EUDI-Wallet: Der Fahrplan für Sparkassen bis Ende 2027

Die Wallet kommt pünktlich. Der Fahrplan im Institut braucht Vorlauf.

Der Termin steht seit Monaten fest, als Projekt ist er in vielen Instituten trotzdem noch nicht aufgesetzt. Sparkassen müssen die EUDI-Wallet spätestens Ende 2027 akzeptieren, wenn sie Kunden online mit starker Authentifizierung identifizieren und der Kunde die Wallet nutzen will, und der Weg dorthin beginnt mit einer Inventur der eigenen Identifikationsprozesse und der Registrierung als vertrauende Partei.

Ende 2027 klingt nach viel Zeit. Dazwischen liegen allerdings Budgetrunden, Verbundabstimmungen, Anbieterentscheidungen und ein Kernbank-Releasekalender, der sich nach eigenen Takten richtet.

Was ist die EUDI-Wallet?

Die European Digital Identity Wallet ist eine App, mit der Bürgerinnen und Bürger sich online und offline ausweisen, Nachweise digital vorzeigen und Dokumente qualifiziert elektronisch signieren können. Grundlage ist die eIDAS-2.0-Verordnung (EU) 2024/1183, die im Mai 2024 in Kraft trat. Jeder Mitgliedstaat muss mindestens eine Wallet bereitstellen, nach einem Überblick der Kanzlei Heuking vom Oktober 2026 bis zum 24. Dezember 2026.

Für Deutschland hat das Bundesdigitalministerium den Start der staatlichen Wallet d-you für den 2. Januar 2027 angekündigt, freiwillig und für Bürgerinnen und Bürger kostenlos. Den Betrieb verantwortet nach einer Übersicht von Namirial vom August 2026 die Common Codes GmbH mit SPRIND und dem Bundesamt für Sicherheit in der Informationstechnik; Identitätsdaten bleiben auf dem Gerät der Nutzer. Zum Start bietet die Wallet laut Heuking zunächst den digitalen Personalausweis, qualifizierte Signatur und Pseudonyme folgen laut Namirial nach dem Start.

Welche Fristen gelten für Sparkassen?

Drei Daten setzen den Rahmen. Zum Jahreswechsel 2026/2027 startet die deutsche Wallet. Am 10. Juli 2027 gilt die europäische Geldwäscheverordnung (EU) 2024/1624, die elektronische Identifizierungsmittel nach eIDAS in Artikel 22 Absatz 6 ausdrücklich zulässt. Ende Dezember 2027 greift nach Artikel 5f Absatz 2 der eIDAS-Verordnung die Annahmepflicht für private vertrauende Beteiligte, das Bankenwesen ist ausdrücklich genannt.

Dazwischen liegt ein Kalenderjahr, in dem die Wallet im Markt ankommt, erste Anbieter Erfahrungen sammeln und die Kundenerwartung entsteht, an der Institute ab 2028 gemessen werden.

Was heißt Annahmepflicht konkret?

Drei Dinge. Erstens gilt die Pflicht auf Verlangen des Nutzers: Kein Kunde wird gezwungen, die Wallet zu nutzen, aber das Institut muss den Weg anbieten können. Zweitens registriert sich nach Artikel 5b, wer Wallet-Daten abfragen will, und gibt die beabsichtigte Verwendung samt der angeforderten Daten an; andere Daten darf das Institut nicht verlangen. Drittens dürfen vertrauende Beteiligte Pseudonyme nicht verweigern, wo keine rechtliche Identifizierungspflicht besteht.

Eine Unschärfe gehört benannt: Die Verordnung knüpft die Pflicht an die „Online-Identifizierung mit starker Nutzerauthentifizierung“. Ob der laufende Login ins Online-Banking darunterfällt, ist eine Auslegungsfrage, die das Institut entscheiden und dokumentieren sollte. Eine breite Auslegung erspart Nacharbeit; die Einzelheiten beschreibt der Beitrag zum Wallet-Login im Online-Banking.

Wo trifft die Wallet Sparkassenprozesse?

