Woher die EU-Frist an Heiligabend für die digitale Identität kommt

Ich habe im EU-Recht nach dem Satz gesucht, nach dem jeder Mitgliedstaat den Bürgern bis zum 24. Dezember 2026 eine digitale Brieftasche anbieten muss. Er musste in Artikel 5a der eIDAS-Verordnung stehen, ganz sicher. Was in Artikel 5a Absatz 1 tatsächlich steht, ist, dass jedes Land mindestens eine Brieftasche „innerhalb von 24 Monaten nach dem Tag des Inkrafttretens der […] Durchführungsrechtsakte“ bereitstellen muss. Ein Datum steht dort überhaupt nicht. Heiligabend ist eine Rechnung, die jemand erst aufmachen musste.

Also habe ich nachgerechnet. Bei den Rechtsakten handelt es sich um fünf Durchführungsverordnungen der Kommission vom 28. November 2024, die am 4. Dezember 2024 im Amtsblatt veröffentlicht wurden, und jede davon tritt am zwanzigsten Tag nach ihrer Veröffentlichung in Kraft. Das ergibt den 24. Dezember 2024, und 24 Monate später ist nach meiner Rechnung der 24. Dezember 2026. Auf der Themenseite der Kommission selbst heißt es lediglich „bis Ende 2026“. Ein Bericht über eine Testveranstaltung, die die Kommission im Dezember 2025 in Brüssel durchführte, spricht von „der EUDIW-Frist im November 2026“ (wobei EUDIW das offizielle Kürzel für die Brieftasche ist), ein Monat, der in der Arithmetik nirgends auftaucht. Ich vermute, dass der November aus dem Auftrag der Verordnung stammt, diese Rechtsakte bis zum 21. November 2024 zu erlassen, was die Kommission um eine Woche verfehlt hat.

Was folgt, ist das Ergebnis meiner Lektüre der Verordnung und der Kommissionspapiere: was diese Brieftasche eigentlich sein soll, wen das Datum bindet und wie nah die Beteiligten Stand Anfang November 2026 dran schienen.

Was du laut Gesetz bekommen sollst

Das Gesetz ist die Verordnung (EU) Nr. 910/2014, bekannt als eIDAS, über elektronische Identifizierung und Vertrauensdienste. Eine Änderung aus dem Jahr 2024, die Verordnung (EU) 2024/1183, die seit dem 20. Mai 2024 in Kraft ist, hat die Brieftasche hinzugefügt. Die Definition in Artikel 3 ist genau so herzlich, wie man es erwarten würde: „ein elektronisches Identifizierungsmittel, das es dem Nutzer ermöglicht, Personenidentifizierungsdaten und elektronische Attributsbescheinigungen sicher zu speichern, zu verwalten und zu validieren“, damit du sie jedem vorlegen kannst, der danach fragt, und nebenbei noch Dokumente unterschreiben kannst.

Im Alltag handelt es sich um eine App, und die ENISA, die Cybersicherheitsagentur der EU, hält fest, dass die meisten Implementierungen für den Betrieb auf persönlichen Mobilgeräten ausgelegt sind. Sie enthält eine verifizierte Version deiner Identität sowie weitere bescheinigte Angaben über dich. Die Beispiele der Kommission sind mobile Führerscheine und Bildungsnachweise. Artikel 5a listet dann auf, was sie können muss, und diese Punkte fielen mir besonders auf:

• Ausstellung, Nutzung und Widerruf sind für Privatpersonen kostenlos.
• Die Nutzung ist freiwillig. Wer sie nicht nutzt, darf beim Zugang zu öffentlichen oder privaten Diensten „in keiner Weise eingeschränkt oder benachteiligt werden“, und andere Wege, sich auszuweisen, müssen verfügbar bleiben.
• Jeder erhält standardmäßig und kostenlos qualifizierte elektronische Signaturen, also die Art, die „die gleiche Rechtswirkung wie eine handschriftliche Unterschrift“ hat. Ein Land darf die kostenlose Variante auf nichtgewerbliche Zwecke beschränken.
• Der Quellcode der App muss quelloffen sein, auch wenn ein Land aus hinreichend begründeten Gründen Teile zurückhalten darf, die nicht auf deinem Gerät installiert sind.
• Ein Dashboard protokolliert jede Transaktion, und darüber kannst du ein Unternehmen auffordern, deine Daten zu löschen, oder es deiner Datenschutzbehörde melden.

