EUDI-Wallet: digitale Identitätsnachweise im Shop nutzen

Ein Kunde legt einen altersbeschränkten Artikel in den Warenkorb und soll belegen, dass er volljährig ist. Heute lädt er dafür ein Ausweisbild hoch oder geht durch eine Videoprüfung, und der Shop hat danach Geburtsdatum, Anschrift und Ausweisnummer im Bestand, obwohl ihn eine einzige Frage interessiert hat. Die europäische Brieftasche für die Digitale Identität dreht dieses Verhältnis um: Der Kunde gibt einen bestätigten Nachweis frei, der Shop bekommt die Antwort, der Rest bleibt auf dem Gerät. Die Grundlage steht in der Verordnung (EU) 2024/1183 vom 11. April 2024, die Fristen hängen an den Durchführungsrechtsakten vom November 2024, und die Registrierung der abfragenden Stellen regelt die Durchführungsverordnung (EU) 2025/848. Dieser Beitrag ordnet die Pflichten, benennt die Fristen und zeigt die Stellen im Onlineshop, an denen die Brieftasche andockt.

Was die Brieftasche ist und wen sie betrifft

Die europäische Brieftasche für die Digitale Identität ist eine Anwendung, die ein Mitgliedstaat bereitstellt oder bereitstellen lässt. Sie hält Personenidentifizierungsdaten und elektronische Attributsbescheinigungen, also einzeln bestätigte Angaben wie Alter, Anschrift oder die Eigenschaft, für ein Unternehmen zu handeln. Jeder Mitgliedstaat stellt mindestens eine solche Brieftasche innerhalb von 24 Monaten nach dem Inkrafttreten der zugehörigen Durchführungsrechtsakte bereit (Verordnung EU 2024/1183, Artikel 5a Absatz 1). Für einen Shop ist sie damit weder ein Zahlungsverfahren noch ein Kundenkonto, sondern eine Quelle für Nachweise, die heute entweder gar nicht oder über Umwege beschafft werden: Ausweisbild, Videoprüfung, Registerauszug als Dateianhang.

Zwei Eigenschaften unterscheiden sie von einem hochgeladenen Dokument. Erstens verlangt die Verordnung, dass eine selektive Offenlegung von Daten möglich ist: Der Nutzer gibt einzelne Attribute frei und nicht den ganzen Datensatz (Verordnung EU 2024/1183, Artikel 5a Absatz 4 Buchstabe a). Zweitens erfolgen Ausstellung, Verwendung und Widerruf für natürliche Personen kostenlos (Verordnung EU 2024/1183, Artikel 5a Absatz 13). Was das im Bestellweg bedeutet, zeigt sich an einer einzigen Frage: Ein Shop, der wissen muss, ob ein Kunde volljährig ist, bekommt ein bestätigtes Ja oder Nein statt eines Geburtsdatums, aus dem er selbst rechnet und das anschließend in seiner Datenbank steht.

Die Nutzung von europäischen Brieftaschen für die Digitale Identität ist freiwillig.

Verordnung (EU) 2024/1183, Artikel 5a Absatz 15

Freiwillig heißt: Die Brieftasche ersetzt keinen bestehenden Weg, sie tritt daneben. Ein Shop, der heute mit Passwort, Passkey oder Gastbestellung arbeitet, behält diese Wege und bekommt einen weiteren. Das ist die entscheidende Planungsgröße, denn jede Umsetzung, die den alten Weg abschaltet, erzeugt Ausfälle bei allen, die keine Brieftasche haben oder sie nicht einsetzen möchten. Wer ohnehin an der Registrierung im Kundenkonto arbeitet, plant den zusätzlichen Weg besser gleich mit ein, statt ihn später in ein fertiges Formular zu schneiden.

