eIDAS 2.0 erklärt: EUDI-Wallet, Fristen und was sich für E-Signaturen in Deutschland ändert

eIDAS 2.0 ist die Verordnung (EU) 2024/1183: Sie ist seit dem 20. Mai 2024 in Kraft und ändert die eIDAS-Verordnung Nr. 910/2014. Jeder Mitgliedstaat muss bis zum 24. Dezember 2026 eine EUDI-Wallet bereitstellen. Private Anbieter ab mittlerer Größe, für die online eine starke Nutzerauthentifizierung vorgeschrieben ist, müssen sie spätestens ab dem 24. Dezember 2027 akzeptieren, wenn Nutzer das wünschen. SES, AES und QES bleiben unverändert.

Die eIDAS-Verordnung von 2014 regelt die elektronische Identifizierung und Vertrauensdienste wie elektronische Signaturen, Siegel und Zeitstempel und unterscheidet drei Signaturstufen: einfach, fortgeschritten, qualifiziert. Sie gilt weiter, jetzt in geänderter Fassung; "eIDAS 2.0" ist nur ein inoffizieller Name dafür.

Erlassen wurde die Verordnung am 11. April 2024, im Amtsblatt stand sie am 30. April 2024. Den Wortlaut finden Sie in der Verordnung (EU) 2024/1183 auf EUR-Lex.

Nach der Fassung von 2014 konnten die Mitgliedstaaten ihre eID-Systeme notifizieren; eine Wallet-Pflicht oder eine Pflicht für Unternehmen, staatliche eID anzunehmen, gab es nicht. Für Unternehmen zählen fünf Neuerungen:

1. 1.
   Jeder Mitgliedstaat stellt mindestens eine EUDI-Wallet bereit (Art. 5a).
2. 2.
   Behörden, private Anbieter mit Pflicht zur starken Nutzerauthentifizierung und sehr große Online-Plattformen müssen die Wallet annehmen (Art. 5f).
3. 3.
   Neue Vertrauensdienste kommen hinzu, etwa Archivierung und elektronische Journale (Art. 3 Nr. 16).
4. 4.
   Die Identität für ein qualifiziertes Zertifikat darf über die EUDI-Wallet geprüft werden (Art. 24 Abs. 1a).
5. 5.
   Browser müssen qualifizierte Website-Zertifikate anerkennen (Art. 45 Abs. 1a).

Formvorschriften für Verträge berührt die Verordnung nicht (Art. 2 Abs. 3); in Deutschland bleibt dafür das BGB maßgeblich.

Die EUDI-Wallet heißt in der Verordnung "Europäische Brieftasche für die Digitale Identität". In dieser App speichern Sie Identitätsdaten und Nachweise, laut BMDS etwa Personalausweis und Führerschein, und zeigen sie bei Bedarf vor. Die Daten stehen unter Ihrer alleinigen Kontrolle, und die Wallet muss selektive Offenlegung ermöglichen (Art. 5a Abs. 4). Wer nur sein Alter nachweisen soll, teilt also nicht den ganzen Datensatz.

Ausgeben darf sie der Staat, ein Anbieter in seinem Auftrag oder ein vom Staat anerkannter Anbieter (Art. 5a Abs. 2); der Code der App ist bis auf wenige Ausnahmen quelloffen (Abs. 3).

Für Bürgerinnen und Bürger ist die Wallet kostenlos und freiwillig; andere Identifizierungsmittel bleiben möglich (Art. 5a Abs. 13 und 15). Für E-Signaturen wichtig: Die Wallet muss qualifiziert signieren können, für natürliche Personen standardmäßig kostenlos. Die Mitgliedstaaten dürfen das auf nichtgewerbliche Zwecke beschränken (Art. 5a Abs. 5 lit. g).

Erprobt wurde das ab April 2023 in vier von der Kommission kofinanzierten Pilotprojekten mit mehr als 350 Einrichtungen, darunter Unternehmen und Behörden; einer der elf Anwendungsfälle war das Unterzeichnen von Verträgen. In Deutschland heißt die staatliche Wallet d-you und soll am 2. Januar 2027 starten.

