eIDAS 2.0 und die EU-Brieftasche für digitale Identität einfach erklärt

eIDAS 2.0 ist die informelle Bezeichnung für die Verordnung (EU) 2024/1183, mit der die ursprüngliche eIDAS-Verordnung (910/2014) geändert und das europäische Rahmenwerk für die digitale Identität darauf aufgebaut wird. Es handelt sich nicht um eine Ablösung, sondern um eine Änderung. Das dreistufige Signatursystem, das Sie bereits kennen (SES, AES, QES), bleibt genau so bestehen, wie es war. Neu ist eine zusätzliche Ebene: eine staatlich abgesicherte digitale Identitäts-Wallet, die jeder EU-Bürger und jede in der EU ansässige Person nutzen kann, sowie eine rechtliche Verpflichtung für weite Teile der Privatwirtschaft, diese zu akzeptieren.

Die Verordnung wurde am 11. April 2024 verabschiedet, am 30. April 2024 im Amtsblatt veröffentlicht und trat im Mai 2024 in Kraft. (Vereinzelte Quellen nennen in diesem Zeitfenster leicht abweichende Tage; für eine rechtsverbindliche Angabe sollte EUR-Lex als maßgebliche Quelle herangezogen werden.)

Wer Verträge unterzeichnet, Kundenidentitäten prüft oder in einem regulierten Sektor mit EU-Bezug tätig ist, sollte sich schon jetzt mit eIDAS 2.0 befassen — nicht erst Ende 2027, wenn die verpflichtende Akzeptanzfrist tatsächlich greift.

eIDAS 1.0 war größtenteils eine Angelegenheit des öffentlichen Sektors. Die Verordnung erlaubte EU-Regierungen, eID-Systeme auszustellen, und verlangte deren grenzüberschreitende Anerkennung zwischen Mitgliedstaaten — private Unternehmen wurden jedoch nie verpflichtet, irgendeine digitale ID zu akzeptieren. eIDAS 2.0 verändert diesen Geltungsbereich auf drei konkrete Arten.

Erstens weitet die Verordnung die Akzeptanzpflichten vom öffentlichen Sektor auf eine definierte Liste privater Branchen aus: Banken, Zahlungs- und E-Geld-Institute, Telekommunikation, Verkehr, Energie, Gesundheitswesen, Bildung sowie sehr große Online-Plattformen (VLOPs) mit mehr als 45 Millionen EU-Nutzern. Zweitens standardisiert sie die grenzüberschreitende Interoperabilität über Durchführungsrechtsakte und ETSI-Technikstandards, sodass eine in Portugal ausgestellte Wallet auch bei einem Unternehmen in Deutschland gleich funktionieren muss. Drittens verschärft sie die Datenschutz- und Datenminimierungsregeln: Eine Wallet muss es ermöglichen, nur das konkret benötigte Attribut zu teilen (etwa "ist volljährig"), statt den gesamten Identitätsdatensatz preiszugeben.

An den rechtlichen Definitionen von SES, AES oder QES nach Artikel 25 der geänderten Verordnung ändert sich dadurch nichts. Eine qualifizierte elektronische Signatur besitzt weiterhin genau die "einer handschriftlichen Unterschrift gleichwertige Rechtswirkung", die sie schon immer hatte. Neu ist, *wie* die Identität hinter dieser Signatur nachgewiesen wird — zunehmend über einen Wallet-Nachweis statt über einen einmaligen Videoanruf oder das Hochladen eines Ausweisdokuments.

Die EU-Brieftasche für digitale Identität (European Digital Identity Wallet, EUDI-Wallet) ist eine kostenlose, staatlich ausgestellte App, die Ihre verifizierte Identität speichert und es erlaubt, einzelne Bestandteile davon (einen Führerschein, ein Diplom, einen Altersnachweis, einen KYC-Nachweis der Bank) gezielt mit Unternehmen und Behörden zu teilen, die Ihre Identität prüfen müssen.

