eIDAS 2.0 erklärt: Was es für Ihr Unternehmen bedeutet

Bis Ende 2026 müssen EU-Mitgliedstaaten Bürgern und Unternehmen Zugang zu einer digitalen Identitäts-Wallet bereitstellen. Organisationen, die identitätsbezogene Dokumente ausstellen oder verifizieren (von Handelskammern über Banken und Versicherer bis hin zu Beschaffungsplattformen) werden zunehmend mit überprüfbaren Nachweisen statt PDFs und E-Mails arbeiten.

Frühe Anwender gewinnen einen strukturellen Vorteil: schnelleres Onboarding, geringeres Betrugsrisiko, automatisierte Compliance-Prüfungen und Bereitschaft für verbindliche Vorschriften, bevor diese in Kraft treten. Organisationen, die abwarten, sehen sich einem komprimierten Übergangszeitraum mit höheren Kosten und Störungen gegenüber.

Die erste eIDAS-Verordnung, Regulation (EU) No 910/2014, leistete zweierlei. Sie machte nationale elektronische Identitätssysteme grenzüberschreitend anerkennbar, sodass ein in einem Mitgliedstaat ausgegebener Login eine Verwaltungsleistung in einem anderen öffnen konnte. Außerdem gab sie Vertrauensdiensten wie elektronischen Signaturen, Siegeln und Zeitstempeln eine rechtliche Grundlage, die unionsweit trug.

In der Praxis kam die erste Hälfte nie wirklich an. Die Notifizierung eines nationalen Systems war freiwillig, sodass Anfang der 2020er Jahre ein großer Teil der Europäerinnen und Europäer überhaupt keine notifizierte elektronische Identität besaß und die vorhandenen Systeme außerhalb des eigenen Landes selten funktionierten. Private Organisationen waren zudem zu nichts verpflichtet, sie zu akzeptieren, weshalb Banken, Telekommunikationsanbieter und Plattformen eigene Identitätsprüfungen aufbauten.

eIDAS 2.0, Regulation (EU) 2024/1183, behält die Vertrauensdienste bei und baut die Identitätshälfte rund um die Inhaberin oder den Inhaber neu auf. Jeder Mitgliedstaat muss nun eine Wallet anbieten, statt lediglich ein System notifizieren zu dürfen, eine festgelegte Gruppe privater Organisationen muss sie akzeptieren, und geprüfte Tatsachen über eine Person oder ein Unternehmen werden zu einem eigenständigen Vertrauensdienst. Die Inhaberin oder der Inhaber entscheidet, was in jeder Transaktion geteilt wird, und genau diese Verschiebung lässt den Rest funktionieren.

Für ein Unternehmen liegt der praktische Unterschied in der Richtung der Entwicklung. Unter dem alten Rahmen konnten Sie wählen, ob Sie elektronische Identität unterstützen, und kamen meist zu dem Schluss, dass sich der Aufwand nicht lohnt. Unter dem neuen kommt die Infrastruktur ohnehin, Ihre Geschäftspartner erhalten sie kostenlos, und die Frage lautet nur noch, wie schnell Sie sie nutzen können.

eIDAS 2.0 gilt auf zwei Ebenen. Mitgliedstaaten müssen die Infrastruktur der European Digital Identity Wallet aufbauen, betreiben und Bürgern sowie Unternehmen zur Verfügung stellen. Organisationen, die identitätsbezogene Dokumente ausstellen oder verifizieren, darunter Handelskammern, Banken, Versicherer, Behörden und Beschaffungsplattformen, müssen in der Lage sein, Nachweise in diese Wallet auszustellen oder aus ihr präsentierte Nachweise zu akzeptieren.

Die Einführung folgt einem festen Zeitplan. Bis Ende 2026 muss jeder EU-Mitgliedstaat Bürgern und Unternehmen Zugang zu einer digitalen Identitäts-Wallet bereitstellen. Vor diesem Datum wird von Organisationen, die Nachweise ausstellen oder verifizieren, erwartet, dass sie über die technische Fähigkeit verfügen, mit wallet-basierten Nachweisen zu arbeiten, da die Nachfrage von Wallet-Inhabern in dem Moment entsteht, in dem die Wallet selbst verfügbar wird.

