EUDI Wallet-Akzeptanz für Banken: Was die Frist im Dezember 2027 erfordert

Banken, Zahlungsinstitute und E-Geld-Emittenten, die eine starke Kundenauthentifizierung nutzen, haben einen festen Termin für die EUDI Wallet-Akzeptanz. Gemäß Artikel 5f(2) der Europäischen Verordnung über digitale Identität müssen sie das EUDI Wallet zur Benutzerauthentifizierung bis zum 24. Dezember 2027 akzeptieren, wenn ein Kunde es verwenden möchte.

Die Regel ist enger gefasst als „das EUDI Wallet bei jeder Zahlung als SCA-Verfahren unterstützen“. Dieser Leitfaden erläutert, was die Regel vorschreibt, welche Fragen offenbleiben und wie sie mit den neuen, noch in Ausarbeitung befindlichen EU-Zahlungsvorschriften zusammenhängt.

Zeitplan

• 20. Mai 2024: Die europäische Verordnung zur digitalen Identität (eIDAS 2) tritt in Kraft.
• 24. Dezember 2024: Die ersten Wallet-Durchführungsgesetze treten in Kraft. Ab diesem Datum gelten die nachstehenden 24- und 36-Monatsfristen.
• 7. Mai 2025: Die Durchführungsverordnung zur Registrierung von relying parties (EU) 2025/848 wird veröffentlicht.
• 27. November 2025: Das Parlament und der Rat erzielen eine politische Einigung über PSR und PSD3.
• 23. April 2026: Die endgültigen PSR- und PSD3-Kompromisstexte werden veröffentlicht.
• 24. Dezember 2026: Jeder Mitgliedstaat muss seinen Bürgern mindestens ein EUDI Wallet anbieten.
• 24. Dezember 2027: Banken und andere private relying parties, die eine starke Benutzerauthentifizierung verwenden, müssen das Wallet akzeptieren, wenn ein Kunde es auswählt.
• Voraussichtlich 2028: Die meisten PSR-Regeln gelten etwa 21 Monate nach Inkrafttreten der Verordnung. Das genaue Datum hängt von der Veröffentlichung im Amtsblatt ab, die zum Redaktionsschluss noch ausstand.

Woher das Datum Dezember 2027 kommt

Artikel 5f Absatz 2 gilt für private relying parties, die für die Online-Identifizierung eine starke Benutzerauthentifizierung verwenden müssen, unabhängig davon, ob dies gesetzlich oder vertraglich vorgeschrieben ist. Als betroffene Sektoren nennt der Artikel Bank- und Finanzdienstleistungen sowie Transport, Energie, Gesundheit, Telekommunikation, Bildung und andere.

Diese relying parties müssen das Wallet spätestens 36 Monate nach Inkrafttreten der Wallet-Durchführungsgesetze akzeptieren. Die ersten Durchführungsrechtsakte wurden am 4. Dezember 2024 veröffentlicht und traten am 24. Dezember 2024 in Kraft, sodass die Frist am 24. Dezember 2027 endet. Die Mitgliedstaaten müssen ihren Bürgern ein Jahr zuvor, bis zum 24. Dezember 2026, mindestens eine Wallet anbieten.

Was die Verpflichtung umfasst

• Authentifizierung nach Wahl des Kunden. Das Wallet wird zu einer Option, die der Kunde auswählen kann. Die Verordnung verlangt nicht, dass Sie Ihre bestehenden Authentifizierungsmethoden ersetzen.
• Nur die Daten, die Sie benötigen. Artikel 5f Absatz 2 beschränkt die Annahme auf die für den jeweiligen Online-Dienst erforderlichen Mindestdaten. Planen Sie Anfragen für einen bestimmten Zweck, nicht für einen vollständigen Identitätsdatensatz.
• Zuerst Registrierung. relying parties registrieren ihren Verwendungszweck und die Daten, die sie anfordern möchten (Artikel 5b). Diese Registrierung bestimmt, was ein Wallet zu teilen bereit ist.

Was es offen lässt

In Artikel 5f geht es um die Akzeptanz des Wallets zur Benutzerauthentifizierung. Es wird nicht geregelt, inwieweit die Präsentation einer Wallet als starke Kundenauthentifizierung für eine Zahlung gemäß PSD2 gilt. Insbesondere:

• Zwei unabhängige Faktoren. Das Wallet muss zeigen, dass es zwei Faktoren aus unterschiedlichen Kategorien (Wissen, Besitz, Inhärenz) verwendet hat, und Ihre SCA-Richtlinie entscheidet, welche Kombinationen Sie akzeptieren.
• Dynamische Verknüpfung. Bei einer Fernzahlung muss die Authentifizierung an den Betrag und den Zahlungsempfänger gebunden sein (Artikel 5 der Delegierten Verordnung (EU) 2018/389 der Kommission). Der Nachweis, wer der Kunde ist, allein genügt nicht.
• Ein Authentifizierungscode zur einmaligen Verwendung. Artikel 4 Absatz 1 derselben Verordnung verlangt, dass jeder Authentifizierungscode nur einmal akzeptiert wird.

Die technische Spezifikation EUDI Wallet für Zahlungen, TS 12, beschreibt, wie ein Wallet diese übertragen kann: Der Zahlungsanbieter stellt dem Wallet eine SCA-Bescheinigung aus, die Anfrage enthält die Transaktionsdetails und das Wallet signiert einen Hash davon zusammen mit den verwendeten Faktoren und einem Einmalcode.

