein Altersnachweis.

Wenn ein Onlinedienst eine Angabe braucht, fragt er sie bei der Wallet an. Die App zeigt, wer anfragt und welche Daten er sehen will. Die Nutzerin gibt frei oder lehnt ab. Das funktioniert in allen Mitgliedstaaten nach denselben Regeln. Diese Interoperabilität ist der eigentliche Kern der Verordnung. Damit weisen sich Menschen erstmals auch im EU-Ausland digital aus, etwa bei einer Kontoeröffnung. Fachleute sprechen von grenzüberschreitender Identifikation.

Was unterscheidet die EUDI-Wallet von Apple Wallet oder Google Wallet?

Apple Wallet und Google Wallet speichern vor allem Bezahlkarten, Tickets und Kundenkarten. Die EUDI-Wallet dagegen ist eine hoheitliche Identitätslösung. Sie muss nach eIDAS das Vertrauensniveau „hoch“ erfüllen. Akkreditierte Prüfstellen zertifizieren sie, bevor sie auf den Markt kommt. Ein Unternehmen kann sich deshalb auf die übermittelten Identitätsnachweise verlassen, ähnlich wie auf den Personalausweis selbst.

Welche Rolle spielt die eIDAS-Verordnung?

Die eIDAS-Verordnung regelt seit 2014 die elektronische Identifizierung und Vertrauensdienste in der EU, darunter die qualifizierte elektronische Signatur. Ihre Überarbeitung, oft eIDAS 2.0 genannt, trat am 20. Mai 2024 als Verordnung (EU) 2024/1183 in Kraft. Sie verpflichtet die Mitgliedstaaten zur Wallet und legt Rechte für Nutzer und Pflichten für Unternehmen fest.

Technische Details regeln Durchführungsrechtsakte der EU-Kommission. Die gemeinsame Architektur beschreibt das Architecture and Reference Framework, kurz ARF. In Deutschland verantwortet das BMDS die staatliche Wallet.

Wann kommt die EUDI-Wallet in Deutschland?

Kurz erklärt: Die staatliche EUDI-Wallet startet am 2. Januar 2027 unter dem Namen d-you. Den Namen hat das BMDS am 9. September 2026 vorgestellt, den Termin hatte es schon vorher angekündigt.

Was ist d-you?

d-you ist die deutsche Umsetzung der EUDI-Wallet. Laut BMDS ist die App kostenlos und freiwillig. Die Daten liegen verschlüsselt auf dem Endgerät. Zum Start sollen drei Anwendungen funktionieren: der Altersnachweis, rechtssichere Vertragsabschlüsse und die Kontoeröffnung bei Banken. Laut offizieller FAQ soll der Führerschein voraussichtlich schon zur ersten Ausbaustufe gehören. Eine eigene Signaturfunktion ist für den Lauf des Jahres 2027 angekündigt.

Rund 40 Partner aus Wirtschaft, Wissenschaft und Verwaltung bereiten Anwendungen vor. Dazu gehören die Bundesagentur für Arbeit, die Deutsche Post, die Bundesdruckerei, die Deutsche Rentenversicherung, der Deutsche Sparkassen- und Giroverband, Vodafone und Rossmann. Die Bundesagentur für Sprunginnovationen (SPRIND) entwickelt die Wallet im Auftrag des BMDS. Die Bundesdruckerei baut zentrale Komponenten, vor allem den Dienst, der die PID in die Wallet bringt.

Wie sieht der Zeitplan in der EU aus?

Die EU hat die Fristen gestaffelt. Für Unternehmen zählen vor allem die Termine im Jahr 2027.

Deutschland startet damit wenige Tage nach der EU-Frist. Für die Planung im Unternehmen ändert das wenig. Für private Unternehmen zählt die EU-Frist am 24. Dezember 2027. Behörden müssen die Wallet akzeptieren, sobald sie verfügbar ist.

Wie funktioniert die EUDI-Wallet?

Kurz erklärt: Die Wallet speichert Identitätsdaten und Nachweise verschlüsselt auf dem Smartphone. Ein Dienst fordert gezielt einzelne Angaben an. Erst nach Freigabe durch die Nutzerin erhält er genau diese Daten.