Registrierung: der Shop wird zum vertrauenden Beteiligten

Wer eine Brieftasche abfragen möchte, registriert sich vorher. Die Verordnung verlangt die Registrierung in dem Mitgliedstaat, in dem der vertrauende Beteiligte niedergelassen ist (Verordnung EU 2024/1183, Artikel 5b Absatz 1). Das ist keine Anmeldung bei einem Anbieter, sondern ein Eintrag in einem staatlichen Register, und er ist die Voraussetzung dafür, dass eine Brieftasche eine Abfrage überhaupt beantwortet. Für einen Shop mit Sitz in Deutschland heißt das: ein Vorgang bei der zuständigen deutschen Stelle, unabhängig davon, aus welchen Mitgliedstaaten die Kunden kommen.

Wie dieses Verfahren abläuft, regelt die Durchführungsverordnung (EU) 2025/848. Sie verpflichtet die Registrierstellen auf leicht zu verwendende elektronische und, wenn möglich, automatisierte Registrierungsverfahren (Durchführungsverordnung EU 2025/848, Artikel 6 Absatz 1) und verlangt zugleich die Ablehnung, wenn sich die Angaben nicht überprüfen lassen (Durchführungsverordnung EU 2025/848, Artikel 6 Absatz 6). Der Eintrag ist damit kein Formular, das man nebenbei ausfüllt, sondern eine Selbstauskunft mit Prüfung – vergleichbar mit dem, was ein Shop heute selbst von seinen Gewerbekunden verlangt.

• Wer fragt: Name aus der amtlichen Eintragung, Kennungen wie Handelsregisternummer oder Umsatzsteuer-Identifikationsnummer, physische Anschrift der Niederlassung und die Internetadresse.
• Welche Daten: Zu jeder beabsichtigten Verwendung gehört die Liste der Bescheinigungen und Attribute, die abgefragt werden sollen. Die Liste in Anhang I umfasst 16 Nummern und reicht von der amtlichen Eintragung bis zur Verbindung zu dem vertrauenden Beteiligten, der auf den genutzten Vermittler vertraut (Durchführungsverordnung EU 2025/848, Anhang I in der Fassung der Durchführungsverordnung EU 2026/1730).
• Wofür: Zu jeder beabsichtigten Verwendung gehört eine Beschreibung. Ein Shop, der Alter, Firmeneigenschaft und Anschrift abfragen möchte, beschreibt drei Verwendungen und nicht eine.
• Öffentlich oder privat: Der Eintrag hält fest, ob es sich um eine öffentliche Stelle handelt, weil daran unterschiedliche Pflichten hängen.
• Über wen: Handelt ein Vermittler im Namen des Shops, wird das im Eintrag vermerkt. Für B2B-Prozesse mit angeschlossenen Beschaffungsportalen ist das die Stelle, an der die Zuständigkeit festgelegt wird.

Aus der Registrierung entstehen Zugriffs- und Registrierungszertifikate, die die abfragende Stelle gegenüber der Brieftasche ausweisen. Praktisch heißt das: Der Kunde sieht vor der Freigabe, wer fragt und wofür – nicht als Hinweistext im Shop, sondern in seiner eigenen Anwendung, aus einer Quelle, die der Shop nicht beeinflusst. Für die Gestaltung des Bestellwegs ist das ein Vorteil, weil die Vertrauensfrage nicht mehr auf der Produktseite beantwortet werden muss. Für den Betrieb ist es eine Verpflichtung, denn der Eintrag muss zu den tatsächlichen Abfragen passen.

Datensparsamkeit: was der Shop abfragen darf

Die zweite Pflicht steht ungewöhnlich knapp im Text: Vertrauende Beteiligte dürfen von Nutzern keine anderen Daten verlangen als die, die bei der Registrierung angegeben wurden (Verordnung EU 2024/1183, Artikel 5b Absatz 3). Damit kehrt sich die übliche Reihenfolge um. Bisher entscheidet der Shop im Formular, was er abfragt, und begründet es später, wenn jemand nachfragt. Künftig steht die Begründung vorher im Register, und das Formular darf nur das abfragen, was dort eingetragen ist. Wer heute Felder sammelt, weil sie irgendwann nützlich sein könnten, arbeitet in dieser Logik gegen die eigene Registrierung.

