Skip to content

eIDAS 2.0 / European Digital Identity Wallet (EUDIW)

Die Verordnung (EU) 2024/1183 ändert die eIDAS-Verordnung (EU) Nr. 910/2014 (eIDAS 2.0) und führt die Europäische Brieftasche für die Digitale Identität (European Digital Identity Wallet, EUDIW) ein. Jeder Mitgliedstaat muss seinen Bürgerinnen und Bürgern sowie Unternehmen mindestens eine solche Wallet bereitstellen. Mit ihr können sie sich online und, wo möglich, offline identifizieren, Nachweise (Attributsbescheinigungen) speichern und selektiv vorzeigen sowie qualifiziert signieren oder siegeln (Art. 5a, Art. 3 Nr. 42). Die Verordnung ergänzt außerdem die Vertrauensdienste um elektronische Attributsbescheinigungen, Archivierungsdienste und elektronische Journale.

[!NOTE]

Die Wallet-Vorschriften stehen nicht in der Änderungsverordnung selbst, sondern werden dort in die Verordnung (EU) Nr. 910/2014 eingefügt (Art. 5a bis 5f). Artikelverweise ohne Zusatz beziehen sich deshalb auf die geänderte Verordnung (EU) Nr. 910/2014 in der konsolidierten Fassung vom 18.10.2024 (Stand der jüngsten dort eingearbeiteten Änderung; die konsolidierte Fassung hat keine Rechtswirkung) und führen direkt zum jeweiligen Artikel. Verweise auf die Änderungsverordnung (EU) 2024/1183 sind als solche gekennzeichnet. Die Fristen der Wallet-Pflichten hängen an den Durchführungsrechtsakten; deren Quellen stehen im Abschnitt Quellen. Stand dieser Seite: 09.10.2026. Keine Rechtsberatung.

Überblick

  • Segment: Digitale Identität, Vertrauensdienste, Authentifizierung

  • Verabschiedet / Veröffentlicht:

    • Verordnung (EU) 2024/1183 vom 11.04.2024 (Unterzeichnung), veröffentlicht im Amtsblatt der EU (Reihe L) am 30.04.2024; sie ändert die Verordnung (EU) Nr. 910/2014 "im Hinblick auf die Schaffung des europäischen Rahmens für eine digitale Identität"
    • Ausgangsakt: Verordnung (EU) Nr. 910/2014 vom 23.07.2014 (eIDAS)

  • Gültig ab (Art. 2 der Änderungsverordnung, Art. 5a Abs. 1, Art. 5f):

    • In Kraft getreten: 20.05.2024 (20. Tag nach Veröffentlichung am 30.04.2024)
    • Die Wallet-Fristen laufen ab dem Inkrafttreten der Durchführungsrechtsakte nach Art. 5a Abs. 23 und Art. 5c Abs. 6. Die Kommission hat diese am 28.11.2024 erlassen (Durchführungsverordnungen (EU) 2024/2977, 2024/2979, 2024/2980, 2024/2981 und 2024/2982, veröffentlicht am 04.12.2024). Sie sind am 24.12.2024 in Kraft getreten (20. Tag nach Veröffentlichung); die Verordnung selbst nannte hierfür den 21.11.2024 als Zieldatum
    • Bereitstellung der Wallets durch die Mitgliedstaaten: innerhalb von 24 Monaten nach diesem Tag (Art. 5a Abs. 1), also rechnerisch bis zum 24.12.2026
    • Akzeptanz durch öffentliche Stellen (Art. 5f Abs. 1) und sehr große Online-Plattformen (Art. 5f Abs. 3): im Text ohne eigene Frist; da die Pflicht an bereitgestellte Wallets anknüpft, setzt sie praktisch deren Verfügbarkeit voraus (Auslegung)
    • Akzeptanz durch private vertrauende Beteiligte (Art. 5f Abs. 2): spätestens 36 Monate nach dem Inkrafttreten dieser Durchführungsrechtsakte, also rechnerisch bis zum 24.12.2027
    • Übergangsfristen für Vertrauensdienste (Art. 51), u. a.: 21.05.2026 für den Konformitätsbewertungsbericht bereits qualifizierter Anbieter zu Art. 24 Abs. 1, 1a und 1b und für die Verwaltung von Fernsignaturerstellungseinheiten durch nicht qualifizierte Anbieter; 21.05.2027 für sichere Signaturerstellungseinheiten nach der Richtlinie 1999/93/EG

  • Gültig für:

