EU-27 EUDI-Wallet- und WRPAC-Status Ende Mai 2026: wer testbar ist und wer nur angekündigt hat

Jede EU-27-Tabelle, die Sie im Markt finden, beantwortet eine Frage: Ist die Wallet bereits testbar? Diese Frage ist wichtig, aber für eine Relying Party, die über grenzüberschreitende Verifikation nachdenkt, ist sie der falsche Endpunkt. Die nächste Frage ist schärfer und hat Ende Mai 2026 eine unbequemere Antwort: Gibt es in diesem Land einen öffentlichen, verifizierbaren Pfad für ein Wallet-Relying Party Access Certificate - ein WRPAC?

Dieser Beitrag fügt genau diese zweite Spalte hinzu.

Die Kurzfassung: Die erste Spalte unterscheidet sich je nach Land. Die zweite Spalte ist in allen 27 Fällen identisch. Kein Mitgliedstaat hat einen öffentlich verifizierbaren Produktiv-WRPAC-Pfad. Nicht Deutschland, nicht Frankreich, nicht Italien. Die EU-weite Infrastruktur für die WRPAC-Liste vertrauenswürdiger Entitäten existiert im eIDAS-Dashboard, aber am 28. Mai 2026 liefert der Endpunkt checkIfListIsPublished/WRPAC den Wert false, und die Anbieterlisten-URL liefert HTTP 403. Das ist kein Versehen - die Liste ist schlicht noch nicht veröffentlicht. Die Pflichten für Dezember 2026 sind noch nicht fällig.

Zu verstehen, warum das rechtlich kohärent und nicht alarmierend ist, macht den Unterschied zwischen einer korrekten EUDI-Wallet-Integration und einer Integration, die später neu gebaut werden muss.

Zwei Fragen pro Land

Die April-Scorecard auf dieser Website ordnete jeden Mitgliedstaat einer von vier Reifegradstufen zu - danach, ob eine bürgerfähige Wallet existiert, ob eine Entwickler-Sandbox offen ist und ob ein glaubwürdiges Startdatum angekündigt wurde. Diese Analyse bleibt gültig.

Dieser Beitrag stellt pro Land zwei Fragen:

Frage 1 - Ist die Wallet testbar? Kann eine Relying Party oder ein Entwickler heute einen OpenID4VP- oder ISO/IEC-18013-5-Flow ausführen, auch nur unter Sandbox-Bedingungen? Das reicht von "ja, Deutschland betreibt seit Dezember 2025 eine offizielle öffentliche Sandbox" bis "nein, Bulgarien hat ein öffentliches Code-Repository, aber keine interaktive Testumgebung".

Frage 2 - Gibt es einen öffentlichen WRPAC-Pfad? Hat der Mitgliedstaat einen Aussteller für Wallet-Relying Party Access Certificates benannt, ein nationales WRPAC-Registrierungsportal geöffnet oder eine CA-Kette veröffentlicht, an der eine grenzüberschreitende Relying Party ihr Zertifikat verankern könnte? Artikel 7 Absatz 1 der Durchführungsverordnung (EU) 2025/848 - in Kraft seit etwa dem 27. Mai 2025, anwendbar ab dem 24. Dezember 2026 - weist diese Autorisierungspflicht den Mitgliedstaaten zu. Die Pflicht gilt ab diesem Anwendungsdatum, nicht schon deshalb, weil eine Wallet-Sandbox oder nationale App früher existiert.

Die Antwort auf Frage 2 ist für jedes Land in der folgenden Tabelle gleich: nichts öffentlich; EU-WRPAC-Liste unveröffentlicht.

Diese Einheitlichkeit ist kein rhetorischer Trick. Sie spiegelt den harten technischen Befund wider: Die EU-weite WRPAC-Listeninfrastruktur ist gebaut und die URL ist bekannt, aber die Liste wird nicht öffentlich ausgeliefert. Länderbezogene WRPAC-Registrierungsportale sind noch nirgendwo geöffnet, soweit dies öffentlich verifiziert werden kann. Kein Mitgliedstaat ist früh, kein Mitgliedstaat ist spät - die WRPAC-Autorisierungsuhr startet, wenn die Verordnung (EU) 2025/848 am 24. Dezember 2026 anwendbar wird. Die Akzeptanzpflichten nach Artikel 5f für regulierte private Relying Parties und sehr große Online-Plattformen laufen auf einer separaten Zeitleiste Ende 2027 unter der Verordnung (EU) 2024/1183.

