Häufige Fragen

eIDAS 2.0 (Verordnung (EU) 2024/1183) ist die umfassende Überarbeitung des EU-Rahmens von 2014 für elektronische Identifizierung und Vertrauensdienste. Anders als das ursprüngliche eIDAS, das auf der freiwilligen gegenseitigen Anerkennung nationaler eID-Systeme beruhte, verpflichtet eIDAS 2.0 jeden Mitgliedstaat, allen Bürgern und Einwohnern eine europäische Wallet für die digitale Identität (EUDIW) bereitzustellen. Zugleich erweitert es die qualifizierten Vertrauensdienste um elektronische Attributsbescheinigungen, elektronische Archivierung und elektronische Register und begründet neue Annahmepflichten für vertrauende Beteiligte im öffentlichen wie im privaten Sektor.

eIDAS 2.0 wurde am 30. April 2024 im Amtsblatt der EU veröffentlicht und trat am 20. Mai 2024 in Kraft. Die Mitgliedstaaten müssen bis zum 24. Dezember 2026 mindestens eine europäische Wallet für die digitale Identität anbieten. Dieses Datum ist kein Zeitraum: Artikel 5a Absatz 1 gibt ihnen 24 Monate ab dem Inkrafttreten der ersten Durchführungsrechtsakte, und die Durchführungsverordnungen (EU) 2024/2977 bis 2024/2982 sind am 24. Dezember 2024 in Kraft getreten. Die Annahmepflicht für vertrauende Beteiligte in regulierten Branchen folgt zwischen 2026 und 2027.

eIDAS 2.0 betrifft ein breites Spektrum von Beteiligten in der EU. Die Mitgliedstaaten müssen zertifizierte Wallets bereitstellen und ihre nationale eID-Infrastruktur anpassen. Für sehr große Online-Plattformen, Finanzinstitute, Gesundheitsdienstleister und Verwaltungen gilt die Annahmepflicht für die EUDIW. Vertrauensdiensteanbieter müssen sich auf erweiterte Kategorien qualifizierter Dienste einstellen, und jede Organisation, die Identität oder Attribute von Kunden prüft, von Banken bis zu Arbeitgebern, wird sich auf Wallet-basierte Prüfabläufe vorbereiten müssen.

Bürgerinnen und Bürger der EU erhalten eine kostenlose, staatlich getragene Wallet für die digitale Identität, mit der sie ihre Identität nachweisen, Dokumente unterzeichnen und verifizierte Attribute wie Alter, Qualifikationen oder Führerscheindaten grenzüberschreitend mit voller Rechtswirkung weitergeben können. Über die selektive Offenlegung behalten sie die Kontrolle über ihre Daten und teilen nur die nötigen Mindestangaben. Das macht das Mitführen mehrerer physischer Dokumente überflüssig und vereinfacht den Umgang mit Behörden und Unternehmen.

Qualifizierte Vertrauensdienste unter eIDAS 2.0, darunter qualifizierte elektronische Signaturen, qualifizierte elektronische Siegel, qualifizierte elektronische Zeitstempel und qualifizierte elektronische Attributsbescheinigungen, haben in allen Mitgliedstaaten automatisch grenzüberschreitende Rechtswirkung. Eine qualifizierte elektronische Signatur ist einer handschriftlichen Unterschrift rechtlich gleichgestellt, und für qualifizierte elektronische Attributsbescheinigungen gilt die Rechtsvermutung der Richtigkeit. Zusätzliche bilaterale Vereinbarungen oder nationale Anerkennungsverfahren sind für die grenzüberschreitende Gültigkeit nicht nötig.

eIDAS 2.0 ist Teil der umfassenderen digitalpolitischen Agenda der EU und greift unmittelbar in mehrere andere Rechtsakte hinein. Sehr große Online-Plattformen im Sinne des Gesetzes über digitale Dienste (DSA) müssen die EUDIW zur Authentifizierung von Nutzern akzeptieren. Die Geldwäscheverordnung ist über die Annahmepflicht bei den Sorgfaltspflichten gegenüber Kunden mit eIDAS 2.0 verbunden. PSD2 und die kommende PSD3 knüpfen über die starke Kundenauthentifizierung an. Zusammen bilden diese Vorschriften einen zusammenhängenden Rahmen für den digitalen Wandel in Europa.