    • Mitgliedstaaten: Bereitstellung mindestens einer Wallet (Art. 5a Abs. 1), unmittelbar, im Auftrag oder durch eine unabhängig bereitgestellte, aber anerkannte Wallet (Art. 5a Abs. 2); außerdem Akzeptanz in öffentlichen Online-Diensten (Art. 5f Abs. 1)
    • Wallet-Anbieter (Anforderungen an Funktionen, Datenschutz, Sicherheit und Zertifizierung, Art. 5a, Art. 5c)
    • Vertrauende Beteiligte (Dienste, die Wallets akzeptieren): Registrierung im Niederlassungsstaat (Art. 5b)
    • Private Diensteanbieter mit gesetzlich oder vertraglich vorgeschriebener Online-Identifizierung mit starker Nutzerauthentifizierung, etwa in Verkehr, Energie, Bankwesen, Finanzdienstleistungen, sozialer Sicherheit, Gesundheit, Trinkwasser, Postdiensten, digitalen Infrastrukturen, Bildung oder Telekommunikation (Art. 5f Abs. 2)
    • Anbieter sehr großer Online-Plattformen im Sinne von Art. 33 der Verordnung (EU) 2022/2065 (DSA), die eine Nutzerauthentifizierung verlangen (Art. 5f Abs. 3)
    • Vertrauensdiensteanbieter (qualifiziert und nicht qualifiziert, u. a. Art. 19a, Art. 24, Art. 45b ff.), Anbieter von Webbrowsern (Art. 45 Abs. 1a) und Aussteller von Attributsbescheinigungen (Art. 45g)

  • Nicht gültig für / Einschränkungen:

    • Die Nutzung der Wallet ist für natürliche und juristische Personen freiwillig; der Zugang zu Diensten muss weiterhin über andere Identifizierungs- und Authentifizierungsmittel möglich sein (Art. 5a Abs. 15)
    • Kleinst- und kleine Unternehmen im Sinne der Empfehlung 2003/361/EG sind von der Akzeptanzpflicht privater vertrauender Beteiligter ausgenommen (Art. 5f Abs. 2)
    • Die Akzeptanz ist nur dort verlangt, wo eine Online-Identifizierung mit starker Nutzerauthentifizierung vorgeschrieben ist, und gilt auch dann nur auf freiwilliges Verlangen des Nutzers (Art. 5f Abs. 2 und 3)
    • Anbieter von Webbrowsern, die Kleinst- oder Kleinunternehmen sind, sind in den ersten fünf Jahren ihrer Tätigkeit von der Unterstützungspflicht für qualifizierte Website-Zertifikate ausgenommen (Art. 45 Abs. 1a)

  • Grauzone:

    • Abgrenzung, wann eine Online-Identifizierung mit starker Nutzerauthentifizierung "nach Unionsrecht oder nationalem Recht" oder "vertraglich" vorgeschrieben ist; die Aufzählung der Sektoren in Art. 5f Abs. 2 ist nicht abschließend ("auch in den Bereichen"). Die Kommission hatte bis 21.05.2026 zu berichten (Art. 49 Abs. 1 und 2), u. a. ob alle privaten Online-Diensteanbieter, die Identifizierungsdienste Dritter nutzen, zur Akzeptanz verpflichtet werden sollen; Bericht und etwaiger Änderungsvorschlag wurden für diese Seite nicht geprüft
    • Zusammenspiel mit bestehenden nationalen eID-Lösungen (z. B. der deutschen Online-Ausweisfunktion): Die Mitgliedstaaten können zusätzliche Wallet-Funktionen vorsehen, auch Interoperabilität mit bestehenden nationalen Identifizierungsmitteln (Art. 5a Abs. 7)
    • Datenschutzrechtliche Ausgestaltung: Verarbeitungen durch Mitgliedstaaten und beauftragte Stellen müssen DSGVO-konform nachgewiesen werden (Art. 5a Abs. 17); die Ausgestaltung durch private Diensteanbieter bleibt Sache der DSGVO und des nationalen Rechts
    • Reichweite der Open-Source-Pflicht: sie gilt für den Quellcode der Anwendungssoftwarekomponenten; bei hinreichender Begründung dürfen Mitgliedstaaten vorsehen, dass der Quellcode von Komponenten, die nicht auf den Geräten der Nutzer installiert sind, nicht offengelegt wird (Art. 5a Abs. 3)

  • Ziel: Sicherer, vertrauenswürdiger und nahtloser grenzüberschreitender Zugang zu öffentlichen und privaten Diensten für alle natürlichen und juristischen Personen in der Union, unter Wahrung der vollständigen Kontrolle über die eigenen Daten (Art. 5a Abs. 1).

