Die EU-Brieftasche für digitale Identität kommt im Dezember 2026: So bereiten Sie sich vor

Bis zum 24. Dezember 2026 muss jeder EU-Mitgliedstaat seinen Bürgerinnen, Bürgern und Einwohnern mindestens eine europäische Brieftasche für digitale Identität zur Verfügung stellen. Das ist eine gesetzliche Pflicht mit Datum, kein Roadmap-Eintrag.

Ein Jahr später, im Dezember 2027, wird eine lange Liste von Organisationen rechtlich verpflichtet, sie zu akzeptieren. Banken, Verkehrsbetriebe, Energieversorger, Gesundheitsdienste, Telekommunikation, Postdienste, Bildungsanbieter und Betreiber digitaler Infrastruktur stehen auf dieser Liste, zusammen mit allen anderen, die bereits zur starken Nutzerauthentifizierung verpflichtet sind.

Für alle übrigen ist die Akzeptanz freiwillig. Sie zu verstehen lohnt sich trotzdem, weil die Wallet mehrere Probleme löst, für die Unternehmen heute echtes Geld ausgeben, und zwar schlecht.

Was die Wallet eigentlich ist

Die europäische Brieftasche für digitale Identität stammt aus der überarbeiteten eIDAS-Verordnung, meist eIDAS 2 genannt. Sie ist eine mobile Anwendung, die geprüfte Identitätsattribute und Nachweise von vertrauenswürdigen Stellen enthält, die ein Nutzer selektiv jedem vorlegen kann, der danach fragt.

Drei Eigenschaften unterscheiden sie von den Identitätssystemen, die die meisten Websites heute nutzen.

Sie ist staatlich gestützt. Die Identität in der Wallet leitet sich aus einem nationalen elektronischen Identitätssystem ab. Sie ist kein selbst behauptetes Profil.

Sie unterstützt selektive Offenlegung. Ein Nutzer kann nachweisen, dass er über achtzehn ist, ohne sein Geburtsdatum preiszugeben, oder den Wohnsitz in einem Mitgliedstaat belegen, ohne die Adresse zu nennen. Das ist der Teil mit den größten praktischen Folgen für das Produktdesign.

Sie funktioniert grenzüberschreitend. Eine in Slowenien ausgegebene Wallet muss von vertrauenden Beteiligten in Deutschland akzeptiert werden. Das ist der eigentliche Zweck der Verordnung und genau das, woran nationale Identitätssysteme durchgehend gescheitert sind.

Neben Bürger-Wallets hat die Kommission eine europäische Business Wallet für juristische Personen vorgeschlagen, ausgerichtet auf Vertretung, Vollmachten und den Austausch amtlicher Dokumente zwischen Unternehmen und Behörden. Dieser Vorschlag kam im November 2025 mit dem Digital-Omnibus-Paket und läuft durch das Parlament, der Berichtsentwurf des Berichterstatters wurde im März 2026 veröffentlicht. Das liegt weiter weg, ist aber das zu beobachtende Vorhaben, wenn Ihr Produkt mit Unternehmensidentität, Vollmachten oder B2B-Dokumentenaustausch zu tun hat.

Wie weit die Umsetzung wirklich ist

Der Reifegrad unterscheidet sich enorm nach Mitgliedstaat, und man sollte dazu realistisch sein.

Mehrere Länder haben nationale Umsetzungen vor der Frist ausgeliefert. Frankreich hat France Identité, Österreich hat eAusweise, Italien hat IT-Wallet. Andere sind weiter zurück, und einige werden die Frist im Dezember 2026 mit einer eingeschränkten ersten Fassung statt des vollen Funktionsumfangs erreichen.

Mitgliedstaaten können die Pflicht auf drei Wegen erfüllen: selbst eine Wallet bauen und ausgeben, einen Dritten damit beauftragen oder eine von der Privatwirtschaft gebaute Wallet anerkennen. Das heißt, das Ökosystem, mit dem Sie integrieren, wird nicht einheitlich sein, weshalb die Interoperabilitätsspezifikationen so wichtig sind.

Die Rolle des vertrauenden Beteiligten

Wer Nachweise aus der Wallet akzeptieren will, wird zum vertrauenden Beteiligten, und das ist eine registrierte Rolle, keine informelle.