Die Freiwilligkeitsklausel ist deutlicher, als ich es von einem EU-Text erwartet hätte. Eine staatliche App, die man ohne Nachteile ignorieren darf, wäre eine feine Sache, wenn man sie schriftlich hat. Und hier steht sie schwarz auf weiß.

Der Plastikkartentest

Greifbar wurden die Datenschutzversprechen für mich durch einen altmodischen Personalausweis aus Plastik, denn jeder digitale Ersatz sollte mindestens so gut abschneiden wie so eine Karte. Sie zeigt jedem, dem du sie in die Hand drückst, alles, was darauf gedruckt ist, und man kann nicht einfach die Hälfte wegklappen. In diesem Punkt soll die Brieftasche besser sein: Artikel 5a Absatz 4 verlangt, dass „eine selektive Offenlegung von Daten möglich ist“. Das heißt, dass du nur die Information vorzeigst, die ein Laden oder eine Website braucht, und den Rest zurückhältst.

Eine Plastikkarte telefoniert auch nicht jedes Mal beim Rathaus an, wenn jemand darauf schaut. Eine App könnte das ohne Weiteres tun, und die Gesetzgeber haben ganz offensichtlich daran gedacht. Brieftaschen müssen „bewirken, dass Vertrauensdiensteanbietern, die elektronische Attributsbescheinigungen ausstellen, nach der Ausstellung dieser Attribute keinerlei Informationen über die Verwendung dieser elektronischen Bescheinigungen zur Verfügung gestellt werden“, was bedeutet: Wer etwa ein Diplom in deiner Brieftasche hinterlegt hat, erfährt nicht, wo du es vorgezeigt hast. Obendrein darf der technische Rahmen diesen Ausstellern „oder anderen Parteien“ nicht gestatten, Daten zu erhalten, mit denen sich verfolgen oder korrelieren ließe, was du tust, es sei denn, du hast dem ausdrücklich zugestimmt.

All das ist eine Anforderung auf dem Papier, und das fertige Produkt hat mir bislang niemand vorgeführt. Eine Vorschrift, die einem System das Tracking verbietet, reicht nur bis zu einem gewissen Punkt. Deshalb gehört diesem Thema der nächste Beitrag.

Wen das Datum tatsächlich bindet

Es lohnte sich, Artikel 5a Absatz 1 und die Akzeptanzregeln aus Artikel 5f nebeneinanderzulegen, denn sie funktionieren keineswegs alle nach demselben Muster.

Wer	Was getan werden muss	Datum im Text
Jeder Mitgliedstaat	Mindestens eine Brieftasche bereitstellen	Keines: 24 Monate ab dem 24. Dezember 2024, nach meiner Rechnung also der 24. Dezember 2026
Mitgliedstaaten, für Online-Dienste öffentlicher Stellen, die eine Identifizierung erfordern	Brieftaschen ebenfalls akzeptieren	Keines
Private Unternehmen, die gesetzlich oder vertraglich zu einem starken Login verpflichtet sind, ausgenommen Kleinst- und Kleinunternehmen	Brieftaschen auf Wunsch des Nutzers akzeptieren	Keines: 36 Monate ab dem 24. Dezember 2024, nach meiner Rechnung also der 24. Dezember 2027
Sehr große Online-Plattformen, die einen Login verlangen	Brieftaschen auf Wunsch des Nutzers für die erforderlichen Mindestdaten akzeptieren	Keines