Art. 5a Abs. 1 gibt den Mitgliedstaaten 24 Monate ab dem Inkrafttreten bestimmter Durchführungsrechtsakte. Diese fünf Verordnungen traten am 24. Dezember 2024 in Kraft, damit endet die Wallet-Frist am 24. Dezember 2026. Private Anbieter haben nach Art. 5f Abs. 2 ab demselben Tag 36 Monate, bis zum 24. Dezember 2027.

Zwei weitere Pakete folgten: im Mai 2025 unter anderem die Registrierung vertrauender Beteiligter (2025/848), im Juli 2025 die Standards für die Identitätsprüfung (2025/1566).

An der Rechtswirkung elektronischer Signaturen ändert eIDAS 2.0 nichts. Einer elektronischen Signatur darf die Rechtswirkung weiter nicht allein deshalb abgesprochen werden, weil sie elektronisch oder nicht qualifiziert ist (Art. 25 Abs. 1). Die QES hat nach wie vor die gleiche Rechtswirkung wie eine handschriftliche Unterschrift (Abs. 2). Auch die vier AES-Anforderungen in Art. 26 bleiben: eindeutige Zuordnung, Identifizierbarkeit, alleinige Kontrolle des Unterzeichners, erkennbare spätere Änderungen.

Neu ist Art. 26 Abs. 2: Die Kommission sollte bis zum 21. Mai 2026 bewerten, ob Referenzstandards für die AES nötig sind; ihre Einhaltung würde eine Konformitätsvermutung begründen.

Bewegung gibt es beim Weg zur QES. Der Vertrauensdiensteanbieter darf die Identität für ein qualifiziertes Zertifikat auch über die EUDI-Wallet prüfen (Art. 24 Abs. 1a lit. a); die Referenzstandards dafür setzt die Durchführungsverordnung 2025/1566, anwendbar ab dem 19. August 2027.

Welche Voraussetzungen eine QES im Einzelnen hat, steht in unserem Beitrag zu den Anforderungen an die QES.

Zu den Vertrauensdiensten in Art. 3 Nr. 16 kommen vier Bereiche hinzu, die Unternehmen mit Verträgen und Nachweisen direkt betreffen.

Elektronische Attributsbescheinigung

Sie bestätigt einzelne Merkmale, etwa Alter, Berufsqualifikation oder Vollmacht (Beispiele aus Anhang VI). Ihr darf die Rechtswirkung nicht allein deshalb abgesprochen werden, weil sie elektronisch oder nicht qualifiziert ist. Qualifizierte Bescheinigungen und solche einer für eine authentische Quelle zuständigen öffentlichen Stelle wirken wie Papierbescheinigungen (Art. 45b).

Elektronische Archivierung

Ein qualifizierter Archivierungsdienst wird nur von einem qualifizierten Vertrauensdiensteanbieter erbracht. Er muss Daten und Dokumente mindestens für die gesamte gesetzliche oder vertragliche Aufbewahrungsfrist dauerhaft lesbar halten (Art. 45j).

Elektronisches Journal

Gemeint ist eine Abfolge von Datensätzen, die deren Unversehrtheit und chronologische Reihenfolge gewährleistet (Art. 3 Nr. 52). Einem Journal darf die Rechtswirkung nicht allein deshalb abgesprochen werden, weil es nicht qualifiziert ist (Art. 45k Abs. 1). Die Vermutung für Reihenfolge und Unversehrtheit gilt nur für qualifizierte Journale, die qualifizierte Vertrauensdiensteanbieter führen (Abs. 2, Art. 45l).

Verwaltung von Fernsignaturerstellungseinheiten

Bei der Fernsignatur verwaltet ein Anbieter die Signaturerstellungseinheit im Namen des Unterzeichners (Art. 3 Nr. 23a). Das ist jetzt ein eigener Vertrauensdienst; die qualifizierte Variante regelt die Durchführungsverordnung 2025/1567 ab dem 19. August 2027.

Außerdem müssen Browser qualifizierte Zertifikate für die Website-Authentifizierung anerkennen und die bestätigten Identitätsdaten benutzerfreundlich anzeigen (Art. 45 Abs. 1a).