In der Praxis bedeutet Vorbereitung drei Dinge: Nachweisformate auf die Standards abstimmen, auf denen die Wallet aufbaut (W3C Verifiable Credentials, mdoc, OpenID4VC), sich mit einem Vertrauensregister verbinden, damit ausgestellte Nachweise verifiziert werden können, ohne den Aussteller direkt zu kontaktieren, und eine Privacy-by-Design-Architektur einführen, die Nachweise in der eigenen Wallet des Inhabers statt in einem gemeinsamen Register aufbewahrt und nur die Attribute teilt, die ein Prüfer benötigt. Organisationen, die frühzeitig starten, umgehen den komprimierten Übergangszeitraum, höhere Kosten und Störungen, die entstehen, wenn man bis kurz vor der Frist wartet.

Die zentrale Pflicht ist die Wallet selbst. Bis zum 24. Dezember 2026 muss jeder Mitgliedstaat mindestens eine European Digital Identity Wallet anbieten, für natürliche Personen kostenlos, und sicherstellen, dass sie für Bürgerinnen und Bürger, Einwohner und Unternehmen funktioniert. Die öffentliche Verwaltung muss sie ab demselben Datum akzeptieren, im eigenen Land und für Inhaber aus jedem anderen Mitgliedstaat.

Hinter der Wallet steckt Technik, die für ein Unternehmen ebenso wichtig ist und weit weniger Aufmerksamkeit bekommt. Die Mitgliedstaaten müssen dafür sorgen, dass Personenidentifizierungsdaten in die Wallet ausgestellt werden können und dass authentische Quellen wie Handelsregister, Bildungsregister und Berufskammern ihre Daten elektronisch bereitstellen können. Sie müssen außerdem Wallet-Lösungen zertifizieren und veröffentlichen, welche davon zugelassen sind.

Zwei dieser Leistungen sind es, auf die sich eine vertrauende Partei im Alltag stützt. Es muss eine kostenlose Möglichkeit geben zu prüfen, ob eine Wallet, die ein Credential vorlegt, echt und weiterhin gültig ist. Und es muss ein nationales Register der vertrauenden Parteien geben, in das sich Ihre eigene Organisation einträgt, bevor sie eine Wallet überhaupt um etwas bitten darf.

Der Fortschritt ist ungleich, achten Sie deshalb auf Ihren eigenen Mitgliedstaat statt auf den europäischen Durchschnitt. Das Datum ist überall gleich, aber welche Behörde das Register der vertrauenden Parteien führt, wie lange die Registrierung dauert und welche authentischen Quellen zuerst angebunden werden, sind nationale Entscheidungen. Genau davon hängt ab, wann Sie tatsächlich starten können.

Vertrauensdienste sind der Teil von eIDAS, mit dem die meisten Unternehmen bereits zu tun haben, ohne ihn so zu nennen. Sie sorgen dafür, dass ein elektronisches Dokument oder eine Nachricht rechtliches Gewicht bekommt: Signieren, Siegeln, Zeitstempeln, Einschreibzustellung und nun auch das Bescheinigen von Tatsachen über eine Person oder eine Organisation.

Entscheidend ist das Wort qualifiziert. Ein qualifizierter Dienst stammt von einem beaufsichtigten Anbieter, der auf einer nationalen Vertrauensliste veröffentlicht ist, und er genießt in jedem Mitgliedstaat eine gesetzliche Vermutung. Ein Gericht geht davon aus, dass Signatur, Siegel oder Zeitstempel das sind, was sie zu sein vorgeben, und wer das bestreitet, trägt die Beweislast. Ein nicht qualifizierter Dienst kann ebenfalls ein sehr guter Nachweis sein, nur müssen Sie ihn selbst belegen.

