EUDI-Wallet: Der Vertrauensfaktor Datenschutz

Erst im Mai dieses Jahres verkündete das Bundeskabinett: „Die digitale Brieftasche kommt.“ Überraschend ist dieser Schritt allerdings nicht. Bereits am 20. Mai 2024 trat die Änderungsverordnung (EU) 2024/1183 – besser bekannt als eIDAS 2.0 – in Kraft. Sie verpflichtet die Mitgliedstaaten, ihren Bürgerinnen und Bürgern mindestens eine europäische digitale Identitätswallet bereitzustellen.

In Deutschland sollen diese Vorgaben durch das Digitale Identitätengesetz (DIdG) umgesetzt werden, dessen Regierungsentwurf das Kabinett eben im Mai beschlossen hat. Das Gesetz befindet sich derzeit im parlamentarischen Verfahren und wird im Bundesrat unter der Drucksache 322/26 geführt; die Stellungnahmefrist endet am 10. Juli 2026.

Auch wenn die Beratungen in Bundestag und Bundesrat noch ausstehen, soll die Wallet bereits im Januar 2027 in einer ersten Ausbaustufe verfügbar sein. Zunächst stehen die digitale Identifizierung und der Nachweis von Berechtigungen im Vordergrund. Spätere Ausbaustufen sollen unter anderem qualifizierte elektronische Signaturen, pseudonyme Log-ins sowie die Freigabe von Zahlungstransaktionen ermöglichen.

Kurz erklärt: Was ist die EUDI-Wallet?

Die EUDI-Wallet ist eine europäische digitale Identitätsbrieftasche, die es Bürgerinnen und Bürgern ermöglichen soll, Identitätsdaten und amtliche Nachweise sicher auf ihrem Smartphone zu speichern, gezielt weiterzugeben und grenzüberschreitend innerhalb der EU zu nutzen. Je nach Ausgestaltung können darin unter anderem der Personalausweis, der Führerschein, Bildungsnachweise oder elektronische Signaturzertifikate hinterlegt werden.

Ein wesentlicher datenschutzrechtlicher Vorteil der EUDI-Wallet liegt im Prinzip der selektiven Offenlegung. Anstatt vollständige Dokumente vorlegen zu müssen, können Nutzerinnen und Nutzer künftig gezielt nur diejenigen Informationen freigeben, die für den jeweiligen Zweck tatsächlich erforderlich sind. Dies wird durch kryptografische Verfahren ermöglicht, mit denen sich einzelne Eigenschaften einer digitalen Bescheinigung nachweisen lassen, ohne den gesamten Datensatz offenzulegen. So könnte etwa der Nachweis der Volljährigkeit erbracht werden, ohne zugleich Geburtsdatum oder Wohnanschrift offenzulegen. Dies stärkt den Grundsatz der Datenminimierung – vorausgesetzt, die technischen und organisatorischen Vorgaben gewährleisten, dass eine solche beschränkte Datenweitergabe auch tatsächlich durchgesetzt wird.

Die Hauptakteure

Die Architektur der EUDI-Wallet basiert im Wesentlichen auf dem Zusammenwirken von drei Akteuren:

• den Wallet-Nutzerinnen und -Nutzern: Die Nutzerinnen und Nutzer verwalten ihre digitalen Identitätsnachweise und sonstigen elektronischen Bescheinigungen in der Wallet und entscheiden selbst, welche Informationen sie im Einzelfall freigeben.
• den Ausstellern (Issuern): Die erforderlichen Nachweise werden von vertrauenswürdigen öffentlichen oder privaten Stellen – den sogenannten Issuern – ausgestellt. Hierzu zählen beispielsweise Behörden, Hochschulen, Kammern oder andere berechtigte Organisationen. Sie bestätigen die Echtheit der enthaltenen Informationen und stellen diese als kryptografisch gesicherte digitale Nachweise bereit.
• den Wallet-Relying-Parties: Hierbei handelt es sich um öffentliche oder private Stellen, die im Rahmen einer konkreten Transaktion bestimmte Nachweise oder einzelne Attribute aus der Wallet anfordern, um beispielsweise die Identität einer Person oder das Vorliegen einer bestimmten Eigenschaft zu überprüfen. Typische Beispiele sind Banken, Online-Dienste, Arbeitgeber oder Behörden. Sie verifizieren die Echtheit der übermittelten Nachweise und können auf dieser Grundlage eine Entscheidung treffen, etwa über die Erbringung einer Dienstleistung oder die Gewährung eines Zugangs. Dabei sind sie verpflichtet, nur diejenigen Attribute anzufordern und zu verarbeiten, die für den jeweiligen Zweck tatsächlich erforderlich sind.

Die EUDI-Wallet und der Datenschutz

Welche personenbezogenen Daten verarbeitet die EUDI-Wallet?

Mit der EUDI-Wallet werden zwangsläufig personenbezogene Daten verarbeitet – und das in einem besonders vertrauenssensiblen Bereich. Gespeichert und verarbeitet werden Identitätsdaten, digitale Nachweise und verschiedene Attribute wie etwa die Staatsangehörigkeit oder Bildungsabschlüsse. Nach dem Entwurf des Digitalen Identitätengesetzes sollen künftig sogar bestimmte Gesundheitsnachweise in der Wallet hinterlegt werden können.

