Kurz erklärt
Relying Party (vertrauende Beteiligte): Jede Organisation, die Identitätsdaten oder Nachweise aus einer EUDI-Wallet entgegennimmt und prüft, etwa bei Kundenanmeldung, Onboarding, Altersprüfung oder Vertragsabschluss.
EUDI-Wallet: Die europäische digitale Brieftasche auf dem Smartphone. Nutzende speichern darin Identitätsdaten und Nachweise und geben sie gezielt frei. In Deutschland startet die staatliche Wallet „d-you” am 2. Januar 2027.
Was gilt: Wer Wallet-Daten abfragen will, muss sich vorher registrieren und darf nur die registrierten Daten anfragen. Für Unternehmen mit gesetzlicher Pflicht zur starken Kundenauthentifizierung gilt ab dem 24. Dezember 2027 eine Akzeptanzpflicht.
Was das praktisch heißt: Die Anbindung ist weniger ein Programmierproblem als eine Frage von Zuständigkeit, Zweckdefinition und Betrieb.
Warum jetzt der richtige Zeitpunkt ist
Das Digitale-Identitäten-Gesetz (DIdG) hat den Bundestag passiert, die Beratung im Bundesrat steht noch aus. Änderungen sind also möglich. Unabhängig davon steht der Rahmen auf EU-Ebene: Die eIDAS-Verordnung verlangt die Registrierung vor der ersten Wallet-Abfrage und begrenzt Abfragen strikt auf die registrierten Daten.
Auch die Geldwäscheregulierung bewegt sich. Die Wallet wird dort ausdrücklich als Identifizierungsmittel anerkannt, und ab Juli 2027 werden eIDAS-konforme Verfahren zum Referenzstandard für Verpflichtete. Wer jetzt eine Wallet-Strecke aufbaut, baut damit oft zugleich die Grundlage für regelkonforme Identifizierung mit physischen Ausweisen.
Der Start in Deutschland ist bewusst als Soft-Start angelegt: zunächst Closed Beta, dann Stabilisierungsphase, eine reichweitenstarke Kampagne erst Ende 2027. 2027 wird ein Jahr des kontrollierten Hochlaufs, kein Volumenjahr. Das ist Ihre Chance, ohne Druck zu lernen. Es gilt aber auch: Wer früh scheitert, bekommt womöglich keine zweite Gelegenheit bei den Nutzenden.
Die vier häufigsten Stolpersteine
Die „Alles-Maschine”. Viele Organisationen wollen eine Plattform für sämtliche Anwendungsfälle bauen. Das Ergebnis sind lange Laufzeiten und zu breit gefasste Registrierungszwecke. Da Sie nur die registrierten Daten abfragen dürfen, wird ein unscharfer Zweck später zum Problem. Besser ist ein eng geschnittener erster Anwendungsfall.
Zu große Projektteams. Wenn jeder Fachbereich „seinen” Use Case zuerst will, frisst der Abstimmungsaufwand die Umsetzung. In der Praxis bewähren sich Teams von vier bis acht Personen. Die Dauer von Sandbox-Anbindungen reichte nach Beobachtungen aus Projekten von einer Woche bis zu einem Jahr, und der Unterschied lag selten an der Technik.
Alles hängt an einer Person. Identitätsthemen gelten oft als Spezialwissen. Fällt die eine Person aus oder wechselt, steht das Projekt. Wissenstransfer ist deshalb keine Kür, sondern Risikovorsorge.
Anbindung ohne fachliches Ziel. „Wir wollen die Wallet anbinden” ist kein Ziel. „Wir wollen die Abbruchquote im Onboarding um einen definierten Wert senken” ist eines. Ein typischer Fehler im Detail: Eine Desktop-Strecke lässt Nutzende zuerst am Rechner authentifizieren und dann noch einmal am Smartphone. Wer Same-Device by Design plant, übergibt vor der Authentifizierung ans Smartphone.
Was im Ernstfall wirklich zählt
Rechtlich zählt vor allem die Registrierung, und zwar als inhaltliche Festlegung: Welche Dienste fragen zu welchen Zwecken welche Daten ab? Die Registrierung ist beim Bundesverwaltungsamt gebührenfrei, verlangt aber sorgfältige Vorarbeit, auch für jede prüfende Stelle, etwa ein Kiosk bei der Altersprüfung. Wer später mehr Daten abfragt als registriert, handelt nicht rechtskonform.
