Zugangszertifikat: Was ist das, wer stellt es aus, wie wird es erneuert?

Das Zugangszertifikat (im Verordnungstext Zugriffszertifikat für auf Brieftaschen vertrauende Beteiligte, englisch wallet-relying party access certificate) ist ein digitales Zertifikat, mit dem sich ein Unternehmen bei jeder Abfrage gegenüber der EUDI-Wallet ausweist. Die Wallet prüft es und zeigt dem Nutzer, wer Daten anfragt. Es wird nur an registrierte vertrauende Parteien ausgestellt (Art. 7 Abs. 2 DVO 2025/848). In Deutschland soll laut Entwurf des Digitale Identitätengesetzes das Bundesverwaltungsamt (BVA) die Zugangszertifikate ausstellen. Wie lange sie gelten, legt das EU-Recht nicht fest; für Deutschland ist es noch nicht bekannt.

Wozu das Zertifikat dient

Wenn ein Nutzer bei einer Bank, einem Shop oder einer Behörde Daten aus seiner Wallet freigeben soll, muss die Wallet wissen, wer fragt. Das Zugangszertifikat ist ein Zertifikat für elektronische Siegel oder Signaturen, mit dem die vertrauende Partei authentifiziert wird (Art. 2 Nr. 12 DVO 2025/848). Damit:

• erkennt die Wallet, dass die anfragende Organisation registriert ist,
• sieht der Nutzer, wer die Daten bekommt,
• kann eine Abfrage abgelehnt werden, wenn das Zertifikat ungültig oder widerrufen ist.

Im Zertifikat stehen unter anderem Name, Kennungen, Website und Kontaktangaben der vertrauenden Partei sowie ein Verweis auf das Register, in dem sie eingetragen ist (Anhang IV Nr. 3 Buchst. k, geändert durch DVO 2026/1730).

Zugangszertifikat und Registrierungszertifikat

Mit dem Registrierungszertifikat kann die Wallet prüfen, ob eine Abfrage im registrierten Rahmen bleibt, und den Nutzer warnen, wenn nicht (Art. 8 Abs. 2 Buchst. d). Die offizielle deutsche FAQ nennt ebenfalls beide: Organisationen erhalten nach der Identifizierung „ein Zugangs- und Registrierungszertifikat für die Organisation und den Anwendungsfall“.

Wer es ausstellt

Die EU-Verordnung verlangt, dass jeder Mitgliedstaat mindestens einer Zertifizierungsstelle die Befugnis erteilt, Zugangszertifikate auszustellen (Art. 7 Abs. 1; die deutsche Fassung sagt „Zertifizierungsbehörde“, die englische „certificate authority“). Wer das ist, entscheidet der Mitgliedstaat: Aussteller ist eine natürliche oder juristische Person, die er damit beauftragt (Art. 2 Nr. 11). Nach unserer Lesart kommt damit eine Behörde ebenso in Betracht wie ein privater Vertrauensdiensteanbieter. Die Zertifikatsrichtlinien sind EU-weit einheitlich und richten sich nach ETSI TS 119 411-8 (Anhang IV Nr. 3 in der Fassung der DVO 2026/1730).

In Deutschland sieht § 10 Abs. 1 des Gesetzentwurfs vor, dass das BVA nicht nur Registrierungsstelle ist, sondern auch Zertifizierungsbehörde mit der Befugnis, Zugangs- und Registrierungszertifikate auszustellen. Damit wäre in Deutschland eine Behörde zuständig. Ob das BVA weitere Stellen einbindet, ist offen. Andere Länder gehen unterschiedlich vor: In Italien stellt laut Dekret vom 31. Juli 2026 die staatliche Druckerei IPZS Zugangs- und Registrierungszertifikate aus (Art. 3 Abs. 3 DPCM). Polen geht im Gesetzentwurf davon aus, dass qualifizierte Vertrauensdiensteanbieter die Zertifikate auf Grundlage der Registerdaten ausstellen (Folgenabschätzung vom 18.02.2026). Stand 12. Oktober 2026 liegt das Gesetz als Kabinettsentwurf vor; die 2./3. Lesung im Bundestag ist für den 15. Oktober 2026 angesetzt.

Ablauf: von der Registrierung zum Zertifikat

1. Registrierung als vertrauende Partei mit allen Anwendungsfällen – Details unter Wie registriert sich ein Unternehmen?
2. Prüfung durch den Registrar
3. Ausstellung von Zugangs- und Registrierungszertifikat; der Aussteller prüft vorher, dass die Registrierung gültig ist und die Angaben mit dem Register übereinstimmen (Anhang IV Nr. 3 Buchst. c)
4. Einbau in die eigene Anbindung oder beim Dienstleister

Erneuerung, Widerruf, Ablauf

• Laufzeit und Erneuerung: Eine feste Laufzeit steht weder in der DVO 2025/848 noch in ETSI TS 119 411-8; sie ergibt sich aus der Zertifikatsrichtlinie des Ausstellers. Die Richtlinie muss beschreiben, wie Zertifikate ausgestellt, verwaltet, widerrufen und neu verschlüsselt werden (Anhang IV Nr. 2). Für Deutschland ist sie noch nicht veröffentlicht. Ohne gültiges Zertifikat funktionieren Abfragen nicht.
• Widerruf: Wird eine Registrierung ausgesetzt oder aufgehoben, etwa weil mehr Daten abgefragt wurden als registriert, müssen die Zertifikate unverzüglich widerrufen werden (Art. 9 Abs. 6 DVO 2025/848). Der Aussteller überwacht das Register und widerruft auch, wenn der Zertifikatsinhalt nicht mehr zu den registrierten Angaben passt (Anhang IV Nr. 3 Buchst. e). Den Widerrufsstatus veröffentlicht er spätestens 24 Stunden nach Eingang des Widerrufsantrags (Anhang IV Nr. 3 Buchst. h).
• Änderungen: Neue Zwecke müssen zuerst im Register nachgemeldet werden (Art. 5b Abs. 6 eIDAS).

Typische Fehler vermeiden

• Ablauf übersehen: Läuft das Zertifikat ab, schlagen alle Wallet-Abfragen fehl. Ablaufdatum notieren und Erneuerung rechtzeitig anstoßen.
• Neue Zwecke ohne Nachmeldung: Das Registrierungszertifikat bildet nur die registrierten Anwendungsfälle ab. Wer neue Daten abfragen will, meldet das zuerst beim Registrar.
• Firmendaten geändert, Zertifikat vergessen: Ändern sich Name oder Kontaktangaben, passt das Zugangszertifikat nicht mehr zum Register und muss gegebenenfalls widerrufen werden. Änderung melden und neues Zertifikat einplanen.
• Zertifikat schlecht geschützt: Der private Schlüssel gehört in eine sichere Umgebung, etwa ein Hardware-Sicherheitsmodul oder einen vertrauenswürdigen Dienstleister.
• Dienstleisterwechsel nicht bedacht: Wer einen Intermediär nutzt, sollte klären, wie Zertifikat und Registrierungsangaben bei einem Wechsel umgezogen werden.

Was noch offen ist

• Gültigkeitsdauer und Erneuerungsrhythmus in Deutschland
• Gebühren
• ob neben dem BVA weitere Stellen Zertifikate ausstellen dürfen
• ob Dienstleister das Zertifikat im Auftrag beantragen können

Wir ergänzen diese Seite, sobald das Gesetz verabschiedet ist und das BVA Details veröffentlicht. Termine: Fristen-Überblick.