Die EU-27-Tabelle

Die Reifegradspalte unten basiert auf Anbieter- und Ökosystem-Trackern - insbesondere der eID Easy-Momentaufnahme vom Mai 2026 und dem iGrant EUDI Wallet Status Tracker, zuletzt aktualisiert am 13. Mai 2026 - und wurde, wo möglich, gegen offizielle nationale Seiten abgeglichen. Das sind keine offiziellen Statusentscheidungen der EU-Kommission. Wenn ein Tracker etwas als "production" bezeichnet, bedeutet das häufig, dass eine bestehende nationale Identitäts-App für ein EUDI-Upgrade bestätigt wurde, nicht dass eine zertifizierte EUDI-Wallet nach Artikel 5a live ist. Diese Unterscheidung ist wichtig und wird im Abschnitt weiter unten erläutert.

Die WRPAC-Spalte spiegelt den offiziellen API-Befund des eIDAS-Dashboards vom 28. Mai 2026 und öffentliche Recherche wider. Sie ist absichtlich in jeder Zeile identisch.

Der testbare Cluster

Über 27 Zeilen hinweg fallen die meisten Einträge in eine von zwei praktischen Kategorien: bestehende nationale App, die aufgerüstet wird, oder angekündigtes Projekt ohne heute interaktive Umgebung. Ein kleinerer Cluster ist tatsächlich heute testbar.

Deutschland ist der strukturierteste Einstiegspunkt für Entwickler, die gegen die EUDI-Wallet integrieren. Die offizielle EUDI-Wallet-FAQ der Bundesregierung unter eudi-wallet.gov.de bestätigt, dass seit Dezember 2025 eine offizielle öffentliche Sandbox - unter dem SPRIND-Programmrahmen betrieben - für Relying Parties verfügbar ist. Die Sandbox unterstützt OpenID4VP-Flows und ist das richtige technische Ziel für jede geplante deutsche Integration. Der wichtige Zusatz: Was Deutschland heute hat, ist eine testbare Sandbox, nicht die erste produktive staatliche Wallet. Die erste staatliche Wallet-Version ist laut derselben offiziellen Quelle für Anfang 2027 geplant. Eine Relying Party, die heute gegen diese Sandbox baut, baut gegen das richtige Protokoll und die richtige Credential-Struktur, sollte aber vor Anfang 2027 frühestens nicht mit produktiven deutschen Wallet-Nutzern planen.

Frankreich hat das France-Identité-Developer-Playground- und Sandbox-Angebot, mit dokumentierter Unterstützung für PID-Präsentation in Proximity- und Online-Flows. Der France-Identité-Playground ist der öffentliche Einstiegspunkt für Integrationstests von Verifiern. Frankreich hat eine gut spezifizierte Sandbox und eine bestehende nationale Identitäts-App, aber noch keine vollständige EUDI-Wallet nach Artikel 5a in den Händen der Bürgerinnen und Bürger. Operativ ist diese Unterscheidung wichtig: Der Playground ist realistisch genug für Verifier-Integrationsarbeit, aber der breitere Bürger-Rollout zu einer vollständig zertifizierten EUDI-Wallet liegt noch vor uns.

Dänemark hat AltID, mit einer öffentlichen Sandbox oder einem gestuften Rollout laut Ökosystem-Trackern. Entwicklerzugang wurde öffentlich im Kontext gestufter Integrationen diskutiert.

Irland hat eine Government Digital Wallet mit angekündigtem frühem öffentlichem oder testbasiertem Zugang. Damit liegt Irland vor rein angekündigten Ländern, aber hinter Frankreich und Deutschland, was strukturierte Sandbox-Dokumentation betrifft.

Dieser Cluster - Deutschland mit der reifsten Sandbox, Frankreich mit dem am besten dokumentierten Playground sowie Dänemark und Irland mit frühem Zugang - ist der Bereich, auf den eine Relying Party ihre Integrationsarbeit Mitte 2026 konzentrieren sollte. Die übrigen 23 Einträge haben entweder bestehende nationale Apps, die später aufgerüstet werden (Österreich, Belgien, Griechenland, Italien, Polen, Slowakei, Spanien), oder angekündigte Projekte ohne öffentliche interaktive Umgebung (Bulgarien, Kroatien, Tschechien, Estland, Finnland, Lettland, Litauen, Malta, Rumänien, Slowenien, Schweden). Gegen nur angekündigte Länder Mitte 2026 zu bauen, ist auf Protokollebene verfrüht, weil es nichts gibt, gegen das man bauen kann. Gegen Deutschland und Frankreich zu bauen, ist nicht verfrüht - es ist der einzig glaubwürdige Vorbereitungspfad für die Dezember-2026-Frist.