Die Europäische Kommission finanziert vier Large-Scale Pilots (LSPs), nämlich EWC, POTENTIAL, NOBID und DC4EU, um die EUDIW vor dem vollen Rollout in echten grenzüberschreitenden Szenarien zu testen. Diese Pilotprojekte prüfen die technischen Spezifikationen des Architecture Reference Framework, sammeln Rückmeldungen zur Nutzererfahrung, benennen rechtliche und organisatorische Hürden und binden vertrauende Beteiligte und Attributanbieter in die praktische Integration ein. Ihre Ergebnisse fließen direkt in die Verfeinerung der Durchführungsrechtsakte, der Zertifizierungsanforderungen und der endgültigen Wallet-Spezifikationen ein.

Ja. Jede Organisation, die Dienste für EU-Bürger anbietet oder deren Identitätsdaten verarbeitet, kann von eIDAS 2.0 betroffen sein. Organisationen aus Drittstaaten, die auf dem EU-Markt tätig sind, insbesondere sehr große Online-Plattformen, Finanzdienstleister und Unternehmen des Gesundheitswesens, müssen die EUDIW möglicherweise als gültiges Mittel der Identitätsprüfung akzeptieren. Die Verordnung sieht außerdem Abkommen über gegenseitige Anerkennung mit Drittstaaten vor, wodurch die Annahme der Wallet über die EU hinaus reichen kann. Organisationen weltweit sollten die Entwicklung von eIDAS 2.0 als Teil ihrer internationalen Compliance-Strategie verfolgen.

Die EUDIW ist eine mobile Anwendung, die jeder Mitgliedstaat seinen Bürgern und Einwohnern bereitstellen muss, für natürliche Personen kostenlos. Sie speichert Personenidentifizierungsdaten (PID) und elektronische Attributsbescheinigungen (EAAs) als kryptografisch signierte digitale Nachweise. Nutzer können diese Nachweise vertrauenden Beteiligten online und offline vorlegen, um ihre Identität oder einzelne Attribute nachzuweisen. Die Wallet nutzt standardisierte Protokolle (OpenID4VC) und Nachweisformate (SD-JWT und mdoc), damit sie über alle nationalen Umsetzungen hinweg grenzüberschreitend funktioniert.

eIDAS 2.0 begründet Annahmepflichten für mehrere Gruppen von Organisationen. Sehr große Online-Plattformen im Sinne des Gesetzes über digitale Dienste müssen die Wallet zur Authentifizierung von Nutzern akzeptieren. Finanzinstitute, die den Sorgfaltspflichten nach den Geldwäschevorschriften unterliegen, müssen sie zur Identitätsprüfung akzeptieren. Verwaltungen müssen sie für den Zugang zu digitalen Verwaltungsleistungen akzeptieren. Gesundheitsdienstleister müssen sie akzeptieren, wenn europäisches oder nationales Recht eine Identitätsprüfung von Patienten verlangt. Weitere Branchen können in Durchführungsrechtsakten benannt werden.

Die EUDIW kann Personenidentifizierungsdaten (PID), also die staatlich ausgestellte Kernidentität, sowie eine breite Palette elektronischer Attributsbescheinigungen (EAAs) speichern. Dazu gehören mobile Führerscheine, Bildungsabschlüsse und berufliche Qualifikationen, Gesundheitsnachweise wie Impfzertifikate, Handelsregisterdaten und Vertretungsbefugnisse, Altersnachweise, Reisedokumente und Bestätigungen der Kontoinhaberschaft. In der Wallet können qualifizierte (QEAA) und nicht qualifizierte Bescheinigungen liegen, wobei für qualifizierte Bescheinigungen stärkere Rechtsvermutungen gelten.