Was überhaupt abgefragt werden kann, ist ebenfalls umrissen. Anhang VI der Verordnung (EU) 2024/1183 nennt eine Mindestliste von 11 Attributen, die von der Adresse über Alter und Geschlecht bis zu Finanz- und Unternehmensdaten für juristische Personen reicht (Verordnung EU 2024/1183, Anhang VI). Für den Shop wichtiger ist die Gegenrichtung: Die Verwendung von Pseudonymen darf nicht verweigert werden, solange keine Rechtsvorschrift die Identifizierung des Nutzers verlangt (Verordnung EU 2024/1183, Artikel 5b Absatz 9). Ein Kundenkonto ohne Klarnamen ist damit kein geduldeter Sonderfall mehr, sondern ein Weg, der offenbleiben muss.

Der Gewinn liegt weniger in der Technik als in dem, was danach nicht mehr im System liegt. Ein Ausweisbild im Ticketsystem, ein Geburtsdatum im Kundenstamm, ein Registerauszug im Dateianhang – das sind Bestände, die aufbewahrt, geschützt und irgendwann gelöscht werden müssen, und sie liegen erfahrungsgemäß an mehr Stellen als geplant. Eine Abfrage über die Brieftasche liefert eine Antwort, die der Shop protokollieren kann, ohne den Nachweis selbst zu speichern. Das verkleinert den Datenbestand genau dort, wo er am unübersichtlichsten ist.

Wo die Brieftasche im Bestellweg andockt

Im Bestellweg gibt es vier Stellen, an denen eine Abfrage sinnvoll ansetzt, und sie unterscheiden sich deutlich in Aufwand und Wirkung. Am Anfang steht die Anlage eines Kontos, am Ende die Freigabe einer einzelnen Bestellung. Dazwischen liegen die Fälle, in denen ein Nachweis nicht zum Kunden gehört, sondern zum Vorgang: ein Altersnachweis für ein bestimmtes Produkt, eine Unternehmensbestätigung für eine Preisstaffel, eine Berechtigung für ein Sortiment, das nicht für alle sichtbar ist.

Welche Stelle zuerst gebaut wird, hängt weniger an der Technik als am Sortiment. Ein Shop mit jugendgeschützten Artikeln hat einen harten Anlass, weil dort heute die aufwendigste Prüfung sitzt und jeder zusätzliche Schritt Bestellungen kostet. Ein Shop, der Gewerbekunden aufnimmt, spart an anderer Stelle: Die Gewerbeprüfung bei der Neukundenregistrierung ist heute Handarbeit mit Wartezeit, und genau diese Wartezeit entfällt, wenn ein bescheinigtes Unternehmensattribut vorliegt.

• Kontoanlage: Der Kunde legt ein Konto an und gibt dabei einen bestätigten Namen oder ein Pseudonym frei. Der Vorteil ist ein einmal geprüfter Datensatz, der Nachteil eine zusätzliche Hürde am ungünstigsten Punkt des Bestellwegs.
• Produktbezogene Freigabe: Die Abfrage erscheint erst, wenn ein Artikel im Warenkorb sie verlangt. Das hält den Regelfall frei und hat erfahrungsgemäß ein günstiges Verhältnis von Aufwand zu Wirkung.
• B2B-Aufnahme: Unternehmensattribute ersetzen den Registerauszug. Wo Preisstaffeln, Verpackungseinheiten und Mindestmengen an der Kundengruppe hängen, entscheidet dieser Nachweis über die Freischaltung des richtigen Sortiments.
• Wiederherstellung des Zugangs: Ein verlorenes Kundenkonto lässt sich über einen bestätigten Nachweis zuordnen, ohne dass jemand im Support Ausweisdaten ansieht.