Der Ablauf im Überblick:

1. Registrierung beim nationalen Register. Sie erklären, welche Attribute Sie zu welchem Zweck anfragen wollen. Das ist eine echte Prüfung, kein Formular. Sie können sich nicht registrieren, um den vollständigen Identitätsdatensatz einer Person abzufragen, weil er irgendwann nützlich sein könnte.
2. Zugangszertifikate für vertrauende Beteiligte beziehen. Sie authentifizieren Sie gegenüber Wallets und lassen Nutzer sehen, wer fragt.
3. Präsentationsprotokolle umsetzen. Nachweise anfordern, eine Präsentation empfangen, sie prüfen.
4. Kryptografisch verifizieren. Signaturprüfung, Prüfung der Vertrauenskette gegen die EU-Vertrauensliste, Sperrprüfung.
5. Nur das Minimum anfragen. Datenminimierung wird hier strukturell erzwungen. Wer registriert ist, um das Alter zu prüfen, kann eine Altersaussage anfragen, kein Geburtsdatum.

Der letzte Punkt verdient Betonung, weil er die übliche Identitätsintegration umkehrt. In den meisten Systemen erhalten Sie eine Nutzlast und entscheiden, was Sie behalten. Hier erklären Sie vorab, was Sie fragen dürfen, und die Architektur hindert Sie am Übersammeln. Das ist ein wirklich besseres Modell, und es macht Ihre Datenschutz-Folgenabschätzung für Identitätsprüfung deutlich kürzer.

Die Standards, denen Sie begegnen werden

Der technische Stack greift auf mehrere Spezifikationen zurück. Wer Aufwand schätzt, wird diese Abkürzungen sehen:

• ISO/IEC 18013-5, der Standard für den mobilen Führerschein, der das Modell für Nahfeldpräsentation und einen großen Teil des Denkens über Nachweisformate liefert.
• W3C Verifiable Credentials für das Datenmodell der Nachweise.
• OpenID for Verifiable Presentations und OpenID for Verifiable Credential Issuance für Anfrage- und Ausstellungsflüsse über das Web.
• SD-JWT für die selektive Offenlegung einzelner Angaben.
• Das EUDI Architecture and Reference Framework der Kommission, das alles zusammenbindet und das Sie lesen sollten, bevor Sie irgendetwas schätzen.

Nichts davon ist exotisch, wenn Ihr Team mit OpenID Connect gearbeitet hat. Es unterscheidet sich aber deutlich von einer SAML- oder OIDC-Login-Integration, weil Sie Nachweise kryptografisch verifizieren statt der Sitzungsaussage eines Identitätsanbieters zu vertrauen.

Wo die Wallet ein echtes Problem löst

Abgesehen von Compliance gibt es mehrere Stellen, an denen das schlicht besser ist als der heutige Zustand.

Altersverifikation

Das ist der unmittelbarste Anwendungsfall und wird stark vorangetrieben. Die Europäische Kommission drängt die Mitgliedstaaten, bis zum 31. Dezember 2026 Lösungen zur Altersverifikation bereitzustellen, und hat als Brücke bis zur breiten Verfügbarkeit der Wallets eine quelloffene Anwendung zur Altersverifikation veröffentlicht. Das Designziel ist, dass eine Plattform nur ein Alterstoken erhält, ein Ja oder Nein, ohne Geburtsdatum und ohne weitere Attribute.

Wer irgendetwas mit Altersbeschränkung betreibt, Alkohol, Glücksspiel, Inhalte für Erwachsene, bestimmte Finanzprodukte, oder eine Plattform, die den Erwartungen des Gesetzes über digitale Dienste zum Minderjährigenschutz unterliegt, bekommt hier den Mechanismus, mit dem sich das Alter prüfen lässt, ohne eine Datenbank gescannter Ausweise aufzubauen. Diese Datenbank ist eine Haftung, die Sie derzeit ohne guten Grund tragen.

Onboarding und KYC

Reguliertes Onboarding heißt heute Dokumenten-Upload, Lebendigkeitsprüfung, manuelle Prüfung und Warteschlange. Eine Wallet-Präsentation ersetzt das durch eine kryptografische Verifikation, die in Sekunden abgeschlossen ist, mit höherer Sicherheit und ohne Dokumentbilder zum Speichern.

Für Banken, Versicherer, Krypto-Dienste und alle anderen mit KYC ist der Kostenunterschied erheblich. Es entfernt außerdem den sensibelsten Datensatz, den die meisten Unternehmen halten.

