SPID-Integration: So akzeptieren Unternehmen das italienische SPID-Login

Zuletzt geprüft: 5. Oktober 2026 · Keine Rechtsberatung

Wenn Sie nach einer SPID-API gesucht haben, lautet die kurze Antwort: SPID ist kein einzelner Endpunkt. Es ist eine Föderation unter der Leitung von AgID (Agenzia per l'Italia Digitale). Darin führt ein Dutzend privater Identitätsanbieter (IdPs) die Nutzerkonten, und jeder Diensteanbieter schließt sich nach denselben Regeln an.^[1][2] Öffentliche Verwaltungen müssen SPID akzeptieren, private Unternehmen können beitreten.^[4]

Dieser Leitfaden richtet sich an Unternehmen, die SPID als vertrauende Beteiligte (RP) akzeptieren wollen: Nutzerablauf, Daten, Rechtslage, Anbindungswege, Preise und Ausweichlösungen.

Was SPID ist

SPID ist ein Login, keine Karte. Eine Person eröffnet eine Identität bei einem akkreditierten Anbieter und meldet sich damit überall in der Föderation an.^[1] Der Anbieter verlangt ein gültiges Ausweisdokument sowie die Gesundheitskarte oder die Steuernummernkarte.^[1]

Verbreitung: Wie viele Menschen SPID nutzen

Die Zahl der Logins stieg von 143,872,687 im Jahr 2020 auf 1,220,153,029 im Jahr 2025.^[1] Bei neuen Identitäten hat sich das Wachstum verlangsamt, von etwa 262,000 pro Woche Ende 2020 auf etwa 46,000 pro Woche im März 2026.^[1]

Die Seite von AgID nennt mit Stand 5. Oktober 2026 weder eine Gesamtzahl der Identitäten noch einen Anteil an der erwachsenen Bevölkerung. Laut SmartWorld, das sich auf Daten von AgID beruft, besitzen über 41 Millionen Bürgerinnen und Bürger SPID.

Was der Nutzer sieht

Die Bildschirme unterscheiden sich je nach Identitätsanbieter. Die Leiste zeigt den üblichen Ablauf, nicht das Design eines bestimmten Anbieters.

Für SPID insgesamt ist keine geräteübergreifende Variante dokumentiert. Das hängt vom jeweiligen Anbieter ab.

Was ein SPID-Diensteanbieter erhält

Die Attributtabelle der AgID (Version 1.3, 24. Juni 2022) teilt die Daten in einen Identitätssatz und zusätzliche Attribute auf.^[5] Diese Aufteilung wirkt sich auf den Preis aus: Wer nur Identitätsattribute anfragt, nutzt die „Authentifizierung“. Wer ein zusätzliches Attribut anfragt, nutzt die „Registrierung“, und die kostet mehr.^[6]

SPID-Attribute nach Gruppe.^[5][6]

Die nationale Kennung ist die italienische Steuernummer, die als fiscalNumber zurückgegeben wird. Der spidCode identifiziert die SPID-Identität selbst. Mit Version 1.3 wurden außerdem die OpenID-Connect-Scopes „profile“ und „email“ eingeführt.^[5] Da kein Lichtbild übermittelt wird, erfordert ein Gesichtsabgleich einen separaten Schritt mit Dokument und Selfie.

Vertrauensniveau und rechtlicher Status

Auf der Liste der notifizierten Systeme der Europäischen Kommission entsprechen die SPID-Stufen 1, 2 und 3 den Vertrauensniveaus niedrig, substanziell und hoch nach eIDAS (Verordnung über elektronische Identifizierung, Authentifizierung und Vertrauensdienste). Italien hat SPID am 10. September 2018 notifiziert (Amtsblatt 2018/C 318/02, seitdem dreimal geändert).^[2]