Vertrauensdienste und die Wallet sind zwei Hälften desselben Bildes. Die Wallet bestimmt, wie ein Credential zur Gegenseite gelangt und was die Inhaberin oder der Inhaber preisgibt, während die Vertrauensdienste dafür sorgen, dass der Inhalt danach Bestand hat. Die meisten Organisationen nutzen am Ende mehrere gleichzeitig: ein Siegel auf dem, was sie ausstellen, eine Bescheinigung für die Tatsachen, für die sie einstehen können, und eine Signatur überall dort, wo sich eine Person verbindlich festlegen muss.

Ab dem 24. Dezember 2027 ist die Akzeptanz der European Digital Identity Wallet für einen großen Teil der Privatwirtschaft nicht mehr freiwillig. Die Pflicht folgt der Anforderung einer starken Nutzerauthentifizierung. Entscheidend ist also, wie Sie Menschen identifizieren, nicht die Bezeichnung Ihrer Branche.

Am leichtesten lässt sich die Regel an Beispielen lesen. Eine Bank führt bereits eine starke Prüfung durch, wenn jemand ein Konto eröffnet oder eine Zahlung bestätigt, also muss die Wallet einer der Wege werden, auf denen diese Prüfung erfüllt werden kann. Ein Telekommunikationsanbieter, der vor der Aktivierung eines Vertrags eine Identität prüft, ein Energieversorger, der einen Vertrag umstellt, und eine Krankenversicherung, die ein neues Mitglied aufnimmt, stehen alle vor derselben Lage.

Dasselbe gilt weit über die offensichtlichen regulierten Branchen hinaus. Eine Universität, die Studierende einschreibt, ein Verkehrsbetrieb, der einen Mitarbeiterausweis ausgibt, ein Sozialversicherungsträger, der Leistungen auszahlt, und eine sehr große Online-Plattform, die Nutzer anmeldet, fallen alle unter die Pflicht, sobald sie jemanden authentifizieren. Wenn Sie Menschen online bereits durch eine formale Identitätsprüfung schicken, gehen Sie davon aus, dass Sie betroffen sind, und arbeiten Sie von dort aus weiter.

Zwei Grenzen sollten Sie im Blick behalten. Ausgelöst wird die Pflicht durch die Nutzerin oder den Nutzer, die oder der um die Verwendung der eigenen Wallet bittet, statt sie aufgedrängt zu bekommen, und sie betrifft den Identifizierungsschritt, nicht die gesamte Geschäftsbeziehung. Sie ist auch kein Freibrief, mehr zu verlangen: Sie dürfen nur die Daten anfragen, die Ihre Registrierung als vertrauende Partei abdeckt, und das ist in den meisten Fällen weniger, als ein gescanntes Dokument Ihnen geliefert hätte.

Die öffentliche Verwaltung kommt zuerst. Sobald Wallets verfügbar sind, was bis zum 24. Dezember 2026 der Fall sein muss, muss sie diese überall dort akzeptieren, wo sie heute schon eine elektronische Identifizierung verlangt, im eigenen Land und für Bürgerinnen und Bürger anderer Mitgliedstaaten.

Kleinstunternehmen und kleine Unternehmen sind von der Akzeptanzpflicht ausgenommen. Sehr große Online-Plattformen, die nach dem Digital Services Act benannt sind, fallen überall dort darunter, wo sie Nutzer authentifizieren, auch wenn die Verordnung für sie kein eigenes Datum festlegt.

Steht Ihre Organisation auf keiner der beiden Listen, bleibt die praktische Frage dieselbe. Jede Identitätsprüfung, die Sie heute durchführen, kann zu einem Credential werden, das in Sekunden aus einer Wallet vorgelegt wird: weniger Betrugsrisiko, keine Dokumentenverwaltung und keine Daten, die Sie selbst speichern und schützen müssen.