Überall dort, wo heute ein Ausweis gezeigt, kopiert oder per Video geprüft wird: Konto- und Depoteröffnung, Kreditanträge mit Legitimation, Neuzugang und Gerätewechsel im Online-Banking, Vollmachten und Verfügungsberechtigte, Altersnachweise und perspektivisch die qualifizierte Signatur unter Verträgen, die heute gedruckt und unterschrieben werden.

Jeder dieser Prozesse hat heute eine eigene Identifikationslogik mit eigenen Dienstleistern und Kosten. Die Wallet ersetzt sie nicht über Nacht, aber sie wird der Maßstab, an dem Aufwand und Abbruchquoten dieser Strecken gemessen werden. Jeder Prozess fragt dabei genau das ab, was er braucht: den Identitätsdatensatz bei der Kontoeröffnung, die Volljährigkeit beim Produktabschluss, die Adresse bei der Änderung.

Wie groß ist die Aktivierungslücke auf Kundenseite?

Die größte Unbekannte ist die Nutzung, nicht die Technik. In der repräsentativen Bitkom-Befragung „Mehrheit der Deutschen will EUDI-Wallet nutzen“ vom April 2026 unter 1.004 Personen ab 16 Jahren wollen 54 Prozent die Wallet nutzen, aber nur 18 Prozent haben die Online-Funktion ihres Personalausweises aktiviert und kennen ihre PIN. Der eGovernment MONITOR der Initiative D21 zeigt, wie langsam Aktivierung ohne Anlass läuft: 14 Prozent eID-Nutzung 2023, 22 Prozent 2024, 25 Prozent 2025.

Für Sparkassen ist das eine Rollenbeschreibung. Mit Filiale, Servicecenter und Beratungsgespräch haben sie viele Gelegenheiten, Aktivierung anzustoßen, und wer der Ort wird, an dem Kunden ihre Wallet zum Laufen bringen, steht am Anfang späterer digitaler Strecken. Ausführlich beschreibt das der Beitrag zur eID-Aktivierungslücke.

Verbund oder Institut: Wer liefert was?

Die technische Anbindung wird für Sparkassen absehbar überwiegend über die Finanz Informatik und die Verbundlösungen laufen, so wie heute Ident-Verfahren und Online-Banking-Infrastruktur. Dienstleister, die im Namen vertrauender Beteiligter handeln, gelten nach Artikel 5b Absatz 10 selbst als vertrauende Beteiligte. Das entlastet das einzelne Institut bei der Technik, entbindet es aber nicht von den eigenen Aufgaben: Prozesse benennen, Verantwortliche festlegen, Kundenkommunikation planen, Mitarbeitende befähigen.

Hilfreich ist ein klarer Anforderungskatalog an die zentrale Lösung, formuliert aus den eigenen Strecken: Welche Prozesse braucht das Institut zuerst, welche Rückfallwege, welche Auswertungen? Institute, die ihre Anforderungen früh und konkret einbringen, bekommen Lösungen, die zu ihnen passen.

Fahrplan 2026: Inventur und Zuständigkeit

Bis Jahresende gehören drei Dinge erledigt. Erstens eine Inventur: Welche Prozesse verlangen heute Identifizierung oder starke Authentifizierung, mit welchen Verfahren, welchen Kosten je Vorgang und welchen Abbruchquoten? Zweitens eine Zuständigkeit: eine benannte Person, die das Thema über Organisation, IT, Vertrieb und Compliance hinweg treibt, mit Mandat statt Nebenauftrag. Drittens der Anschluss an die Verbunddiskussion, damit die Anforderungen des Instituts in die zentralen Lösungen einfließen.

Fahrplan 2027: Testen, Pilot, Anschluss

Ab dem Start der staatlichen Wallet zählt Praxiserfahrung. Eine Testumgebung für vertrauende Parteien haben Bundesdigitalministerium und SPRIND laut netzpolitik.org bereits im Januar 2026 geöffnet. 2027 gehört ein erster echter Anwendungsfall pilotiert, bevorzugt einer mit messbarem Schmerz: die Legitimationsstrecke mit den meisten Abbrüchen oder der Prozess mit den höchsten Ident-Kosten. Wichtig ist die Pilotdisziplin: ein Prozess, ein Quartal, drei Kennzahlen und am Ende eine Entscheidung über den Ausbau.

