EUDI-Wallet-Ökosystem: Die Rollen im Überblick

Die EUDI-Wallet ist Teil eines umfassenden Ökosystems, in dem die Beteiligten klar definierte Rollen und Verantwortlichkeiten übernehmen und über technische Schnittstellen miteinander verbunden sind. Wer verstehen will, was die Wallet für die eigene Organisation bedeutet, muss zuerst verstehen, wer in diesem Ökosystem welche Aufgabe übernimmt. Die Rolle bestimmt, welche Chancen sich bieten, welche Schnittstellen zu bedienen sind und wie stark ein Unternehmen regulatorisch betroffen ist.

In Teil 1 unserer Serie, „EUDI-Wallet: Nachweis statt Dokument“, haben wir das Grundprinzip anhand von drei Rollen erklärt: Ein Aussteller (Issuer) bestätigt eine Information, ein Inhaber verwaltet den Nachweis in seiner Wallet, ein Verifizierer (Relying Party) prüft ihn. Dieses Dreieck ist der Kern. Das vollständige EUDI-Wallet-Ökosystem umfasst aber weitere Akteure, ohne die das Modell nicht funktioniert.

Dieser Beitrag stellt die Rollen im EUDI-Ökosystem vor und zeigt, wie sie in der Praxis zusammenspielen. Dabei wird auch deutlich, warum nicht jeder Nachweis den gleichen Stellenwert hat. Als roter Faden dient ein Beispiel, das uns durch die gesamte Serie begleitet: Frau M. finanziert eine Eigentumswohnung.

Ein Beispiel als roter Faden: Frau M. finanziert eine Wohnung

Frau M. hat eine Eigentumswohnung gefunden. Für die Finanzierung wechselt sie zu einer neuen Bank: Sie eröffnet ein Konto und beantragt ein Darlehen. Die Bank benötigt dafür mehrere Nachweise von ihr: ihre Identität, ihre aktuelle Meldeadresse, ihr Einkommen und eine bestehende Wohngebäudeversicherung als Voraussetzung für die Auszahlung. Heute bedeutet das: Ausweis in die Kamera halten, Meldebescheinigung beantragen, Gehaltsabrechnungen hochladen und beim Versicherer eine Bestätigung anfordern, die dann per PDF oder Post bei der Bank landet. 

 Mit der EUDI-Wallet sähe das so aus: Frau M. weist ihre Identität mit dem digitalen Identitätsnachweis (Person Identification Data, kurz PID) aus ihrer Wallet nach. Auch die Nachweise zu Meldeadresse, Gehalt und Versicherung stellt sie über ihre Wallet bereit. Sie stammen jeweils von der Stelle, die die entsprechende Information bestätigt: von der Meldebehörde, ihrem Arbeitgeber und ihrem Versicherer. Die Bank kann die Herkunft und Gültigkeit der Nachweise technisch prüfen, anstatt die Dokumente manuell zu sichten. 

 Zum Start der deutschen Wallet „d-you“ Anfang 2027 steht zunächst der digitale Identitätsnachweis zur Verfügung. Weitere Nachweise sollen schrittweise folgen.3 Das Beispiel beschreibt daher ein Zielbild, an dem sich das Zusammenspiel der verschiedenen Rollen im EUDI-Ökosystem gut zeigen lässt. Wie Frau M. die Wallet später auch für die Anmeldung im Online-Banking oder im Zusammenhang mit einer Zahlungsfreigabe nutzen könnte, betrachten wir in einem eigenen Teil dieser Serie. 

 Hinter diesem Ablauf steckt ein Zusammenspiel verschiedener Akteure. Gehen wir sie der Reihe nach durch. 