Stellen Sie sich das weniger wie einen einzigen Ausweis vor und mehr wie eine sichere Mappe mit überprüfbaren Nachweisen, die Sie selbst kontrollieren. Sie entscheiden, was Sie mit wem und für wie lange teilen. Wallets werden anhand der technischen und sicherheitsrelevanten Anforderungen aus den Durchführungsrechtsakten zertifiziert; die ersten davon erschienen ab Dezember 2024, weitere folgten im Laufe von 2025, während die ETSI-Standardisierungsarbeit voranschreitet.

Hier der ehrliche Vorbehalt: Stand Mitte 2026 verläuft die Wallet-Einführung zwischen den Mitgliedstaaten noch uneinheitlich. Manche Regierungen führen bereits umfangreiche Pilotprojekte durch (die EU-geförderten Large-Scale-Pilots-Konsortien testen seit 2023 Anwendungsfälle wie SIM-Registrierung, Altersverifikation und Diplomprüfungen), während andere beim produktiven Rollout weiter zurückliegen. Die Verordnung setzt jedem Mitgliedstaat eine feste Frist, mindestens eine zertifizierte Wallet bereitzustellen — die Tabelle weiter unten zeigt genau, wann diese Frist greift.

eIDAS 2.0 kam nicht mit einem einzigen Stichtag, an dem plötzlich alles greift. Die Einführung erfolgt in Etappen, und die beiden für Unternehmen wichtigsten Termine stehen unten in der Tabelle. Wird der erste verpasst, ist man bei der Angebotspflicht nicht konform; wird der zweite verpasst, ist man bei der Akzeptanzpflicht nicht konform.

Laut der EUDI-Regulierungsseite der Europäischen Kommission hatten sich bereits rund 20 EU-Mitgliedstaaten großangelegten Wallet-Pilotprojekten angeschlossen, noch bevor die verpflichtende Einführungsfrist überhaupt zu laufen begann — ein Zeichen dafür, dass dies für die meisten Länder des Blocks kein kompletter Neustart ist. Vier Konsortien (mit Anwendungsfällen wie Zahlungen, Reisen, Bildungsnachweisen und digitalen Führerscheinen) führen seit 2023 grenzüberschreitende Tests durch — genau die Art von Vorarbeit, die die Frist Ende 2026 realistisch statt bloß wünschenswert machen soll.

Hier die Frage, die sich die meisten eigentlich stellen: Ändert eIDAS 2.0, wie E-Signaturen funktionieren? Kurze Antwort: nein, nicht die rechtliche Mechanik. Längere Antwort: Es ändert sich, wie die Identität hinter der Signatur nachgewiesen wird — und das ist eigentlich der nützlichere Teil.

Die drei Stufen bleiben unverändert. Die einfache elektronische Signatur (SES) ist weiterhin ein simples Klick-zum-Signieren. Die fortgeschrittene elektronische Signatur (AES) ist weiterhin eindeutig mit dem Unterzeichner verknüpft und manipulationssicher. Die qualifizierte elektronische Signatur (QES) erfordert weiterhin ein qualifiziertes Zertifikat eines akkreditierten Vertrauensdiensteanbieters und besitzt weiterhin dieselbe Rechtswirkung wie eine handschriftliche Unterschrift nach Artikel 25 Absatz 2. Daran hat sich nichts geändert.

Was sich herausbildet — geprägt durch die Durchführungsrechtsakte und ETSI-Standards, die zwischen 2025 und 2026 eingeführt werden — ist die wallet-gebundene QES: Die Identitätsprüfung für ein qualifiziertes Zertifikat stützt sich zunehmend auf einen EUDI-Wallet-Nachweis statt auf eine einmalige Video-Identifikation oder das Scannen eines physischen Ausweises. In der Praxis könnte das bedeuten, dass sich ein Unterzeichner einmal über seine Wallet authentifiziert und diese verifizierte Identität anschließend bei mehreren Signaturvorgängen mit unterschiedlichen Anbietern wiederverwendet, statt seine Identität jedes Mal erneut nachzuweisen. Das ist eine echte Verbesserung gegenüber dem bisherigen Ablauf, befindet sich aber noch in der Reifung. Es sollte als aufkommende, durch eIDAS 2.0 ermöglichte Praxis verstanden werden — noch nicht als universeller, sofort einsetzbarer Ersatz für bestehende QES-Identitätsprüfungsverfahren.