Die EUDIW enthält mehrere von eIDAS 2.0 vorgeschriebene Merkmale des Datenschutzes durch Technikgestaltung. Die selektive Offenlegung erlaubt es, nur die Attribute zu teilen, die ein vertrauender Beteiligter wirklich braucht, etwa den Nachweis, über 18 zu sein, ohne das Geburtsdatum zu offenbaren. Vertrauende Beteiligte müssen sich registrieren und angeben, welche Attribute sie zu welchem Zweck anfragen. Die Wallet zeigt dem Nutzer einen klaren Einwilligungsdialog, aus dem hervorgeht, welche Daten wer anfragt. Die Architektur enthält außerdem Maßnahmen gegen ein Zusammenwirken vertrauender Beteiligter und gegen dienstübergreifendes Tracking der Wallet-Nutzer.

Ja. eIDAS 2.0 verlangt, dass die EUDIW ihren Nutzern die Erstellung qualifizierter elektronischer Signaturen (QES) ermöglicht, die in allen Mitgliedstaaten einer handschriftlichen Unterschrift rechtlich gleichstehen. Das geschieht über die Anbindung an Fernsignaturdienste qualifizierter Vertrauensdiensteanbieter (QTSPs): Die Wallet liefert die Identitätssicherheit und die Freigabe des Nutzers, während die Cloud-Infrastruktur des QTSP die kryptografische Signatur erzeugt. Mindestens ein QES-Dienst muss den Wallet-Inhabern für nicht berufliche Zwecke kostenlos zur Verfügung stehen.

Ja. Die EUDIW ist für Prüfungen online (aus der Ferne) und offline (in der Nähe) ausgelegt. Im persönlichen Kontakt kann die Wallet Nachweise über NFC oder Bluetooth im Format mdoc (ISO 18013-5) vorlegen, das für Umgebungen mit eingeschränkter Verbindung gedacht ist. Damit sind Anwendungen möglich wie das Vorzeigen eines digitalen Führerscheins bei einer Verkehrskontrolle, die Altersprüfung an der Kasse oder die Identitätskontrolle an der Grenze, jeweils ohne Internetverbindung im Moment der Vorlage.

Die Interoperabilität sichert das Architecture Reference Framework (ARF), das gemeinsame Nachweisformate (SD-JWT und mdoc), standardisierte Vorlageprotokolle (OpenID4VC), gemeinsame Vertrauensmechanismen (Vertrauenslisten und Wallet-Attestierungen) und einheitliche Anforderungen an die Sicherheitszertifizierung vorschreibt. Alle nationalen Wallet-Umsetzungen müssen diesen Spezifikationen entsprechen und die Konformitätsbewertung durchlaufen. Die Large-Scale Pilots testen gezielt grenzüberschreitende Szenarien, und die Durchführungsrechtsakte werden die genauen technischen Anforderungen festschreiben, die jede Wallet erfüllen muss.

Zuerst sollten Unternehmen prüfen, ob sie in eine Kategorie mit Annahmepflicht fallen: sehr große Online-Plattformen, Finanzinstitute, Gesundheitsdienstleister oder Anbieter öffentlicher Dienste. Anschließend gilt es, die heutigen Abläufe zur Identitätsprüfung und zum Signieren von Dokumenten zu erfassen und die Stellen zu bestimmen, an denen die EUDIW relevant wird. Technische Teams sollten sich mit dem Architecture Reference Framework, den OpenID4VC-Protokollen und den Formaten SD-JWT und mdoc vertraut machen. Die Zusammenarbeit mit einem Large-Scale Pilot oder einem QTSP für frühe Integrationstests ist ausdrücklich zu empfehlen, weil sie die Vorbereitung deutlich beschleunigt.

eIDAS 2.0 überträgt die Durchsetzung den nationalen Aufsichtsorganen, die nach nationalem Recht Sanktionen verhängen können. Die Verordnung legt anders als die DSGVO keine harmonisierten Bußgeldrahmen fest, verpflichtet die Mitgliedstaaten aber zu wirksamen, angemessenen und abschreckenden Sanktionen. Organisationen, die die EUDIW trotz rechtlicher Pflicht nicht akzeptieren oder ihre Pflichten als Vertrauensdiensteanbieter nicht erfüllen, müssen mit Maßnahmen rechnen, die von Geldbußen über die Aussetzung des Dienstes bis zum Entzug des qualifizierten Status reichen. Auch das Reputationsrisiko ist einzubeziehen.

