EUDI-Wallet für Banken und Finanzdienstleister: Akzeptanzpflicht, starke Kundenauthentifizierung und Praxis

Banken und Finanzdienstleister – ausgenommen Kleinst- und Kleinunternehmen – müssen die EUDI-Wallet spätestens ab 24. Dezember 2027 (berechnet) als zusätzliches Verfahren akzeptieren, wenn ein Kunde es wünscht. Die Pflicht greift überall dort, wo die Bank für die Online-Identifizierung eine starke Nutzerauthentifizierung verlangen muss oder vertraglich verlangt. Für Kontoeröffnung und Login ist das klar. Ob die Pflicht auch die Freigabe von Zahlungen (starke Kundenauthentifizierung, SCA) erfasst, ist rechtlich nicht verbindlich geklärt – technisch ist sie mit der EU-Spezifikation TS12 vorbereitet.

Die allgemeinen Regeln zur Pflicht stehen im Artikel Akzeptanzpflicht. Hier geht es um das, was für Banken und Zahlungsdienstleister besonders ist.

Was die eIDAS-Verordnung für Banken sagt

Art. 5f Abs. 2 eIDAS nennt „Bankenwesen“ und „Finanzdienstleistungen“ ausdrücklich. Die Verordnung definiert die starke Nutzerauthentifizierung in Art. 3 Nr. 51 fast wortgleich wie die PSD2 die starke Kundenauthentifizierung: mindestens zwei unabhängige Faktoren aus Wissen, Besitz und Inhärenz.

Deutlicher wird Erwägungsgrund 62 der Verordnung (EU) 2024/1183: Elektronische Identifizierung und Attributsbescheinigungen sollen dem Finanzsektor helfen, Kunden zu identifizieren, Sorgfaltspflichten nach Geldwäscherecht zu erfüllen und „die Erfüllung der Erfordernisse einer starken Kundenauthentifizierung für die Online-Identifizierung für die Zwecke der Kontoanmeldung und der Auslösung von Zahlungsvorgängen zu unterstützen“. Erwägungsgründe sind Auslegungshilfe, keine eigene Pflicht.

Starke Kundenauthentifizierung mit der Wallet

Die SCA-Pflicht selbst kommt aus dem Zahlungsdiensterecht: Art. 97 PSD2, in Deutschland § 55 ZAG. Eine Bank muss SCA verlangen, wenn der Kunde online auf sein Konto zugreift, eine elektronische Zahlung auslöst oder über Fernzugang eine Handlung mit Betrugsrisiko vornimmt. Bei Fernzahlungen muss die Authentifizierung dynamisch an Betrag und Empfänger gebunden sein (§ 55 Abs. 2 ZAG).

Was der EU-Architekturrahmen (ARF) vorsieht: Abschnitt 2.6.4 des ARF v3.0.0 beschreibt die Wallet als Authentifikator für Zahlungen. Er „nimmt an“, dass die starke Nutzerauthentifizierung nach Art. 5f Abs. 2 die SCA-Anforderungen der PSD2 erfüllen muss. Der Ablauf hat drei Phasen:

1. Registrierung: Der Kunde identifiziert sich (etwa mit der PID) und die Bank stellt einen eigenen, gerätegebundenen Nachweis in die Wallet aus (SCA-Attestation).
2. Authentifizierung: Die Bank fragt diesen Nachweis ab und schickt die Zahlungsdaten mit, mindestens Betrag und Empfänger. Die Wallet zeigt sie an und signiert sie nach Zustimmung des Kunden. Diese Signatur ist laut ARF der Transaktionsnachweis im Sinne der PSD2 (Dynamic Linking).
3. Abmeldung: Der Nachweis wird gelöscht oder widerrufen.

Die technischen Einzelheiten stehen in der Technical Specification 12 (Version 1.0 vom 5. Dezember 2025, redaktionell aktualisiert als 1.0.1). Nach Anforderung SUA_01 im Anhang 2 des ARF muss jede Wallet diese Zahlungsdaten verarbeiten können. Der ARF ist allerdings ein technisches Rahmenwerk, kein Rechtsakt.

Was offen ist: Ob die Akzeptanzpflicht die Zahlungsfreigabe umfasst oder nur die Identifizierung und den Login, hat weder die Kommission noch die EBA verbindlich erklärt (ungeprüft, Stand 13.10.2026). Der niederländische Zahlungsverkehrsverband Betaalvereniging hielt es im Mai 2025 für kaum möglich, die Wallet als zweiten Faktor voll PSD2-konform zu nutzen; TS12 ist danach erschienen. Die Verantwortung für eine korrekte SCA bleibt in jedem Fall bei der Bank.

