Grenzüberschreitende Akzeptanz der EUDI-Wallet: eine Integration für die gesamte EU

Zuletzt geprüft: 31. Oktober 2026 · Keine Rechtsberatung

Die grenzüberschreitende Akzeptanz der EUDI-Wallet wirkt wie ein Projekt mit 27 Ländern. Die Verordnung (EU) 2024/1183 und ihre Durchführungsrechtsakte legen aber Datenmodell, Formate und Vertrauenslisten für jeden Mitgliedstaat fest. Die eigentliche Arbeit liegt in Ihren eigenen Systemen: Die PID eines französischen Kunden sieht anders aus als die eines polnischen, ein wiederkehrender Kunde hat keine gemeinsame EU-Kennung, und manche Länder kommen spät.

Dieser Leitfaden setzt voraus, dass Sie wissen, was ein vertrauender Beteiligter tun muss und wie ein OpenID4VP-Verifier funktioniert. Zur Wahl der Anbindung lesen Sie unseren Leitfaden zu den Integrationswegen für die EUDI-Wallet. Die folgenden Regeln stammen aus dem Primärtext, einschließlich der Änderungen vom Juli 2026 und des Architecture and Reference Framework (ARF) 3.0.0.

Was die grenzüberschreitende Akzeptanz der EUDI-Wallet rechtlich bedeutet

Jeder Mitgliedstaat muss „mindestens eine Europäische Brieftasche für die Digitale Identität“ bereitstellen, entweder selbst, im Auftrag oder unabhängig, aber von diesem Staat anerkannt. Ein Land kann also mehrere haben.^[1] Ein vertrauender Beteiligter „hat sich in dem Mitgliedstaat, in dem er niedergelassen ist, zu registrieren“, und zwar einmal. Wallets müssen ihn authentifizieren können, „unabhängig davon, wo sie in der Union niedergelassen sind“.^[1][6] Und der vertrauende Beteiligte ist „für die Durchführung des Verfahrens zur Authentifizierung und Validierung“ der angeforderten Daten verantwortlich.^[1]

Für private Unternehmen nimmt Artikel 5f(2) Kleinst- und Kleinunternehmen aus und gilt „nur auf freiwilliges Ersuchen des Nutzers“.^[1] Unser Leitfaden zu den Fristen erklärt, wer erfasst ist.

1. 11. August 2026PID-Regeln aktualisiertDie Verordnung 2026/1731, veröffentlicht am 22. Juli, tritt in Kraft und ersetzt den PID-Anhang.
2. 24. Dezember 2026Wallets fälligAuch die Regeln zum Identitätsabgleich und zur Registrierung gelten.
3. Erstes Quartal 2027TestbasisIndikatives Ziel für den Release Candidate der Konformitätstests.
4. 24. Dezember 2027Akzeptanz im PrivatsektorFrist nach Artikel 5f(2) für betroffene Unternehmen.
5. 11. August 2028Gesichtsbild, ZertifikateGesichtsbild im Pflichtdatensatz. Wallets validieren Registrierungszertifikate.

Die Daten, die einen grenzüberschreitenden Rollout bestimmen. 24. Dezember 2026 und 2027 sind ab dem Inkrafttreten der Durchführungsrechtsakte am 24. Dezember 2024 berechnet.^{[1][2][5][15]}

Das Vertrauensmodell: LoTEs, nicht eine große Liste

Für eine PID ist „die EU-Vertrauensliste“ das falsche Denkmodell. ARF 3.0.0 hält fest: „Vertrauenslisten gibt es nur für QEAA-Anbieter“, also die qualifizierten Aussteller von Bescheinigungen. Deren nationale Listen erreicht man über die List of Trusted Lists (LOTL) der Kommission.^[8] Alles andere steht in Lists of Trusted Entities (LoTEs), die „von der Kommission signiert und veröffentlicht“ werden, nachdem die Mitgliedstaaten die Stellen gemeldet haben.^[8]

Welche Liste was leistet, gestützt auf ARF Abschnitt 3.5 und Verordnung 2024/2980 Artikel 5.^[4][8] Vertrauende Beteiligte selbst stehen auf keiner Liste.^[8]