Für jede dieser Stellen gilt dieselbe Bedingung: Der bisherige Weg bleibt bestehen. Weil die Nutzung freiwillig ist, muss jeder Bestellweg auch ohne Brieftasche zu Ende gehen, und zwar ohne Sackgasse und ohne zweite Anmeldung. Technisch ist das eine Verzweigung und keine Ablösung; sie gehört in die Individualentwicklung am Checkout und nicht in eine Erweiterung, die den Standardweg überschreibt.

Freiwillig, verpflichtend, ausgenommen

Die Verordnung unterscheidet, wer die Brieftasche akzeptieren muss. Verlangen Mitgliedstaaten für den Zugang zu einem Online-Dienst einer öffentlichen Stelle eine elektronische Identifizierung, so akzeptieren sie auch die Brieftasche (Verordnung EU 2024/1183, Artikel 5f Absatz 1). Private vertrauende Beteiligte trifft die Pflicht nur, wenn sie ohnehin eine starke Nutzerauthentifizierung schulden, und dann erst 36 Monate nach dem Inkrafttreten der Durchführungsrechtsakte sowie nur auf freiwilliges Verlangen des Nutzers (Verordnung EU 2024/1183, Artikel 5f Absatz 2). Kleinst- und kleine Unternehmen im Sinne der Empfehlung 2003/361/EG sind davon ausgenommen.

Für einen Onlineshop hängt die Einordnung damit an einer Vorfrage: Schuldet er selbst eine starke Nutzerauthentifizierung? Im Zahlungsverkehr liegt diese Pflicht in der Regel beim Zahlungsdienstleister und nicht beim Händler, und die anstehenden EU-Zahlungsregeln verschieben diese Grenze in Teilen. Ein Shop, der weder Zahlungsdienste erbringt noch aus anderem Recht zur starken Authentifizierung verpflichtet ist, fällt typischerweise nicht unter die Annahmepflicht – und kann sich trotzdem anschließen, weil der Nutzen im Wegfall der eigenen Prüfstrecke liegt und nicht in der Pflicht.

Fristen und Daten

Die Fristen hängen an einem einzigen Stichtag, und der steht nicht in der Verordnung selbst, sondern in den Durchführungsrechtsakten. Artikel 5a Absatz 1 und Artikel 5f Absatz 2 rechnen beide ab dem Inkrafttreten der Rechtsakte nach Artikel 5a Absatz 23 und Artikel 5c Absatz 6. Die Durchführungsverordnung (EU) 2024/2981 zur Zertifizierung der Brieftaschen stützt sich auf Artikel 5c Absatz 6, wurde am 4. Dezember 2024 im Amtsblatt veröffentlicht und ist am zwanzigsten Tag nach dieser Veröffentlichung in Kraft getreten (Durchführungsverordnung EU 2024/2981, Artikel 22). Damit liegt der Stichtag auf dem 24. Dezember 2024.

Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft. Sie gilt ab dem 24. Dezember 2026.

Durchführungsverordnung (EU) 2025/848, Artikel 11

Von diesem Stichtag aus ergibt sich die erste Marke: 24 Monate für die Bereitstellung der Brieftaschen durch die Mitgliedstaaten, also der 24. Dezember 2026. Dass die Durchführungsverordnung (EU) 2025/848 zur Registrierung der vertrauenden Beteiligten ab genau diesem Tag gilt, passt dazu, denn Register und Brieftaschen sind aufeinander angewiesen: Ohne Eintrag keine Abfrage, ohne Brieftasche kein Nachweis. Für einen Shop ist das der frühestmögliche Zeitpunkt, an dem eine Abfrage im Echtbetrieb beantwortet werden kann, und nicht der Zeitpunkt, an dem die Umsetzung beginnen sollte.