  • Neuerungen / Anforderungen:

    • Pflicht der Mitgliedstaaten zur Bereitstellung mindestens einer Europäischen Brieftasche für die Digitale Identität auf Sicherheitsniveau "hoch" (Art. 5a Abs. 1 und 11)
    • Open-Source-Lizenz für den Quellcode der Anwendungssoftwarekomponenten (Art. 5a Abs. 3)
    • Registrierung vertrauender Beteiligter und Beschränkung auf die angemeldeten Datenabfragen (Art. 5b)
    • Zertifizierung der Wallets und Veröffentlichung einer Liste zertifizierter Wallets (Art. 5c, Art. 5d)
    • Akzeptanzpflichten für öffentliche Stellen, bestimmte private Dienste und sehr große Online-Plattformen (Art. 5f)
    • Neue Vertrauensdienste: elektronische Attributsbescheinigungen (Art. 45b ff.), elektronische Archivierung (Art. 45i ff.), elektronische Journale (Art. 45k ff.) und die qualifizierte Verwaltung von Fernsignatur-/Fernsiegelerstellungseinheiten (Art. 29a)
    • Neue Aufsichts- und Governance-Strukturen für Wallets (Art. 46a, Art. 46c, Art. 46e)

Zentrale Forderungen

Bereitstellung der Wallet durch Mitgliedstaaten (Art. 5a)

  • Jeder Mitgliedstaat stellt innerhalb von 24 Monaten nach Inkrafttreten der Durchführungsrechtsakte mindestens eine Wallet bereit (Abs. 1), und zwar unmittelbar, im Auftrag oder unabhängig, aber vom Mitgliedstaat anerkannt (Abs. 2). Sie wird im Rahmen eines notifizierten eID-Systems mit Sicherheitsniveau "hoch" bereitgestellt (Abs. 11) und mit "konzeptintegrierter Sicherheit" (Security by Design) ausgestattet (Abs. 12)
  • Open Source (Abs. 3): Für den Quellcode der Anwendungssoftwarekomponenten muss eine Open-Source-Lizenz gelten; Ausnahme nur in hinreichend begründeten Fällen für Komponenten, die nicht auf den Geräten der Nutzer installiert sind. Erwägungsgrund 33 der Änderungsverordnung begründet dies mit Transparenz und Rechenschaftspflicht
  • Kostenfrei für natürliche Personen (Abs. 13): Ausstellung, Verwendung und Widerruf; außerdem müssen alle natürlichen Personen kostenlos mit qualifizierten elektronischen Signaturen unterzeichnen können (Abs. 5 Unterabs. 1 lit. g). Die Mitgliedstaaten dürfen die kostenlose Nutzung verhältnismäßig auf nichtgewerbliche Zwecke beschränken (Abs. 5 Unterabs. 2)
  • Funktionen (Abs. 4): sicheres Anfordern, Erhalten, Auswählen, Kombinieren, Speichern, Löschen, Weitergeben und Vorweisen von Personenidentifizierungsdaten (PID) und elektronischen Attributsbescheinigungen unter alleiniger Kontrolle des Nutzers, online und gegebenenfalls offline, mit selektiver Offenlegung (lit. a); lokale, verschlüsselte Speicherung von Pseudonymen (lit. b); Authentifizierung von Wallet zu Wallet (lit. c); ein gemeinsames Dashboard mit Transaktionsprotokoll, Löschersuchen nach Art. 17 DSGVO und Meldung verdächtiger Datenanfragen an die Datenschutzbehörde (lit. d); qualifiziertes Unterzeichnen und Siegeln (lit. e); Export von Nutzerdaten, soweit technisch möglich (lit. f), und Datenübertragbarkeit (lit. g)
  • Privatsphäre: Der Wallet-Anbieter sammelt keine Nutzungsinformationen, die für die Erbringung der Wallet-Dienste nicht erforderlich sind, und kombiniert keine Wallet-Daten mit Daten aus anderen Diensten (Abs. 14). Der technische Rahmen darf Ausstellern und Dritten nach der Ausstellung kein Verfolgen, Verknüpfen oder Korrelieren von Transaktionen erlauben, sofern der Nutzer nicht ausdrücklich zustimmt, und muss Unverknüpfbarkeit ermöglichen, wenn keine Identifizierung nötig ist (Abs. 16). Aussteller von Attributsbescheinigungen erhalten nach der Ausstellung keine Informationen über deren Verwendung (Abs. 5 Unterabs. 1 lit. b)
  • Betrieb: unverzügliche Information der Nutzer über Sicherheitsverletzungen (Abs. 6), kostenlose Validierungsmechanismen (Abs. 8), Widerrufsmöglichkeit auf Nutzerwunsch, bei kompromittierter Sicherheit sowie bei Tod bzw. Tätigkeitsende (Abs. 9), technischer Support (Abs. 10) und Barrierefreiheit nach der Richtlinie (EU) 2019/882 (Abs. 21)
  • Wallets sind für die Bereitstellung nicht an die Art. 7, 9, 10, 12 und 12a gebunden (Abs. 22); die Mitgliedstaaten melden der Kommission die zuständigen Stellen und Validierungsmechanismen (Abs. 18)

