EUDI-Wallet im KYC: Pflichten für Haftungsdächer ab 2027

Mit der EU Digital Identity Wallet (EUDI) startet 2026 ein neues Kapitel im Kunden-Onboarding. Erstmals steht eine staatlich ausgestellte, EU-weit interoperable digitale Identität zur Verfügung – und der regulierte Finanzsektor ist ausdrücklich verpflichtet, sie zu akzeptieren. Für Haftungsdächer eröffnet das erhebliche Potenziale: schnelleres Onboarding, weniger manuelle Fehler, grenzüberschreitende Kundenbeziehungen ohne Medienbruch. Zugleich stellen technische Integrations-Fragen, offene Haftungsfragen und ein enger Zeitplan die Strukturen auf die Probe.

Was die EUDI-Wallet ist – und was sie nicht ist

Die European Digital Identity Wallet ist keine kommerzielle App und kein Marketing-Produkt. Sie ist vorgeschrieben durch die eIDAS-2.0-Verordnung (EU) 2024/1183 und verpflichtet jeden EU-Mitgliedstaat, seinen Bürgern bis Ende 2026 mindestens ein staatlich ausgestelltes, interoperables Wallet bereitzustellen. In Deutschland plant die Bundesregierung den Start der staatlichen EUDI-Wallet für Anfang 2027.

Das Prinzip dahinter ist technisch elegant: Der Bürger präsentiert selektiv offengelegte, kryptographisch gesicherte Identitätsattribute aus seiner Wallet – die Gegenseite verifiziert diese Attribute gegen ein EU-weites Vertrauensrahmenwerk, ohne jemals das zugrundeliegende Ausweisdokument selbst zu erhalten oder zu speichern. Wer also nur wissen muss, ob ein Kunde volljährig ist, erhält genau diese Information – und nicht Name, Adresse, Geburtsdatum und Ausweisnummer en bloc.

Dabei ist die EUDI-Wallet strikt von reinen Zahlungs-Wallets zu trennen: Während Zahlungs-Wallets primär Zahlungsinstrumente verwalten, ermöglicht die EUDI-Wallet die selektive Freigabe verifizierter Identitäts- und Attribut-Nachweise – ohne dass der Anbieter vollständige Ausweisdaten speichern muss.

Die Fristen, die Haftungsdächer kennen müssen

Bis Ende 2026 müssen alle EU-Mitgliedstaaten mindestens eine EUDI-konforme Wallet für Bürger und Unternehmen bereitstellen. Bis Dezember 2027 sind regulierte Einrichtungen des Privatsektors – darunter Banken, Zahlungsinstitute und E-Geld-Institute, die starke Kundenauthentifizierung oder KYC einsetzen – verpflichtet, die EUDI-Wallet zu akzeptieren.

Diese Frist ist verbindlich, kein Zielwert. Die eIDAS-Verordnung verpflichtet regulierte Einrichtungen, einschließlich Finanzinstitute, bis zum 24. Dezember 2027 das EUDI-Wallet als Authentifizierungsmethode für KYC-Prozesse zu unterstützen.

Für Haftungsdächer ergibt sich daraus: Die Integration muss nicht selbst vollzogen sein, aber die Prozesse und Systeme der eigenen Organisation – und die der angebundenen Vermittler – müssen bis dahin wallet-fähig sein. Wer jetzt nicht plant, wird 2027 unter Zeitdruck reagieren müssen.

Was sich im KYC-Prozess konkret verändert

Das EUDI-Wallet verändert nicht nur das Werkzeug der Identitätsprüfung, sondern deren Logik. Bisher: Der Kunde legt ein Dokument vor, ein Mitarbeiter oder ein automatisiertes System prüft es auf Echtheit, überträgt die Daten manuell oder per OCR in ein Kernsystem – mit den bekannten Fehlerquoten, Medienbrüchen und Nachbearbeitungsaufwänden.

Künftig läuft das anders. Die Erst-Identifizierung kann vollständig digital erfolgen, indem der Kunde geprüfte Attribute aus seiner Wallet teilt. Die übermittelten Daten sind bereits staatlich verifiziert und kryptographisch signiert – eine zweite Echtheitsprüfung ist nicht mehr nötig. Das beschleunigt den Onboarding-Prozess erheblich, senkt die Fehlerquote bei der Datenerfassung und reduziert den Aufwand für Nachkorrekturen.