Im Ökosystem gibt es drei Rollen. Aussteller wie Behörden, Hochschulen oder Banken stellen Nachweise aus. Die Wallet verwahrt sie. Vertrauende Parteien, im Fachjargon Relying Parties, prüfen die Nachweise. Das sind Sie als Unternehmen, sobald Sie die Wallet in einen Prozess einbinden.

Vertrauende Parteien müssen sich vorher in ihrem Mitgliedstaat registrieren. Dabei geben sie an, wofür sie die Wallet nutzen und welche Daten sie abfragen. Mehr als die registrierten Daten dürfen sie nicht verlangen. Das zwingt Unternehmen, ihren Datenbedarf vor dem Start genau festzulegen.

Was sind PID und elektronische Nachweise?

Die PID (Personal Identification Data) bilden den Kern der Wallet. Sie umfassen Grunddaten wie Name und Geburtsdatum. Für die Einrichtung brauchen Nutzer einen Personalausweis oder elektronischen Aufenthaltstitel mit aktivierter Online-Ausweisfunktion, die zugehörige PIN und ein Smartphone mit NFC. Die App liest den Chip des Ausweises einmal aus und legt die PID an. Andere Ausweisdokumente wie der Reisepass reichen für diesen Schritt nicht aus.

Elektronische Nachweise, in der Verordnung elektronische Attributsbescheinigungen genannt, kommen danach hinzu. Das BMDS plant einen schrittweisen Ausbau: zuerst die digitale Identifikation, dann schrittweise elektronische Nachweise wie den Führerschein (Mobile Driving Licence). Später sollen weitere digitale Berechtigungsnachweise folgen, etwa Zeugnisse oder Mitgliedsausweise.

Was bedeuten Verifiable Credentials und Self-Sovereign Identity?

Verifiable Credentials sind digital signierte Nachweise. Ein Prüfer kann ihre Echtheit kontrollieren, ohne beim Aussteller nachzufragen. Das W3C hat dafür ein eigenes Datenmodell veröffentlicht. Die EUDI-Wallet nutzt verwandte Formate, die das ARF festlegt.

Self-Sovereign Identity (SSI) beschreibt die Idee, dass Menschen ihre Identitätsdaten selbst verwalten. Die EUDI-Wallet greift diesen Gedanken auf, bettet ihn aber in einen staatlich regulierten Rahmen ein. Die Daten liegen dezentral auf dem Gerät der Nutzerin statt in einer zentralen Datenbank. Eine Blockchain braucht die Wallet dafür nicht, auch wenn SSI-Konzepte früher oft damit verbunden wurden.

Wie schützt die Wallet persönliche Daten?

Das wichtigste Prinzip heißt selektive Offenlegung. Ein Onlinehändler, der ein Mindestalter prüfen muss, erhält nur die Bestätigung „über 18″. Geburtsdatum, Name und Adresse bleiben in der Wallet. So setzt die Wallet den Grundsatz der Datenminimierung aus Artikel 5 DSGVO technisch um. Privacy by Design steckt damit direkt in der Architektur.

Dazu kommt ein Dashboard in der App. Es protokolliert, welche Dienste welche Daten abgefragt haben. Nutzer können dort bei einem Dienst die Löschung ihrer Daten beantragen und verdächtige Anfragen an die Datenschutzaufsicht melden. Weiter gehen Zero-Knowledge-Proofs: Sie belegen eine Eigenschaft, ohne überhaupt signierte Rohdaten zu übertragen. Kritiker bemängeln, dass die aktuelle Umsetzung diese Technik noch nicht ausreichend nutzt.

Was hat die Wallet mit der qualifizierten elektronischen Signatur zu tun?

Die eIDAS-Verordnung verpflichtet die Mitgliedstaaten, allen Bürgern über die Wallet eine qualifizierte elektronische Signatur (QES) kostenlos anzubieten. Die Staaten dürfen die kostenlose Nutzung auf nichtgewerbliche Zwecke beschränken. Eine QES ist der handschriftlichen Unterschrift rechtlich gleichgestellt.

Für Unternehmen verschiebt das eine alte Hürde. Bisher brauchten Kunden für eine QES ein eigenes Zertifikat oder einen Signaturdienst. Mit der Wallet haben viele Kunden künftig eine Signatur in der Tasche. Vertragsstrecken mit Schriftformerfordernis lassen sich damit vollständig digital abwickeln.

