So funktioniert die EUDI-Wallet: die Technik einfach erklärt

Die EUDI-Wallet ist mehr als ein Foto vom Ausweis auf dem Handy. Ihre Nachweise sind digital signiert, an Ihr Gerät gebunden und lassen sich Angabe für Angabe freigeben. Wer Daten abfragt, muss sich ausweisen. Diese Seite erklärt den Ablauf in drei Schritten – Ausstellen, Vorzeigen, Prüfen – und warum er für Nutzer und Unternehmen Vorteile bringt. Begriffe sind im Glossar erklärt.

Die Beteiligten

• Aussteller: Stellen, die Nachweise ausgeben. Die wichtigsten sind die Anbieter der Personenidentifizierungsdaten (PID), also des digitalen Identitätsnachweises. Dazu kommen Aussteller von Attributsbescheinigungen, etwa Führerscheinbehörden, Hochschulen oder Banken.
• Nutzer mit Wallet: Die Wallet-App auf dem Smartphone speichert die Nachweise. Ein Kryptomodul verwahrt die geheimen Schlüssel.
• Vertrauende Partei: Unternehmen oder Behörden, die Daten aus der Wallet anfragen, etwa eine Bank bei der Kontoeröffnung.
• Im Hintergrund: Vertrauenslisten und die nationalen Register der vertrauenden Parteien. Sie legen fest, wer ausstellen und wer abfragen darf.

Schritt 1: Nachweise in die Wallet bringen

Beim Einrichten holt sich die Wallet zuerst die PID. In Deutschland liest d-you dafür einmal den Personalausweis über die Online-Ausweisfunktion ein (d-you einrichten). Der Aussteller prüft dabei, ob die Wallet echt ist: Der Wallet-Anbieter bestätigt das mit einer Wallet-Einheitsbescheinigung.

Dann signiert der Aussteller den Nachweis und bindet ihn kryptografisch an einen Schlüssel, der nur in Ihrer Wallet existiert (DVO 2024/2977, Art. 2 Nr. 4). Ein kopierter Nachweis nützt deshalb niemandem: Ohne den Schlüssel lässt er sich nicht vorzeigen. Weitere Nachweise wie Führerschein oder Zeugnis kommen später auf demselben Weg hinzu.

Schritt 2: Anfragen und Vorzeigen

Eine vertrauende Partei schickt eine Anfrage an die Wallet. Darin weist sie sich mit ihrem Zugangszertifikat aus und nennt die Daten, die sie braucht. Das Registrierungszertifikat zeigt zusätzlich, welche Daten sie für diesen Zweck registriert hat. Die Wallet muss die vertrauende Partei authentifizieren (Art. 5a Abs. 5 Buchst. c, Art. 5b Abs. 8).

Sie sehen dann auf dem Display, wer anfragt und welche Angaben verlangt werden. Erst wenn Sie mit PIN oder Fingerabdruck zustimmen, überträgt die Wallet die Daten – und nur die angefragten.

Das geht auf zwei Wegen:

• Online: im Browser oder in einer App, etwa per QR-Code am Computer oder direkt auf dem Smartphone.
• Vor Ort: an der Kasse, am Schalter oder bei einer Kontrolle über NFC, Bluetooth oder QR-Code, auch ohne Internetverbindung (Offline-Modus, Art. 3 Nr. 57).

Schritt 3: Prüfen

Die vertrauende Partei prüft drei Dinge selbst:

1. Ist die Signatur echt? Sie führt die Signatur des Ausstellers über die Vertrauenslisten auf eine anerkannte Stelle zurück.
2. Gehört der Nachweis zu dieser Wallet? Die Wallet beweist mit ihrem geheimen Schlüssel, dass sie der rechtmäßige Inhaber ist.
3. Ist der Nachweis noch gültig? Aussteller veröffentlichen den Gültigkeitsstatus ihrer Nachweise datenschutzfreundlich, damit widerrufene Nachweise erkennbar sind (DVO 2024/2977, Art. 5).