Die Kosten hängen von der bestehenden Infrastruktur und der Komplexität der Anwendungsfälle ab. Organisationen mit modernen Identitätssystemen auf Basis von OpenID Connect finden den Übergang zu OpenID4VC relativ leicht und brauchen eher Wochen als Monate Entwicklungszeit. Wesentliche Kostenblöcke sind: Anpassung der Authentifizierungsabläufe an Wallet-Vorlagen, Einbindung von Prüfbibliotheken für SD-JWT und mdoc, Umsetzung der Registrierung als vertrauender Beteiligter und Anpassung der Oberflächen für die Einwilligungsdialoge. Die Open-Source-Referenzimplementierungen der LSPs senken den Entwicklungsaufwand erheblich.

Ja. Nach eIDAS 2.0 müssen sich vertrauende Beteiligte, die auf Wallet-Daten zugreifen wollen, beim Aufsichtsorgan des Mitgliedstaats registrieren, in dem sie niedergelassen sind. Bei der Registrierung ist anzugeben, welche Attribute die Organisation zu welchem Zweck anfragen will. Diese Pflicht ist eine zentrale Datenschutzgarantie: Sie erlaubt der Aufsicht, Zugriffsmuster zu beobachten, und verhindert unbefugtes Datensammeln. Das genaue Verfahren und die Einzelheiten werden in den Durchführungsrechtsakten festgelegt, deren Entwicklung Organisationen verfolgen sollten, um rechtzeitig vorbereitet zu sein.

Die EUDIW ist darauf angelegt, heutige KYC- und Prüfprozesse deutlich zu verkürzen und in vielen Fällen zu ersetzen. Für Finanzinstitute liefert der direkte Empfang staatlich verifizierter Personenidentifizierungsdaten aus der Wallet ein höheres Sicherheitsniveau als viele bestehende dokument- oder videobasierte Verfahren. Allerdings müssen Organisationen ihre AML-Rahmenwerke an die Wallet-basierte Prüfung anpassen und weiterhin angemessene Aufzeichnungen führen. In der Übergangszeit werden die meisten Organisationen sowohl klassische als auch Wallet-basierte Prüfwege unterstützen müssen.

Organisationen, die Nachweise ausstellen, etwa Hochschulen, Berufskammern, Behörden und Zertifizierungsstellen, sollten prüfen, ob sie unter eIDAS 2.0 Attributanbieter werden. Stellen des öffentlichen Sektors sind ausdrücklich verpflichtet, Attribute aus ihren authentischen Quellen für elektronische Bescheinigungen verfügbar zu machen. Das heißt, die Fähigkeit aufzubauen, EAAs oder QEAAs in standardisierten Formaten (SD-JWT, mdoc) auszustellen, die zur EUDIW passen. Organisationen können Nachweise selbst ausstellen oder einen QTSP beauftragen, qualifizierte elektronische Attributsbescheinigungen in ihrem Namen auszustellen.

eIDAS 2.0 stellt strenge Anforderungen an die Datenminimierung. Organisationen dürfen nur die Attribute anfragen, die für den angebotenen Dienst unbedingt erforderlich sind, und müssen bei der Registrierung den Zweck jeder Attributsanfrage angeben. Die Wallet zeigt dem Nutzer klar, welche Attribute von wem angefragt werden, was eine informierte Einwilligung erst möglich macht. Wer zu viele Daten anfragt, muss mit Prüfungen durch die Aufsicht und mit Maßnahmen rechnen. Diese Pflichten ergänzen und verstärken die bestehenden Grundsätze der Datenminimierung aus der DSGVO.

Der ARF schreibt die Unterstützung zweier Nachweisformate vor: SD-JWT (Selective Disclosure JSON Web Token) und mdoc (ISO 18013-5). SD-JWT erweitert gewöhnliche JWTs über gesalzene Hashwerte um selektive Offenlegung und eignet sich damit für web- und API-getriebene Abläufe. mdoc nutzt die CBOR-Kodierung für eine kompakte binäre Darstellung und ist damit für Offline- und Nähe-Szenarien über NFC oder Bluetooth effizient. Beide Formate unterstützen selektive Offenlegung und sind Formatoptionen innerhalb der OpenID4VC-Protokollfamilie.