Technisch zählen Zertifikate samt Lebenszyklus, die Prüfung gegen Vertrauenslisten, die Anbindung über OpenID4VP und die Fähigkeit, später mit mehr als 30 Wallets umzugehen. Wer nur gegen eine einzige Wallet baut, baut für ein Jahr.
Organisatorisch zählt eine Person mit Mandat. Sinnvoll ist eine Rolle analog zur oder zum Datenschutzbeauftragten: Wallet-Verantwortliche konzipieren Use Cases, beraten das Management, überwachen Rahmenbedingungen und halten die Registrierung aktuell. Eine gesetzliche Pflicht dafür gibt es nicht, aber der Registrierungsprozess braucht jemanden, der Dienste, Zwecke und Daten verbindlich zusammenführt.
Ein Erfahrungswert dazu: Der reine Code ist selten das Problem. Die meisten Herausforderungen entstehen in der eigenen Infrastruktur, etwa bei Firewall-Freigaben, internen Systemanbindungen und der Bestellung von Ressourcen.
Mindestanforderungen heute
Zum Start sollten Sie diese Punkte geklärt haben:
- eine benannte Verantwortung mit Mandat und Berichtslinie
- ein klar definierter erster Anwendungsfall mit Zweck und Attributen
- die Registrierung als vertrauende Beteiligte, einschließlich aller prüfenden Stellen
- Zugriffs- und Registrierungszertifikate samt Verwaltungsprozess
- Betrieb mit Monitoring und revisionssicherer Protokollierung
- Datenschutzdokumentation, Schulung und Kundenservice
Rechnen Sie außerdem mit Einschränkungen zum Start. Cross-Device-Abläufe sind zunächst nicht vorgesehen, das Lichtbild nur mit eigener Rechtsgrundlage je Use Case, und die Prüfung vor Ort folgt im ersten Quartal. Das Signieren von Dokumenten mit qualifizierter elektronischer Signatur, die Anmeldung mit minimaler Datenfreigabe und die Zahlungsfreigabe sind für später im Jahr 2027 angekündigt. Das prägt Ihre Strecken, besonders wenn sich Ihre Zielgruppe nicht ausschließlich am Smartphone bewegt.
Selbst bauen, Plattform nutzen oder Intermediär?
Hier fallen zwei Entscheidungen: Eigenbau oder Produkt, und mit oder ohne Vermittler.
Bei der Direktanbindung haben Sie volle Kontrolle, aber auch vollen Betriebsaufwand, von Zertifikaten über Vertrauenslisten bis zur dauerhaften Servicequalität. Eine Plattform (als SaaS oder On-Premises) nimmt Ihnen Betrieb und Updates ab. Sie bleiben aber vertrauende Beteiligte mit eigener Registrierung und Zertifikaten auf Ihren Namen. Ein Intermediär bietet eine Anbindung für alle Wallets und Anwendungsfälle und gilt selbst als vertrauende Beteiligte. Dafür sollten Verträge das Speicherverbot für Transaktionsinhalte sauber abbilden. Zum Start in Deutschland ist zunächst nur die klassische Konstellation mit einer Relying Party vorgesehen. Intermediäre sollen kurz danach folgen.
Entscheiden Sie anhand von Time-to-Market, Betriebsaufwand, Compliance-Risiko und der Zahl der Anwendungsfälle. Für einen ersten Anwendungsfall mit begrenztem Team ist eine Plattform- oder Connector-Lösung oft der schnellste Weg. Ein Proof of Concept ist damit in ein bis drei Monaten machbar. Die Vorarbeit zu Use Case, Rollen, Architektur und Business Case kostet erfahrungsgemäß drei bis neun Monate, und genau dort lässt sich am meisten Zeit sparen.