Wenn eine Wallet antwortet, durchläuft Ihr Prüfsystem eine einzige Kette, für eine PID aus jedem Mitgliedstaat dieselbe:

Eine Prüfkette für jedes ausstellende Land, verdichtet aus den ARF-Abschnitten 6.6.3.6 bis 6.6.3.9.^[9]

Die ARF bezeichnet Widerrufsprüfungen und Prüfungen der Gerätebindung allgemein als "empfohlen, aber nicht verpflichtend", doch das Vertrauen in die Nutzerauthentifizierung der Wallet "impliziert, dass vertrauende Beteiligte die Gerätebindung prüfen müssen".^[9] Für das Onboarding empfehlen wir, beides als verpflichtend zu behandeln. Was die Gerätebindung nicht beweist, ist eine eigene Frage.

Die Wallet selbst können Sie nicht prüfen: Sie verlassen sich auf den PID-Anbieter, der die PID widerruft, wenn die Wallet-Einheit widerrufen wird. Die Statusprüfung der PID deckt also die Wallet ab.^[9] Einträge werden nie aus einer Liste gelöscht, sondern nur auf Invalid gesetzt. Lesen Sie daher den Status.^[8]

Einmal registrieren und nur abfragen, was registriert ist

Sie registrieren sich nur im Heimatstaat, und jede Wallet kann Sie authentifizieren. Die Wallet gleicht Ihre Anfrage mit Ihrem Registrierungszertifikat ab.^[1][6][9]

Einmal im Heimatland registrieren, überall vorlegen. Vereinfacht nach ARF Abschnitt 6.6.3 und Verordnung 2025/848.^[6][9]

Die grenzüberschreitende Falle ist das Ergebnis. Wenn Sie mehr anfragen, als Sie registriert haben, muss die Wallet "den Wallet-Nutzer vor jeder Offenlegung deutlich warnen". Jeder Wallet-Anbieter entscheidet aber auf Grundlage seiner eigenen Risikoanalyse, ob der Nutzer fortfahren darf, ob nur die registrierte Teilmenge geteilt wird oder ob die Anfrage abgelehnt wird.^[2] Eine einzige zu weit gehende Anfrage kann daher in drei Ländern drei verschiedene Ergebnisse liefern.^[2] Wallets müssen Registrierungszertifikate erst ab dem 11. August 2028 validieren. Testen Sie dieses Verhalten daher für jede Wallet, statt sich auf ein einzelnes Ergebnis zu verlassen.^[2]

Registrieren Sie jedes Attribut, das Sie in irgendeinem Land benötigen könnten, und fragen Sie dann pro Ablauf nur das an, was dieser Ablauf benötigt. Mitgliedstaaten "können" Registrierungszertifikate "verlangen", prüfen Sie also die Vorgaben Ihrer Registrierungsstelle.^[6] Unser Leitfaden zu Richtlinien und Kontrollen macht daraus eine Kontrolle mit klarer Verantwortlichkeit.

PID-Attribute: gleiches Schema, unterschiedliche Inhalte

Der PID-Anhang der Verordnung 2024/2977 wurde im Juli 2026 durch die Verordnung 2026/1731 ersetzt. Ältere Tabellen sind daher veraltet.^[2] Auch die Attributnamen unterscheiden sich zwischen den beiden Formaten.

Die PID für natürliche Personen in der seit der Ersetzung im Juli 2026 geltenden Fassung.^[2] Metadaten: issuing_authority und issuing_country sind verpflichtend; expiry_date, issuance_date, document_number und issuing_jurisdiction sind optional.^[2]

Testen Sie jeden dieser Punkte:

• Unbekannt und staatenlos. Eine unbekannte Staatsangehörigkeit ist der Wert QU, keine Staatsangehörigkeit ist QS.^[2] Ein strikter ISO-Ländercode-Parser lehnt beide ab.
• Geburtsort. Er „muss mindestens eines“ der Elemente Land, Region oder Ort enthalten.^[2] Sie erhalten unter Umständen einen Ort ohne Land.
• Mehrere Staatsangehörigkeiten. Der Anbieter „kann“ alle angeben. Das Rulebook erlaubt außerdem eine zweite in einem nationalen Attribut.^[2][11]
• Straße. resident_street enthält jetzt die Hausnummer. Das separate Attribut für die Hausnummer entfällt.^[2][3]
• Nationale Zusatzattribute. Mitgliedstaaten können Attribute in einem Namespace wie eu.europa.ec.eudi.pid.[country] oder einem nationalen Typ ergänzen, veröffentlicht nach Verordnung 2025/1569.^[2]

Für Verpflichtete nach der Anti-Geldwäsche-Verordnung (AMLR) reicht an dieser Stelle eine einzelne Wallet nicht mehr aus. Der finale Standardentwurf der EU-Behörde zur Bekämpfung der Geldwäsche (AMLA) vom 30. September 2026, weiterhin ein Entwurf, sieht vor: Enthält ein Mittel nicht alle Attribute, „ergreift“ der Verpflichtete „Maßnahmen, um die fehlenden Attribute auf anderem Wege zu beschaffen und zu überprüfen“.^[14]

Grundlage ist Anhang I des AMLA-Standardentwurfs.^[13][14] Dieser Entwurf führt noch resident_house_number auf, das der PID-Anhang vom Juli 2026 gestrichen hat. Rechnen Sie also mit Änderungen an der Zuordnung.^[2][14] Die vollständige Einordnung finden Sie in unserem AMLR-Leitfaden.

Normalisierung von Namen, Anschriften und Orten

PID-Text ist UTF-8 mit dem vollen Unicode-Umfang, und ein mdoc-Textfeld ist auf 150 Zeichen begrenzt.^[2] Kein PID-Attribut enthält eine lateinische Transliteration: Weder der Anhang noch Rulebook 1.7 definieren eine.^[2][11] Ein Kunde kann also in griechischer oder kyrillischer Schrift ankommen, während Ihr Sanktionsscreening und Ihre bestehenden Datensätze lateinische Zeichen verwenden. Der AMLA-Entwurf verlangt, Namen „in ihrem ursprünglichen Alphabet und/oder in das lateinische Alphabet transliteriert“ zu überprüfen.^[14]

Der nächstliegende rechtliche Standard, geschrieben für öffentliche Stellen, sieht vor, dass das Ergebnis des Abgleichs „soweit möglich nicht durch Unterschiede bei Transliteration, Leerzeichen, Bindestrichen, Zusammenschreibung und ähnliche orthografische Abweichungen beeinflusst werden darf“.^[5] Unser empfohlenes Design, technische Empfehlung und keine Rechtsvorgabe:

• Original behalten. Speichern Sie den signierten Wert als Nachweis und leiten Sie einen separaten Abgleichsschlüssel ab.
• An einer Stelle normalisieren. Wenden Sie die Unicode-Normalisierung (NFC) an, vereinheitlichen Sie die Groß- und Kleinschreibung, fassen Sie Leerzeichen zusammen und behandeln Sie Bindestriche und Apostrophe als Trennzeichen.
• In Stufen vergleichen. Prüfen Sie zuerst exakt, dann ohne diakritische Zeichen, dann unabhängig von der Reihenfolge der Namensbestandteile, und protokollieren Sie, welche Stufe übereinstimmte.
• Schriftwechsel als Nachweis behandeln. Verwenden Sie die lateinische Form auf dem eigenen Dokument des Kunden, nicht eine einzige Transliterationstabelle.

Die Sprache müssen Sie selbst handhaben. Kein PID-Attribut enthält eine Sprache oder ein Gebietsschema, also übernehmen Sie diese aus Ihrem eigenen Ablauf.^[2][11] Die Wallet zeigt ihre eigenen Bildschirme an, während Ihre Anfrage, der Text zur beabsichtigten Verwendung und Ihre Fehlermeldungen übersetzt werden müssen. Für das Lichtbild verlangen die Vorschriften die Angabe der beabsichtigten Verwendung „in klarer und verständlicher Sprache“.^[2]

Adressen erfordern dieselbe Sorgfalt. resident_address ist Freitext, die Bestandteile sind dagegen separate Attribute, und jedes davon kann fehlen.^[2] Der Entwurf der AMLA verlangt Angaben zu Land, Ort und Straße, und seine Erwägungsgründe verlangen Attribute in „strukturierten Datenfeldern“.^[14] Akzeptieren Sie beide Formen.