Der Aussteller ist an dieser Prüfung nicht beteiligt. Er erfährt also nicht, wo Sie Ihren Nachweis vorzeigen. Die Verordnung verbietet Ausstellern, nach der Ausstellung Daten zu erhalten, mit denen sich Ihre Nutzung verfolgen lässt (Art. 5a Abs. 16).

Nur das Nötige preisgeben

Beim Plastikausweis sieht Ihr Gegenüber alles: Name, Adresse, Geburtsdatum, Foto, Ausweisnummer. Die Wallet muss dagegen eine selektive Offenlegung ermöglichen (Art. 5a Abs. 4 Buchst. a). Für einen Altersnachweis genügt dann die Angabe „über 18“.

Technisch funktioniert das so: Der Aussteller signiert nicht die Angaben selbst, sondern für jede Angabe einen Prüfwert. Die Wallet legt nur die Angaben offen, die Sie freigeben. Die vertrauende Partei kann diese Angaben gegen die signierten Prüfwerte prüfen; die übrigen bleiben verborgen. So arbeiten beide Formate, die das technische Rahmenwerk vorsieht: SD-JWT VC und mdoc.

Wo keine Identifizierung gesetzlich nötig ist, dürfen vertrauende Parteien außerdem Pseudonyme nicht ablehnen (Art. 5b Abs. 9).

Schutz vor Missbrauch

Die Wallet allein schützt nicht vor neugierigen Unternehmen. Deshalb gibt es mehrere Sicherungen:

• Registrierung: Jede vertrauende Partei muss sich vorher registrieren und angeben, welche Daten sie wofür abfragt. Sie darf nichts anderes abfragen (Art. 5b Abs. 3). Die Register sind öffentlich.
• Zertifikate: Ohne gültiges Zugangszertifikat gibt die Wallet nichts heraus. Bei Verstößen kann die Registrierungsstelle die Registrierung aussetzen; die Zertifikate werden dann widerrufen (DVO 2025/848, Art. 9).
• Regeln der Aussteller: Aussteller können in einen Nachweis eine Offenlegungsregel einbetten, zum Beispiel „nur für Arbeitgeber“. Die Wallet wertet sie bei jeder Anfrage aus (DVO 2024/2979, Art. 10).
• Dashboard: Die Wallet protokolliert alle Vorgänge. Von dort können Sie die Löschung Ihrer Daten verlangen und verdächtige Anfragen der Datenschutzaufsicht melden (Art. 5a Abs. 4 Buchst. d).

Fachleute kritisieren, dass diese Sicherungen nicht weit genug gehen: Die Registrierung prüft Zweck und Erforderlichkeit kaum, und signierte Daten lassen sich leichter weitergeben. Mehr dazu: Ist d-you sicher?

Vergleich: Wallet, Online-Ausweis und Video-Ident

Für Unternehmen heißt das: keine abgetippten Daten, keine Ausweiskopien, keine Wartezeit im Videocall. Die Daten kommen maschinenlesbar und prüfbar an. Den Unterschied zum Online-Ausweis aus Bürgersicht erklärt d-you oder Online-Ausweis.

Standards hinter der Wallet

Die Verordnung legt fest, was die Wallet können muss. Wie es technisch geht, beschreibt das Architecture and Reference Framework (ARF). Verbindlich sind die Standards seit dem 11. August 2026 über die Durchführungsverordnung (EU) 2026/1731, die auf drei ETSI-Profile (TS 119 472-1 bis -3) verweist:

• Ausstellen: OpenID4VCI
• Vorzeigen online: OpenID4VP im Profil HAIP oder ISO/IEC 18013-7 (Anhang C), jeweils auch über das Digital Credentials API des Browsers
• Vorzeigen vor Ort: ISO/IEC 18013-5 (mdoc)
• Formate der Nachweise: SD-JWT VC und mdoc
• Widerruf: Token Status List der IETF

Einige dieser Standards sind noch in Bewegung: SD-JWT VC und die Token Status List sind bei der IETF noch Entwürfe (Stand 12.10.2026). Welche Version gerade gilt und was die Verordnung verlangt, zeigt unsere Standards-Übersicht.