Im nationalen Recht ist SPID das öffentliche System zur Verwaltung digitaler Identitäten nach Artikel 64 des Kodex der digitalen Verwaltung (CAD, Gesetzesvertretendes Dekret 82/2005).^[8]

SPID und die geldwäscherechtlichen Sorgfaltspflichten gegenüber Kunden in Italien

Artikel 19(1)(a)(2) des Gesetzesvertretenden Dekrets 231/2007 behandelt einen Kunden, der eine digitale Identität mindestens auf dem Niveau „significativo“ (substanziell) im System nach Artikel 64 des CAD besitzt, als identifiziert, auch ohne physische Anwesenheit.^[8]

Artikel 19(1)(a)(2)Gesetzesvertretendes Dekret 231/2007

"L'obbligo di identificazione si considera assolto, anche senza la presenza fisica del cliente, nei seguenti casi: [...] 2) per i clienti in possesso di un'identità digitale, con livello di garanzia almeno significativo, nell'ambito del Sistema di cui all'articolo 64 del predetto decreto legislativo n. 82 del 2005 [...]"

Quelle: Normattiva, Gesetzesvertretendes Dekret 231/2007, Artikel 19^[8]

Dieselbe Vorschrift erfasst substanzielle Identitäten aus EU-notifizierten Systemen und qualifizierte Signaturzertifikate.^[8] SPID-Stufe 1 reicht nicht aus. Fordern Sie daher Stufe 2 oder 3 an.

Die AMLR ab dem 10. Juli 2027

Die EU-Geldwäscheverordnung (AMLR, Verordnung (EU) 2024/1624) gilt ab dem 10. Juli 2027.^[9] Artikel 22(6)(b) erlaubt die Überprüfung über „elektronische Identifizierungsmittel, die die Anforderungen der Verordnung (EU) Nr. 910/2014 in Bezug auf die Vertrauensniveaus ‚substanziell‘ oder ‚hoch‘ erfüllen“.^[9] Das ist unsere Auslegung, nicht die einer Aufsichtsbehörde: SPID auf Stufe 2 oder 3 passt. In ihrem Abschlussbericht vom 30. September 2026 zu Entwürfen technischer Standards, die noch kein geltendes Recht sind, stellt die AMLA (Anti-Money Laundering Authority) fest, dass beide Mittel nach Artikel 22(6), Dokument und eID, „weiterhin die Standardoption sind und alternative Überprüfungsmethoden nur dann zu verwenden sind, wenn keines der beiden von der AMLR geforderten Mittel verwendet werden kann“.^[10]

1. 10. September 2018NotifiziertSPID wird mit drei Stufen in die EU-Liste aufgenommen.
2. 10. September 2019EU-weitNutzbar bei jeder öffentlichen Verwaltung in der EU.
3. 12. November 2025AltersregelnDie AGCOM-Altersprüfungen beginnen für italienische Websites und Websites aus Nicht-EU-Staaten. Andere Mitgliedstaaten folgen am 1. Februar 2026.
4. 16. bis 18. Januar 2026RegisterDas SPID-Register zieht in die Cloud um.
5. 10. Juli 2027AMLREU-weiter eID-Weg für die Sorgfaltspflichten gegenüber Kunden.

SPID-Meilensteine, die für Unternehmen relevant sind.^{[1][2][9][12]}

So bindet sich ein Unternehmen an: die Wege zur SPID-API

Ein privates Unternehmen wird in vier Schritten SPID-Diensteanbieter: Es setzt die technischen Regeln der AgID (SAML2) um, sendet seine Metadaten zur Prüfung und zum Test an die AgID, implementiert den eIDAS-Knoten, wenn Stufe 2 oder 3 genutzt werden, und lässt seinen gesetzlichen Vertreter die SPID-Vereinbarung mit der AgID unterzeichnen. Die AgID informiert anschließend die Identitätsanbieter.^[4] Die SPID-Seite der AgID führt außerdem den AgID-Beschluss 71/2025 zu den Regeln der „SPID OpenID Connect Federation“ auf.^[1]

Jede Rolle in der Föderation außer dem Nutzer unterzeichnet eine Vereinbarung mit der AgID, auch Aggregatoren, die Diensteanbieter anbinden.^[3] Es gibt auch zertifizierte Broker, die mehrere eIDs über eine einzige Integration anbieten.