Besonders relevant für Haftungsdächer mit verteilten Vermittlerstrukturen: Cross-Border-Onboarding wird deutlich einfacher. Alle EU-Mitgliedstaaten müssen Wallets bereitstellen, die über nationale Grenzen hinweg interoperabel sind – ein österreichischer Kunde kann damit ebenso problemlos digital identifiziert werden wie ein deutscher, ohne separate Verfahren für jedes Land einrichten zu müssen.

Hinzu kommt der Datensparsamkeits-Aspekt: Regulierte Institute dürfen nur die Attribute anfordern, die eine Transaktion tatsächlich erfordert. Vollständige Identitätsdatensätze dort anzufordern, wo nur eine Altersverifikation benötigt wird, ist nicht konform. Das bedeutet konkret: Bestehende KYC-Datenabfrageprozesse müssen inhaltlich überprüft und gegebenenfalls neu zugeschnitten werden – nicht allein auf technischer, sondern auch auf prozessualer Ebene.

Die technischen Anforderungen an die Relying Party

Ein Haftungsdach, das EUDI-Wallet-basiertes Onboarding ermöglichen will, tritt in der Rolle der sogenannten Relying Party auf – also als Dienstleister, der Wallet-Präsentationen entgegennimmt und verifiziert. Relying Parties können von EUDI-Wallet-Nutzern sowohl personenidentifizierende Daten (PID) als auch nicht-PID-bezogene Attributs-Bescheinigungen anfordern und müssen deren Echtheit und Gültigkeit überprüfen können. Für das Onboarding ist eine vorherige Registrierung beim zuständigen nationalen Relying-Party-Registrar erforderlich.

Die EUDI-Wallet nutzt ISO/IEC 18013-5, W3C Verifiable Credentials und EUDI-spezifische ARF-Spezifikationen. Relying-Party-Systeme müssen diese Standards unterstützen. Für die meisten Haftungsdächer bedeutet das: Die Integration erfolgt nicht durch Eigenentwicklung, sondern über spezialisierte Plattformanbieter oder KYC-Dienstleister, die diese Standards bereits abbilden und als technischer Intermediär agieren können.

Ein Intermediär ist eine technische oder organisatorische Stelle, die im Auftrag einer Relying Party mit der EUDI-Wallet kommuniziert, ohne selbst als Relying Party registriert zu sein. Er übernimmt Aufgaben wie die Weiterleitung von Anfragen, Schnittstellenintegration und Validierung von Attributs-Bescheinigungen. Für kleinere Haftungsdachstrukturen, denen eigene IT-Kapazitäten für eine direkte Integration fehlen, ist dieser Intermediär-Weg die realistischste Option.

Offene rechtliche Fragen und Haftungsrisiken

So klar die technischen Standards auf dem Papier erscheinen – in der Praxis bestehen noch erhebliche Unklarheiten, die Haftungsdächer kennen müssen.

Erstens: Haftung bei fehlerhafter Wallet-Präsentation. Was passiert, wenn ein Kunde mit einer manipulierten oder gestohlenen Wallet onboarded wird und später ein Schaden entsteht? Die Frage, ob das Haftungsdach als Relying Party die volle Sorgfaltspflicht im GwG-Sinne erfüllt hat, wenn es sich auf staatlich zertifizierte Wallet-Daten verlassen hat, ist bisher nicht abschließend durch Aufsichtspraxis oder Rechtsprechung geklärt. Die EUDI-Wallet ist kein reines IT-Thema: Regulatorische Anforderungen, Haftungsfragen und technische Integration greifen ineinander, und ohne klare Verantwortlichkeiten besteht die Gefahr, dass notwendige Vorbereitungen verzögert werden.

Zweitens: Parallelbetrieb ist Pflicht. Banken sollten sich darauf einstellen, dass sie noch mehrere Jahre nach der Einführung sowohl Kunden mit als auch ohne EUDI-Wallet betreuen werden. Das bedeutet: Die klassischen Onboarding-Wege – Videoident, PostIdent, persönliche Legitimation – bleiben parallel erforderlich. Ein rein wallet-basierter Prozess ist weder technisch noch rechtlich kurzfristig realisierbar.