Ob ein Anbieter wirklich qualifiziert ist, zeigt die Vertrauensliste: Anbieter in der EU-Vertrauensliste prüfen. Siegel für Unternehmen erklärt der Beitrag zu elektronischen Siegeln nach eIDAS.

Art. 5f nennt drei Gruppen:

1. 1.
   Behörden: Wo ein Online-Dienst einer öffentlichen Stelle elektronische Identifizierung verlangt, muss auch die EUDI-Wallet akzeptiert werden (Abs. 1).
2. 2.
   Private Anbieter: Wer nach Unionsrecht, nationalem Recht oder Vertrag für die Online-Identifizierung starke Nutzerauthentifizierung einsetzen muss, akzeptiert die Wallet spätestens zum 24. Dezember 2027, und nur, wenn der Nutzer das freiwillig verlangt (Abs. 2). Kleinst- und kleine Unternehmen nach der Empfehlung 2003/361/EG sind ausgenommen.
3. 3.
   Sehr große Online-Plattformen: Verlangen sie eine Nutzerauthentifizierung, akzeptieren sie auf Wunsch des Nutzers auch die Wallet, für die minimal nötigen Daten (Abs. 3).

Für Gruppe 2 nennt die Verordnung Beispiele wie Verkehr, Energie, Banken, Gesundheit und Telekommunikation; die Liste ist offen. Entscheidend ist die Pflicht zur starken Nutzerauthentifizierung, also zu mindestens zwei unabhängigen Faktoren aus Wissen, Besitz oder Inhärenz (Art. 3 Nr. 51). Sehr große Online-Plattformen sind solche nach Art. 33 des Gesetzes über digitale Dienste mit durchschnittlich mindestens 45 Millionen monatlich aktiven Nutzern in der EU, laut Erwägungsgrund 76 rund 10 % der EU-Bevölkerung.

Wer die Wallet einbinden will, heißt in der Verordnung vertrauender Beteiligter und registriert sich in dem Mitgliedstaat, in dem er niedergelassen ist (Art. 5b Abs. 1). Nur registrierte vertrauende Beteiligte erhalten ein Zugriffszertifikat (2025/848, Art. 7), und die Wallet prüft dieses Zertifikat bei jeder Interaktion (2024/2982, Art. 3).

Welche Form ein Vertrag braucht, regelt in Deutschland das BGB. Schreibt ein Gesetz die Schriftform vor, kann sie nach § 126 Abs. 3 BGB durch die elektronische Form ersetzt werden, wenn das Gesetz nichts anderes bestimmt. Dafür verlangt § 126a BGB, dass der Aussteller seinen Namen hinzufügt und das Dokument qualifiziert elektronisch signiert. Bei einem Vertrag signieren die Parteien jeweils ein gleichlautendes Dokument so. § 126a betrifft die gesetzlich vorgeschriebene Schriftform, nicht jeden Vertrag.

Die Aufsicht über Vertrauensdienste liegt nach § 2 VDG für Signaturen, Siegel, Zeitstempel und Einschreiben bei der Bundesnetzagentur, für Website-Zertifikate beim BSI.

Die staatliche EUDI-Wallet heißt d-you. Laut Pressemitteilung des BMDS vom 9. September 2026 startet sie am 2. Januar 2027 mit rund 40 Partnern aus Wirtschaft, Wissenschaft und Verwaltung. Zum Start sollen unter anderem Altersnachweis, rechtssicherer Vertragsabschluss und Kontoeröffnung möglich sein; die Nutzung ist freiwillig und kostenlos. Qualifizierte elektronische Signaturen soll d-you laut BMDS-Themenseite zur EUDI-Wallet "perspektivisch" unterstützen. Fest einplanen sollten Sie eine QES aus d-you zum Start also nicht.

Die nationale Rechtsgrundlage soll das Digitale Identitätengesetz (DIdG) schaffen. Den Entwurf hat das Bundeskabinett beschlossen, so die Meldung der Bundesregierung.