Vertrauende Beteiligte (Art. 5b)

  • Wer für öffentliche oder private Dienste auf Wallets zurückgreifen will, registriert sich im Niederlassungsstaat (Abs. 1) und gibt mindestens Identität, Kontaktangaben und die beabsichtigte Verwendung samt angeforderter Daten an (Abs. 2)
  • Es dürfen keine anderen Daten verlangt werden als die registrierten (Abs. 3); Pseudonyme dürfen nicht verweigert werden, wenn keine Identifizierungspflicht besteht (Abs. 9); Vermittler gelten als vertrauende Beteiligte und dürfen keine Transaktionsinhalte speichern (Abs. 10)
  • Die Registrierungen werden öffentlich, elektronisch signiert und maschinenlesbar bereitgestellt (Abs. 5); die vertrauenden Beteiligten identifizieren sich gegenüber dem Nutzer (Abs. 8)
  • Die Details (nationale Register, Registrierungsverfahren, Zugriffs- und Registrierungszertifikate) regelt die Durchführungsverordnung (EU) 2025/848, die ab dem 24.12.2026 gilt

Zertifizierung und Sicherheitsverletzungen (Art. 5c bis 5e)

  • Die Konformität der Wallets und des eID-Systems mit den Anforderungen aus Art. 5a Abs. 4, 5 und 8 sowie der logischen Trennung nach Abs. 14 wird von den durch die Mitgliedstaaten benannten Konformitätsbewertungsstellen zertifiziert (Art. 5c Abs. 1). Cybersicherheitsrelevante Anforderungen werden, soweit verfügbar, nach europäischen Schemata der Verordnung (EU) 2019/881 zertifiziert, im Übrigen über nationale Zertifizierungssysteme (Art. 5c Abs. 2 und 3)
  • Die Zertifizierung gilt bis zu fünf Jahre, sofern alle zwei Jahre eine Schwachstellenbeurteilung erfolgt; eine nicht zeitnah behobene Schwachstelle führt zur Aufhebung (Art. 5c Abs. 4)
  • Die Durchführungsverordnung (EU) 2024/2981 konkretisiert die nationalen Zertifizierungssysteme: Pro System ist ein Systeminhaber zu benennen (Art. 3); die Systeme stützen sich, soweit verfügbar, auf europäische Cybersicherheitsschemata einschließlich EUCC (Art. 4 Abs. 1). Zertifikatsinhaber müssen ein Schwachstellenmanagement betreiben, das die Anforderungen aus Anhang I der Cyberresilienz-Verordnung (CRA) erfüllt, und öffentlich bekannte, behobene Schwachstellen offenlegen oder in Online-Register eintragen (Art. 5 Abs. 7 und 9)
  • Die Mitgliedstaaten melden zertifizierte Wallets an Kommission und Kooperationsgruppe; die Kommission veröffentlicht eine maschinenlesbare Liste der zertifizierten Wallets im Amtsblatt (Art. 5d). Das Verfahren regelt die Durchführungsverordnung (EU) 2025/849
  • Bei Verletzung oder Beeinträchtigung einer Wallet, der Validierungsmechanismen oder des eID-Systems setzt der Mitgliedstaat Bereitstellung und Nutzung unverzüglich aus; ist die Verletzung nach drei Monaten nicht behoben, werden die Wallets entzogen und widerrufen (Art. 5e Abs. 1 und 2). Details: Durchführungsverordnung (EU) 2025/847

Pflicht zur Akzeptanz der EUDIW (Art. 5f)

  • Öffentliche Stellen (Abs. 1): Verlangen Mitgliedstaaten für einen Online-Dienst einer öffentlichen Stelle eine elektronische Identifizierung und Authentifizierung, akzeptieren sie auch die nach der Verordnung bereitgestellten Wallets
  • Private vertrauende Beteiligte (Abs. 2), mit Ausnahme von Kleinst- und kleinen Unternehmen: Ist nach Unionsrecht oder nationalem Recht oder vertraglich eine Online-Identifizierung mit starker Nutzerauthentifizierung vorgeschrieben, akzeptieren sie hierfür auf freiwilliges Verlangen des Nutzers auch Wallets, spätestens 36 Monate nach Inkrafttreten der Durchführungsrechtsakte (rechnerisch 24.12.2027). Genannt werden u. a. Verkehr, Energie, Bankwesen, Finanzdienstleistungen, soziale Sicherheit, Gesundheit, Trinkwasser, Postdienste, digitale Infrastrukturen, Bildung und Telekommunikation
  • Sehr große Online-Plattformen (Abs. 3, Art. 33 DSA): Verlangen sie eine Nutzerauthentifizierung, akzeptieren und erleichtern sie die Wallet, nur auf freiwilliges Verlangen des Nutzers und nur mit den für den Dienst erforderlichen Mindestdaten
  • Die Kommission fördert Verhaltenskodizes (Abs. 4) und bewertet innerhalb von 24 Monaten nach Einführung der Wallets Nachfrage, Verfügbarkeit und Nutzbarkeit (Abs. 5)
  • Eine allgemeine Pflicht für jeden Dienst oder jeden Sektor enthält Art. 5f nicht: Auch für Banken, Telekommunikation oder Gesundheit gilt die Pflicht nur unter den Voraussetzungen von Abs. 2