Identitätsabgleich und wiederkehrende Kunden

Es gibt keine EU-weite Kundennummer. personal_administrative_number ist optional und nur „unter allen vom Anbieter ausgestellten persönlichen Verwaltungsnummern“ eindeutig.^[2] Liegen mehrere PIDs im angefragten Format vor, fragt die Wallet den Nutzer, sofern der Kontext nicht entscheidet. Technische PIDs gelten typischerweise Tage oder Wochen.^[10][11] Verknüpfen Sie ein Konto daher nie mit einer PID-Signatur, einem öffentlichen Schlüssel oder einer document_number.

Die Verordnung (EU) 2025/846 legt Verfahren für den grenzüberschreitenden Identitätsabgleich fest, die ab dem 24. Dezember 2026 gelten. Sie bindet „öffentliche Stellen oder [...] im Auftrag einer öffentlichen Stelle handelnde Stellen“.^[5] Die Mitgliedstaaten entscheiden, ob private vertrauende Beteiligte diese Systeme nutzen können. Lassen sie diese Nutzung zu, gelten die Verfahren „gegebenenfalls“.^[5]

Artikel 2(7)Verordnung (EU) 2025/846

„Ist die Übereinstimmung nicht exakt oder bezieht sie sich auf mehr als eine natürliche Person oder kann die Partei, die den Identitätsabgleich durchführt, nicht garantieren, dass die Übereinstimmung eindeutig ist, so gilt der Identitätsabgleich als erfolglos.“

Quelle: EUR-Lex, Durchführungsverordnung (EU) 2025/846^[5]

Der Ablauf nach Verordnung 2025/846, vereinfacht. Öffentliche Stellen müssen ihn einhalten. Für private Unternehmen ist er eine Vorlage, sofern nationale Vorschriften ihn nicht auf sie erstrecken.^[5]

Die Protokolle werden „für einen Zeitraum von mindestens 6 Monaten und höchstens 12 Monaten für Sicherheitszwecke“ aufbewahrt, für andere Zwecke nur dann länger, wenn Unionsrecht oder nationales Recht dies vorschreibt.^[5] Bewahren Sie sie getrennt von den Aufzeichnungen zur Geldwäschebekämpfung auf. Speichern Sie nach einem ersten Abgleich Ihre eigene Zuordnung zwischen Person und Konto. Das ist eine der aufgeführten Optionen zur Wiederverwendung. So müssen Sie die Arbeit bei einer neu ausgestellten PID nicht wiederholen.^[5]

Formate, Protokolle und Wallet-Versionen

Ein PID-Anbieter „MUSS jede PID in beiden“ Formaten ausstellen. Ein Verifier, der nur PID verarbeitet, könnte also eines davon anfordern. Decken Sie trotzdem beide ab, sofern Ihre Tests nichts anderes belegen.^[10] Unser Vergleich SD-JWT VC vs. mdoc erläutert die Unterschiede. Für die Vorlage gibt es zwei Profile, jeweils mit zwei Wegen, die Wallet zu erreichen.^[2]

Verordnung 2024/2982, Anhang II, im Juli 2026 hinzugefügt.^[2][7]

Die Vorschriften nennen datierte Spezifikationen, die durch Änderungsrechtsakte verschoben werden können, und der ISO-Serverabruf ist für alle verboten.^[2][7] Auch das Betriebssystem ist eine Variable: Eine Wallet muss eine vermittelnde API unterstützen, die Verordnung hält aber fest, dass ein Gerät oder Browser möglicherweise nicht beide Protokolle unterstützt. Diesen Fall behandelt sie als Nichtkonformität außerhalb der Kontrolle der Wallet.^[2]