Wie unterscheidet sich die Wallet vom Online-Ausweis und von privaten Wallets?

Der elektronische Identitätsnachweis, also die Online-Ausweisfunktion des Personalausweises, bleibt die Grundlage. Aus ihm entstehen die PID in der Wallet. Private Anbieter können eigene Wallets als EUDI-Wallet zertifizieren lassen, laut BMDS etwa zwölf Monate nach dem Start der staatlichen Lösung.

Mit dieser Übersicht ordnen Sie die Verfahren ein, die Sie heute schon nutzen oder bald anbieten müssen:

Ist die EUDI-Wallet Pflicht?

Kurz erklärt: Für Bürger nein. Die eIDAS-Verordnung schreibt fest, dass die Nutzung freiwillig ist und niemand Nachteile haben darf, der die Wallet nicht nutzt. Für bestimmte Unternehmen gilt dagegen eine Pflicht, die Wallet als Identifizierungsweg zu akzeptieren.

Müssen Bürger die Wallet nutzen?

Nein. Ausgabe, Nutzung und Widerruf der Wallet sind für Privatpersonen kostenlos. Behörden und Unternehmen dürfen Menschen ohne Wallet den Zugang zu Leistungen nicht verwehren oder erschweren. Die Frage, ob die EU ihre Bürger zu einer digitalen ID zwingt, beantwortet die Verordnung damit eindeutig. Ob analoge Wege im Alltag gleichwertig bleiben, beobachten Datenschützer und Verbraucherverbände dennoch genau.

Wer muss die EUDI-Wallet akzeptieren?

Die Pflicht zur Akzeptanz trifft drei Gruppen. Die erste sind öffentliche Stellen, die für Onlinedienste eine elektronische Identifizierung verlangen. Für sie gibt es keine Übergangsfrist: Sie müssen die Wallet akzeptieren, sobald sie verfügbar ist. Die zweite sind private Anbieter, die gesetzlich oder vertraglich eine starke Nutzerauthentifizierung verwenden müssen. Die Verordnung nennt dafür unter anderem Verkehr, Energie, Banken und Finanzdienstleistungen, Sozialversicherung, Gesundheit, Trinkwasser, Postdienste, digitale Infrastruktur, Bildung und Telekommunikation. Diese Anbieter müssen die Wallet spätestens 36 Monate nach Inkrafttreten der Durchführungsrechtsakte akzeptieren, also bis zum 24. Dezember 2027. Die Pflicht greift, wenn der Kunde die Wallet nutzen möchte. Kleinst- und Kleinunternehmen sind ausgenommen.

Die dritte Gruppe sind sehr große Online-Plattformen im Sinne des Digital Services Act. Verlangen sie eine Anmeldung, müssen sie die Wallet dafür zulassen, wenn Nutzer das wünschen. Dabei dürfen sie nur die minimal nötigen Daten abfragen.

Die Tabelle zeigt, wo Sie Ihr Unternehmen einordnen und was Sie zuerst prüfen sollten:

Was bringt die EUDI-Wallet Unternehmen?

Kurz erklärt: Unternehmen erhalten geprüfte Identitätsdaten statt Selbstauskünften, ohne Medienbruch und in Sekunden. Das senkt den Aufwand im Onboarding und schafft neue digitale Vertragsstrecken.

Heute prüfen viele Unternehmen Identität und Adresse mit einer Kombination aus Ausweiskopie, Video-Ident und manueller Kontrolle. Jeder dieser Schritte kostet Zeit, und an jedem können Kunden abbrechen. Die Wallet liefert dieselben Informationen als signierten Nachweis. Ein Mitarbeiter muss nichts abtippen und nichts vergleichen.

Die Diskussion um den Personalausweis ohne aufgedruckte Adresse zeigt die Richtung. Wenn die Karte als Sichtnachweis an Bedeutung verliert, brauchen Prozesse einen digitalen Weg für Identität und einzelne Attribute. Die Wallet ist dafür der naheliegende Kandidat.

Welche Anwendungsfälle gibt es zum Start?