Die zweite Marke liegt zwölf Monate später. Artikel 5f Absatz 2 gibt privaten vertrauenden Beteiligten mit Pflicht zur starken Nutzerauthentifizierung 36 statt 24 Monate ab demselben Stichtag, das führt auf Ende Dezember 2027. Bis dahin bewegt sich die technische Grundlage weiter: Der Architektur- und Referenzrahmen der Europäischen Kommission liegt seit dem 21. Juli 2026 in der Fassung 3.0.0 vor, und die Durchführungsverordnung (EU) 2026/1730 vom 15. Juli 2026 hat die Vorgaben zur Registrierung an geänderte Normen und Spezifikationen angepasst und Anhang I um eine sechzehnte Nummer ergänzt, die die Verbindung zu dem vertrauenden Beteiligten betrifft, der auf den Vermittler vertraut. Wer heute plant, plant also gegen bewegliche Spezifikationen bei festen Fristen – ein Grund mehr, die Abfrage als austauschbaren Baustein zu bauen.

Technische Umsetzung im Shop

Im Shop entsteht dabei weniger Code, als die Rechtslage vermuten lässt. Gebraucht werden vier Bausteine: eine Beschreibung, welche Attribute zu welchem Zweck abgefragt werden; eine Stelle, die eine Antwort der Brieftasche entgegennimmt und prüft; eine Entscheidung, die aus der Antwort ein Ja oder Nein für den Bestellweg macht; und ein Protokoll, das diese Entscheidung nachvollziehbar hält, ohne den Nachweis zu speichern. Der erste Baustein ist zugleich die Vorlage für den Registereintrag, weil dort dieselben Angaben verlangt werden – eine Liste je Verwendung, dazu eine Beschreibung.

{
  "zwecke": [
    {
      "id": "altersnachweis",
      "beschreibung": "Freigabe altersbeschränkter Artikel im Warenkorb",
      "attribute": ["age_over_18"],
      "antwort_speichern": false,
      "protokoll": ["zeitpunkt", "zweck", "ergebnis"]
    },
    {
      "id": "unternehmensnachweis",
      "beschreibung": "Aufnahme als Gewerbekunde mit Preisstaffel",
      "attribute": ["legal_name", "legal_person_identifier"],
      "antwort_speichern": true,
      "protokoll": ["zeitpunkt", "zweck", "ergebnis"]
    },
    {
      "id": "lieferanschrift",
      "beschreibung": "Bestätigte Adresse für die Zustellung",
      "attribute": ["resident_address"],
      "antwort_speichern": true,
      "protokoll": ["zeitpunkt", "zweck", "ergebnis"]
    }
  ],
  "alternativweg": "vorhandene Prüfstrecke bleibt für jeden Zweck aktiv"
}

Die Antwort der Brieftasche ist ein signierter Nachweis und kein Formularwert. Geprüft wird deshalb nicht der Inhalt allein, sondern die Kette dahinter: Wer hat ausgestellt, ist der Nachweis gültig, gehört er zu der Anfrage, die der Shop gestellt hat. Erst danach entsteht die Entscheidung, und nur diese Entscheidung gehört in den Bestelldatensatz. Wie lange solche Vorgänge nachvollziehbar bleiben sollen, zeigt die Pflicht der Registrierstellen: Sie bewahren die Aufzeichnungen zu den registrierten Angaben für einen Zeitraum von zehn Jahren auf (Durchführungsverordnung EU 2025/848, Artikel 10).

Wo diese Bausteine liegen, entscheidet über die spätere Pflege. Ein eigener Dienst mit klarer Schnittstelle zum Shop lässt sich austauschen, wenn sich die Spezifikation ändert – und sie hat sich seit dem ersten Rechtsakt bereits einmal geändert. Eine Umsetzung, die die Prüfung direkt in den Checkout schreibt, ist beim nächsten Wechsel eine Nacharbeit an vielen Stellen statt an einer. Die Abfrage gehört deshalb hinter eine eigene Grenze, mit einem Vertrag, der aus Zweck, Ergebnis und Zeitpunkt besteht.