Der ehrliche Vorbehalt zu Tracker-Daten

Die Reifegradspalte in dieser Tabelle ist das beste öffentlich verfügbare Bild Ende Mai 2026. Sie ist kein offizieller EU-Status, und die Lücke zwischen Tracker-Labels und tatsächlichem EUDI-Wallet-Zertifizierungsstatus ist groß genug, um sie ausdrücklich zu nennen.

Der iGrant-Tracker meldet mit seinem Update vom 13. Mai 2026 19 Jurisdiktionen in "production or public pilot", von 32 verfolgten Jurisdiktionen einschließlich Nicht-EU-Kandidaten. Diese Zahl ist interpretativ großzügig: Ein Land wie Italien, in dem die mIT-Wallet / IT-Wallet-App bei Bürgerinnen und Bürgern im Einsatz ist und heute das wichtigste reale Verifier-Ziel darstellt, ist aus praktischer Integrationssicht legitim "production". Ein Land, in dem eine bestehende nationale eID-App für ein EUDI-Upgrade bestätigt wurde, dieses Upgrade aber noch nicht ausgeliefert ist und die App die technischen EUDI-Spezifikationen noch nicht implementiert, ist in keinem für einen grenzüberschreitenden Verifier relevanten Sinn "production".

Die eID-Easy-Momentaufnahme vom Mai 2026 ist konservativer und für Planung nützlicher: Sie unterscheidet zwischen Ländern, in denen eine öffentliche Sandbox existiert und Entwickler-Integration daher heute möglich ist, und Ländern, in denen der einzige Nachweis eine offizielle Bestätigung ist, dass ein Upgrade kommen wird. Diese Unterscheidung - jetzt testbar versus für später bestätigt - ist die, die Ihre Q3/Q4-2026-Entwicklungsroadmap tatsächlich bestimmt.

Keiner der Tracker sagt etwas zu WRPAC. Das ist keine Lücke in ihrer Abdeckung - es spiegelt wider, dass es keinen öffentlich verifizierbaren Produktiv-WRPAC-Status zu berichten gibt. Kein Land hat einen WRPAC-Anbieter veröffentlicht, ein nationales WRPAC-Registrierungsportal geöffnet oder eine CA-Kette für Relying-Party-Zugangszertifikate in öffentlich verifizierbarer Weise benannt. Die Ankündigung von eID Easy zu französischem und deutschem EUDIW-Sandbox-Zugang über die eigene Plattform im Mai 2026 ist ein Anbieter-/Plattform-Integrationsangebot, kein offizieller WRPAC-Lizenz- oder Zertifikatspfad.

Die eine gemeinsame Wahrheit in allen 27 Ländern

Für eine grenzüberschreitende Relying Party beantwortet die einheitliche WRPAC-Antwort eine architektonische Frage klar: Sie können heute für keinen Mitgliedstaat eine WRPAC-verankerte Zertifikatskette bauen, weil kein Mitgliedstaat eine solche veröffentlicht hat.

Was Sie bauen können - und was der gesamte testbare Cluster bereits betreibt -, ist die Protokollschichtintegration. OpenID4VP ist die Präsentationsschicht über alle EUDI-Wallet-Implementierungen hinweg. SD-JWT VC und ISO/IEC 18013-5 mdoc sind die beiden Credential-Formate im aktiven Einsatz, wobei Frankreich SD-JWT betont und Deutschland sowie Italien mit mdoc führen. Ein einzelner OpenID4VP-Verifier-Endpunkt, ein länderspezifischer Vertrauenslisten-Resolver, der das eIDAS-Dashboard auf Listenveröffentlichungen überwacht, und ein Credential-Parser, der beide Formate verarbeitet: Das ist die Architektur, die länderspezifische Unterschiede als Konfiguration aufnimmt statt als Neuimplementierung.

Die WRPAC-Schicht wird auf diesen Protokollkern aufgesetzt, sobald Mitgliedstaaten ihre CA-Ketten veröffentlichen und WRPAC-Registrierungsportale live gehen. Die Protokollschicht jetzt zu bauen und die Einrichtung des WRPAC-Ankers bis zur Veröffentlichung der Liste zurückzustellen, ist die richtige Reihenfolge. Es ist keine Abkürzung - es ist der einzige technisch verfügbare Pfad.

Mehr dazu, wie sich Produktiv-WRPAC-Zertifizierung von Sandbox-Zugang unterscheidet, finden Sie in Echte Produktiv-WRPACs vs. Sandbox-Zertifikate. Den rechtlichen Hintergrund dazu, warum die veröffentlichte Anbieterliste die entscheidende Schwelle ist, erklärt Noch keine veröffentlichte WRPAC-Anbieterliste.