Durchführungsrechtsakte zur Wallet

Rechtsgrundlagen sind Art. 5a Abs. 23 und 24, Art. 5b Abs. 11, Art. 5c Abs. 6, Art. 5d Abs. 7, Art. 5e Abs. 5. Alle fünf Rechtsakte aus 2024 und die Rechtsakte aus 2025 sind im Amtsblatt veröffentlicht; die Daten des Inkrafttretens ergeben sich aus dem jeweiligen Art. "Inkrafttreten" (20. Tag nach Veröffentlichung).

Rechtsakt Gegenstand Inkrafttreten / Anwendung
(EU) 2024/2977 Personenidentifizierungsdaten (PID) und elektronische Attributsbescheinigungen für Wallets 24.12.2024
(EU) 2024/2979 Integrität und Kernfunktionen der Wallets 24.12.2024
(EU) 2024/2980 Notifizierungen an die Kommission zum Wallet-Ökosystem 24.12.2024
(EU) 2024/2981 Zertifizierung der Wallets 24.12.2024
(EU) 2024/2982 Protokolle und Schnittstellen 24.12.2024
(EU) 2025/846 Grenzüberschreitender Identitätsabgleich natürlicher Personen (Art. 11a) 27.05.2025; gilt ab 24.12.2026
(EU) 2025/847 Reaktion auf Sicherheitsverletzungen der Wallets 27.05.2025; Art. 10 gilt ab 07.05.2026
(EU) 2025/848 Registrierung der auf Wallets vertrauenden Beteiligten 27.05.2025; gilt ab 24.12.2026
(EU) 2025/849 Informationen an Kommission und Kooperationsgruppe für die Liste zertifizierter Wallets 27.05.2025
(EU) 2025/1569 Qualifizierte elektronische Attributsbescheinigungen und Attributsbescheinigungen öffentlicher Stellen 19.08.2025; Art. 6 und 9 gelten ab 19.08.2026
(EU) 2026/1730, 2026/1731, 2026/1735 Änderungen der Standards und Spezifikationen in 2025/848, 2024/2977, 2024/2979, 2024/2980, 2024/2982 und 2025/1569 20. Tag nach Veröffentlichung (22.07.2026), d. h. 11.08.2026; Art. 1 Abs. 3 der 2026/1735 gilt ab 01.01.2027

Das Inkrafttreten der Rechtsakte aus 2025 und 2026 ist aus "20. Tag nach Veröffentlichung" abgeleitet. Die Rechtsakte aus 2024 sind am 04.12.2024 im Amtsblatt veröffentlicht worden (Datum im Kopf des Dokuments), die aus 2025 am 07.05.2025.

Technische Anforderungen (Art. 5a Abs. 4 und 5, Durchführungsrechtsakte)

  • Offline-Nutzung und Online-Nutzung: Die Wallet muss Vorweisen und Authentifizierung "online und, gegebenenfalls, offline" ermöglichen (Art. 5a Abs. 4 lit. a, Abs. 5 lit. a Ziff. iii); eine vollständige Offline-Nutzbarkeit für alle Anwendungsfälle ist dort nicht vorgeschrieben
  • Gemeinsame Protokolle und Schnittstellen für Ausstellung, Anforderung, Validierung, Vorweisen, Wallet-zu-Wallet-Interaktion und Authentifizierung vertrauender Beteiligter (Art. 5a Abs. 5 lit. a); die Durchführungsverordnung (EU) 2024/2982 legt Protokolle und Schnittstellen fest. In der durch die Durchführungsverordnung (EU) 2026/1731 geänderten Fassung nimmt sie u. a. auf ISO/IEC 18013-5, Anhang C von ISO/IEC 18013-7:2025, das OpenID4VC-HAIP-Profil und ETSI TS 119 472-2 und -3 Bezug
  • Credential-Formate: PID natürlicher Personen werden nach der Durchführungsverordnung (EU) 2024/2977 in der durch 2026/1731 geänderten Fassung im SD-JWT-VC-Format und im ISO/IEC-mdoc-Format ausgestellt (Verweis auf Anhang II der Durchführungsverordnung (EU) 2024/2979, Abschnitte 5 und 6)
  • Hohes Sicherheitsniveau nach Art. 8 (Art. 5a Abs. 5 lit. d und Abs. 11); Zertifizierung siehe oben. Die Kernfunktionen (Integrität, Wallet-Instanzen, kryptografische Anwendungen, Widerruf, Datenexport, Pseudonyme) regelt die Durchführungsverordnung (EU) 2024/2979
  • Kein Tracking durch Aussteller oder Dritte, Unverknüpfbarkeit, kein Zusammenführen von Wallet-Daten durch den Anbieter: siehe Art. 5a Abs. 14 und 16