Drei Wege zur Anbindung an SPID.^[3][4]

Was SPID ein Unternehmen kostet

Anhang 4 der AgID (DT 166/2019) folgt einem „Pay per User“-Modell: Jeder eindeutige Nutzer wird einmal pro Jahr abgerechnet, je Identitätsanbieter und je Diensteanbieter.^[6] Die ersten 1,000 eindeutigen Nutzer im Authentifizierungsmodus sind für jedes Paar aus Diensteanbieter und Identitätsanbieter kostenlos.^[6]

Öffentliche Preise der AgID für private Diensteanbieter, ohne MwSt.^[6]

Die AgID veröffentlicht mit Stand 5. Oktober 2026 weder Preise für Aggregatoren oder Broker noch eine Vorlaufzeit für das Onboarding.

Anwendungsfälle und Branchenregeln

Altersprüfung. Das Gesetzesdekret 123/2023 (Artikel 13-bis) verpflichtet Pornoseiten, die sich an Italien richten, zu prüfen, ob Nutzer volljährig sind. Der AGCOM-Beschluss 96/25/CONS legt die Methode fest.^[11] Die Pflichten gelten ab dem 12. November 2025 für Seiten in Italien oder außerhalb der EU und ab dem 1. Februar 2026 für Seiten in anderen Mitgliedstaaten.^[12] Der Beschluss verlangt „doppelte Anonymität“: Der Anbieter des Altersnachweises darf nicht erfahren, welche Seite besucht wird.^[11] Laut Anhang A der AGCOM ist SPID nicht vollständig konform, weil die an den Identitätsanbieter gesendete Anfrage „contiene il nome a dominio del sito visitato“ (den Domainnamen der besuchten Seite enthält).^[11] Die AGCOM-Liste der erfassten Dienste umfasste am 29. September 2026 79 Einträge.^[13] In anderen Fällen weist das signierte Geburtsdatum aus SPID das Alter ohne Dokumentfoto nach. Siehe was eID-Verifizierung ist.

Grenzen und Fallbacks

• Minderjährige. Alle Volljährigen können SPID aktivieren. Ein Elternteil mit SPID der Stufe 2 kann nach dem AgID-Beschluss 133/2022 eine SPID-Identität für ein minderjähriges Kind beantragen.^[7]
• Ausländer und Gebietsfremde. Der Anbieter verlangt ein italienisches Ausweisdokument (Personalausweis, Reisepass oder Führerschein), die Gesundheitskarte oder die Steuernummernkarte, eine E-Mail-Adresse und eine persönliche Mobilnummer.^[7]
• Anbietergebühren für Nutzer. Laut CorCom haben einige Identitätsanbieter 2025 begonnen, von den Nutzern eine Jahresgebühr zu erheben.
• Laufzeit der Vereinbarungen. Laut SmartWorld wurden die Vereinbarungen mit den Identitätsanbietern im Oktober 2025 für 24 Monate erneuert, verlängerbar um bis zu 36 Monate.
• Sicherheit. Der AgID-Beschluss 241/2025 hat die Prüfung der Steuernummer bei der Ausstellung verschärft.^[1]

CIE ist auf den Niveaus niedrig, substanziell und hoch notifiziert, und ein privates Unternehmen, das bereits zu SPID zugelassen ist, kann sich für die Zuverlässigkeitsanforderungen der CIE-Föderation auf diese Zulassung stützen.^[2][14] Siehe Integration von CIE ID. Die IT-Wallet, die mit CieID oder SPID eröffnet wird, erreichte bis zum 17. Februar 2026 10.1 Millionen Aktivierungen; siehe die Seite zur EUDI-Wallet (EU Digital Identity Wallet) und IT-Wallet für Unternehmen.^[15]