Die Rollen im EUDI-Wallet-Ökosystem im Überblick

Nutzende (Inhaber): Frau M. steht im Zentrum des Ökosystems. Sie erhält digitale Nachweise von ausstellenden Stellen, speichert sie in ihrer Wallet und legt sie bei Bedarf gegenüber Behörden, Unternehmen oder anderen Institutionen vor. Dabei behält sie die Kontrolle über die Weitergabe ihrer Daten. Sie entscheidet in jedem einzelnen Fall, ob und welche Informationen sie freigibt. Übermittelt werden nur die für den jeweiligen Zweck erforderlichen Daten und nicht der gesamte Nachweis.2 Für Banken und Versicherer bedeutet das: Jede Abfrage muss für Kundinnen und Kunden transparent und nachvollziehbar sein. Die EUDI-Wallet zahlt damit unmittelbar auf die Customer Experience ein. 

Aussteller (Issuer): Aussteller sind Organisationen, die geprüfte digitale Identitäten und Nachweise ausstellen. Das deutsche Ökosystem unterscheidet zwei Ausprägungen:2 

1. Der PID-Aussteller stellt den staatlich bestätigten digitalen Identitätsnachweis aus mit den Kernangaben einer Person wie Name, Geburtsdatum und Staatsangehörigkeit. In Deutschland übernimmt diese Rolle die Bundesdruckerei; die Daten werden aus dem Personalausweis abgeleitet.2 Dieser Identitätsnachweis ist die digitale Basis für viele Anwendungsfälle. 
2. Nachweis-Aussteller stellen digitale Nachweise über Eigenschaften oder Berechtigungen aus. Dazu können beispielsweise die Meldeadresse, der Führerschein oder ein Beschäftigungsverhältnis gehören. Das können Behörden sein, qualifizierte Vertrauensdiensteanbieter oder auch Unternehmen wie Arbeitgeber, Banken und Versicherer. Welche Arten von Nachweisen es dabei gibt und warum der Unterschied zählt, zeigen wir im Kapitel „Nicht jeder Nachweis wiegt gleich: qualifiziert, behördlich, einfach“ dieses Beitrages. 

Wallet-Anbieter (Wallet Provider): Wallet-Anbieter entwickeln, betreiben und sichern die Wallet-App. In Deutschland übernimmt diese Funktion zunächst der Staat mit der Wallet „d-you“, die Anfang 2027 starten soll.3 Das Ökosystem ist aber bewusst offen angelegt: Neben der staatlichen Wallet sind weitere Anbieter möglich, sofern sie dieselben technischen Standards und rechtlichen Vorgaben erfüllen; Nutzende entscheiden selbst, welche Wallet sie verwenden.2 EUDI-Wallets werden nach eIDAS zertifiziert.1 Für die Bank im Beispiel heißt das: Sie muss nicht jede Wallet einzeln bewerten. Die Akzeptanzpflicht gilt gegenüber jeder nach der Verordnung bereitgestellten EUDI-Wallet. Dazu gehören neben der deutschen Wallet auch die Wallets anderer EU-Mitgliedstaaten.1 

Verifizierer (Relying Party) Die Bank in unserem Beispiel ist eine Relying Party, also eine Organisation, die digitale Nachweise aus der Wallet für konkrete Dienste anfordert und prüft. Voraussetzung dafür ist die Registrierung in dem Mitgliedstaat, in dem das Unternehmen niedergelassen ist.¹ Bei der Registrierung gibt die Relying Party an, welche Daten sie für welchen Anwendungsfall benötigt. Anschließend darf sie nur die dafür vorgesehenen Daten anfordern.2 Die Wallet zeigt Frau M. an, wer anfragt und welche Daten angefordert werden. Die Bank weist sich bei ihrer Anfrage also selbst als registrierte Relying Party aus. Vertrauen ist in diesem System keine Einbahnstraße: Nicht nur der Nachweis wird geprüft, auch der Prüfende muss sich legitimieren. Die Relying Party kann dabei entweder direkt an die EUDI-Wallet angebunden sein oder über einen Vermittler: 