Bis Ende 2027 hört die Wallet-Akzeptanz auf, optional zu sein — für eine konkret benannte Liste von Branchen: Banken und andere Finanzinstitute, Zahlungs- und E-Geld-Anbieter, Versicherer, Gesundheitsdienstleister sowie sehr große Online-Plattformen mit mehr als 45 Millionen monatlichen EU-Nutzern. Diese Schwelle von 45 Millionen entspricht etwa 10 % der EU-Gesamtbevölkerung, die einen einzigen Dienst nutzt, bevor die Wallet-Akzeptanz dafür verpflichtend wird — eine hohe, aber für eine Handvoll großer Tech-Unternehmen nicht unerreichbare Hürde. Wer in eine dieser Kategorien fällt, für den ist die Wallet keine Integration, die man beliebig aufschieben kann. Es handelt sich um eine gesetzliche Akzeptanzpflicht mit einem festen Datum.

Alle anderen (Einzelhändler, Agenturen, die meisten SaaS-Unternehmen, Dienstleistungsfirmen) stehen aktuell nicht auf der Liste der verpflichtenden Akzeptanz. Das heißt nicht, das Thema zu ignorieren. Zwei Dinge sollten trotzdem eingeplant werden: Kunden oder Partner könnten schon lange vor einer verpflichtenden Frist freiwillig Wallet-Nachweise vorlegen, und B2B-Verträge verlangen bei der Beschaffungs-Due-Diligence zunehmend eine Bestätigung der eIDAS-2.0-Bereitschaft — ähnlich, wie die DSGVO-Konformität vor einigen Jahren zu einem Standardpunkt in Lieferantenfragebögen wurde.

Es braucht kein sechsstelliges Compliance-Projekt, um hier vorne mit dabei zu sein. Fünf praktische Schritte decken das Wesentliche ab.

1. 1
   Ordnen Sie sich ehrlich ein. Sind Sie in einem regulierten Sektor tätig oder nähern Sie sich der VLOP-Nutzerschwelle? Falls nicht, ist der Fristendruck geringer, aber nicht null. Siehe den Punkt oben zu freiwilliger Wallet-Vorlage und Beschaffungsfragebögen.
2. 2
   Erfassen Sie Ihre Identitätsberührungspunkte. Wo findet aktuell Identitätsprüfung, KYC, starke Kundenauthentifizierung oder Signaturverifizierung statt, und welche dieser Abläufe brauchen wirklich hohe Vertrauensstufen im Vergleich zu risikoarmen?
3. 3
   Behalten Sie den technischen Fahrplan 2026–2027 im Blick. EUDI-Wallets werden sich voraussichtlich über OIDC-ähnliche Abläufe authentifizieren, und qualifizierte Vertrauensdiensteanbieter werden APIs für die AES-/QES-Ausstellung auf Basis von Wallet-Nachweisen bereitstellen. Das muss man nicht selbst bauen, braucht aber einen Signatur-Anbieter, dessen Fahrplan das bereits abdeckt.
4. 4
   Aktualisieren Sie die Dokumentation: Nutzungsbedingungen, Datenschutzhinweise und Vertragsvorlagen sollten einen wallet-basierten Identitätsnachweis und eine QES neben den bestehenden Signaturmethoden anerkennen — nicht als hypothetischen Zukunftsfall, sondern als bereits vorgesehene Option.
5. 5
   Testen Sie, bevor Sie dazu gezwungen sind. Prüfen Sie die Wallet-Akzeptanz in einer Nicht-Produktivumgebung deutlich vor jeder Frist — genauso, wie kluge Teams die DSGVO-Abläufe für Betroffenenanfragen bereits 2017 pilotierten, statt sich im Mai 2018 in Panik zu stürzen.