Drittens: Datenschutz und DSGVO-Konformität. Die Wallet ermöglicht selektive Datenweitergabe – das ist datenschutzrechtlich ein Fortschritt. Aber die Frage, wie lange Haftungsdächer die empfangenen verifizierten Attribute aufbewahren dürfen und müssen, und wie das mit den GwG-Aufbewahrungsfristen zusammenspielt, bedarf interner rechtlicher Prüfung.

Viertens: Sicherheit der Onboarding-Strecke selbst. BSI und ANSSI warnen, dass viele Angriffe auf digitale Identitätsprozesse schwer erkennbar sind und in der Praxis eine zuverlässige Validierung erheblich erschweren. Sie fordern einen europaweit harmonisierten Ansatz mit klaren technischen Anforderungen und verpflichtenden Testverfahren. Haftungsdächer sollten bei der Auswahl von Plattformpartnern auf deren Sicherheitsarchitektur und Zertifizierungsstand achten.

Chancen, die über Compliance hinausgehen

Es wäre zu defensiv gedacht, die EUDI-Wallet allein als Compliance-Aufgabe zu betrachten. Das EUDI-Wallet ermöglicht die Speicherung und Verifizierung einer Vielzahl von Attributen – von Berufsqualifikationen bis Einkommensnachweisen – und bietet Institutionen die Grundlage, neue, vertrauenswürdige Produkte zu entwickeln, die über das traditionelle Angebot hinausgehen.

Für Haftungsdächer mit breitem Vermittlernetzwerk bedeutet das: Wer wallet-basiertes Onboarding früh standardisiert, senkt nicht nur Fehlerkosten und Bearbeitungszeiten, sondern schafft auch die Voraussetzung für schnellere Produktzugänge, vereinfachte Kundenmigration zwischen Vermittlern und ein durchgängig digitales Kundenerlebnis – ohne Medienbrüche, ohne Papier, ohne Nacherfassungsaufwand.

Fazit: Das Zeitfenster zum Handeln ist jetzt offen

Die verbindliche Akzeptanzpflicht für Finanzdienstleister tritt Ende 2027 in Kraft. Das klingt nach ausreichend Vorlaufzeit. Ist es nicht. Bis 2027 treffen die eIDAS-2-Regulierung, das AML-Single-Rulebook und die Instant-Payments-Verordnung zusammen – und verändern gemeinsam, wie Finanzinstitute Identität, Zahlung und Compliance künftig technisch abbilden. Wer alle drei Entwicklungen getrennt voneinander behandelt, wird dreimal transformieren müssen. Wer sie zusammendenkt, kann einmal investieren und dreifach profitieren.

INNO INVEST unterstützt seine Partner beim strukturierten Einstieg in die EUDI-Wallet-Readiness – von der Gap-Analyse über die Dienstleisterauswahl bis zur Schulung der Vermittler. Sprechen Sie uns an.

Dieser Artikel dient der allgemeinen Information und stellt keine Rechts- oder Anlageberatung dar. Für individuelle rechtliche Fragestellungen empfehlen wir die Konsultation eines auf Finanzaufsichtsrecht spezialisierten Rechtsanwalts.

Quellen

Über das Haftungsdach der INNO INVEST

INNO INVEST Geschäftsführung | Herbert Schmitt und Stefan Schmitt — INNO INVEST
Geschäftsführung: Herbert Schmitt (li)
und Stefan Schmitt (re)
Vermögensverwaltung | Haftungsdach

Als einer der modernsten Haftungsdach-Vermögensverwalter bietet die INNO INVEST neben der hauseigenen Vermögensverwaltung für vermögende Privatkunden und Unternehmer auch die gesamte Wertschöpfungskette des Wealth Managements über ihre eigene Wealthtech-Plattform für externe Vermögensverwalter, Multi Family Offices und Anlageberater an. Mit Anbindungen an renommierte Depotbanken wie bspw. UBS, DAB BNP Paribas, V-Bank, Comdirect, FNZ, die österreichische easybank oder Interactive Brokers LLC. kooperiert INNO INVEST auch mit innovativen Produktplattformen wie Privatize oder Weltsparen by Raisin sowie mit ausgewählten Private Equity-Häusern. Aus Darmstadt heraus werden die Klassische sowie die Online-Vermögensverwaltung für vermögende Privatkunden und Unternehmer, als Infrastruktur-Fintech die Wealthtech-Plattform für Investment-Fintechs und für vertraglich gebundene Vermittler ein professionelles Haftungsdach angeboten.

Entdecken Sie hier unsere Vermögensverwaltung: