Schwuppdiwupp: Die digitale Brieftasche kommt, der Datenschutz bleibt offen
Der Bundestag hat den Entwurf des Digitale Identitätengesetzes (DIdG) mit Mehrheit von Union und SPD angenommen. Damit ist die rechtliche Grundlage für die Einführung der EUDI-Wallet und der digitalen Brieftasche „d-you“ zum 2. Januar 2027 gelegt. Die App soll bereits in wenigen Wochen starten – zunächst mit einem schmalen Funktionsumfang. Eine Mitteilung der Bundesregierung bestätigt den Bundestagsbeschluss und den Weg zur EUDI-Wallet. Laut dem Bericht von netzpolitik.org können Bürger:innen in der Smartphone-App künftig Ausweisdokumente, Zeugnisse und Hotelreservierungen in digitaler Form ablegen. Was die App dafür speichert, wer Zugriff erhält und welche Kontrollen gelten, bleibt die entscheidende offene Frage.
The Bundestag has approved the draft Digital Identity Act (DIdG) with a majority of the CDU/CSU and SPD. This lays the legal foundation for introducing the EUDI Wallet and the “d-you” digital wallet on January 2, 2027. The app is due to launch in just a few weeks, initially with a limited range of functions. A government statement confirms both the Bundestag’s decision and the path toward the EUDI Wallet. According to netzpolitik.org, users will be able to store identity documents, reports and credentials, and hotel reservations in digital form on the smartphone app. What the app stores, who gains access and which safeguards apply remain the crucial open questions.
Der Start ist auffällig schmal. Zunächst soll nur die Ausweisfunktion verfügbar sein; Führerschein und biometrisches Passfoto sollen später folgen. Erst danach sind pseudonyme Logins, selektive Datenfreigabe und Zero-Knowledge-Proofs vorgesehen. Letztere liefern einen mathematischen Beweis, ohne dem Prüfer die zugrunde liegenden Daten zu zeigen. Die selektive Freigabe soll nur notwendige Felder übermitteln, ein pseudonymer Login soll direkte Namensnennung vermeiden. In einer Anhörung im Digitalausschuss des Bundestags mahnten Fachleute bereits gut eine Woche vor der Abstimmung, dass gerade diese Schutzmechanismen zunächst fehlen. Sie sind keine hübsche Zusatzfunktion. Ohne sie kann die digitale Brieftasche zur bequemen Sammelstelle für Angaben werden, die für den jeweiligen Nachweis niemals gebraucht wurden.
Die Regierungsfraktionen reagierten auf die Kritik nur geringfügig. Mit schwarz-roter Mehrheit verabschiedete der Bundestag eine Beschlussempfehlung: Nutzer:innen sollen künftig ablehnen können, dass ihr biometrisches Passfoto in die Wallet übernommen wird. Die EU-Vorgaben sehen ein solches Opt-out vor; die Bundesregierung wollte die Bürger:innen bislang zur Übermittlung verpflichten. Thomas Lohninger von epicenter.works kritisiert, das Gesetz sehe weiterhin keinen Nichtdiskriminierungsschutz vor, der Nachteile verhindert, wenn das biometrische Passbild nicht übermittelt wird. Auch Bianca Kastl, Sachverständige der Anhörung, blieb skeptisch.
Die Lücke ist praktisch. Eine formale Wahlmöglichkeit nützt wenig, wenn ein Hotel, eine Behörde oder ein anderer Akteur die Wallet trotzdem zur Voraussetzung macht. Nutzer:innen ohne übermitteltes Passfoto könnten dann mit Benachteiligungen rechnen, obwohl sie ihr Ausweisdokument grundsätzlich vorlegen könnten. Ob dies geschieht, ist offen. Ein Opt-out ohne Schutz gegen solche Folgen ist kein echter Ausstieg, sondern eine Entscheidung zwischen Bequemlichkeit und Risiko.
Genau hier liegt das Machtvakuum. Die zentrale Datenschutzfrage aus der Debatte lautet: „Wie ist die absolute Datensicherheit gewährleistet?“ Die Frage lässt sich nicht mit dem Etikett „digitale Identität“ beantworten. Aus den verfügbaren Angaben der Quellen geht nicht hervor, welche staatlichen oder privaten Stellen beteiligt sind, wer die kryptografischen Schlüssel kontrolliert, wie lange Daten gespeichert bleiben, wer Zugriffe protokolliert, wie Fehler oder Angriffe offengelegt werden und welche unabhängigen Prüfungen stattfinden.
„Absolut“ ist dabei kein Zauberwort. Ein Sicherheitsversprechen lässt sich nur prüfen, wenn Zuständigkeiten, Fehlerbehandlung, Löschregeln und Rechte feststehen. Ein kompromittiertes Gerät, gestohlene Schlüssel, fehlerhafte Schnittstellen oder unbefugte behördliche Zugriffe bleiben Risiken, solange deren Folgen nicht geklärt sind. Ohne verständliche Audit- und Löschregeln kann außerdem niemand prüfen, ob eine App tatsächlich nur das verlangt, was für den konkreten Nachweis nötig ist.
Wer profitiert, ist noch nicht ausgemalt. Direkten Nutzen hätten Hotels, Behörden und andere prüfende Stellen durch schnellere Abwicklung; Bürger:innen sparen Zeit und Papier. Wer finanziell profitiert, ist aus den vorliegenden Angaben nicht ersichtlich. Der Preis kann stattdessen in Daten liegen. Hotelreservierungen erzählen von Reisezeiten und Aufenthaltsorten, Zeugnisse von Bildungswegen, Ausweisdaten sind bei jeder Prüfung unmittelbar mit einer Person verknüpft.
Entscheidend ist deshalb, wer eine Kopie erhält, ob Angaben nur für die konkrete Prüfung sichtbar sind, ob sie mit anderen Daten verknüpft werden und wann sie verschwinden. Dass etwas auf einem Smartphone gespeichert wird, beantwortet nichts über Synchronisierung, Backups oder Serverbestände. Ebenso offen ist, ob die Wallet freiwillig bleibt oder bei einzelnen Diensten zur faktischen Voraussetzung wird.
Der Bundestag hat einen Rechtsrahmen beschlossen, keinen Datenschutznachweis. Der Quellbericht beschreibt die Ausgangslage nüchtern als wenige Funktionen, kaum Kontrolle und schwachen Datenschutz. Bis zum Start müssen deshalb mindestens Betreiber, Speicherfristen, Prüfmechanismen und die Folgen eines Passfoto-Opt-outs feststehen. Andernfalls wird „d-you“ zur bequemen Tür für notwendige Nachweise – und zur Tür, durch die ein Bruchstück des eigenen Lebens in fremde Akten wandert. Die Wallet ist dann nicht neutral. Sie verteilt Macht. Die Frage ist nicht nur, ob sie funktioniert. Die Frage ist, wer sie kontrolliert – und wer den Preis dafür bezahlt.
❖ Ende des Artikels ❖