„Starker Login“ ist mein Kürzel für das, was das Gesetz eine starke Nutzerauthentifizierung nennt: mindestens zwei voneinander unabhängige Faktoren unterschiedlicher Art, etwa ein Passwort plus etwas, das nur du besitzt. Die Liste der Wirtschaftszweige im Artikel reicht von Banken und Energie bis zu Gesundheit und Telekommunikation, und weil dort „auch in den Bereichen“ steht, ist die Aufzählung nicht abgeschlossen. Wer dich tatsächlich abweisen darf, wird später Gegenstand eines eigenen Beitrags sein, denn ein Vertrag kann diese Pflicht genauso begründen wie ein Gesetz.

Zwei Zeilen enthalten überhaupt keine Zahl. Für öffentliche Dienste heißt es in der Erläuterung der Kommission, die Akzeptanz werde verpflichtend, „wenn sie von den Mitgliedstaaten Ende 2026 ausgegeben werden“. Das wirkt wie eine plausible Lesart, bleibt aber eben doch nur eine Auslegung. Bei den großen Plattformen ist jedes Datum, das man liest, nach allem, was ich erkennen kann, reine Interpretation.

Wozu das Ganze?

Die Fassung der eIDAS-Verordnung von 2014 gab Europa eine gemeinsame Grundlage für grenzüberschreitende elektronische Identifizierung, und die Kommission räumt offen ein, was damals fehlte. In ihren eigenen FAQ schreibt sie, das Gesetz enthalte „keine Verpflichtung für die Mitgliedstaaten, ihren Bürgern und Unternehmen ein digitales Identifizierungssystem zur Verfügung zu stellen“, und zu privaten Diensten oder Mobilgeräten habe es überhaupt nichts geregelt. In den Erwägungsgründen der Änderungsverordnung wird die Fragmentierung beklagt, die sich aus der „Verwendung unterschiedlicher nationaler Lösungen, oder, in einigen Fällen, aus dem Fehlen derartiger Lösungen für die elektronische Identifizierung“ ergibt.

Diese Unterschiede spiegeln sich in den Zahlen wider. Nach Daten aus dem Jahr 2025 im Bericht der Kommission über den Stand der digitalen Dekade für 2026 gaben 52 % der Menschen im Alter von 16 bis 74 Jahren in der EU an, in den vorangegangenen 12 Monaten eine eID für private Online-Dienste genutzt zu haben. Dänemark liegt bei 99 %, Deutschland bei 15 %, Bulgarien bei 12 %. Ich lebe in Deutschland, daher hat die Zahl von 15 % meine Aufmerksamkeit geweckt. Eine Brieftasche startet hier unter ganz anderen Voraussetzungen als in Kopenhagen.

Wie nah die Staaten dran sind: Stand Anfang November 2026

Was ich dazu finden konnte, ist lückenhaft, und das meiste davon ist nicht neu. Derselbe Bericht über die digitale Dekade, angenommen am 17. Juni 2026, hält fest: „Alle Mitgliedstaaten arbeiten aktiv an der Entwicklung ihrer europäischen Brieftaschen für die Digitale Identität“, und empfiehlt, die Ausgabe „bis zur Frist im Dezember 2026“ sicherzustellen. Er nennt keine einzige Brieftasche, die bereits in Betrieb ist.

Weniger diplomatisch liest sich der Bericht zu jener Testveranstaltung vom Dezember 2025. Elf Mitgliedstaaten brachten Brieftaschen-Anwendungen mit, von denen etwa die Hälfte die Referenzimplementierung des Projekts für die Tests nutzte. Bezogen auf alle 27 Staaten folgerte der Bericht, dass „weniger als ein Viertel der Mitgliedstaaten mit EUDI-Wallet-fähigen Anwendungen teilnahm“ und dass „es wahrscheinlich ist, dass nur wenige Mitgliedstaaten die EUDIW-Frist im November 2026 einhalten werden“. Zur Einordnung: Das war eine Momentaufnahme ein volles Jahr vor dem Stichtag, und der Bericht betont selbst, dass sich seine Beobachtungen zur Einsatzbereitschaft nur auf die teilnehmenden Länder beziehen.