Prüfen Sie den Zertifizierungsstatus getrennt von der Protokollkonformität. Die Mitgliedstaaten melden zertifizierte Wallets für eine Liste der Kommission nach Artikel 5d.^[1] Der funktionale Konformitätsrahmen der Kommission befindet sich noch in der 0.x-Reihe: Sein als indikativ gekennzeichneter Fahrplan zielt auf „einen Release Candidate im ersten Quartal 2027“, mit Version 1.0.0 als „der ersten Baseline mit vollem Umfang, die sich für die Zertifizierung eignet“.^[15]

Testen Sie, bevor die nationalen Wallets kommen

Die Referenzimplementierung der Kommission umfasst eine Beispiel-Wallet, einen Test-Prüfer und einen Test-Aussteller, mit offenen Repositorys für den Prüfer-Endpunkt und die Vertrauensvalidierung.^[19] Ein bestandener Test zeigt die Protokolltauglichkeit, nicht das Verhalten nationaler Wallets.

Der Testbereich von Launchpad 2026 hat sich auf die „Validierung, wie Lösungen unter realen Bedingungen zusammenwirken, vor dem Start“ verlagert, mit Testzugang zu LoTEs auf dem eIDAS Dashboard.^[16] Vertrauende Beteiligte nehmen über Large Scale Pilots oder auf nationale Einladung teil, und auch Lösungsanbieter wirken mit.^[16] Sechs Pilotprojekte sind gelaufen, darunter POTENTIAL zur grenzüberschreitenden Authentifizierung.^[18] APTITUDE und WE BUILD bleiben aktiv, Letzteres mit Anwendungsfällen für Unternehmen und Zahlungen.^[17]

Was tun, wenn ein Land in Verzug ist

Unser EUDI-Wallet-Tracker zeigt den Status nach Land, und für Deutschland und Italien gibt es eigene Leitfäden. Machen Sie jedes Land zu einer Konfiguration mit einem von drei Status, gesteuert durch die Listen, nicht durch die Presse.

Ein Ländermodell mit Status für die Einführung. Das ist unser Vorschlag. Das Gesetz definiert diese Status nicht.

Die anderen Wege brauchen Sie ohnehin. Die Nutzung der Wallet „erfolgt freiwillig“, der Zugang darf für Personen ohne Wallet nicht „eingeschränkt oder benachteiligt“ werden, und die Nutzung anderer Mittel „muss weiterhin möglich sein“.^[1] Nach der AMLR stehen Ausweisdokumente und elektronische Identifizierung mit Sicherheitsniveau „substanziell“ oder „hoch“ gleichrangig als Verifizierungswege nebeneinander.^[13] Ihr Integrationsweg sollte ein spät startendes Land zu einer Einstellung machen.

Ihre Checkliste für grenzüberschreitende Fälle in diesem Monat

• Erfassen Sie, welche Unternehmen und Länder unter Artikel 5f(2) fallen.^[1]
• Klären Sie die Registrierungsstelle und die Registrierungspolitik Ihres Herkunftsmitgliedstaats.^[6]
• Listen Sie jedes Attribut auf, das Sie in irgendeinem Land benötigen könnten.
• Erstellen Sie ein internes Schema, das die Namen in mdoc und SD-JWT VC zuordnet.^[2]
• Ersetzen Sie alte PID-Tabellen durch den Anhang vom Juli 2026.^[2]
• Fügen Sie Testfälle für QU, QS und einen unvollständigen Geburtsort hinzu.^[2]
• Bauen Sie einen Listen-Loader für ETSI TS 119 602 und ETSI TS 119 612.^[8]
• Formulieren Sie Fehlermeldungen zum Abgleich in jeder Sprache Ihrer Kunden.^[5]
• Legen Sie die Aufbewahrungsfrist für Abgleich-Logs fest und vergleichen Sie sie mit der Aufbewahrung nach Geldwäscherecht.^[5]
• Fragen Sie Ihre nationale Koordinierungsstelle nach dem Zugang zu Pilotprojekten, zum Launchpad oder zu Programmen der Kommission.^[16][20]