Der blinde Fleck: Fallback und Bestandskunden
Die Wallet ersetzt nicht über Nacht alle bestehenden Verfahren. Planen Sie deshalb parallel Alternativen ein: eID, Video-Ident oder Auto-Ident nach ETSI TS 119 461, bei Bedarf mit qualifizierter elektronischer Signatur. Für Verpflichtete nach Geldwäscherecht gilt zudem: Kundenpräferenz allein ist kein Grund, auf andere Verfahren auszuweichen. Die eIDAS-Verfahren kommen zuerst.
Ebenso wichtig ist die Wiedererkennung von Bestandskunden ohne eindeutigen Identifier. Eine Lösung ist ein kundenspezifisches Attribut, das etwa eine Kunden- oder Vertragsnummer enthält und für die Anmeldung genutzt werden kann, ohne dass die Person erneut ihr PID präsentieren muss. Und: Bestehende Portale sollten Sie anpassen, statt sie neu zu bauen. Die Wallet wird ein zusätzlicher Weg in vorhandene Strecken.
Wo qualifizierte Vertrauensdiensteanbieter helfen
Qualifizierte Vertrauensdiensteanbieter (QTSP) arbeiten täglich an der Schnittstelle von Identität, Signatur und Regulierung. Das hilft Relying Parties an drei Stellen:
Orchestrierung: Identitätsprüfung, Wallet-Abfrage, Fallback-Verfahren und qualifizierte Signatur laufen in einer durchgängigen Strecke statt in getrennten Silos.
Compliance-Know-how: Wer die Anforderungen aus eIDAS, Geldwäscherecht und technischen Standards täglich in Produkten abbildet, kann den Weg von der Registrierung bis zum Betrieb verkürzen.
Skalierbarkeit: Ein Anbieter, der mehrere Wallets und Länder im Blick hat, schützt Sie davor, 2028 neu zu bauen, wenn weitere Wallets auf den Markt kommen.
Dabei bleiben Sie handelnde Organisation: Registrierung, Zweckbestimmung und Verantwortung können Sie nicht auslagern, aber die technische und prozessuale Last lässt sich teilen.
Häufige Fragen zur Wallet-Anbindung für Relying Parties
Müssen alle Unternehmen die EUDI-Wallet akzeptieren?
Nein. Eine Akzeptanzpflicht gilt ab dem 24. Dezember 2027 für Unternehmen, die gesetzlich zur starken Kundenauthentifizierung verpflichtet sind, etwa im Zahlungsverkehr. Für Bund, Länder und Gemeinden gilt sie früher. Unabhängig davon kann sich der freiwillige Einsatz früh lohnen.
Was kostet die Registrierung als Relying Party?
In Deutschland ist die Registrierung beim Bundesverwaltungsamt gebührenfrei. Der Aufwand liegt in der Vorarbeit: Zwecke, Attribute und alle prüfenden Stellen müssen definiert werden.
Wie lange dauert die Anbindung?
Ein Proof of Concept ist oft in ein bis drei Monaten möglich. Die Vorarbeit zu Use Case, Architektur, Infrastruktur und Business Case braucht meist drei bis neun Monate.
Brauche ich eine eigene Wallet-Beauftragte oder einen eigenen Wallet-Beauftragten?
Eine gesetzliche Pflicht gibt es nicht. Eine Person mit Mandat ist aber sehr empfehlenswert, weil die Registrierung inhaltliche Festlegungen verlangt, die jemand verantworten muss.
Fazit: Klein starten, richtig starten
Der wichtigste Rat ist unspektakulär. Benennen Sie jetzt eine verantwortliche Person, wählen Sie einen einzigen Anwendungsfall mit PID, definieren Sie ein messbares Geschäftsziel, und planen Sie Fallback und Portale gleich mit. Prüfen Sie außerdem, ob Sie eigene Nachweise in die Wallet ausstellen können, etwa Mitarbeitenden- oder Mitgliedsausweise. Dort entstehen Budgets jenseits der reinen Pflichterfüllung.
Sie möchten wissen, wie Ihr erster Wallet-Anwendungsfall aussehen kann? In einem unverbindlichen Gespräch klären wir mit Ihnen Anbindungsmodell, Registrierungsumfang und Fallback-Strecken für Ihr Unternehmen. Kontaktieren Sie uns gerne und erfahren Sie mehr über Ihre Möglichkeiten.