Der im März 2026 zur öffentlichen Konsultation vorgelegte Entwurf des Zertifizierungsschemas der ENISA formuliert es am deutlichsten: „Anfang 2026 wurde noch keine EUDI-Wallet bereitgestellt oder zertifiziert, und die Spezifikation ist nach wie vor in Arbeit.“ Die Zertifizierung ist kein Nebenschauplatz. Die Verordnung verlangt, dass Brieftaschen von Stellen zertifiziert werden, die die Mitgliedstaaten benennen, und die Kommission muss die Liste der zertifizierten Brieftaschen im Amtsblatt veröffentlichen. Ich habe die Datenbanken des Amts für Veröffentlichungen der EU am 9. November 2026 nach Dokumenten mit zertifizierten Brieftaschen im Titel durchsucht und stieß lediglich auf die Verordnung von 2025 darüber, wie die Staaten diese Informationen übermitteln, von einer Liste keine Spur.

Nachrichten aus den Mitgliedstaaten sind spärlich. Die Bundesregierung teilte am 15. Oktober 2026 mit, dass ihre Wallet namens d-you Anfang Januar 2027 mit 40 Partnern startet, was nach jeder Rechnung erst nach Heiligabend liegt. Die dänische Digitalisierungsbehörde hat am 3. Juni 2026 eine App namens AltID mit einem Altersnachweis und einer Identitätskarte herausgebracht. In ihrer Mitteilung wird das nicht als europäische Brieftasche für die Digitale Identität bezeichnet, also tue ich das auch nicht.

Was ich immer noch nicht weiß, ist, was mit einem Land passiert, das die Frist verpasst. Eine offizielle Antwort habe ich nicht gefunden.

Das Versprechen, das ich überprüfen will

Als Nächstes will ich den zweiten Kartenvergleich ernst nehmen und fragen, was die Brieftasche, ihr Hersteller oder das ausgebende Land wirklich darüber erfahren könnten, wo du sie eingesetzt hast, und was die Leute dazu sagen, die sich die Architektur am genauesten angesehen haben.

Quellen

An der Quelle gelesen, ausnahmslos geprüft im November 2026:

• EUR-Lex: Verordnung (EU) 2024/1183 zur Schaffung des europäischen Rahmens für eine digitale Identität (11. April 2024)
• EUR-Lex: Verordnung (EU) Nr. 910/2014 (eIDAS), konsolidierte Fassung vom 18. Oktober 2024
• EUR-Lex: Durchführungsverordnung (EU) 2024/2977, 2024/2979, 2024/2980, 2024/2981 und 2024/2982 (28. November 2024)
• Europäische Kommission: European Digital Identity (EUDI) Regulation (zuletzt aktualisiert am 6. November 2026)
• Europäische Kommission: European Digital Identity Wallet, fact page (zuletzt aktualisiert am 30. Juli 2024)
• Europäische Kommission: Q&A Digital Identity (zuletzt aktualisiert am 4. April 2024)
• Europäische Kommission: The legal and technical road to EU Digital Identity Wallets (zuletzt aktualisiert am 2. Februar 2026)
• Europäische Kommission: State of the Digital Decade 2026, Annex 1, COM(2026) 288 final/2 (angenommen am 17. Juni 2026, Berichtigung vom 3. November 2026), über das Ratsregister
• Europäische Kommission: EUDI Wallets Launchpad event report (Veranstaltung vom 10.–12. Dezember 2025)
• ENISA: EUDIW Cybersecurity Certification, draft candidate scheme v0.4.614 (März 2026, Entwurf zur öffentlichen Konsultation)
• Bundesregierung: Die digitale Brieftasche kommt (15. Oktober 2026)
• Dänische Digitalisierungsbehörde: Nu kan du downloade AltID (3. Juni 2026)