Die European Digital Identity Wallet ist um eine Person herum gebaut. Das ist die richtige Form, um nachzuweisen, wer Ihnen gegenübersteht, und die falsche für die meisten Geschäftsprozesse zwischen Unternehmen, bei denen es um die Organisation geht: mit welcher juristischen Person Sie es zu tun haben, wer für sie handeln darf und wie weit diese Befugnis reicht.

eIDAS 2.0 erlaubt es einer Organisation bereits, Credentials zu halten und Bescheinigungen über sich selbst zu erhalten, Unternehmensdaten können also schon heute über eine Wallet laufen. Ungeklärt bleibt die Verwaltungsebene darum herum: Vollmachten, Vertretungsbefugnisse, Einreichungen und der Dokumentenaustausch zwischen Unternehmen und Behörden, der weiterhin über Portale und E-Mail läuft.

Am 19. November 2025 hat die Europäische Kommission eine eigene Verordnung für die European Business Wallet vorgeschlagen, die genau diese Ebene abdeckt. Sie durchläuft noch das Gesetzgebungsverfahren, es gibt also noch kein Datum, auf das sich planen ließe, und niemand sollte darauf warten, bevor er handelt.

Die sinnvolle Vorbereitung ist nicht technisch. Legen Sie jetzt fest, wer in Ihrer Organisation für Unternehmenscredentials verantwortlich ist und wer das Unternehmen binden darf, denn genau das soll jede Wallet später ausdrücken. Die interne Einigung dauert meist länger als der Aufbau der Integration.

eIDAS 2.0 wird beaufsichtigt, nicht selbst erklärt. Jeder Mitgliedstaat benennt eine Stelle, die qualifizierte Vertrauensdiensteanbieter überwacht und den qualifizierten Status entziehen kann, sowie eine Stelle, die die in seinem Hoheitsgebiet tätigen Wallet-Anbieter beaufsichtigt. Die Datenschutzbehörden behalten ihre eigene Rolle überall dort, wo personenbezogene Daten im Spiel sind, und das ist bei diesem Thema fast überall.

Die Registrierung als vertrauende Partei betrifft normale Unternehmen am unmittelbarsten. Weil Ihre Registrierung festhält, was Sie von einer Wallet verlangen dürfen, ist jede weitergehende Abfrage sichtbar, meldbar und etwas, wogegen eine Aufsichtsbehörde vorgehen kann. Die Mitgliedstaaten müssen Sanktionen für Verstöße gegen die Verordnung festlegen und sie wirksam, verhältnismäßig und abschreckend gestalten, die Beträge werden national bestimmt.

Für die meisten Organisationen sind die ersten Kosten einer Verspätung jedoch kein Bußgeld. Es ist eine Kundin, die etwas in Sekunden nachweisen könnte und stattdessen einen Scan hochladen soll, ein Wettbewerber, der sie noch am selben Nachmittag onboardet, und eine Frage im Einkaufsprozess, die Sie nicht gut beantworten können.

Die zweiten Kosten sind der Zeitpunkt. Alles auf der folgenden Checkliste hat eine Vorlaufzeit von Monaten statt Wochen, und alles muss im selben Zeitfenster geschehen wie bei allen anderen. Früh zu beginnen heißt vor allem, später nicht um knappe Aufmerksamkeit konkurrieren zu müssen.

Die Business Wallet von Credenco ist von Grund auf darauf ausgelegt, die Anforderungen von eIDAS 2.0 zu erfüllen. Sie implementiert W3C Verifiable Credentials, OpenID4VC für die Ausstellung und Präsentation von Nachweisen und prüft die Vertrauenswürdigkeit von Ausstellern anhand der eIDAS-Vertrauenslisten der EU, wodurch sichergestellt wird, dass jeder über Credenco ausgestellte Nachweis das standardbasierte Vertrauen trägt, das die Verordnung verlangt.

Nachweise werden in der eigenen Wallet jeder Organisation aufbewahrt, nicht in einem gemeinsamen Register, und Inhaber geben nur die Attribute preis, die ein Prüfer benötigt. Diese Privacy-by-Design-Architektur ist keine Nachrüstung: Sie ist ein Kernprinzip, das sich direkt sowohl an der DSGVO als auch an den Wallet-Anforderungen von eIDAS 2.0 orientiert.