Welche Risiken gehören in den Blick?

Drei. Erstens Betrugsszenarien im Übergang: Solange alte und neue Identifikationswege parallel laufen, suchen Angreifer die Naht, etwa mit Social Engineering rund um die Wallet-Einrichtung. Eine frühe, einfache Kundenkommunikation, was die Sparkasse niemals am Telefon verlangt, nimmt diesen Maschen das Material. Zweitens die Prozessqualität: Eine Wallet-Abfrage, die in einen Medienbruch mündet, verspielt den Vorteil, für den Kunden sie gewählt haben, wie der Beitrag über digitale Produktabschlüsse zeigt. Drittens die Parallelphase: Wer Wallet und Altverfahren nicht aktiv steuert, mit gemessenem Wallet-Anteil und geplanter Abschmelzung der Altwege, betreibt dauerhaft doppelte Infrastruktur.

Der Wettbewerb wartet dabei nicht auf die Fläche. Anbieter, die auf digitale Identität setzen, werden die Wallet früh nutzen, wie der Beitrag über den Angriff der Neobanken rund um die digitale Identität zeigt.

Und die Nachbarprojekte?

Die Wallet kommt nicht allein. Im selben Zeitfenster setzen Institute die europäische Geldwäscheverordnung um, arbeiten an den Vorgaben der Zahlungsdiensteregulierung und modernisieren ihre Vertriebskanäle. Jedes dieser Vorhaben berührt dieselben Strecken. Ein gemeinsames Streckenregister für alle identitätsnahen Vorhaben sorgt dafür, dass jeder Prozess genau einmal angefasst wird. Die Nachbarperspektive beschreibt der Beitrag zur Identifizierung unter Wallet und AMLR.

Was das Management jetzt festlegen sollte

1. Eine verantwortliche Person benennen, mit Mandat über Organisation, IT, Vertrieb und Compliance.

2. Die Identifikations-Inventur beauftragen: Verfahren, Kosten je Vorgang und Abbruchquoten je Strecke.

3. Die Auslegungslinie zu Artikel 5f dokumentieren, inklusive Entscheidung zum Login.

4. Anforderungen an den Verbund einbringen und einen Pilot für 2027 mit drei Kennzahlen festlegen.

5. Vier Kennzahlen einführen: Anteil der Prozesse mit Wallet-Option, Konversion gegen Altverfahren, Ident-Kosten je Vorgang und aktivierte Kunden-Wallets.

Häufige Fragen

Ab wann müssen Sparkassen die EUDI-Wallet akzeptieren?
Spätestens ab Ende Dezember 2027, wenn sie online mit starker Nutzerauthentifizierung identifizieren und der Kunde die Wallet nutzen möchte.

Was liefert der Verbund, was bleibt im Institut?
Der Verbund liefert absehbar die technische Anbindung. Prozessauswahl, Zweckfestlegung, Kundenkommunikation, Befähigung und Kennzahlen bleiben Aufgaben des Instituts.

Gilt die Wallet auch für Firmenkunden?
Die Wallet von 2027 ist ein Tool für natürliche Personen und wirkt über Geschäftsführer, Prokuristen und wirtschaftlich Berechtigte. Für Unternehmen hat die EU-Kommission im November 2025 eine European Business Wallet vorgeschlagen, die frühestens in einigen Jahren verfügbar sein dürfte.

Alle Beiträge zu Pflichten, Zeitplan und Einsatzfällen bündelt das Dossier EUDI-Wallet & digitale Identität.

Wie viele Identifikationsverfahren im eigenen Institut heute nebeneinander laufen, ist oft die überraschendste Zahl einer solchen Inventur. Wir freuen uns über ein erstes Gespräch zu diesem Thema.