Kurz erklärt
Ein Blick in den Terminkalender vieler IT-Abteilungen zeigt gerade ein wiederkehrendes Muster: Ein Projektauftrag mit dem Titel „EUDI-Wallet-Anbindung prüfen” landet auf dem Tisch, meist ohne klaren Verantwortlichen und ohne realistische Zeitschätzung. Bis Ende 2026 müssen die EU-Mitgliedstaaten mindestens eine EUDI-Wallet bereitstellen, ab Ende 2027 greift die Akzeptanzpflicht für regulierte Branchen wie Banken, Versicherungen, Energieversorger, Telekommunikation und Gesundheitswesen. Für viele Unternehmen stellt sich damit nicht mehr die Frage, ob sie sich mit Wallet-Technologie befassen müssen, sondern wie schnell und wie gut.
Und genau hier entsteht ein teurer Irrtum: die Annahme, eine wallet-fähige Infrastruktur ließe sich mit dem vorhandenen Entwicklerteam „nebenbei” aufbauen.
Wallet-as-a-Service (WaaS) bezeichnet ein Betriebsmodell, bei dem Unternehmen die technische Infrastruktur für digitale Wallets – etwa zur Ausstellung, Speicherung und Prüfung von digitalen Identitätsnachweisen und Berechtigungen – nicht selbst entwickeln und betreiben, sondern von einem spezialisierten Anbieter beziehen. Statt eigene kryptografische Komponenten, Schnittstellen zu nationalen Wallet-Ökosystemen und Sicherheitszertifizierungen aufzubauen, integrieren Unternehmen eine bestehende, geprüfte Lösung über definierte Schnittstellen in ihre Prozesse. Das betrifft sowohl die Anbindung an die EUDI-Wallet als auch den Aufbau eigener Business-Wallets für unternehmensspezifische Nachweise, etwa Mitarbeiterausweise, Zugangsberechtigungen oder Kundennachweise.
Der Denkfehler, der Unternehmen teuer zu stehen kommt
Ein digitales Wallet wirkt auf den ersten Blick wie eine überschaubare App: ein sicherer Speicher, eine Nutzeroberfläche, ein paar Schnittstellen. In der Praxis verbirgt sich dahinter jedoch eine der komplexesten Anforderungen, die aktuell an IT-Architekturen gestellt werden.
Wallets müssen kryptografische Schlüssel schützen, deren Kompromittierung sich nicht durch ein Software-Update beheben lässt. Sie müssen mit Wallet Secure Cryptographic Applications und Wallet Secure Cryptographic Devices (WSCA/WSCD) arbeiten, die eigenen Zertifizierungsverfahren unterliegen. Sie müssen Protokolle wie OID4VP und Datenformate wie SD-JWT oder mDoc beherrschen, um mit unterschiedlichen nationalen Wallet-Implementierungen sprechen zu können. Und sie müssen laufend an neue technische Spezifikationen angepasst werden, die auf EU-Ebene noch finalisiert werden.
Wer diesen Aufwand unterschätzt, trifft in der Praxis auf drei wiederkehrende Fehler. Erstens wird die Wallet-Anbindung als reines IT-Projekt behandelt, ohne rechtliche und organisatorische Anforderungen von Anfang an einzubeziehen. Zweitens wird mit veralteten oder vorläufigen Spezifikationen entwickelt, weil die Implementing Acts der eIDAS-2.0-Verordnung sich noch in der Ausgestaltung befinden – eine Lösung, die heute funktioniert, kann morgen bereits nicht mehr konform sein. Drittens fehlt häufig eine klare Vorstellung davon, wer im Unternehmen die Rolle des Relying Party, Issuer oder Verifiers im Sinne der Verordnung tatsächlich übernimmt und welche Pflichten damit jeweils verbunden sind.
Was im Ernstfall wirklich zählt
Sobald ein Unternehmen personenbezogene Daten über eine Wallet-Schnittstelle verarbeitet, greifen mehrere Regelwerke gleichzeitig: die eIDAS-2.0-Verordnung selbst, die Datenschutz-Grundverordnung und je nach Branche zusätzliche Vorgaben wie DORA für den Finanzsektor oder NIS2 für kritische Infrastrukturen. Im Streitfall oder bei einer behördlichen Prüfung zählt dann nicht die Selbsteinschätzung „wir haben das technisch im Griff”, sondern der Nachweis, dass die eingesetzte Lösung nach den einschlägigen Standards zertifiziert ist und die Verarbeitung nachvollziehbar dokumentiert wurde.
Konkret bedeutet das: Eine wallet-basierte Identifizierung oder Signatur ist nur dann rechtswirksam, wenn die zugrunde liegende Infrastruktur den technischen Vorgaben aus den delegierten Rechtsakten entspricht und die beteiligten Komponenten entsprechend zertifiziert sind. Für qualifizierte Vertrauensdienste gilt zusätzlich die Prüfung nach ETSI TS 119 461 für die Identitätsprüfung sowie ISO/IEC 30107-3 für Verfahren zur Erkennung von Präsentationsangriffen, etwa bei biometrischen Verfahren. Ein selbst gebautes Wallet-Modul müsste diese Nachweise eigenständig erbringen und im Zweifel gegenüber Aufsichtsbehörden verteidigen – ein Aufwand, der von den wenigsten Unternehmen realistisch eingeplant wird.