Für alle anderen liest das Dokumentenverfahren den Chip des Reisepasses oder Personalausweises per NFC (Near Field Communication) aus, prüft die Lebenderkennung und gleicht das Gesicht ab. Die Entwürfe der AMLA-Standards sehen weiterhin alternative Lösungen für Kunden vor, die mit keinem der beiden Mittel nach Artikel 22(6) verifiziert werden können, und das Unternehmen muss begründen, warum.^[10] Wie die NFC-Chip-Verifizierung funktioniert erklärt die Chipprüfung.

Zuerst eID, Dokumentenverfahren als Fallback.

Checkliste für die SPID-API-Integration

• Weg festlegen: direkte Vereinbarung, Aggregator oder Multi-eID-Broker.^[3]
• Mindeststufe festlegen: Stufe 2 für das AML-Onboarding.^[8]
• Benötigte Attribute auflisten und, wo möglich, im Authentifizierungsmodus bleiben.^[6]
• Budget pro eindeutigem Nutzer, pro Identitätsanbieter und pro Jahr einplanen.^[6]
• Metadaten zur Prüfung und zum Testen bei der AgID einreichen.^[4]
• CIE für Nutzer ergänzen, die den Ausweis, aber keine SPID haben.^[14]
• Einen Dokumenten-Fallback für Nutzer ohne SPID aufbauen.
• SPID nicht für Altersschranken bei Inhalten für Erwachsene einsetzen, es sei denn, die Regel der doppelten Anonymität ist erfüllt.^[11]

Wie Didit bei der eID-Verifizierung in Italien hilft

Didit bindet SPID auf Anfrage an. In Italien verifiziert Didit Nutzer heute über den Dokumentenweg: NFC-Chip-Auslesung, Liveness-Erkennung und Gesichtsabgleich, dazu AML-Screening gegen Sanktionslisten, PEP-Listen und Watchlists, in einem Workflow. Eine vollständige KYC-Prüfung kostet $0.33, die NFC-Verifizierung $0.15 und das AML-Screening $0.20. Die Dokumentation zu digitalen ID-Wallets zeigt, wie nationale eIDs neben dem Dokumentenweg eingebunden werden.

Häufig gestellte Fragen

Quellen

1. SPID, AgID, aktualisiert am 13. April 2026.
2. Übersicht der vorab notifizierten und notifizierten eID-Systeme nach eIDAS, Europäische Kommission, aktualisiert am 2. Februar 2026.
3. SPID, Convenzioni, AgID.
4. Diventa fornitore di servizi, spid.gov.it.
5. Tabella attributi SPID, Version 1.3, AgID, 24. Juni 2022.
6. Allegato 4, Corrispettivi (DT 166/2019), AgID.
7. Identità digitale, FAQ, AgID.
8. Gesetzesvertretendes Dekret 231/2007, Artikel 19, Normattiva.
9. Verordnung (EU) 2024/1624 (AMLR), Artikel 22 und 90, EUR-Lex.
10. Abschlussbericht, Entwurf der RTS nach Artikel 28(1) AMLR, AMLA, 30. September 2026.
11. Delibera 96/25/CONS und Anhang A, AGCOM, 8. April 2025.
12. Tutela minori, age verification, AGCOM.
13. Comunicazione 30 ottobre 2025, Listenversion 5, AGCOM, 29. September 2026.
14. Federazione CIE, Manuale operativo, Innenministerium.
15. IT-Wallet supera quota 10 milioni di attivazioni, Abteilung für digitale Transformation, 17. Februar 2026.

Vergleichen Sie SPID mit allen anderen nationalen eIDs auf der Seite zur eID-Verifizierung.