Nichts davon erfordert, den bestehenden Signatur-Stack herauszureißen. Es erfordert die Wahl eines Anbieters, der die Durchführungsrechtsakte bereits im Blick hat, sodass die Wallet-Akzeptanzarbeit auf dessen Fahrplan landet und nicht auf Ihrem.

Chaindoc ist zuallererst eine Dokumentenplattform: einen Vertrag erstellen, unterzeichnen lassen, bezahlt werden — alles ohne Tool-Wechsel. Compliance ist dabei die Vertrauensebene unter diesem Workflow, kein separates, nachträglich angeflanschtes Produkt.

Schon heute unterstützt der Signatur-Workflow von Chaindoc Signaturen auf SES- und AES-Niveau mit Identitätsprüfung vor dem Dokumentenzugriff, einem im Moment der Unterzeichnung erzeugten kryptografischen Dokument-Hash und einem manipulationssicheren, blockchain-verankerten Prüfpfad — genau die Non-Repudiation-Mechanik, die unser Leitfaden zur Compliance digitaler Signaturen für eIDAS, DSGVO und NIST gemeinsam behandelt. Jedes signierte Dokument lässt sich sofort über die kostenlose Online-PDF-Verifizierung prüfen, sodass ein Partner Ihnen nie einfach glauben muss, dass ein Vertrag nach der Unterzeichnung nicht verändert wurde.

Während die Durchführungsrechtsakte die Standards für Wallet-Nachweise bis 2026 finalisieren, ist genau diese Prüfpfad-Architektur das, was eine wallet-gebundene QES darunter braucht: verifizierte Identität, ein unveränderlicher Hash und eine zeitgestempelte Verwahrkette. Der Signaturprozess muss nicht von Grund auf neu aufgebaut werden, wenn die Wallet-Pflicht greift. Gebraucht wird ein Anbieter, der rechtliche Durchsetzbarkeit bereits als zentrales Merkmal behandelt und nicht als nachträglichen Gedanken. Der kostenlose Chaindoc-Plan kostet dauerhaft 0 €/Monat, ganz ohne Kreditkarte — das Testen eines eIDAS-tauglichen Workflows vor 2027 braucht also keinen eigenen Beschaffungsprozess. Bezahlpläne lassen sich auf der Chaindoc-Preisseite vergleichen, sobald der Umstieg über den kostenlosen Plan hinaus ansteht.

eIDAS 2.0 ist kein neues Signaturgesetz. Es ist ein neues Identitätsgesetz, das neben den bereits bekannten Signaturregeln steht. SES, AES und QES bedeuten genau das, was sie schon unter eIDAS 1.0 bedeuteten. Was sich ändert, ist, wer eine staatlich ausgestellte digitale Wallet akzeptieren muss und bis wann: Jeder Mitgliedstaat bietet bis Ende 2026 eine an, und benannte regulierte Branchen sowie sehr große Plattformen müssen sie bis Ende 2027 akzeptieren.

Wer nicht in einem regulierten Sektor tätig ist, hat noch Zeit — aber "Zeit haben" heißt nicht "ignorieren". Starten Sie mit der Checkliste oben, behalten Sie die Durchführungsrechtsakte im Blick, während sie bis 2026 finalisiert werden, und wählen Sie einen Signatur-Anbieter, dessen Compliance-Fahrplan bereits von wallet-gebundenen Nachweisen ausgeht. Das ist ein kleinerer Aufwand, als die meisten Teams erwarten — und ein deutlich kleinerer, als in letzter Minute Ende 2027 hektisch nachzuziehen.

Für das vollständige Compliance-Bild über eIDAS, DSGVO und NIST hinweg ist unser Leitfaden zur Compliance digitaler Signaturen die naheliegende nächste Lektüre.