• Vermittler: Nicht jede Anfrage kommt direkt von der Bank. Häufig sind Vermittler zwischengeschaltet, und zwar in zwei Formen. Technische Vermittler, etwa Ident-Dienstleister oder Plattformen, binden die Wallet im Auftrag einer Bank oder eines Versicherers an. Sie gelten selbst als Relying Party und dürfen keine Daten über den Inhalt der Transaktion speichern.1 Vertriebsvermittler sind dagegen keine eigene Rolle im EUDI-Ökosystem, sondern Marktteilnehmer. Dazu zählen beispielsweise Versicherungsvertreter, Versicherungsmakler oder Vermittler von Immobilienkrediten. Für sie ist entscheidend, in wessen Auftrag sie handeln: Ein Versicherungsvertreter ist vom Versicherer betraut, ein Makler handelt für seine Kundin.5 Davon hängt ab, wer die Daten aus der Wallet anfragt, wer sie weitergeben darf und wer geldwäscherechtlich verantwortlich ist. Diesem Thema widmen wir einen eigenen Teil der Serie. 

Orchestrator: Ein Ökosystem mit vielen Beteiligten braucht eine koordinierende Instanz. Diese Aufgabe übernimmt im deutschen Ökosystem der Orchestrator. Er koordiniert das Zusammenspiel der Akteure, setzt regulatorische und technische Vorgaben um und betreibt das Ecosystem-Management-Portal, über das unter anderem die Registrierung der teilnehmenden Organisationen läuft.2 Für Banken und Versicherer ist der Orchestrator damit die zentrale Anlaufstelle auf dem Weg ins Ökosystem. 

Vertrauensdiensteanbieter (Trusted Service Provider): Damit Nachweise rechtlich belastbar und technisch prüfbar sind, braucht es Vertrauensdienste. Vertrauensdiensteanbieter stellen die Bausteine bereit: Zertifikate, qualifizierte elektronische Signaturen und Siegel, Zeitstempel sowie qualifizierte Attributnachweise. Qualifizierte Vertrauensdiensteanbieter unterliegen der Aufsicht und sind in nationalen Vertrauenslisten verzeichnet.1 Für Wallets und für Behörden, die Nachweise ausstellen, gibt es eigene, von der Kommission veröffentlichte Listen.1 Wie eine Bank diese Listen im konkreten Fall nutzt, ist das Thema des nächsten Beitrags. 

Nicht jeder Nachweis wiegt gleich: qualifiziert, behördlich, einfach

Für Frau M. sehen alle Nachweise in der Wallet ähnlich aus. Für die Bank, die sie prüft, und für jedes Unternehmen, das selbst Nachweise ausstellen will, macht es aber einen erheblichen Unterschied, um welche Art von Nachweis es sich handelt. Die eIDAS-Verordnung unterscheidet drei Arten¹:

1. Qualifizierte elektronische Attributsbescheinigungen (QEAA) dürfen nur qualifizierte Vertrauensdiensteanbieter ausstellen. Bestimmte Attribute wie Adresse, Alter, Bildungs- und Berufsqualifikationen sowie Finanz- und Unternehmensdaten werden mit authentischen Quellen des öffentlichen Sektors abgeglichen. Sie haben dieselbe Rechtswirkung wie rechtmäßig ausgestellte Papierbescheinigungen. 
2. Bescheinigungen öffentlicher Stellen (PuB-EAA) werden von Behörden ausgestellt, die für eine authentische Quelle verantwortlich sind. Ein Beispiel dafür ist die Meldeadresse. Auch diese Bescheinigungen haben dieselbe Rechtswirkung wie entsprechende Papierbescheinigungen und werden in allen Mitgliedstaaten anerkannt. 
3. Einfache elektronische Attributsbescheinigungen (EAA) kann grundsätzlich jeder ausstellen, auch ein Arbeitgeber oder ein Versicherer. Ihnen darf die Rechtswirkung nicht allein deshalb abgesprochen werden, weil sie elektronisch oder nicht qualifiziert sind. Wie weit der Prüfende ihnen vertraut, muss er aber selbst bewerten.

Im Beispiel heißt das: Die Meldeadresse wird als behördlicher Nachweis mit klar definierter Rechtswirkung bereitgestellt. Gehalts- und Versicherungsnachweise sind dagegen zunächst einfache Nachweise. Die Bank muss selbst festlegen, ob diese für ihre Kreditentscheidung ausreichen. Für die geldwäscherechtliche Identifizierung bleibt der staatliche Identitätsnachweis maßgeblich. Umgekehrt muss jedes Unternehmen, das selbst Nachweise ausstellen will, entscheiden, ob es den aufwendigeren Weg zum qualifizierten Nachweis geht, etwa über einen qualifizierten Vertrauensdiensteanbieter als Partner, oder einfache Nachweise ausstellt, deren Vertrauensniveau der Empfänger im jeweiligen Anwendungsfall selbst bewerten muss.

Das Zusammenspiel: Was bei der Baufinanzierung tatsächlich passiert

Setzen wir das Beispiel nun zusammen. Frau M. hat die Wallet eines zertifizierten Wallet-Anbieters installiert und ihren Identitätsnachweis aktiviert. Meldebehörde, Arbeitgeber und Versicherer haben ihr die übrigen Nachweise ausgestellt. Die Bank hat sich als Relying Party für Kontoeröffnung und Baufinanzierung registriert. Beantragt Frau M. das Darlehen, sendet die Bank eine Anfrage an die Wallet. Die Wallet prüft, ob die Bank registriert ist und ob die Anfrage zur Registrierung passt, und zeigt Frau M. an, wer welche Daten anfordert. Erst nach ihrer Freigabe werden die ausgewählten Angaben übermittelt. Die Bank prüft anschließend kryptografisch, dass die Nachweise von anerkannten Ausstellern stammen, Frau M. zugeordnet sind, nicht verändert wurden und noch gültig sind. 

Das Vertrauen im EUDI-Ökosystem funktioniert nicht auf persönlicher Ebene. Die beteiligten Stellen müssen sich also nicht gegenseitig kennen oder individuell vertrauen. Stattdessen entsteht Vertrauen durch gemeinsame Mechanismen wie Zertifizierung, Registrierung, Vertrauenslisten und die Koordination durch den Orchestrator. Genau das unterscheidet die EUDI-Wallet von heutigen Insellösungen, bei denen jede Bank und jeder Versicherer eigene Identifizierungsverfahren, Dokumentenprüfungen und Integrationen pflegt.

Eine Organisation, mehrere Rollen: Was das für Banken und Versicherer bedeutet

Die Rollen im EUDI-Wallet-Ökosystem sind Funktionen und keine festen Branchenzuordnungen. Eine Organisation kann daher mehrere Rollen gleichzeitig einnehmen. Für Banken und Versicherer ergeben sich daraus interessante strategische Möglichkeiten. 

Banken stehen kurzfristig vor allem als Relying Party im Fokus. Wo eine Online-Identifizierung mit starker Nutzerauthentifizierung vorgeschrieben ist, ergibt sich das ab dem 24. Dezember 2027 aus der Akzeptanzpflicht, die wir in Teil 1 beschrieben haben.1 Das erfordert konkrete Vorbereitung. Dazu gehören die Registrierung, die Integration in Onboarding- und Anmeldestrecken sowie die Einbindung in bestehende Kontroll- und Prüfprozesse. Darüber hinaus sollten Institute für ihre einzelnen Prozesse prüfen, wo sie die Wallet über die verpflichtenden Anwendungsfälle hinaus einsetzen wollen, beispielsweise bei Adressänderungen oder, wie in unserem Beispiel, bei der Baufinanzierung. Mittelfristig kann die Rolle des Nachweis-Ausstellers hinzukommen: Banken verfügen über Informationen, die andernorts regelmäßig nachgewiesen werden müssen, etwa Kontoverbindung oder bestehende Kundenbeziehung. Ein digitaler Kontonachweis für Vermieter, Arbeitgeber oder Behörden ist ein naheliegender Kandidat. 