Die Durchführungsverordnung zu den WRPAC-Pflichten ist die Verordnung (EU) 2025/848, die ungefähr am 27. Mai 2025 in Kraft trat und ab dem 24. Dezember 2026 gilt. Die Wallet-Bereitstellungspflicht selbst läuft unter der Verordnung (EU) 2024/1183, mit derselben Frist 24. Dezember 2026 für die Verfügbarkeit durch die Mitgliedstaaten. Beide Fristen liegen zum Zeitpunkt der Veröffentlichung noch sieben Monate entfernt. Der aktuelle Zustand - keine veröffentlichte WRPAC-Liste, die meisten Wallets vor dem Launch - ist genau das, was der regulatorische Kalender erwarten lässt.

Worauf Sie achten sollten

Die Tabelle in diesem Beitrag wird sich ändern. Die konkreten Ereignisse, die einen erneuten Blick auf Ihren Integrationsplan auslösen sollten, sind die folgenden.

Das folgenreichste Einzelereignis wird sein, dass der WRPAC-Indikator im eIDAS-Dashboard von false auf true wechselt. Das ist der Moment, in dem die EU-weite Liste vertrauenswürdiger Anbieter öffentlich ausgeliefert wird. Sobald das geschieht, muss jede Relying Party, die Wallet-verifizierte Nachweise in Produktion präsentieren will, ihr Zugangszertifikat bei einem WRPAC-gelisteten Anbieter in dem Mitgliedstaat verankern, in dem sie niedergelassen ist. Der Check des offiziellen API-Endpunkts - https://eidas.ec.europa.eu/efda/api/v2/wallet/lists-of-trusted-entities/checkIfListIsPublished/WRPAC - kostet einen einzelnen HTTP-Call und gehört auf die Monitoring-Checkliste jedes Integrationsteams.

Die zweite Ereignisklasse ist die Benennung einer WRPAC-ausstellenden Zertifizierungsstelle durch einen Mitgliedstaat. Eine solche Ankündigung wurde zum Zeitpunkt der Veröffentlichung nirgendwo in der EU öffentlich gemacht. Das erste Land, das dies tut - ob durch Mandatierung eines qualifizierten Vertrauensdiensteanbieters, den Aufbau einer neuen nationalen Stelle oder die Erweiterung des Aufgabenbereichs einer bestehenden nationalen CA -, liefert den ersten konkreten Datenpunkt dafür, wie ein WRPAC-Zertifikatspfad in der Praxis aussieht. Deutschlands SPRIND-Programm und die Governance-Struktur von France Identité sind Ökosysteme mit hohem Signalwert, die beobachtet werden sollten; das ist Beobachtung, keine Prognose.

Drittens: Achten Sie darauf, ob ein Mitgliedstaat ein nationales Registrierungsportal für Relying Parties öffnet. Auch bevor die EU-weite Liste veröffentlicht ist, könnte ein Mitgliedstaat ein nationales Register oder einen Registrierungsprozess für Wallet-Relying Parties veröffentlichen. Luxemburg, das ein aktives nationales EUDI-Wallet-Programm über MinDigital/CTIE und bestehende qualifizierte Vertrauensdiensteakteure einschließlich LuxTrust hat, verfügt über die institutionelle Infrastruktur dafür - ein solches Portal wurde zum Zeitpunkt der Veröffentlichung aber nicht gefunden.

Solange keines dieser drei Ereignisse eintritt, ist die Integrationsroadmap für alle 27 Länder gleich: auf die Protokollschicht bauen, gegen den testbaren Cluster testen und den Dashboard-Indikator überwachen.

Verwandte Artikel

Noch kein EU-Land hat eine veröffentlichte WRPAC-Anbieterliste - was das für Ihre Frist im Dezember 2026 bedeutet

Stand Ende Mai 2026 sind die offiziellen EU-Listen vertrauenswürdiger Entitäten nicht veröffentlicht: Das eIDAS-Dashboard zeigt WRPAC als unveröffentlicht, und die Anbieterliste ist nicht öffentlich abrufbar. Warum das so vorgesehen ist - und was es für Ihre Planung bis Dezember 2026 ändert.

8 Min. Lesezeit

EUDI-Wallet-Rolloutstatus nach Mitgliedstaat — April 2026

Stand der EU Digital Identity Wallet in allen 27 Mitgliedstaaten. Wer hat eine Live-Wallet, wer hat eine öffentliche Sandbox, wer liegt zurück, und ab wann können Sie verifizieren?

11 Min. Lesezeit