Die Akzeptanzpflicht greift nicht nur bei gesetzlicher, sondern auch bei vertraglich vereinbarter starker Authentifizierung.
Die Anbindung ist ein ernst zu nehmendes IT-Vorhaben und ein Eingriff in die bestgeschützten Strecken der Architektur. Ob dieser Aufwand im Haus bleibt oder über einen Connector eingekauft wird, ist die erste Weiche – und die muss früh gestellt werden.
Technischer Umbau und regulatorische Klärung bedingen einander und müssen parallel statt nacheinander geplant werden.
Ende 2026 stellen die meisten Häuser ihre Roadmap für 2027 auf. Und viele werden feststellen, dass ein Thema dort noch fehlt, das keinen Aufschub duldet: die Akzeptanzpflicht für die europäische Identitäts-Wallet (EUDI-Wallet). Sie verlangt zwei Dinge gleichzeitig: einen substanziellen technischen Umbau und eine ebenso aufwendige Klärung von Registrierung, Zweckbindung und Haftung. Wer nur eines davon plant, wird nicht rechtzeitig fertig.
Was die Akzeptanzpflicht konkret verlangt
Private Stellen, die zu einer starken Nutzerauthentifizierung verpflichtet sind, müssen die Wallet als Mittel dieser Authentifizierung anerkennen. Entscheidend ist dabei ein Detail, das häufig überlesen wird: Die Verordnung stellt die gesetzliche und die vertragliche Verpflichtung ausdrücklich gleich. Es genügt, dass eine starke Authentifizierung vertraglich vereinbart ist – etwa gegenüber einem Geschäftspartner oder als technische und organisatorische Maßnahme im Sinne der DSGVO.
Das erweitert den Anwendungsbereich erheblich: Viele Strecken sind freiwillig mit starker Authentifizierung ausgestattet und vertraglich so vereinbart. Die Prozessinventur muss beide Kategorien erfassen – Zahlungsfreigabe, Kontoeröffnung, Versicherungsabschluss, Legitimation bei Schadenmeldungen.
Bestehende Verfahren werden dabei nicht abgeschaltet. Die Wallet muss als zusätzlicher, gleichwertiger Weg offenstehen. Wer sie widerwillig hinter zwei etablierte Verfahren stellt, erfüllt die Anforderung …, verliert aber den Nutzen.
Ein Mechanismus, drei Sektoren, mehrfacher Nutzen
Derselbe Mechanismus wirkt in drei Kontexten. Im Zahlungsverkehr trägt die Wallet Zahlungsattribute und kann die Freigabe übernehmen, inklusive Bindung an Betrag und Empfänger. Im Banking bedient sie die Identifizierung im Onboarding: Statt Videositzung oder eID werden geprüfte Attribute direkt übermittelt. Bei Versicherern liegt der Wert in den Nebenprozessen – Vollmachten, Berufsangaben, Führerscheinklassen und Vorversicherungen lassen sich als elektronische Attributsbescheinigungen abbilden.
Doch um den Nutzen in diesen Use Cases zu heben, muss die EUDI-Wallet korrekt implementiert werden.
Staatliche EUDI-Wallet: Die von einem Mitgliedstaat bereitgestellte oder anerkannte Wallet.
Zertifizierte Lösung privater Anbieter: Auch privat bereitgestellte Wallets können anerkannt sein. Ohne diese Anerkennung ist eine App rechtlich eine App – mit allen Folgen für Haftung und Nachweiswert.
Payment-Wallet im Marktsinn: Bezahl-Apps sind etwas anderes. Sie können in Grenzen Attribute einer EUDI-Wallet nutzen, sind aber selbst keine.
Der technische Strang: mehr als eine Schnittstelle
Die Protokolle sind standardisiert und Referenzimplementierungen verfügbar. Daraus zu schließen, die Anbindung sei eine Fingerübung, wäre ein teurer Irrtum:
Neue Protokollwelt: Nachweise kommen in kryptografisch signierten Formaten, deren Prüfung eigene Bibliotheken und eigenes Betriebs-Know-how erfordert. Selektive Offenlegung ist in bestehenden Identity-Stacks meist nicht vorgesehen.
Zertifikate und Vertrauensinfrastruktur: Zugriffs- und Registrierungszertifikate müssen beschafft, verwahrt und erneuert, Vertrauenslisten laufend ausgewertet werden. Fällt diese Prüfung aus, ist die Strecke nicht langsamer, sondern rechtlich wertlos.
Eingriff in Kernstrecken: Onboarding und Zahlungsfreigabe sind gewachsen, eng gekoppelt und regulatorisch abgenommen. Ein zusätzlicher Weg bringt zusätzliche Fehlerpfade: Was passiert, wenn die Prüfung mitten in der Antragsstrecke scheitert? Diese Fälle treiben den Testaufwand.
Betrieb und Sicherheit: Was DORA für kritische IKT-Prozesse verlangt, gilt ab Tag 1. Und die Standards bewegen sich noch, was Versionierbarkeit zur Architekturanforderung macht.
Der zweite Strang: was die IT nicht lösen kann
Registrierung als Relying Party: Wer Attribute abfragen will, meldet sich bei einer nationalen Registrierungsstelle an und gibt an, welche Attribute zu welchem Zweck abgefragt werden. Die Angabe ist bindend und wird der nutzenden Person angezeigt. Eine Erweiterung ist ein Änderungsverfahren, kein Konfigurationsschalter – die Fachbereiche müssen entscheiden, bevor die IT baut.
Zweckbindung: Abgefragt werden darf nur, was für den konkreten Zweck erforderlich ist. Formularlogiken, die vorsorglich alles erheben, sind damit nicht kompatibel. Ihre Bereinigung ist der am meisten unterschätzte Posten im Projekt.
Beweisführung: Was weist ein Haus im Streitfall nach, und genügen die Protokolldaten den geldwäscherechtlichen Pflichten? Die Antwort entscheidet über die Zustimmung der Rechtsabteilung und bestimmt, was die IT protokollieren muss.
Make-or-Buy-Entscheidung: Die Wallet zu akzeptieren, ist keine Auslagerung. Tritt aber ein Connector oder Intermediär dazwischen, werden Leistungen fremdbezogen, die das Haus sonst selbst erbringen müsste – mit Auslagerungsregister, Ausstiegsplanung und DORA-Informationsregister als Folge. Hinzu kommt: Ein Intermediär sieht, wer wann welche Attribute abfragt. Diese Entscheidung gehört an den Anfang.
Beide Stränge in einem Plan: Nur so gelingt die Implementierung der EUDI-Wallet
Der häufigste Planungsfehler ist die Reihenfolge: erst Rechtsklärung, dann Umsetzung. Das scheitert, weil die Attributsfestlegung der Fachbereiche bestimmt, was die IT abfragen darf; und erst ein Durchstich zeigt, welche Fehlerpfade juristisch zu bewerten sind.
Vier Arbeitspakete gehören deshalb parallel in den Plan für 2027:
- Bestandsaufnahme aller Prozesse mit starker Authentifizierung, gesetzlich wie vertraglich,
- Festlegung der Attribute je Prozess,
- Make-or-Buy-Entscheidung samt Auslagerungsprüfung,
- und ein früher Durchstich an einer echten Strecke.
Die offenen Punkte zeigen sich nicht im Konzept, sondern im Abbruchverhalten!
Mein Rat als Zusammenfassung: Setzen Sie die EUDI-Wallet jetzt auf Ihre Roadmap – ansonsten stehen Sie kurz vor dem Stichtag zwischen zwei unfertigen Strängen.
Verfasst von
Senior Consultant
