eIDAS 2.0: Was die EU-Digital-Identity-Wallet für Online-Vertragsabschlüsse bedeutet
Kurz gesagt
eIDAS 2.0 (Verordnung (EU) 2024/1183, seit 20.05.2024 in Kraft) verpflichtet jeden Mitgliedstaat, bis Ende 2026 eine Europäische Digital-Identity-Wallet bereitzustellen, über die sich Nutzer künftig identifizieren und auch qualifiziert elektronisch signieren können. Für den normalen Online-Vertragsabschluss ändert sich kurzfristig wenig — relevant wird es vor allem, wenn ein Unternehmen Wallet-basierte Identifizierung aktiv integrieren will.
Was die EU-Wallet ändert
Die Wallet ist der zentrale Baustein von eIDAS 2.0 (Art. 3 Nr. 42, Art. 5a–5c eIDAS). Sie soll Bürgern erlauben, sich gegenüber Behörden und Unternehmen digital auszuweisen und einzelne Attribute — etwa Alter, Vertretungsberechtigung oder Unternehmenssitz — gezielt nachzuweisen, ohne alle Daten preiszugeben. Wer die Wallet als Unternehmen zur Identifizierung oder zum Attributsnachweis akzeptiert, gilt als „relying party" und muss die einschlägigen Anforderungen nach Art. 5b eIDAS beachten. Eine allgemeine Pflicht für Unternehmen, die Wallet anzubieten, entsteht daraus nicht automatisch — relevant wird sie vor allem, wenn ein Unternehmen sie aktiv in seine Login- oder Vertragsprozesse integrieren will oder sektorale Vorgaben dies verlangen.
Änderungen bei der elektronischen Signatur
Die qualifizierte elektronische Signatur (QES) bleibt der handschriftlichen Unterschrift unionsweit gleichgestellt; eine elektronische Signatur darf nicht allein deshalb zurückgewiesen werden, weil sie elektronisch ist (Art. 25 eIDAS). Neu ist vor allem die erleichterte Fernverwaltung qualifizierter Signaturerstellungseinheiten: Ein qualifizierter Vertrauensdiensteanbieter darf im Auftrag des Unterzeichners Signaturerstellungsdaten erzeugen oder verwalten und unter engen Sicherheitsvoraussetzungen Sicherungskopien anlegen (Art. 29 Abs. 1a, Art. 29a eIDAS). Das macht die QES per Smartphone oder Wallet praktikabel, ohne dass Nutzer eine lokale Signaturkarte oder ein Lesegerät benötigen.
Erweiterte Vertrauensdienste
eIDAS 2.0 erweitert den Katalog der Vertrauensdienste (Art. 3 Nr. 16 eIDAS) unter anderem um:
- elektronische Attributsbescheinigungen und deren Validierung,
- elektronische Archivierung,
- elektronische Ledger bzw. manipulationsgeschützte elektronische Aufzeichnungen,
- Verwaltung fernbetriebener qualifizierter Signatur- und Siegelerstellungseinheiten,
- präzisere Validierungs- und Bewahrungsdienste für Signaturen, Siegel und Zertifikate.
Für qualifizierte Vertrauensdienste gelten zugleich verschärfte Anforderungen an Identitätsprüfung, Sicherheitsorganisation, Zertifizierung und Konformitätsbewertung (Art. 24, 29a, 30, 32, 32a eIDAS).
Was ein KMU im E-Commerce konkret beachten sollte
- Kein Anpassungszwang für jeden Webshop: Bestehende elektronische Vertragsschlüsse, Checkboxen und Bestellbestätigungen bleiben grundsätzlich möglich; für normale E-Commerce-Verträge genügt weiterhin regelmäßig eine einfache elektronische Zustimmung, sofern das materielle Recht keine Schrift- oder Signaturform verlangt.
- QES gezielt einsetzen: Für risikoreiche Verträge, B2B-Verträge mit Vertretungsnachweis oder gesetzlich formbedürftige Vorgänge kann eine QES sinnvoll sein — eingebunden über einen qualifizierten Vertrauensdiensteanbieter.
- Wallet-Kompatibilität vorbereiten: Wer künftig Kundenidentifizierung oder Attributsnachweise per EU-Wallet anbieten will, sollte die Login- und Vertragsinfrastruktur entsprechend vorbereiten.
- Nachweise dokumentieren: Unabhängig von der Signaturstufe sollten Bestellinhalt, AGB-Version, Einwilligungen, Zeitpunkte und Authentifizierung revisionssicher dokumentiert werden.
- Website-Zertifikate im Blick behalten: eIDAS 2.0 präzisiert Zertifikate zur Website-Authentifizierung (Art. 3 Nr. 38 eIDAS) — das ersetzt TLS/HTTPS nicht, kann aber künftig eine stärker standardisierte Authentifizierung des Betreibers ergänzen.