Qualifizierte Vertrauensdienste und weitere Neuerungen

  • Elektronische Attributsbescheinigungen: Sie dürfen nicht allein wegen ihrer elektronischen Form abgelehnt werden (Art. 45b Abs. 1). Qualifizierte Attributsbescheinigungen und solche öffentlicher Stellen, die für eine authentische Quelle zuständig sind, haben dieselbe Rechtswirkung wie Papierbescheinigungen (Abs. 2); Letztere werden in allen Mitgliedstaaten anerkannt (Abs. 3). Anforderungen: Art. 45d (Anhang V), Art. 45f (Anhang VII). Aussteller qualifizierter Attributsbescheinigungen und öffentliche Stellen, die Attributsbescheinigungen ausstellen, müssen eine Schnittstelle zu den Wallets bereitstellen (Art. 45g Abs. 2, Art. 45f Abs. 8). Die Mitgliedstaaten ermöglichen die Überprüfung bestimmter Attribute (Anhang VI) bei authentischen Quellen (Art. 45e); Durchführungsrechtsakt: (EU) 2025/1569
  • Elektronische Archivierung (Art. 45i, Art. 45j) und elektronische Journale (Art. 45k, Art. 45l) als neue (qualifizierte) Vertrauensdienste
  • Qualifizierte Verwaltung von Fernsignatur- und Fernsiegelerstellungseinheiten nur durch qualifizierte Vertrauensdiensteanbieter (Art. 29a, Übergangsregelung in Art. 51 Abs. 3)
  • Qualifizierte Website-Zertifikate (QWAC): Webbrowser-Anbieter müssen qualifizierte Zertifikate für die Website-Authentifizierung anerkennen, die bescheinigten Identitätsdaten benutzerfreundlich darstellen und Unterstützung und Interoperabilität gewährleisten (Art. 45 Abs. 1a); Vorsorgemaßnahmen sind nur bei begründeten Sicherheitsbedenken und mit Meldung an Aufsichtsstelle und Kommission zulässig (Art. 45a). Für QWAC dürfen keine zusätzlichen verbindlichen Anforderungen gelten (Art. 45 Abs. 1b)
  • Pflichten der Vertrauensdiensteanbieter und Aufsicht: Nicht qualifizierte Anbieter haben Risikomanagementmaßnahmen und eine Meldepflicht für Sicherheitsverletzungen innerhalb von 24 Stunden nach Kenntnis (Art. 19a Abs. 1); qualifizierte Anbieter stehen unter Ex-ante- und Ex-post-Aufsicht, nicht qualifizierte unter Ex-post-Aufsicht (Art. 46b Abs. 3)
  • Elektronische Signaturen und Siegel: Die qualifizierte elektronische Signatur hat die gleiche Rechtswirkung wie eine handschriftliche Unterschrift (Art. 25 Abs. 2), anerkannt in allen Mitgliedstaaten (Art. 24a). Die Wallet ermöglicht qualifiziertes Unterzeichnen und Siegeln (Art. 5a Abs. 4 lit. e). Qualifizierte Vertrauensdiensteanbieter können die Identität auch mit der Wallet prüfen (Art. 24 Abs. 1a lit. a)

Aufsicht, Sanktionen und Governance

  • Die Mitgliedstaaten benennen Aufsichtsstellen für Wallet-Anbieter (Art. 46a), einheitliche Anlaufstellen (Art. 46c) und beteiligen sich an der europäischen Kooperationsgruppe für die digitale Identität (Art. 46e). Die Aufsichtsstelle kann die Aussetzung oder Beendigung der Bereitstellung einer Wallet anordnen, wenn der Anbieter Nichteinhaltung nicht abstellt (Art. 46a Abs. 5)
  • Sanktionen legen die Mitgliedstaaten fest; sie müssen wirksam, verhältnismäßig und abschreckend sein. Für Vertrauensdiensteanbieter müssen Geldbußen mit einem Höchstmaß von mindestens 5 Mio. EUR bzw. 1 % des weltweiten Jahresumsatzes (bei juristischen Personen der höhere Betrag) möglich sein (Art. 16)
  • Berichtspflichten: Statistiken zu Wallets, Diensten, Beschwerden und Vorfällen (Art. 48a); Überprüfung der Verordnung durch die Kommission bis 21.05.2026 und Fortschrittsbericht bis 21.05.2030 (Art. 49)

