Wallet-Login im Online-Banking: Was auf Sparkassen zukommt

Der zweite Faktor kommt bald vom Staat

Über Jahre haben Sparkassen ihre Kundinnen und Kunden an TAN-Apps, Lesegeräte und Push-Freigaben gewöhnt. Mit der EUDI-Wallet kommt ein Authentifizierungsmittel hinzu, das nicht das Institut herausgibt, sondern der Staat, und das Institute bei starker Authentifizierung spätestens Ende 2027 akzeptieren müssen, wenn der Kunde es verlangt. Offen ist weniger das Ob als die Reichweite: ob nur die Identifizierung bei Vertragsschluss betroffen ist oder auch Login und Freigabe im Online-Banking.

Für das Online-Banking ist das keine Randnotiz. Erstmals muss ein Authentifizierungsweg angeboten werden, der nicht aus dem Institut stammt und dessen Gestaltung das Institut nicht bestimmt.

Was verlangt die eIDAS-Verordnung beim Login?

Der Kern steht in Artikel 5f Absatz 2 der Verordnung (EU) 2024/1183. Private vertrauende Beteiligte, die nach Unionsrecht, nationalem Recht oder Vertrag eine Online-Identifizierung mit starker Nutzerauthentifizierung vornehmen müssen, akzeptieren dafür auch die Wallet, ausdrücklich genannt ist das Bankenwesen. Die Frist endet 36 Monate nach Inkrafttreten der Durchführungsrechtsakte, nach einem Überblick der Kanzlei Heuking vom Oktober 2026 also Ende Dezember 2027. Die Pflicht greift nur auf freiwilliges Verlangen des Nutzers.

Die starke Nutzerauthentifizierung definiert die Verordnung in Artikel 3 Nummer 51 als Authentifizierung mit mindestens zwei unabhängigen Faktoren aus Wissen, Besitz und Inhärenz, also nah an der starken Kundenauthentifizierung aus der Zahlungsdiensteregulierung. Der Wortlaut knüpft die Annahmepflicht aber an die „Online-Identifizierung“. Ob der tägliche Login und die Zahlungsfreigabe darunterfallen oder nur die Identifizierung bei Kontoeröffnung und Neuzugang, ist eine Auslegungsfrage, die jedes Institut für sich beantworten und dokumentieren sollte. Ein Fachbeitrag im IT-Finanzmagazin vom Februar 2026 nennt Konto-Login, Zahlungsfreigaben und Kundenidentifizierung bei der Kontoeröffnung als Anwendungsfälle.

Für die Planung heißt das: Die enge und die weite Lesart liegen nebeneinander auf dem Tisch. Eine Planung nur für die enge Lesart erzeugt Nacharbeit, falls sich die weite durchsetzt.

Wollen Kunden sich per Wallet anmelden?

Die Neigung ist messbar. In der repräsentativen Bitkom-Befragung „Mehrheit der Deutschen will EUDI-Wallet nutzen“ vom April 2026 unter 1.004 Personen ab 16 Jahren wollen von denen, die eine Nutzung erwägen, 48 Prozent die Wallet sicher für den Login bei Portalen wie Kranken- oder Steuerportalen nutzen, weitere 34 Prozent vielleicht. Das ist die Aussicht auf einen Alltag mit weniger Passwörtern.

Zugleich ist Gewohnheit träge. Wer seine Banking-App mit Gesichtserkennung öffnet, hat wenig Grund zu wechseln. Realistisch ist die Wallet zunächst der Weg für Neuzugang, Gerätewechsel und Wiederherstellung, also für die Momente, in denen der Kunde ohnehin keinen eingeübten Weg hat und heutige Verfahren die meisten Supportfälle erzeugen.

Wo entlastet die Wallet den Sicherheitsalltag?

Drei Fälle stechen heraus. Der Neuzugang: Erstregistrierung im Online-Banking ohne Brief mit Startkennwort. Der Gerätewechsel: Das neue Smartphone wird über die Wallet-Identität legitimiert statt über Hotline und Postweg. Die Entsperrung: Wer sich ausgesperrt hat, weist sich digital aus, statt in die Filiale zu kommen. Jeder dieser Fälle ist heute ein Kostentreiber im Service und ein Ärgernis für den Kunden.

Hinzu kommt die Betrugsseite. Ein staatlich verankerter Identitätsnachweis beim Gerätewechsel erschwert die Masche, mit der Täter Push-TAN-Registrierungen auf eigene Geräte umleiten. Wie sich die Haftung bei Betrug ohnehin verschiebt, zeigt der Beitrag zu PSD3 und der Betrugshaftung der Banken. Auffällig ist: Die Fälle mit dem höchsten Supportaufwand sind nicht zwingend die, für die eine Pflicht besteht, rechnen sich aber am schnellsten.

Welche Strecken gehören in die Authentifizierungs-Inventur?

