eIDAS 2.0 / European Digital Identity Wallet (EUDIW)
Die überarbeitete eIDAS-Verordnung (eIDAS 2.0) erweitert den europäischen Rahmen für elektronische Identifizierung und Vertrauensdienste um eine zentrale Neuerung: die European Digital Identity Wallet (EUDIW). Damit erhalten EU-Bürgerinnen und -Bürger sowie Unternehmen eine einheitliche digitale Brieftasche, mit der sie sich grenzüberschreitend sicher identifizieren und Nachweise (Qualifikationen, Zertifikate, Attribute) vorzeigen können — ohne übermäßige Datenweitergabe.
Mitgliedstaaten müssen die EUDIW ihren Bürgern spätestens 24 Monate nach Inkrafttreten der Durchführungsrechtsakte anbieten (Durchführungsrechtsakte werden schrittweise bis 2026 erwartet)
Großplattformen und bestimmte Diensteanbieter (Banken, Telekommunikation, Gesundheit, öffentliche Dienste) müssen die EUDIW als Authentifizierungsmittel akzeptieren
Gültig für:
EU-Mitgliedstaaten (Pflicht zur Bereitstellung der Wallet)
Vertrauensdiensteanbieter (TSP) — qualifizierte und nicht-qualifizierte
Diensteanbieter, die eine starke Nutzer-Authentifizierung verlangen (Pflicht zur Akzeptanz der EUDIW)
Sehr große Online-Plattformen (VLOP) im Sinne des Digital Services Act
Nicht gültig für:
Rein interne Unternehmenssysteme ohne Außenwirkung
Dienste, die keine Identifizierung oder Authentifizierung von Nutzern erfordern
Grauzone:
Genaue Abgrenzung, welche Dienste zur Akzeptanz der EUDIW verpflichtet sind (abhängig von Durchführungsrechtsakten)
Zusammenspiel mit bestehenden nationalen eID-Lösungen (z.B. der deutschen Online-Ausweisfunktion)
Datenschutzrechtliche Ausgestaltung beim Einsatz durch private Diensteanbieter
Zentrale Forderungen
Bereitstellung der Wallet durch Mitgliedstaaten (Art. 5a)
Jeder Mitgliedstaat muss mindestens eine EUDIW anbieten oder anerkennen
Die Wallet muss kostenlos für natürliche Personen sein
Die Wallet muss das Minimalitätsprinzip technisch durchsetzen: Nutzer geben nur die Daten frei, die für den jeweiligen Zweck erforderlich sind (Selective Disclosure)
Qualifizierte Vertrauensdienste (Art. 45a ff.)
Neue Vertrauensdienste werden eingeführt: qualifizierte elektronische Attributsbescheinigungen (QEAA), qualifizierte elektronische Archivierungsdienste, qualifizierte Verwaltung von Remote-Signiervorrichtungen
Vertrauensdiensteanbieter müssen sich zertifizieren lassen und stehen unter Aufsicht der nationalen Aufsichtsbehörden
Qualifizierte Zertifikate für Website-Authentifizierung (QWAC) werden gestärkt: Browser müssen QWACs künftig anzeigen und respektieren
Pflicht zur Akzeptanz der EUDIW (Art. 5b)
Folgende Sektoren sind verpflichtet, die EUDIW als Identifizierungsmittel zu akzeptieren:
Öffentliche Online-Dienste
Banken und Finanzdienstleister (im Rahmen der Kundenidentifizierung / KYC)
Kein Tracking: Diensteanbieter und Wallet-Anbieter dürfen Nutzerverhalten nicht länderübergreifend nachverfolgen
Sicherheitszertifizierung der Wallet nach anerkannten Standards (Common Criteria oder gleichwertig)
Elektronische Signaturen und Siegel (Art. 26 ff., unverändert und erweitert)
Qualifizierte elektronische Signaturen (QES) bleiben rechtlich der handschriftlichen Unterschrift gleichgestellt
Erweiterte Möglichkeiten für qualifizierte Remote-Signaturen über die Wallet
Lösungsansätze & Hilfestellungen
Das Architecture Reference Framework (ARF) der EU-Kommission beschreibt die technischen Grundlagen der EUDIW und wird laufend aktualisiert — Referenzimplementierungen sind geplant
Der OpenID for Verifiable Credentials (OID4VC)-Standard und ISO/IEC 18013-5 (mDL — Mobile Driving License) sind die zentralen technischen Protokolle für die EUDIW
Für Diensteanbieter: Frühzeitig prüfen, ob man zur Pflichtgruppe gehört, und bestehende Authentifizierungslösungen auf EUDIW-Kompatibilität vorbereiten
Für Identitätsprovider und SSO-Anbieter: EUDIW als zusätzlichen Identitätsanbieter (IdP) integrieren
In Deutschland koordiniert das Bundesamt für Sicherheit in der Informationstechnik (BSI) und das Bundesministerium des Innern die nationale Umsetzung