Stand der Umsetzung (09.10.2026)

  • Durchführungsrechtsakte: Die fünf Kernrechtsakte vom 28.11.2024 (2024/2977, 2979, 2980, 2981, 2982) und die Rechtsakte vom 06.05.2025 (2025/846 bis 2025/849) sind erlassen; im Juli 2026 hat die Kommission die Standards und Spezifikationen mit den Durchführungsverordnungen (EU) 2026/1730, 2026/1731 und 2026/1735 aktualisiert (siehe Tabelle oben)
  • Architecture Reference Framework (ARF): Die Kommission und die Mitgliedstaaten pflegen das ARF öffentlich auf GitHub und eudi.dev. Die jüngste Version ist v3.0.0 vom 23.07.2026 (GitHub-Release); laut Release Notes gleicht sie das ARF an die Durchführungsverordnungen 2024/2977, 2024/2979, 2024/2980, 2024/2982 und 2025/848 an und führt ein Functional Conformance Assessment Framework ein. Das ARF ist ein technisches Dokument und selbst kein Rechtsakt; rechtlich verbindlich sind die Durchführungsverordnungen. Die Durchführungsverordnung (EU) 2024/2981 verweist für die Zertifizierung darauf, dass die technischen Spezifikationen auf der Empfehlung (EU) 2021/946 und insbesondere dem dort enthaltenen Architektur- und Referenzrahmen aufbauen
  • Frist für die Mitgliedstaaten: Die Bereitstellung der Wallets ist rechnerisch bis 24.12.2026 vorgeschrieben (Art. 5a Abs. 1). Mehrere Durchführungsrechtsakte (2025/846, 2025/848) gelten ausdrücklich ab diesem Datum. Ob und wie viele Mitgliedstaaten die Frist einhalten, wurde für diese Seite nicht geprüft
  • Akzeptanzpflicht: Private Pflichtadressaten müssen die Wallet erst rechnerisch ab dem 24.12.2027 akzeptieren (Art. 5f Abs. 2)
  • Deutschland: Die Bundesregierung hat den Entwurf eines Digitale-Identitätengesetzes (DIdG) vorgelegt (Bundestags-Drucksache 21/7408 vom 29.07.2026; Artikel 1 ist das "Gesetz über die Europäische Brieftasche für die Digitale Identität", EBDIG). Erste Lesung im Bundestag am 23.09.2026, Anhörung im Ausschuss für Digitales und Staatsmodernisierung am 06.10.2026; die Abstimmung ist laut Bundestag für den 15.10.2026 vorgesehen (Bundestag zum DIdG, Anhörung). Die Wallet soll laut Anhörung am 02.01.2027 starten. Nach dem Entwurf (§ 2 EBDIG) sind zuständig: das Bundesministerium für Digitales und Staatsmodernisierung für die Bereitstellung, das Bundesverwaltungsamt für die Registrierung vertrauender Beteiligter und die Validierungsmechanismen, das BSI für nationale Zertifizierungssysteme und Maßnahmen bei Sicherheitsverletzungen, die Bundesnetzagentur für Aufsicht und einheitliche Anlaufstelle sowie die Akkreditierungsstelle für die Akkreditierung der Konformitätsbewertungsstellen. Der Bundesrat verlangt, bei der Anbieterauswahl Open-Source-Lösungen zu bevorzugen; ob dies übernommen wird, ist offen. Das Gesetz ist noch nicht verabschiedet; der Entwurf kann sich ändern

Lösungsansätze & Hilfestellungen

  • Das Architecture Reference Framework (ARF) beschreibt die technischen Grundlagen der EUDIW und wird laufend aktualisiert (aktuell v3.0.0, siehe oben)
  • Die Kommission und die Mitgliedstaaten stellen unter github.com/eu-digital-identity-wallet Open-Source-Referenzimplementierungen bereit (Wallet-Apps für Android und iOS, Bibliotheken, Aussteller- und Verifier-Dienste); die Bibliotheken stehen überwiegend unter Apache-2.0, die Referenz-Wallet-Apps unter EUPL-1.2 (Stand der GitHub-Lizenzangaben, 09.10.2026)
  • Für Diensteanbieter (vertrauende Beteiligte): früh prüfen, ob man zur Pflichtgruppe nach Art. 5f Abs. 2 gehört; die Registrierung nach Art. 5b bzw. Durchführungsverordnung (EU) 2025/848 vorbereiten (gilt ab 24.12.2026) und bestehende Authentifizierungslösungen auf Wallet-Kompatibilität (OpenID4VP, ISO/IEC 18013-5/-7, SD-JWT VC, mdoc) prüfen
  • Für Identitätsprovider und SSO-Anbieter: die Wallet als zusätzliche Quelle für Identitäts- und Attributsnachweise integrieren
  • Für Wallet-Anbieter und Open-Source-Projekte: Die Open-Source-Pflicht gilt für die Anwendungssoftwarekomponenten (Art. 5a Abs. 3); die Zertifizierung betrifft die Wallet-Lösung des Anbieters nach den nationalen Systemen (Art. 5c, Durchführungsverordnung (EU) 2024/2981). Die dortigen Anforderungen an das Schwachstellenmanagement orientieren sich an Anhang I der Cyberresilienz-Verordnung (siehe CRA). Allgemeine Open-Source-Bibliotheken sind damit nicht automatisch zertifiziert; Zertifizierungsgegenstand ist die Wallet-Lösung samt Prozessen
  • Für Webbrowser-Anbieter (auch Open Source): Pflichten zu QWAC nach Art. 45 Abs. 1a und Art. 45a beachten
  • In Deutschland siehe den Stand der Umsetzung oben (DIdG-Entwurf, Zuständigkeiten von Bundesministerium für Digitales und Staatsmodernisierung, BSI, Bundesnetzagentur)