Fünf Punkte zeigen, wie viel eIDAS 2.0 für Ihr Unternehmen bedeutet.

1. 1.
   Fallen Sie unter Art. 5f Abs. 2? Das tun Sie nur, wenn ein Gesetz oder ein Vertrag Ihnen für die Online-Identifizierung starke Nutzerauthentifizierung vorschreibt und Sie nach der Empfehlung 2003/361/EG kein Kleinst- oder kleines Unternehmen sind.
2. 2.
   Wenn ja, setzen Sie den 24. Dezember 2027 als Frist an und planen Sie die Registrierung als vertrauender Beteiligter im Staat Ihrer Niederlassung ein. Die Regeln dafür (2025/848) gelten ab dem 24. Dezember 2026.
3. 3.
   Klären Sie, wo Sie eine QES brauchen: überall, wo ein Gesetz die Schriftform vorschreibt und Sie sie elektronisch ersetzen wollen (§ 126a BGB). Bei formfreien Verträgen richtet sich die Signaturstufe danach, was Sie im Streitfall beweisen müssen.
4. 4.
   Prüfen Sie den qualifizierten Status eines Anbieters in der Vertrauensliste, nicht auf seiner Website. Wie das geht, zeigt unsere Anleitung zur EU-Vertrauensliste.
5. 5.
   Planen Sie die Wallet als zusätzlichen Weg zur Identifizierung ein, nicht als einzigen. Wer keine Wallet nutzt, darf nicht benachteiligt werden (Art. 5a Abs. 15).

Laut der Sicherheitsdokumentation von Chaindoc (auf Englisch) trägt jedes Dokument eine in das PDF eingebettete PAdES-BES-Signatur. Sie ist an ein nutzerbezogenes ECDSA-P-256-Zertifikat der Chaindoc-CA gebunden, und Chaindoc ordnet sie dort als fortgeschrittene elektronische Signatur nach Art. 26 eIDAS ein. Sobald alle Unterzeichner signiert haben, wird der Hash des fertigen PDFs in die Blockchain SKALE Calypso geschrieben. Jeder kann die Datei später erneut hashen und über die kostenlose Online-PDF-Verifizierung abgleichen.

Müssen Sie vor der Unterschrift wissen, wer unterschreibt, läuft die Identitätsprüfung als KYC im Signaturprozess mit, und das Ergebnis landet im Audit-Trail. KYC-Prüfungen sind in den Bezahlplänen enthalten: eine pro Monat im Personal-, fünf im Team- und zehn im Business-Plan. Wann sich das lohnt, beschreibt unser Beitrag zur Identitätsprüfung vor der Unterschrift.

Zwei Grenzen sollten Sie kennen. Chaindoc ist kein Vertrauensdiensteanbieter und stellt keine qualifizierten Zertifikate aus. Und der Blockchain-Eintrag steht in keinem qualifizierten elektronischen Journal: Die Rechtswirkung darf ihm nicht allein deshalb abgesprochen werden (Art. 45k Abs. 1), die Vermutung aus Abs. 2 gilt für ihn aber nicht.

Den Signatur-Workflow von Chaindoc testen Sie im Free-Plan: dauerhaft 0 €, 5 Signaturen im Monat, ohne Kreditkarte, allerdings ohne KYC. Die Bezahlpläne vergleichen Sie auf der Chaindoc-Preisseite.

Vier Daten gehören in Ihren Kalender: der 24. Dezember 2026 (Wallets der Mitgliedstaaten), der 2. Januar 2027 (Start von d-you), der 19. August 2027 (Standards für die Identitätsprüfung bei qualifizierten Zertifikaten) und der 24. Dezember 2027 (Akzeptanzpflicht für private Anbieter mit starker Nutzerauthentifizierung).

SES, AES, QES und die Formvorschriften des BGB bleiben unter eIDAS 2.0, wie sie sind. Prüfen Sie zuerst, ob Art. 5f Abs. 2 Sie trifft, dann, welche Verträge eine QES brauchen. Wie eIDAS, DSGVO und NIST zusammenspielen, zeigt unser Leitfaden zur Compliance digitaler Signaturen.