Deutschland: Die Begründung zum Digitale Identitätengesetz (DIdG, Regierungsentwurf BT-Drs. 21/7408) geht weiter. Zu § 15 Abs. 1 heißt es, private vertrauende Beteiligte müssten ihre Systeme so anpassen, dass „sowohl die Identifizierung als auch die (starke) Authentifizierung“ mit der Wallet möglich ist – ausdrücklich etwa bei der starken Kundenauthentifizierung nach § 55 ZAG. Das Zahlungsdiensterecht bleibt nach der Begründung unberührt. Der Bundestag hat das DIdG am 15. Oktober 2026 in der Fassung des Digitalausschusses beschlossen (BT-Drs. 21/8617); § 15 Abs. 1 blieb unverändert. Der Bundesrat muss noch zustimmen, verkündet ist das Gesetz noch nicht (Stand 26.10.2026).

Zahlungsfunktionen in der Wallet

Davon zu trennen ist das Bezahlen mit der Wallet. § 17 DIdG (vom Ausschuss nicht geändert) erlaubt, bestehende Zahlungsmittel eines zugelassenen Zahlungsdienstleisters (etwa Karten) als Zusatzfunktion in die Wallet einzubinden, wenn Sicherheit und Funktionen der Wallet nicht beeinträchtigt werden. Laut Begründung besteht dazu weder eine Pflicht noch ein Anspruch. Für Banken ist das eine Option, keine Akzeptanzpflicht.

Und die neue Zahlungsdiensteverordnung (PSR)?

Die EU-Zahlungsdiensteverordnung (PSR, Verfahren 2023/0210(COD)) soll die SCA-Regeln der PSD2 ablösen. Laut Legislative Observatory des Europäischen Parlaments hat der Wirtschaftsausschuss den ausgehandelten Text am 5. Mai 2026 gebilligt; das Verfahren wartet auf den Standpunkt des Rates, eine Plenarsitzung ist vorläufig für den 14. Dezember 2026 angesetzt (Stand 13.10.2026). Die PSR ist damit noch nicht in Kraft. Ob sie die EUDI-Wallet für die SCA ausdrücklich regelt, haben wir nicht geprüft ungeprüft.

Typische Anwendungsfälle

Eigene Einordnung, keine amtliche Liste:

Kontoeröffnung: Die Identifizierung nach Geldwäscherecht, die nötigen Datenfelder, Aufbewahrung und Lichtbild behandelt der Artikel EUDI-Wallet und Geldwäsche-Prüfung (KYC). Wichtig für die Prozessplanung: Die Anschrift ist in der PID nur ein optionales Feld (Anhang I DVO (EU) 2026/1731). Ein Onboarding für Kunden aus anderen Mitgliedstaaten braucht deshalb einen zweiten Weg für die Adresse.

Adressänderung: Wenn die PID eine Anschrift enthält, kann der Kunde sie signiert übermitteln. Das ersetzt nach unserer Einschätzung nicht automatisch die eigenen Prüfpflichten der Bank ungeprüft.

Was zu tun ist – und bis wann

1. Betroffenheit und Größe klären: Kleinst- und Kleinunternehmen sind ausgenommen, mittlere nicht (Ausnahme für kleine Unternehmen).
2. Zwei Rollen planen: Für Identifizierung und Login ist die Bank vertrauende Partei. Für SCA nach TS12 stellt sie zusätzlich einen Nachweis aus; auch Aussteller brauchen laut ARF ein Zugangszertifikat (Anforderung ISSU_32).
3. Registrieren: in dem Mitgliedstaat, in dem die Bank niedergelassen ist, mit Zweck und genau den Datenfeldern, die sie abfragt (Art. 5b eIDAS, DVO (EU) 2025/848). Die Regeln für die nationalen Register gelten ab 24. Dezember 2026 (Art. 11 DVO (EU) 2025/848). Ablauf: Registrierung als vertrauende Partei. Mehr als registriert darf nicht abgefragt werden: Welche Daten darf ein Unternehmen abfragen?
4. Technik: TS12 setzt auf SD-JWT VC und OpenID4VP. Mit Kernbanken- und Authentifizierungsdienstleistern klären, wer was umsetzt.
5. Fristen notieren: Zustimmung des Bundesrats zum DIdG (offen), Register ab 24.12.2026, AMLR ab 10.07.2027, Akzeptanzpflicht ab 24.12.2027 (berechnet) – Überblick: Fristen.

Ob die Wallet bestehende Verfahren wie Banking-App oder Video-Ident ersetzt, entscheidet die Bank. Die Pflicht ist nur, sie zusätzlich anzubieten, wenn der Kunde es verlangt (Art. 5a Abs. 15, Art. 5f Abs. 2 eIDAS). Eudigo gibt keine Rechtsberatung; ob ein konkreter Prozess unter die Pflicht fällt, hängt vom Einzelfall ab.