Wie Didit bei der grenzüberschreitenden Akzeptanz hilft

Die Akzeptanz der EUDI-Wallet kommt bald zu Didit. Den Stand verfolgen Sie auf unserer EUDI-Wallet-Seite. Schon heute können Sie die Wege aufbauen, die sie umgeben. Nationale eIDs (MitID, BankID Sweden, Finnish Trust Network, Smart-ID, Mobile-ID) funktionieren über die Wallet-Anmeldung, mit normalisierten Ergebnissen, weil „die Attributnamen der Wallets variieren“.^[21] Sie wählen je Land die akzeptierten Wallets und ob ein Fehlschlag auf ein Dokument zurückfällt oder zur Ablehnung führt.^[21] Der Dokumentenweg deckt mehr als 14.000 Dokumenttypen ab.^[22] Für die oben genannten Lücken bei Name und Adresse liest er das Dokument des Kunden aus, und das AML-Screening läuft gegen mehr als 1.300 Sanktions-, PEP- und Watchlist-Quellen.^[23]

Häufig gestellte Fragen

Quellen

1. Verordnung (EU) Nr. 910/2014 in der durch die Verordnung (EU) 2024/1183 geänderten Fassung, konsolidierte Fassung, EUR-Lex.
2. Durchführungsverordnung (EU) 2026/1731 der Kommission, zur Änderung der Verordnungen 2024/2977, 2024/2979, 2024/2980 und 2024/2982, EUR-Lex, 15. Juli 2026.
3. Durchführungsverordnung (EU) 2024/2977 der Kommission, Personenidentifizierungsdaten, EUR-Lex, ursprüngliche Fassung.
4. Durchführungsverordnung (EU) 2024/2980 der Kommission, Notifizierungen, EUR-Lex.
5. Durchführungsverordnung (EU) 2025/846 der Kommission, grenzüberschreitender Identitätsabgleich, EUR-Lex.
6. Durchführungsverordnung (EU) 2025/848 der Kommission, Registrierung von auf Wallets vertrauenden Beteiligten, EUR-Lex.
7. Durchführungsverordnung (EU) 2024/2982 der Kommission, Protokolle und Schnittstellen, EUR-Lex.
8. Architecture and Reference Framework 3.0.0, Kapitel 3, Rollen, Europäische Kommission.
9. Architecture and Reference Framework 3.0.0, Kapitel 6, Trust model, Europäische Kommission.
10. ARF Annex 2, High-level requirements by topic, Europäische Kommission.
11. PID Rulebook, Version 1.7, Europäische Kommission, 17. Juli 2026.
12. Konsolidierte Liste der PID-Anbieter, eIDAS Dashboard, Europäische Kommission, abgerufen am 31. Oktober 2026.
13. Verordnung (EU) 2024/1624 (AMLR), EUR-Lex.
14. Abschlussbericht, Entwurf technischer Regulierungsstandards nach Artikel 28(1) AMLR, AMLA, 30. September 2026.
15. Functional conformance roadmap, EUDI Wallet functional conformance framework, abgerufen am 31. Oktober 2026.
16. Launchpad Testing 2026, Europäische Kommission, aktualisiert am 23. Oktober 2026.
17. What are the Large Scale Pilots, Europäische Kommission, aktualisiert am 22. Juli 2026.
18. PID Identification Manual, Europäische Kommission, aktualisiert am 11. Februar 2026.
19. Dokumentation der Referenzimplementierung der EUDI-Wallet, Europäische Kommission.
20. Relying Party Engagement Programme, Europäische Kommission, aktualisiert am 18. September 2026.
21. API und Abdeckung für die Verifizierung mit digitalen ID-Wallets, Didit-Dokumentation.
22. Überblick über die ID-Verifizierung, Didit-Dokumentation.
23. Überblick über das AML-Screening, Didit-Dokumentation.
24. Datenaufbewahrung, Didit-Dokumentation.

Verfolgen Sie die Einführung auf unserer Seite zur EUDI-Wallet, sehen Sie die heute nutzbaren Wege auf unserer Seite zur eID-Verifizierung und vergleichen Sie die Optionen auf der Preisseite.