Grenzüberschreitende Dienste

Wer Kunden in mehreren Mitgliedstaaten bedient, pflegt heute Integrationen mit einem Flickenteppich nationaler Identitätssysteme oder gibt auf und scannt überall Dokumente. Eine Wallet-Integration deckt alle ab.

Weniger Formularreibung

Geprüfter Name, Adresse und Kontaktdaten in einer Handlung präsentiert statt in ein Formular getippt. Das ist eine Konversions- und zugleich eine Datenqualitätsverbesserung.

Was jetzt zu tun ist

Die ehrliche Antwort für die meisten Unternehmen lautet: noch nicht viel, aber ein paar Dinge sind billig und lohnend.

Wenn Sie ein verpflichteter vertrauender Beteiligter sind, mit einer Frist im Dezember 2027, fangen Sie jetzt an. Registrierungsverfahren sind neu und langsam, nationale Umsetzungen unterscheiden sich, und Sie werden vor einer Festlegung einen Piloten in einem Markt fahren wollen. Zwölf Monate sind für eine regulierte Integration nicht großzügig.

Wenn Sie nicht verpflichtet sind, aber Altersverifikation machen, schauen Sie sich das in den nächsten Quartalen ernsthaft an. Ausweisdokumente zu speichern, um zu prüfen, ob jemand achtzehn ist, ist ein schlechter Tausch, und es gibt jetzt eine Alternative.

Wenn Sie KYC oder Identitätsprüfung betreiben, modellieren Sie die Einsparung. Nach unserer Erfahrung trägt sich der Business Case meist allein, ohne jedes Compliance-Argument.

Wenn nichts davon zutrifft, tun Sie eine Sache: Sorgen Sie dafür, dass Ihre Identitätsschicht abstrahiert ist. Wenn Ihr Anwendungscode einen Authentifizierungsdienst aufruft statt das SDK eines bestimmten Anbieters, ist die spätere Wallet-Unterstützung ein neuer Adapter. Liegt Ihre Login-Logik verstreut in Controllern, ist es ein Rewrite.

Was schiefgehen wird

Nach dem üblichen Verlauf solcher Rollouts ist Folgendes zu erwarten.

Ungleiche Verfügbarkeit. Einige Mitgliedstaaten starten mit eingeschränkter Funktionalität. Bauen Sie für den Fall, dass ein Nutzer in einem Land eine voll ausgestattete Wallet hat und einer in einem anderen nicht, und behalten Sie Ihren bestehenden Ausweichpfad.

Langsame Nutzerakzeptanz. Verfügbarkeit ist nicht Nutzung. Selbst in Ländern mit ausgereiften nationalen eID-Systemen dauerte die Verbreitung Jahre. Entfernen Sie keine alternativen Wege.

Reibung bei der Registrierung. Die Verfahren der nationalen Register sind neu. Planen Sie mehr Zeit ein, als die Dokumentation nahelegt.

Spezifikationsdrift. Das Architecture and Reference Framework wurde wiederholt überarbeitet und wird es wieder werden. Kapseln Sie die Protokollbehandlung hinter einer Schnittstelle, damit ein Update der Spezifikation Ihre Geschäftslogik nicht berührt.

Wo das hineinpasst

Die Wallet ist einer der konstruktiveren Bausteine der aktuellen EU-Digitalagenda. Der Rest legt überwiegend Pflichten auf. Dieser entfernt, sobald er funktioniert, eine Kategorie teurer und riskanter Infrastruktur, die Unternehmen heute bauen, weil sie keine Alternative haben.

Unser Leitfaden zur EU-Digital-Compliance 2026 zeigt, wie er neben den anderen Fristen steht, und der technische DSGVO-Leitfaden behandelt die Datenschutzschicht, die jede Identitätsarbeit erfüllen muss.

Wir bauen Authentifizierungs- und Identitätssysteme für Unternehmen in der EU und arbeiten derzeit an Integrationen für vertrauende Beteiligte. Wenn Sie Hilfe beim Zuschnitt einer Wallet-Akzeptanz in Ihrem Stack brauchen oder eine Pflicht zum Dezember 2027 ohne Plan haben, schreiben Sie an office@c9group.dev. Mehr über unsere europäische Arbeit steht auf der Seite zum EU-Markteintritt.