Hinzu kommt die organisatorische Dimension: Wer stellt sicher, dass Zertifikate rechtzeitig erneuert werden? Wer reagiert, wenn sich technische Spezifikationen ändern? Wer verantwortet Audit-Trails über Jahre hinweg, wenn ein Vertrag später angefochten wird? Diese Fragen lassen sich nicht allein mit gutem Code beantworten, sondern erfordern eine Organisation, die auf Vertrauensdienste spezialisiert ist.
Die Mindestanforderungen, die heute schon gelten
Auch wenn die verpflichtende Akzeptanz für viele private Unternehmen erst Ende 2027 greift, lohnt sich der Blick auf die Anforderungen bereits jetzt. Die eIDAS-2.0-Verordnung verlangt für qualifizierte Vertrauensdienste unter anderem eine gesicherte Signaturerstellungseinheit, eine geprüfte Identitätsfeststellung vor der Ausstellung von Zertifikaten und eine lückenlose Protokollierung sämtlicher sicherheitsrelevanter Vorgänge. Für Business-Wallets, die Unternehmen für eigene Zwecke einsetzen möchten, gelten vergleichbare Anforderungen an Schlüsselverwaltung und Zugriffsschutz, auch wenn keine formale EUDI-Zertifizierung erforderlich ist.
Wer heute schon Prozesse wie das Onboarding neuer Kundinnen und Kunden, die Ausstellung von Mitarbeiternachweisen oder vertragsrelevante Signaturprozesse digitalisiert, sollte diese so gestalten, dass eine spätere Anbindung an die EUDI-Wallet ohne grundlegenden Umbau möglich ist. Genau das ist der Punkt, an dem sich eine strategische Weichenstellung von einer kurzfristigen Insellösung unterscheidet.
Wo spezialisierte Vertrauensdienstleister den entscheidenden Unterschied machen
An dieser Stelle setzt Wallet-as-a-Service an. Qualifizierte Vertrauensdiensteanbieter (QTSP) bringen die Zertifizierungen, die technische Infrastruktur und die regulatorische Erfahrung mit, die für eine rechtsgültige und zukunftsfähige Wallet-Anbindung notwendig sind – und halten diese Infrastruktur laufend aktuell, wenn sich Spezifikationen weiterentwickeln.
Statt eigene kryptografische Module zu entwickeln, greifen Unternehmen über standardisierte Schnittstellen auf eine bereits geprüfte Signatur- und Identitätsinfrastruktur zu. Statt eine eigene Zertifizierung nach ETSI- und ISO-Normen zu durchlaufen, nutzen sie die Zertifizierung des Vertrauensdienstleisters mit. Und statt bei jeder Änderung der technischen Spezifikationen ein internes Projekt aufzusetzen, übernimmt der spezialisierte Anbieter die kontinuierliche Anpassung im Hintergrund.
Das gilt sowohl für die Anbindung an die staatliche EUDI-Wallet als auch für den Aufbau eigener Business-Wallet-Lösungen, etwa für digitale Mitarbeiterausweise, Zugangsberechtigungen oder Kundennachweise, die perspektivisch mit dem europäischen Wallet-Ökosystem interoperabel sein sollen. Entscheidend ist dabei, einen Partner zu wählen, der elektronische Signaturen, Identitätsprüfung und Wallet-Infrastruktur aus einer Hand denkt – denn diese Bereiche laufen im EUDI-Ökosystem zunehmend zusammen, etwa wenn eine qualifizierte elektronische Signatur direkt aus der Wallet heraus ausgelöst wird.
Fazit: Jetzt die Weichen stellen, statt später nachzubessern
Die Frist Ende 2027 mag komfortabel weit entfernt wirken, doch die Vorlaufzeit für eine seriöse Wallet-Strategie wird regelmäßig unterschätzt. Wer jetzt beginnt, Anforderungen zu klären, Prozesse zu identifizieren und einen erfahrenen Partner einzubinden, vermeidet nicht nur regulatorischen Zeitdruck, sondern verschafft sich auch einen Vorsprung gegenüber Wettbewerbern, die das Thema erst 2027 ernst nehmen.
Sie möchten herausfinden, welche Wallet-Anforderungen für Ihr Unternehmen konkret relevant sind und wie sich eine Anbindung ohne Eigenentwicklung realisieren lässt? Vereinbaren Sie ein unverbindliches Gespräch mit unseren Expertinnen und Experten für digitale Identität und elektronische Signaturen – wir zeigen Ihnen, wie eine zukunftssichere Wallet-Strategie für Ihr Unternehmen aussehen kann.
