Regulierung · 7. Oktober 2026

Digitale Identitätengesetz: Was die Bundestagsanhörung zur EUDI-Wallet für Behörden bedeutet

Am 6. Oktober 2026 hat der Ausschuss für Digitales und Staatsmodernisierung des Bundestages Sachverständige zum Digitale Identitätengesetz (DIdG, BT-Drs. 21/7408) angehört. Das Gesetz soll den nationalen Rahmen für die Europäische Brieftasche für die Digitale Identität (EUDI-Wallet) schaffen. Für Behörden ist das kein reines Bürgerthema. Der Entwurf verteilt Zuständigkeiten neu, verlangt die Zusammenarbeit der Wallet mit Nutzerkonten und NOOTS und verpflichtet Bundesbehörden, Bescheide künftig auch als elektronische Attributsbescheinigung auszustellen. Die schriftlichen Stellungnahmen von BSI, BfDI und kommunalen Spitzenverbänden zeigen, wo die Umsetzung noch hakt.

Was sich ändert

Die geänderte eIDAS-Verordnung (EU) 2024/1183 gilt unmittelbar. Jeder Mitgliedstaat muss innerhalb von 24 Monaten nach Inkrafttreten der einschlägigen Durchführungsrechtsakte mindestens eine EUDI-Wallet bereitstellen. Das DIdG regelt nur, was das Unionsrecht offenlässt, vor allem Zuständigkeiten und Rechtsgrundlagen für behördliche Einzelmaßnahmen.

Kern ist das neue Gesetz über die Europäische Brieftasche für die Digitale Identität (EBDIG). § 2 EBDIG-E verteilt die Aufgaben:

• Bundesministerium für Digitales und Staatsmodernisierung: Bereitstellung der Wallet. Ob staatlich, im Auftrag oder durch Anerkennung, entscheidet das Ministerium; die Entscheidung wird mit Bekanntgabe im Bundesanzeiger wirksam.
• Bundesverwaltungsamt: Validierungsmechanismen und die zentrale Registrierung vertrauender Beteiligter (§ 10 EBDIG-E).
• BSI: nationale Zertifizierungssysteme und Maßnahmen bei Sicherheitsverletzungen.
• Bundesnetzagentur: Aufsicht über den Wallet-Rahmen. Zusätzlich wird bei ihr eine zentrale Anlaufstelle für öffentliche Stellen eingerichtet, die elektronische Attributsbescheinigungen ausstellen wollen (§ 15 VDG neue Fassung).

Für die Verwaltungspraxis sind zwei Vorschriften besonders wichtig. § 12 EBDIG-E verpflichtet die zuständigen Behörden, die Interoperabilität der Wallet mit den Nutzerkonten nach dem Onlinezugangsgesetz und mit dem Nationalen Once-Only-Technical-System (NOOTS) herzustellen. § 16 EBDIG-E legt fest, dass Behörden des Bundes nach Ablauf von 24 Monaten nach Verkündung des Gesetzes auf Antrag ausgestellte Entscheidungen und Dokumente auf Verlangen auch als elektronische Attributsbescheinigung ausstellen. Solche Bescheinigungen stehen dann gegenüber Bundesbehörden der gesetzlich vorausgesetzten Schriftform als Nachweis gleich, sofern elektronische Verfahren nicht ausgeschlossen sind.

Der Entwurf beziffert auch die Folgen. Der jährliche Erfüllungsaufwand der Verwaltung soll insgesamt um rund 121,7 Millionen Euro sinken, auf Länderebene um rund 123,5 Millionen Euro. Beim Bund entsteht einmaliger Erfüllungsaufwand von 95 Millionen Euro. Das Bundesverwaltungsamt erhält für einen zentralen Dienst zum Datenabruf über NOOTS einmalig rund 9,2 Millionen Euro und jährlich rund 2,1 Millionen Euro. Für die Bundesnetzagentur sind 14,9 Planstellen vorgesehen.

Was die Anhörung gezeigt hat

Die schriftlichen Stellungnahmen sind als Ausschussdrucksachen veröffentlicht. Alle unterstützen das Ziel, setzen bei der Umsetzung aber unterschiedliche Schwerpunkte.

Das BSI sieht die grundsätzlichen Erfordernisse erfüllt. Es kündigt ein Zertifizierungsschema an, das gleiche Sicherheitsanforderungen für Wallets aus der Wirtschaft und die staatliche Wallet „d-you“ sicherstellen soll. Zudem hält das BSI es für einen notwendigen Schritt, den Quellcode der „d-you“-Wallet öffentlich zugänglich zu machen, damit unabhängige Prüfungen möglich werden.