Die EUDIW nutzt die Protokollfamilie OpenID for Verifiable Credentials (OpenID4VC). OpenID4VCI (Verifiable Credential Issuance) legt fest, wie Wallets Nachweise von Ausstellern erhalten, OpenID4VP (Verifiable Presentations) legt fest, wie Wallets Nachweise gegenüber Prüfern vorlegen. SIOPv2 (Self-Issued OpenID Provider v2) erlaubt der Wallet, selbst als Identitätsanbieter aufzutreten. Diese Protokolle setzen auf dem weit verbreiteten OpenID-Connect-Rahmen auf, was die Einstiegshürde für Organisationen mit vorhandener OIDC-Infrastruktur senkt.

Die Wallet-Attestierung ist ein kryptografischer Mechanismus, mit dem vertrauende Beteiligte und Aussteller prüfen können, ob eine Wallet-Anwendung echt und zertifiziert ist und in einer sicheren Umgebung läuft. Der Wallet-Anbieter, in der Regel der Mitgliedstaat, stellt eine signierte Attestierung aus, die an die kryptografischen Schlüssel der Wallet und die Sicherheitsmerkmale des Geräts gebunden ist. Beim Prüfen einer Vorlage kontrolliert der vertrauende Beteiligte diese Attestierung, um sicherzugehen, dass die Wallet nicht manipuliert wurde. Das verhindert, dass geklonte oder veränderte Wallets gefälschte Nachweise vorlegen, und schafft einen Widerrufsweg, wenn Sicherheitslücken gefunden werden.

EUDIW-Umsetzungen müssen das hohe Sicherheitsniveau erreichen und eine Konformitätsbewertung und Zertifizierung nach Common Criteria oder einem gleichwertigen Schema durchlaufen. Zu den wesentlichen Anforderungen gehören: Speicherung kryptografischer Schlüssel in einem sicheren Element oder einer vertrauenswürdigen Ausführungsumgebung, Schutz gegen Gerätekompromittierung und Klonen der Wallet, gesicherte Kommunikationswege für den Austausch von Nachweisen, Maßnahmen gegen Tracking durch vertrauende Beteiligte und gegen die Verknüpfung von Transaktionen sowie belastbare Verfahren zur Authentifizierung beim Zugriff auf die Wallet. Die Wallet muss außerdem Sicherung und Wiederherstellung so umsetzen, dass die Integrität der Nachweise gewahrt bleibt.

Vertrauende Beteiligte sollten mehrstufig prüfen: erstens die Wallet-Attestierung, um die Echtheit der Anwendung zu bestätigen; zweitens die kryptografische Signatur der vorgelegten Nachweise gegen den öffentlichen Schlüssel des Ausstellers; drittens den qualifizierten Status des Ausstellers über die Vertrauenslisten; viertens, ob der Nachweis noch gültig und nicht widerrufen ist; fünftens über die Schlüsselbindung, dass der Nachweis der vorlegenden Wallet zugeordnet ist. Den Vorlageablauf übernimmt das Protokoll OpenID4VP, und Bibliotheken zur Prüfung von SD-JWT und mdoc gibt es in mehreren Programmiersprachen.

Ja, in erheblichem Umfang. Die Protokollfamilie OpenID4VC ist als Erweiterung von OpenID Connect angelegt, sodass Organisationen mit vorhandener OIDC-Infrastruktur einen Vorsprung haben. Bestehende Konfigurationen von Identitätsanbietern, Client-Bibliotheken und Sicherheitspraktiken bilden die Grundlage für Wallet-basierte Abläufe. Nötig sind allerdings Ergänzungen: Unterstützung für Anfrage und Antwort bei überprüfbaren Vorlagen (OpenID4VP), Auswertung und Prüfung der Nachweisformate (SD-JWT und mdoc), Anbindung der Vertrauenslisten zur Prüfung der Aussteller und Prüfung der Wallet-Attestierung. Viele OIDC-Bibliotheken werden derzeit um diese Fähigkeiten erweitert.