Tools & Werkzeuge

Die folgenden Projekte sind Open Source. Sie sind keine Konformitäts- oder Zertifizierungsnachweise; die Lizenzangaben entsprechen den GitHub-Lizenzangaben (Stand 09.10.2026).

EUDIW-Referenzimplementierungen (Art. 5a)

Tool Lizenz Problem / Zweck Regulatorische Relevanz
EU Digital Identity Wallet (GitHub-Organisation) Apache-2.0 (Bibliotheken, Issuer-/Verifier-Dienste), EUPL-1.2 (Wallet-Apps) Referenzimplementierung der Kommission und der Mitgliedstaaten: Wallet-Apps für Android und iOS (z. B. eudi-app-android-wallet-ui, eudi-app-ios-wallet-ui), Wallet-Bibliotheken, PID-Issuer (eudi-srv-pid-issuer) und Verifier (eudi-srv-verifier-endpoint) Open-Source-Umsetzung des ARF; ein Einsatz begründet für sich keine Konformität oder Zertifizierung nach Art. 5c
Multipaz (OpenWallet Foundation) Apache-2.0 SDK für digitale Credentials mit Unterstützung der Formate ISO mdoc und IETF SD-JWT VC sowie Proximity-Präsentation und OpenID4VP Bibliothek für Wallet- und Verifier-Entwicklung; keine Zertifizierung
walt.id Identity Apache-2.0 Open-Source-Toolkit für Wallets, Issuer und Verifier mit OpenID4VCI/OpenID4VP, HAIP, SD-JWT VC und mdoc/mDL laut README Unterstützt die im ARF und in den Durchführungsrechtsakten genannten Formate und Protokolle; keine Zertifizierung
Sphereon Mobile Wallet Apache-2.0 Open-Source-Mobile-Wallet mit Credential-Empfang über OpenID4VCI Beispiel für eine Wallet-Implementierung; eine Konformität mit den EUDIW-Vorgaben ist nicht belegt

OpenID4VC-/SD-JWT-Bibliotheken

Tool Lizenz Problem / Zweck Regulatorische Relevanz
Sphereon OID4VC Apache-2.0 OpenID-for-Verifiable-Credentials-Module für Aussteller, Wallets (Holder) und vertrauende Beteiligte (TypeScript) Protokollbausteine für die Wallet-Interaktion (Art. 5a Abs. 5 lit. a)
Credo-TS Apache-2.0 TypeScript-Framework für dezentrale Identitäten und Verifiable Credentials mit OpenID4VC- und SD-JWT-VC-Unterstützung (OpenWallet Foundation) Baustein für mobile/Node-basierte Wallet- und Verifier-Entwicklung
SD-JWT Python Apache-2.0 Python-Referenzimplementierung von Selective Disclosure JWT Selektive Offenlegung ist Wallet-Anforderung (Art. 5a Abs. 4 lit. a); SD-JWT VC ist eines der PID-Formate laut Durchführungsrechtsakten

Weitere SSI-Frameworks

Tool Lizenz Problem / Zweck Regulatorische Relevanz
Veramo Apache-2.0 JavaScript-Framework für Verifiable Data Kein direkter Bezug zu den Durchführungsrechtsakten in der Projektdokumentation belegt; für allgemeine VC-Experimente
ACA-Py Apache-2.0 Grundlage für Anwendungen dezentraler Identitäten (Aries Cloud Agent Python, jetzt bei der OpenWallet Foundation) Kein direkter Bezug zu den Durchführungsrechtsakten in der Projektdokumentation belegt

Quellen

Alle Rechtstexte in der deutschen Fassung im Amtsblatt der EU (ELI-Links):