Wie die neuen Zahlungsregeln passen

Über den neuen Zahlungsrahmen der EU, die Zahlungsdiensteverordnung (PSR) und die dritte Zahlungsdiensterichtlinie (PSD3), wurde im November 2025 eine politische Einigung erzielt, und die vereinbarten Kompromisstexte wurden im April 2026 veröffentlicht. Sie sind noch kein Gesetz: Zum Zeitpunkt des Schreibens standen die Abstimmung im Plenum des Parlaments, die Verabschiedung durch den Rat und die Veröffentlichung im Amtsblatt noch aus. Die meisten PSR-Regeln werden voraussichtlich etwa 21 Monate nach ihrem Inkrafttreten in Kraft treten, also voraussichtlich im Jahr 2028.

Das bedeutet, dass die eIDAS-Frist zuerst eintrifft. Bis zum Inkrafttreten des PSR läuft die Zahlungsauthentifizierung weiterhin unter PSD2 und den aktuellen technischen Standards der EBA. Es wird erwartet, dass die Rolle des PSR für Wallets hauptsächlich durch diese Standards erreicht wird: Der PSR wird die EBA beauftragen, ihre technischen SCA-Standards zu ersetzen, und der Entwurf forderte die EBA auf, dabei EUDI Wallets zu berücksichtigen. Ob der endgültige Text Zahlungsanbieter auch dazu verpflichtet, Wallets für SCA zu akzeptieren, wird in den veröffentlichten Zusammenfassungen nicht geklärt. Behandeln Sie daher die eIDAS-Regel als feste Verpflichtung und überprüfen Sie den PSR, sobald er im Amtsblatt erscheint.

Zusammenfassungen des vereinbarten Textes weisen auch auf Regeln hin, die für Wallet-basiertes SCA von Bedeutung sind:

• Die dynamische Verknüpfung gilt weiterhin für Fernzahlungen.
• SCA darf nicht nur vom Besitz eines Smartphones abhängig sein, daher kann ein Portemonnaie nicht die einzige Option für den Kunden sein.
• Wenn ein Dritter SCA-Elemente im Namen eines Anbieters überprüft, benötigt der Anbieter eine Outsourcing-Vereinbarung und behält die Haftung mit Prüfungsrechten gegenüber dem Dritten.

Ein praktischer Plan für 2027

1. Beginnen Sie mit der Identifizierung und Anmeldung. Das ist es, was die eIDAS-Frist eindeutig abdeckt. Ordnen Sie die Wege zu, bei denen Sie heute eine starke Authentifizierung verwenden: Onboarding, Anmeldung, Kontowiederherstellung, Hinzufügen eines Zahlungsempfängers.
2. Legen Sie Ihre Faktorrichtlinie fest. Notieren Sie, welche Faktorkombinationen Sie aus einer Wallet akzeptieren und ob Sie nicht spezifizierte Methoden akzeptieren.
3. Entwerfen Sie Zahlungen für eine dynamische Verknüpfung. Behandeln Sie die Zahlungsbestätigung als einen separaten Schritt, der Betrag und Zahlungsempfänger unter Verwendung der TS 12-Transaktionstypen bindet.
4. Eine Alternative behalten. Kunden ohne Portemonnaie oder ohne Smartphone brauchen einen anderen Weg.
5. Planen Sie eine Prüfung. Bewahren Sie Nachweise darüber auf, was und wie autorisiert wurde, ohne mehr personenbezogene Daten zu speichern, als Sie benötigen.
6. Testen Sie mit echten Wallets. Die Wallet-Unterstützung für TS 12-Transaktionstypen ist noch in der Entwicklung. Bestätigen Sie das Verhalten der Wallets, die Ihre Kunden verwenden werden, bevor Sie sich darauf verlassen.

Wie DLBR EID SCA unterstützt

DLBR EID ist ein Verifizierungsgateway für EUDI Wallet-Präsentationen. Für TS 12 SCA gilt:

• validiert die vier TS 12-Transaktionstypen: Zahlung, Login und Risiko, Kontozugriff und E-Mandat;
• prüft, ob die Wallet einen Hash der genauen angezeigten Transaktion signiert hat, der Betrag und Zahlungsempfänger bindet;

– Erfordert zwei Faktoren aus unterschiedlichen Kategorien und lässt jede Anfrage die akzeptierten Faktoren mit einer Richtlinie eingrenzen;

• akzeptiert jeden Authentifizierungscode einmal und schlägt bei einer Präsentation, die einen wiederverwendet, fehl;
• zeichnet die Transaktions-Hashes, Authentifizierungscodes und Faktoren in einem Hash-verketteten Prüfprotokoll auf, ohne Beträge, Zahlungsempfänger oder Anspruchswerte.

DLBR EID stellt keine SCA-Bescheinigungen aus, führt keine Zahlungen durch und entscheidet nicht, ob eine Zahlung autorisiert ist. Diese verbleiben beim Zahlungsanbieter. Lesen Sie den [SCA-Leitfaden für Banken](/blog/EUDI Wallet-sca-for-banks), um zu erfahren, wie der Ablauf durchgängig funktioniert.

FAQ

Quellen

• Verordnung (EU) 2024/1183 über EUR-Lex
• Durchführungsverordnung (EU) 2024/2979 der Kommission zu EUR-Lex
• Durchführungsverordnung (EU) 2025/848 der Kommission zu EUR-Lex
• Delegierte Verordnung (EU) 2018/389 der Kommission zu EUR-Lex
• EUDI Wallet TS 12: SCA-Implementierung für elektronische Zahlungen mit Wallet