Versicherer sind ebenfalls in beiden Rollen gefragt. Als Relying Party nutzen sie die Wallet beim Abschluss und in Kundenportalen; Lebensversicherer müssen ihre Kundinnen und Kunden zudem nach Geldwäscherecht identifizieren.4 Als Aussteller verfügen sie über Informationen, die andere regelmäßig verlangen: Im Beispiel ist es der Nachweis der Wohngebäudeversicherung, den die Bank vor der Auszahlung sehen will. Denkbar sind auch Versicherungsbestätigungen für Kfz-Zulassung oder Mietvertrag. Wer heute solche Bestätigungen per PDF oder Post verschickt, kann sie künftig als prüfbaren Nachweis in die Wallet seiner Kundinnen und Kunden geben.

Mehr als Pflicht: Das Ökosystem ist ein Markt

Die Akzeptanzpflicht ist der Anlass, sich mit der EUDI-Wallet zu befassen. Ihr strategischer Wert zeigt sich jedoch vor allem im Zusammenspiel mit anderen Marktteilnehmern. Davon können auch Institute profitieren, die sich ausschließlich auf das klassische Bankgeschäft konzentrieren: 

1. Die Bank nutzt Nachweise anderer: Gehaltsnachweis vom Arbeitgeber, Versicherungsnachweis vom Versicherer, Adresse von der Meldebehörde. Je mehr Aussteller im Markt aktiv sind, desto mehr Prüfschritte in Kredit- und Serviceprozessen lassen sich vereinfachen. 
2. Die Bank stellt Nachweise für andere aus: Ein Kontonachweis hat nur dann Wert, wenn Vermieter, Arbeitgeber oder Behörden ihn auch anfragen. 
3. Die Rolle als Identitätsanker verändert sich: Heute übernehmen Banken häufig Aufgaben bei der Identifizierung ihrer Kunden und teilweise auch für Dritte. Wenn künftig ein staatlicher Identitätsnachweis über die EUDI-Wallet verfügbar ist, kann sich diese Rolle verändern. Das hat auch Auswirkungen auf bestehende Ident-Angebote. 
4. Der Markt ist europäisch: Auch bei einer deutschen Bank können Kundinnen und Kunden Wallets aus anderen EU-Mitgliedstaaten nutzen. 

Ob und wann sich einzelne Rollen für ein Institut lohnen, hängt vom Geschäftsmodell, der Prozesslandschaft und der strategischen Positionierung ab. Klar ist: Die Rollenfrage sollte nicht erst beantwortet werden, wenn die Akzeptanzpflicht greift. Wer früh klärt, welche Rollen das eigene Haus einnehmen und mit welchen Partnern es zusammenarbeiten will, kann Architektur und Prozesse gezielt darauf ausrichten. So lässt sich vermeiden, dass notwendige Anpassungen 2027 unter Zeitdruck umgesetzt werden müssen. 

Genau hier unterstützt die msg: Gemeinsam mit Banken und Versicherern analysieren wir, welche Rollen im EUDI-Wallet-Ökosystem für das eigene Haus relevant sind, welche Prozesse betroffen sind und wie sich die Wallet in bestehende Geschäftsprozesse integrieren lässt. 

Ausblick auf Teil 3

Die Rollen sind verteilt. Doch woran erkennt die Bank im konkreten Fall, dass die Wallet von Frau M. zertifiziert ist? Wie stellt sie fest, ob Arbeitgeber und Versicherer tatsächlich anerkannte Aussteller sind und ob der Versicherungsnachweis noch gültig ist oder zwischenzeitlich widerrufen wurde? 

Im nächsten Beitrag zeigen wir, wie Vertrauen im EUDI-Wallet-Ökosystem überprüfbar wird. Dabei geht es um die Zertifizierung der Wallets, Vertrauenslisten, die Prüfung von Ausstellern sowie die Gültigkeit und den Widerruf von Nachweisen. Außerdem betrachten wir, welche Prüfungen weiterhin in der Verantwortung der Bank liegen.