Zum Start von d-you nennt das BMDS drei Anwendungen: Altersnachweis, rechtssichere Vertragsabschlüsse und Kontoeröffnung. Daraus ergeben sich für Unternehmen konkrete Einsatzfelder:

• Kunden-Onboarding und KYC: Banken und Finanzdienstleister identifizieren Neukunden direkt über die Wallet, etwa beim Eröffnen eines Bankkontos. Mit der AMLR ab Juli 2027 steigt der Druck, diese Prozesse ohnehin neu aufzusetzen.
• Altersverifikation: Onlinehändler, Plattformen und Anbieter altersbeschränkter Inhalte prüfen ein Mindestalter, ohne weitere Daten zu erhalten.
• Vertragsabschluss mit QES: Miet-, Arbeits- oder Kreditverträge lassen sich rechtssicher digital unterschreiben.
• Authentifizierung im Zahlungsverkehr: Die Wallet kann künftig als Faktor für die starke Kundenauthentifizierung (SCA) dienen.
• Personalprozesse: Zeugnisse und Qualifikationen kommen als geprüfter Nachweis statt als PDF.

Für Geschäftsbeziehungen zwischen Unternehmen hat die EU-Kommission im November 2025 zusätzlich eine eigene European Business Wallet vorgeschlagen. Sie soll Nachweise für Firmen und Vertretungsbefugnisse abbilden.

Welche Vorteile hat die Wallet gegenüber Video-Ident und Postident?

Technisch spricht viel für die Wallet. Der Nachweis kommt signiert vom Staat, der Kunde bleibt in Ihrer App oder auf Ihrer Website, und kein Dienstleister muss einen Videocall führen. Dazu kommt die EU-weite Gültigkeit.

Der Nutzen hängt allerdings an der Verbreitung. Solange nur ein Teil Ihrer Kunden die Wallet eingerichtet hat, betreiben Sie mehrere Verfahren parallel. Das kostet Geld für Schnittstellen, Support und Monitoring. Planen Sie die Wallet deshalb als zusätzlichen Kanal mit klaren Kennzahlen. Wie viele Kunden nutzen ihn, wie viele brechen ab? Und ab welchem Anteil lohnt es sich, andere Verfahren zurückzufahren?

Was müssen Unternehmen jetzt vorbereiten?

Kurz erklärt: Klären Sie zuerst, ob Ihr Unternehmen unter die Akzeptanzpflicht fällt. Danach erfassen Sie Ihre Prozesse, testen in der Sandbox, wählen den Integrationsweg und planen einen Rollout, der bis Ende 2027 trägt.

Schwierig wird meist die Frage, wer zuständig ist. Identitätsprüfung sitzt zwischen IT, Compliance, Datenschutz und Fachbereich. Jede dieser Stellen sieht einen Teil, keine verantwortet das Ganze. Benennen Sie deshalb früh einen Owner, der Budget, Termine und Entscheidungen für das Wallet-Projekt trägt. Ohne diese Rolle bleibt das Projekt zwischen den Abteilungen liegen, bis die Frist drückt.

Wie können Unternehmen die EUDI-Wallet implementieren?

Für die technische Anbindung gibt es drei typische Wege. Welcher passt, hängt von Ihrer Entwicklungskapazität und Ihrer bestehenden Identity-Landschaft ab.

Unabhängig vom Weg müssen Sie sich als vertrauende Partei registrieren. Die Registrierung legt fest, welche Daten Sie abfragen dürfen. Definieren Sie Ihren Datenbedarf daher gemeinsam mit dem Datenschutz, bevor Sie registrieren. Wer mehr fragt als nötig, erzeugt Abbrüche und Rückfragen der Aufsicht.

Wie lassen sich Use Cases in der Sandbox testen?

Das BMDS hat am 27. Januar 2026 offiziell eine Sandbox für die EUDI-Wallet gestartet. Unternehmen und Verwaltungen können dort zentrale Funktionen der staatlichen Wallet vor dem öffentlichen Start ausprobieren. Zugang und Rahmenbedingungen beschreibt das Ecosystem Knowledge Centre auf OpenCoDE. Ein Test in der Sandbox beantwortet früh die Fragen, die im Projekt sonst spät auftauchen. Welche Daten kommen tatsächlich an? Wie sieht der Ablauf auf dem Smartphone aus? Und was passiert, wenn ein Kunde abbricht?

