Welche Unternehmen müssen die EUDI-Wallet akzeptieren, und ab wann?

Private Unternehmen müssen die EUDI-Wallet akzeptieren, wenn sie für die Online-Identifizierung ihrer Kunden eine starke Nutzerauthentifizierung verlangen, weil ein Gesetz oder ein Vertrag das vorschreibt. Das betrifft vor allem Banken und Finanzdienstleister, Energieversorger, Telekommunikation, Gesundheit, Verkehr, Postdienste, Bildung und digitale Infrastruktur. Die Pflicht gilt spätestens ab 24. Dezember 2027 (berechnet). Kleinst- und kleine Unternehmen sind ausgenommen. Sehr große Online-Plattformen müssen die Wallet ebenfalls akzeptieren, wenn sie eine Anmeldung verlangen.

Das gilt in allen 27 Mitgliedstaaten, denn die eIDAS-Verordnung ist eine EU-Verordnung und gilt unmittelbar. Die Mitgliedstaaten können eigene Regeln ergänzen.

Die Rechtsgrundlage: Art. 5f eIDAS

Die Akzeptanzpflicht steht in Art. 5f der eIDAS-Verordnung in der Fassung der Verordnung (EU) 2024/1183. Sie hat drei Stufen:

Wie das Datum 2027 zustande kommt

Art. 5f Abs. 2 setzt die Frist auf „spätestens 36 Monate nach dem Tag des Inkrafttretens der Durchführungsrechtsakte gemäß Artikel 5a Absatz 23 und Artikel 5c Absatz 6”. Diese Durchführungsverordnungen (EU) 2024/2977, 2024/2979, 2024/2980, 2024/2981 und 2024/2982 wurden am 28. November 2024 erlassen, am 4. Dezember 2024 im Amtsblatt veröffentlicht und traten am zwanzigsten Tag danach in Kraft, also am 24. Dezember 2024. Plus 36 Monate ergibt den 24. Dezember 2027. Das Datum ist unsere Berechnung, es steht so nicht in der Verordnung. Mehr dazu: Alle EUDI-Fristen 2026 und 2027.

Welche Branchen genannt sind

Die deutsche Fassung von Art. 5f Abs. 2 nennt: „Verkehr, Energie, Bankenwesen, Finanzdienstleistungen, soziale Sicherheit, Gesundheit, Trinkwasser, Postdienste, digitale Infrastrukturen, Bildung oder Telekommunikation”. Die Liste ist mit „auch in den Bereichen” eingeleitet, also nicht abschließend.

Entscheidend ist nicht allein die Branche, sondern die Frage, ob für die Online-Identifizierung eine starke Nutzerauthentifizierung verlangt wird – durch Unions- oder nationales Recht oder durch eine vertragliche Pflicht. Typische Beispiele (eigene Einschätzung, ungeprüft):

• Kontoeröffnung und Anmeldung beim Online-Banking (starke Kundenauthentifizierung nach Zahlungsdiensterecht)
• Vertragsabschluss bei Mobilfunk mit Identitätsprüfung
• Kundenportale von Energieversorgern und Krankenkassen mit Identitätsnachweis

Ob ein konkreter Prozess darunter fällt, hängt vom Einzelfall ab. Eudigo gibt hier keine Rechtsberatung.

Wer ausgenommen ist

Art. 5f Abs. 2 gilt „mit Ausnahme von Kleinst- und kleinen Unternehmen im Sinne von Artikel 2 des Anhangs der Empfehlung 2003/361/EG”. Grob heißt das: weniger als 50 Beschäftigte und höchstens 10 Mio. € Jahresumsatz oder Jahresbilanzsumme. Mittlere Unternehmen sind nicht ausgenommen. Details und die Schwellenwerte stehen auf der Seite Gilt die Akzeptanzpflicht auch für kleine Unternehmen?.

Wichtig: Die Ausnahme gilt für die Pflicht. Freiwillig können auch kleine Unternehmen die Wallet anbieten, müssen sich dann aber ebenfalls registrieren (Art. 5b Abs. 1).

Was „akzeptieren” bedeutet

• Nur auf Wunsch des Nutzers: Die Nutzung der Wallet ist für Bürger freiwillig, und der Zugang zu Diensten muss auch mit anderen bestehenden Identifizierungsmitteln möglich bleiben (Art. 5a Abs. 15). Unternehmen bieten die Wallet als zusätzliche Möglichkeit an, bestehende Verfahren wie Video-Ident oder Online-Ausweis dürfen bleiben.
• Vorher registrieren: Wer Daten aus der Wallet abfragen will, muss sich in dem Mitgliedstaat, in dem es niedergelassen ist, als vertrauende Partei registrieren (Art. 5b Abs. 1). Welche Wallets es in den einzelnen Ländern gibt, zeigt EUDI-Wallets in der EU. Dabei wird festgelegt, welche Daten zu welchem Zweck abgefragt werden.
• Nur registrierte Daten abfragen: Unternehmen dürfen keine anderen Daten verlangen als die registrierten (Art. 5b Abs. 3).
• Zugangszertifikat: Gegenüber der Wallet weist sich das Unternehmen mit einem Zugangszertifikat aus; ausgestellt wird es nur an registrierte vertrauende Parteien (Art. 7 DVO (EU) 2025/848).

Besonderheit in Deutschland

Der Entwurf des Digitale Identitätengesetzes (DIdG) sieht in § 15 Abs. 1 vor, dass Art. 5f Abs. 1 bis 3 entsprechend für rein inländische Fälle gilt. Damit würde die Pflicht nicht nur bei grenzüberschreitenden Sachverhalten greifen. Außerdem soll überall dort, wo ein Gesetz den Online-Ausweis (eID) vorsieht, auch die Wallet als Identitätsnachweis genügen, soweit besondere Vorschriften nichts anderes regeln (§ 15 Abs. 2 DIdG-E).

Das DIdG ist bisher nur ein Entwurf der Bundesregierung (Kabinettfassung, BT-Drucksache 21/7408). Die 2./3. Lesung im Bundestag ist für den 15. Oktober 2026 angesetzt; danach ist die Zustimmung des Bundesrats nötig. Inhalt und Paragrafen können sich bis dahin noch ändern (Stand 12.10.2026).

Die deutsche Wallet heißt d-you; ihr Start ist für den 2. Januar 2027 angekündigt.

Was Unternehmen jetzt tun sollten

1. Betroffenheit prüfen: Welche Prozesse verlangen heute eine starke Authentifizierung oder eine Identitätsprüfung?
2. Größe prüfen: Liegt das Unternehmen unter den Schwellen für Kleinst- und Kleinunternehmen?
3. Registrierung vorbereiten: Ab 24. Dezember 2026 gelten die Regeln für die nationalen Register (Durchführungsverordnung (EU) 2025/848, Art. 11). Wie die Registrierung abläuft, beschreibt Wie registriert sich ein Unternehmen?.
4. Technik planen: Anbindung selbst bauen oder über einen Dienstleister (Intermediär), Tests in der Sandbox.
5. Fristen beobachten: Der Fristen-Überblick wird laufend aktualisiert.

Wer in mehreren Ländern tätig ist, sollte zusätzlich das nationale Durchführungsrecht in jedem Mitgliedstaat prüfen, in dem er niedergelassen ist oder Kunden bedient.