Der BfDI begrüßt, dass das Gesetz bereits für die erste, noch unvollständige Wallet-Version gelten soll. Weil die pseudonyme Nutzung zum Start fehlt, solle diese Version aber nur dort eingesetzt werden, wo eine Identifizierung mit staatlichen Ausweisdaten ohnehin erforderlich ist. Außerdem regt er an, die Datenschutzaufsicht bei sich zu bündeln und eine Datenschutz-Folgenabschätzung für die gesamte Infrastruktur vorzuschreiben. Sonst könnten systemische Risiken übersehen werden, die erst im Gesamtzusammenhang sichtbar sind.

Die Bundesvereinigung der kommunalen Spitzenverbände sieht die Kommunen als Hauptanwendungs- und Vollzugsebene nur unzureichend berücksichtigt. Den Start am 2. Januar 2027 halten die Verbände für kaum realisierbar. Bei der Registrierung nach § 10 sei offen, wer sich in welcher Rolle registriert und welche Aufgaben Kommune, IT-Dienstleister und Fachverfahrenshersteller übernehmen. Eine belastbare Ermittlung der kommunalen Anbindungskosten fehle; die Verbände berufen sich dabei auch auf den Nationalen Normenkontrollrat. Zudem gelte die Ausstellungspflicht nach § 16 nur für Bundesbehörden, für kommunale Nachweise fehle ein Rahmen.

Was das für Behörden bedeutet

Bundesbehörden haben mit § 16 eine feste Frist: 24 Monate nach Verkündung müssen antragsgebundene Bescheide auf Verlangen auch als elektronische Attributsbescheinigung verfügbar sein. Das betrifft Fachverfahren, Ausgabeprozesse, Archivierung und die Prüfung von Echtheit und Gültigkeit im eigenen Verfahren.

Länder und Kommunen werden die Wallet als vertrauende Beteiligte in ihren Onlinediensten einsetzen und müssen dafür registriert sein. Wie Fachverfahren und Onlinedienste vor Ort angebunden werden, regeln weitgehend künftige Verordnungen nach § 22 EBDIG-E.

IT-Dienstleister und Hersteller von Fachverfahren stehen damit vor offenen Rollen bei hohem Zeitdruck.

Was das für Test und Abnahme bedeutet

Die Anbindung an die EUDI-Wallet ist ein Integrationsprojekt mit vielen Beteiligten: Wallet, Nutzerkonto, Postfach, NOOTS, Register und das eigene Fachverfahren. Jede dieser Schnittstellen muss vor dem Wirkbetrieb nachweislich funktionieren. Dazu gehören:

• Ende-zu-Ende-Tests vom Antrag über die Identifizierung bis zur ausgestellten oder angenommenen Bescheinigung.
• Fehlerfälle: gesperrte oder kompromittierte Wallet, abgelaufene oder ungültige Bescheinigung, nicht erreichbarer Dienst.
• Regressionstests: Jede neue Wallet-Version und jede Verordnung nach § 22 kann Änderungen am eigenen Verfahren auslösen.
• Abnahmen mit Nachweis: Gegenüber Datenschutz, Aufsicht und Rechnungsprüfung muss belegt sein, welche Anforderung mit welchem Test wann geprüft wurde.

Wer bis zum Stichtag fertig sein will, sollte rückwärts planen: Die Testphase braucht Zeit, und sie beginnt erst, wenn die Schnittstellen der anderen Beteiligten stehen.

Was jetzt zu tun ist

1. Betroffenheit klären: Welche Onlinedienste verlangen eine Identifizierung, welche Bescheide könnten unter § 16 EBDIG-E fallen?
2. Rolle als vertrauender Beteiligter vorbereiten: Mit dem IT-Dienstleister klären, wer die Registrierung beim Bundesverwaltungsamt übernimmt.
3. Abhängigkeiten zusammenführen: Nutzerkonto, Postfach, NOOTS-Anbindung und Registermodernisierung in einer gemeinsamen Planung führen.
4. Anforderungen erfassen und mit Testfällen verknüpfen: Was aus eIDAS-Verordnung, Durchführungsrechtsakten und EBDIG für das eigene Verfahren gilt, festhalten und vor dem Wirkbetrieb nachvollziehbar prüfen.
5. Datenschutz früh einbinden: Einsatzszenarien auf Fälle mit gesetzlicher Identifizierungspflicht beschränken, solange die pseudonyme Nutzung fehlt.
6. Weiteres Verfahren beobachten: Ob der Ausschuss Änderungen aus der Anhörung übernimmt, zeigt erst die Beschlussempfehlung.