Für den Anfang genügt eine Tabelle mit fünf Zeilen: Login ins Online-Banking, Zahlungsfreigabe, Erstregistrierung, Gerätewechsel und Datenänderungen mit Legitimationspflicht. Je Zeile vier Spalten: heutiges Verfahren, Vorgangszahl pro Jahr, Supportaufwand und Wallet-Relevanz nach enger und weiter Lesart.

Eine solche Übersicht ersetzt Monate abstrakter Diskussion. Aus ihr geht hervor, wo die Wallet Pflicht wird und wo sie sich unabhängig von jeder Pflicht rechnet, und sie liefert die Grundlage für die Auslegungsentscheidung, die Revision und Management später nachvollziehen wollen.

Was liefert der Verbund, was die Sparkasse?

Für Sparkassen liegt nahe, dass die technische Anbindung wie heute Online-Banking und Ident-Verfahren über die Finanz Informatik kommt. Die eIDAS-Verordnung behandelt Dienstleister, die im Namen vertrauender Beteiligter handeln, in Artikel 5b Absatz 10 selbst als vertrauende Beteiligte. Der Aufwand im Institut entsteht deshalb nicht beim Knopf im Login-Dialog, sondern in den Prozessen dahinter: Fallbehandlung bei Wallet-Verlust, Supportwissen im Servicecenter, Kommunikation und die dokumentierte Auslegung je Strecke. Wie sich Zuständigkeit und Zeitplan im Institut aufsetzen lassen, beschreibt der EUDI-Wallet-Fahrplan für Sparkassen.

Wie kommt der neue Anmeldeweg beim Kunden an?

Ein zusätzlicher Login-Weg braucht Erklärung, sonst erzeugt er Misstrauen statt Komfort. Die Kommunikation gehört geplant wie ein Produktstart: eine klare Botschaft, was der Wallet-Login ist und was das Institut niemals am Telefon oder per Mail verlangen wird, sichtbar in App, Website und Servicecenter. Betrüger nutzen jede neue Technologie als Kulisse; das Institut, das früh und verständlich erklärt, nimmt ihnen das Material.

Für die Reihenfolge der Anbieter hilft ein Blick auf die Kundenpräferenz: Laut Bitkom wollen 52 Prozent die Wallet ausschließlich von staatlichen Stellen beziehen, mehrere Anbieter sind voraussichtlich ab 2028 vorgesehen. Was daraus für eine anbieterneutrale Anbindung folgt, zeigt der Beitrag zu staatlichen und privaten EUDI-Wallets.

Der Login ist der häufigste Kontaktpunkt eines Kunden mit seiner Sparkasse. Wer die Wallet dort selbstverständlich anbietet, verankert das Institut als Ort, an dem digitale Identität einfach funktioniert, und schafft die Grundlage für spätere Strecken bis zur digitalen Unterschrift unter dem Kreditvertrag.

Was das Management jetzt festlegen sollte

1. Die Authentifizierungs-Inventur beauftragen: alle Strecken mit starker Authentifizierung, Volumen und Supportaufwand.

2. Die Auslegungslinie je Strecke entscheiden und dokumentieren: Wallet-Akzeptanz zum Stichtag oder später.

3. Mit den Supportfällen beginnen: Neuzugang, Gerätewechsel und Entsperrung als erste Wallet-Strecken.

4. Anforderungen an den Verbund einbringen: Rückfallwege, Sperrprozesse und Auswertungen nach Anmeldeweg.

5. Die Kommunikation vorbereiten: Botschaften gegen Betrugsmaschen und eine einheitliche Sprachregelung im Servicecenter.

Häufige Fragen

Müssen Sparkassen den Wallet-Login ab Ende 2027 anbieten?
Die Annahmepflicht nach Artikel 5f gilt für die Online-Identifizierung mit starker Nutzerauthentifizierung. Ob der laufende Login darunterfällt, ist eine Auslegungsfrage; wer ihn einbezieht, plant auf der sicheren Seite und vermeidet Nacharbeit.

Ersetzt die Wallet die bestehenden TAN-Verfahren?
Nein. Die Pflicht greift nur auf Verlangen des Kunden, die eingeführten Verfahren bleiben bestehen. Die Wallet ergänzt sie dort, wo sie Support und Betrugsrisiken senkt.

Wo bringt der Wallet-Login den schnellsten Nutzen?
Bei Neuzugang, Gerätewechsel und Entsperrung. Diese Fälle verursachen heute den meisten Supportaufwand und haben keinen eingeübten Weg, gegen den die Wallet sich durchsetzen muss.

Zeitplan, Anbindung und weitere Strecken rund um die Wallet bündelt das Dossier EUDI-Wallet & digitale Identität.

Welche Strecken im eigenen Institut unter die weite Lesart fallen würden, zeigt sich meist schon nach einer Stunde mit den Zahlen aus dem Servicecenter. Ein erstes Gespräch zu diesem Thema führen wir gern.