Welche Schritte gehören in die Roadmap?

Diese fünf Schritte bereiten Sie auf die Wallet vor:

Budget für 2027 sollten Sie jetzt anmelden. Wer erst nach dem Start plant, hat bis zur Frist im Dezember 2027 wenig Luft. Zusammen mit Themen wie NIS2, der E-Rechnungspflicht oder den KI-Kompetenzpflichten aus dem EU AI Act entsteht eine Reihe regulatorischer Digitalprojekte. Eine gemeinsame Priorisierung verhindert, dass alle gleichzeitig um dieselben Ressourcen konkurrieren.

Wie finden Sie den passenden Partner für die Integration?

Für die Anbindung lohnt sich oft ein externer Partner. Achten Sie bei der Auswahl auf Erfahrung mit Identity & Access Management, mit den Standards der Wallet-Architektur und mit Datenschutz in regulierten Branchen. Wichtig ist auch, dass der Partner Ihre Prozesse versteht und nicht nur eine Schnittstelle liefert. Wenn Sie ohnehin an moderner Authentifizierung arbeiten, etwa an Passwordless Authentication mit Passkeys oder einem Zero-Trust-Ansatz, lohnt sich ein gemeinsamer Blick auf beide Themen.

Im IT-Dock-Anbieterverzeichnis finden Sie IT-Dienstleister für Identity & Access Management und Digitalisierungsprojekte. Wenn Sie Ihr Vorhaben lieber kurz beschreiben, schlägt Ihnen der IT-Lotse passende Integrationspartner vor, kostenlos und ohne Anmeldung.

Welche Kritik und Risiken gibt es?

Kurz erklärt: Kritiker bemängeln vor allem die Weitergabe signierter Identitätsdaten, das Risiko der Überidentifikation und die technische Abhängigkeit von Google und Apple. Für Unternehmen kommen Umsetzungsrisiken hinzu.

Wie steht es um Datenschutz und Datensouveränität?

Das Bundesinnenministerium hat sich im Oktober 2024 für ein Verfahren entschieden, bei dem Identitätsdaten mit einer Signatur an den Empfänger gehen. Die Bundesdatenschutzbeauftragte und Sicherheitsforschende kritisieren das. Wer die signierten Daten erhält, kann sie weitergeben, und Dritte können ihre Echtheit prüfen. Das erhöht den Wert solcher Daten für Missbrauch.

Ein zweiter Punkt ist die Überidentifikation. Die Verordnung verlangt Datenminimierung, aber in der Praxis entscheidet jede vertrauende Partei selbst, wie viel sie registriert. Kritiker befürchten, dass Dienste künftig öfter nach der vollen Identität fragen, weil es technisch so einfach ist.

Der dritte Punkt betrifft die digitale Souveränität. Die Wallet soll Europas Antwort auf die Logins großer Tech-Konzerne sein. Gleichzeitig läuft sie nur auf iOS und Android und nutzt deren Sicherheitsfunktionen, um die Integrität des Geräts zu prüfen. Wer ein alternatives Betriebssystem nutzt, könnte deshalb außen vor bleiben.

Welche Herausforderungen gibt es bei der Umsetzung?

Aus Unternehmenssicht wiegen andere Risiken schwerer. Die Wallet hängt am Smartphone. Geht es verloren, braucht der Kunde einen Weg zurück in seine digitale Identität, und Ihr Support muss darauf vorbereitet sein. Außerdem brauchen Kunden für die Identitätsdaten in der Wallet die PIN ihres Online-Ausweises. Wer sie nicht mehr kennt, muss sie zuerst neu setzen lassen.

Hinzu kommt die Unsicherheit bei den Spezifikationen. Das ARF und die Durchführungsrechtsakte haben sich in den vergangenen zwei Jahren mehrfach weiterentwickelt. Eine direkte Integration braucht deshalb Kapazität für Anpassungen, auch nach dem Go-live. Und schließlich verteilt sich die Einführung über 27 Mitgliedstaaten mit eigenen Wallets und Zeitplänen. Wer grenzüberschreitend arbeitet, sollte früh testen, wie ausländische Wallets in seinen Prozessen ankommen.

Planen Sie deshalb Puffer ein und behalten Sie eine Rückfallebene.