• Wo die Zertifikate liegen: Zugriffs- und Registrierungszertifikate gehören in dieselbe Verwaltung wie andere Schlüssel, mit Ablaufdatum und benannter Zuständigkeit. Der Betrieb muss den Wechsel ohne Ausfall des Bestellwegs schaffen.
• Was protokolliert wird: Zweck, Zeitpunkt, Ergebnis – nicht der Nachweis. Ein Protokoll, das Attribute mitschreibt, hebt den Gewinn der Datensparsamkeit wieder auf.
• Wer im Backend was sieht: Die Ergebnisse gehören hinter dieselbe Rechteprüfung wie Bestell- und Kundendaten, und in dieselbe Löschfrist.
• Womit getestet wird: Testnachweise gehören in eine eigene Umgebung. Echte Brieftaschen in einer Testumgebung erzeugen Vorgänge, die sich hinterher niemandem zuordnen lassen.

Checkliste für die Vorbereitung

Bis zum ersten möglichen Echtbetrieb bleibt Zeit, und sie lässt sich ohne Projektbudget nutzen. Der größere Teil der Vorbereitung besteht darin, den eigenen Bestand zu sortieren: Welche Nachweise verlangt der Shop heute, auf welcher Grundlage, und was passiert mit ihnen nach der Prüfung. Diese Aufnahme ist unabhängig von der Brieftasche nützlich, weil sie die Stellen zeigt, an denen heute mehr gespeichert wird als gebraucht wird.

• Alle Stellen im Bestellweg auflisten, an denen der Shop heute einen Nachweis verlangt, mit Zweck und Rechtsgrundlage.
• Je Nachweis festhalten, welche Daten dabei anfallen, wo sie liegen und wann sie gelöscht werden.
• Prüfen, ob der Shop selbst zur starken Nutzerauthentifizierung verpflichtet ist – daran hängt die Annahmepflicht nach Artikel 5f Absatz 2.
• Die geplanten Verwendungen so formulieren, dass sie in den Registereintrag passen: eine Verwendung, eine Attributliste, eine Beschreibung.
• Den Weg für Kunden ohne Brieftasche je Stelle festlegen, bevor die Abfrage gebaut wird.
• Zuständigkeit für Zertifikate, Protokoll und Registereintrag benennen, mit Vertretung und Ablaufüberwachung.
• Einen Zeitpunkt für die Registrierung im Mitgliedstaat der Niederlassung setzen und ihn an die Bereitstellung der Brieftaschen koppeln.

Was jetzt entschieden werden kann

Zwei Entscheidungen lassen sich heute treffen, ohne auf eine fertige Brieftasche zu warten. Die erste ist die Frage, an welcher Stelle im Bestellweg der erste Nachweis abgefragt werden soll; sie hängt am Sortiment und nicht an der Technik. Die zweite ist die Frage, wie viel der Shop nach der Prüfung behalten möchte; sie entscheidet darüber, ob die Umsetzung den Datenbestand verkleinert oder nur eine weitere Quelle danebenstellt. Beide Antworten stehen in keinem Rechtsakt, sondern im eigenen Prozess.

Alles Weitere ist Handwerk mit bekannten Fristen: ein Registereintrag, eine Verzweigung im Checkout, ein Dienst mit klarer Grenze und ein Protokoll ohne Attribute. Wer wissen möchte, welche Prüfstrecken der eigene Shop heute fährt und welche davon eine Brieftaschenabfrage ersetzen könnte, findet den Einstieg über einen Shop-Check. Für die Umsetzung an Checkout, Kundenkonto und B2B-Aufnahme führt der Weg über eine Projektanfrage mit dem konkreten Sortiment und den heute verlangten Nachweisen.