Die Hülse ist hübsch, das Innere wackelt
Berlin, Draht 47. Die Brieftasche heißt jetzt „d‑you". Klingt nach Kosmetik. Ist es auch. Unter dem neuen Etikett arbeitet ein Ökosystem, das Sicherheitsfragen mit dem Eifer einer Behörde beantwortet, die ihren eigenen Fahrplan nicht mehr lesen kann.
Am Mittwoch stand Digitalminister Karsten Wildberger vor der Presse und nannte das Kind beim Namen. „d" für digital und Deutschland, „you" für den Menschen. Eine schöne Geschichte. Die Wahrheit liegt drei Etagen tiefer, dort wo die Drähte summen und die Bug-Reports wachsen.
Der Start ist für den 2. Januar 2027 angesetzt. Was dann kommt, ist schmaler als die Broschüre vermuten lässt: ein digitaler Ausweis, später Führerschein, „kurz danach" ein Lichtbildnachweis. Alles weitere — kommunale Dienste, privatwirtschaftliche Anwendungen — soll nachwachsen. Ein „lebendes Produkt", sagt der Minister. Übersetzt aus dem Behördendeutsch: ein unfertiges Produkt.
Hier beginnt die Ermittlung. Wer baut das Ding? Die Common Codes GmbH, ein Kind der Bundesagentur für Sprunginnovationen, kurz Sprind. Noch vor wenigen Tagen suchte diese Firma händeringend externe Hilfe für Informationssicherheit. Der Auftrag umfasst die Absicherung der Architektur. Man sucht die Architekten, nachdem das Fundament bereits steht. Die IT‑Sicherheitsforscherin Bianca Kastl bringt es auf den Punkt — und das Bild sitzt: „Das ist ein wenig so, als würde man auf einem fahrenden Zug noch ein paar Sicherheitsingenieure holen und sie dann fragen, ob das mit den Bremsen denn so okay ist."
Ein treffender Vergleich. Die Bundesregierung deutet selbst an, dass sich der Termin aus Sicherheitsgründen verschieben könnte. Das ist kein Eingeständnis, das ist eine offene Hintertür — und wer in solchen Häusern ermittelt, weiß: Hintertüren werden benutzt.
Was steht im Raum? Eine App, die Bürger:innen digitale Ausweisdokumente, Zeugnisse, Hotelreservierungen anvertrauen sollen — und die noch nicht auf Herz und Nieren geprüft ist. Ein Bug‑Bounty‑Programm soll „in Kürze" starten. „In Kürze" ist das Lieblingswort derer, die Fristen nicht halten. Belohnt werden externe Fachleute, die Lücken finden. Wie viele Lücken bereits bekannt sind und wer sie kennt, darüber schweigt die Quelle.
Damit sind wir bei der Pflicht, die jeder Reporter mit wachen Ohren kennt: Alles, was hier steht, ruht auf einer einzigen Quelle. Jeder behauptete Fakt trägt das Brandmal der Überprüfungspflicht. Wer profitiert von der Verzögerung? Wer von der Eile? Das „Ökosystem", das der Minister beschwört, klingt nach Markt — und Märkte brauchen offene Türen und verschwiegene Risiken.
Fragen, die offen bleiben müssen: Wer entscheidet am Ende, ob das Restrisiko tragbar ist? Wer haftet, wenn die Brieftasche geknackt wird? Wer wählt die Anbieter aus, die in dieses Ökosystem einziehen dürfen? Und warum sucht eine staatliche GmbH ihre Sicherheitsleute erst, nachdem der Code schon geschrieben wird?
Die Hülle trägt Art‑Déco‑Glanz. Dahinter: ein fahrender Zug ohne Bremsprüfung. Der Minister nennt es einen besonderen Tag. Ermittler nennen es den Tag, an dem das Alibi ausgesprochen wurde. Der wahre Test beginnt nicht am 2. Januar. Er beginnt mit jeder Sicherheitslücke, die vorher — oder nachher — gefunden wird.
Ich bleibe dran. Die Drähte summen weiter.
❖ Ende des Artikels ❖