Datenschutz ist deshalb weit mehr als ein begleitender Regelungskomplex. Er bildet vielmehr eine wesentliche Voraussetzung für die Akzeptanz und den Erfolg der EUDI-Wallet. Nur wenn Nutzerinnen und Nutzer darauf vertrauen können, dass ihre Daten wirksam geschützt sind und sie die Kontrolle über deren Weitergabe behalten, wird sich die Wallet in den vorgesehenen Anwendungsbereichen langfristig durchsetzen können.

Welche Datenschutzmechanismen sind vorgesehen?

Um den besonderen Datenschutzanforderungen gerecht zu werden, setzt die eIDAS-2.0-Verordnung konsequent auf den Grundsatz des Privacy by Design. Die EUDI-Wallet soll von Beginn an so ausgestaltet werden, dass personenbezogene Daten technisch wirksam geschützt werden. Hierzu sieht die Verordnung unter anderem die folgenden Schutzmechanismen vor:

• Datenminimierung: Wallet-Relying-Parties dürfen nur die Attribute anfordern, die für den jeweiligen Zweck erforderlich sind. In der Praxis muss die Wallet deshalb erkennen können, ob eine Datenanforderung zum registrierten Zweck passt. Dabei ist laut Verordnung „der Grundsatz der Datenminimierung und das Recht der Nutzer, frei gewählte Pseudonyme zu verwenden, zu achten sind“.
• Selektive Offenlegung (Selective Disclosure): Die Wallet soll Nachweise ermöglichen, ohne mehr Informationen offenzulegen als erforderlich. Technisch kommen hierfür unter anderem Zero-Knowledge-Proofs oder andere kryptographische Verfahren in Betracht.
• Verschlüsselung: Wallet-Daten müssen sowohl auf dem Gerät als auch bei der Übertragung wirksam geschützt werden. Maßgeblich sind dabei die Vorgaben aus den EU-Durchführungsrechtsakten, dem Architecture and Reference Framework sowie den einschlägigen BSI-Spezifikationen. Sie konkretisieren, welche Anforderungen an sichere Speicherung, geschützte Schnittstellen, Zertifizierung und den Umgang mit Sicherheitsvorfällen gelten.
• Unlinkability und Tracking-Schutz: Wallet-Nutzungen dürfen nicht ohne Weiteres über Dienste, Vorgänge oder Zeitpunkte hinweg verknüpft werden. Dieses Ziel ist zentral, weil eine digitale Identitätswallet sonst neue Tracking-Risiken schaffen würde.
• Transparenz und Kontrolle: Nutzerinnen und Nutzer sollen nachvollziehen können, welche Daten sie wann mit welcher Stelle geteilt haben, Freigaben steuern, Lösch- oder Berichtigungsrechte geltend machen und Verstöße melden können.
• Keine zentrale Wallet-Datenbank, aber viele Datenflüsse: Die Wallet soll nicht als zentrale Datenbank für alle Identitäts- und Nutzungsdaten funktionieren. Dennoch entstehen relevante Datenflüsse zwischen Ausstellern, Wallet-Relying-Parties, Registern, Vertrauensdiensten und Aufsichtsstellen.

Kritik der Datenschutzorganisationen

Die Europäische Kommission hat inzwischen zahlreiche Durchführungsrechtsakte zu den Kernfunktionen der Wallet, zur Zertifizierung, zur Registrierung von Relying Parties, zum Sicherheitsmanagement sowie zu Identitäts- und Attributsnachweisen verabschiedet. Gleichzeitig befinden sich weitere Änderungsrechtsakte noch im Gesetzgebungsverfahren, sodass einzelne datenschutzrechtliche Fragen weiterhin offen sind.

Datenschutzorganisationen wie epicenter.works und European Digital Rights (EDRi) warnen, dass einzelne Durchführungs- und Änderungsrechtsakte der Europäischen Kommission zentrale Datenschutzmechanismen abschwächen könnten.

Fehlende Registrierungszertifikate

Im Mittelpunkt der Kritik stehen die sogenannten Registrierungszertifikate für Wallet-Relying-Parties. Diese Zertifikate legen technisch fest, welche Daten ein Diensteanbieter für welchen Zweck aus einer Wallet anfordern darf. Dadurch kann die Wallet unzulässige oder unverhältnismäßige Datenabfragen automatisch erkennen und zurückweisen.

Sind solche Registrierungszertifikate nicht verpflichtend vorgesehen, entsteht ein erhebliches Problem bei der praktischen Durchsetzung der datenschutzrechtlichen Vorgaben. Diensteanbieter könnten sich in Mitgliedstaaten mit weniger strengen Kontrollen registrieren und anschließend europaweit Daten aus Wallets anfordern. Die Grundsätze der Datenminimierung und Zweckbindung blieben zwar rechtlich bestehen, ihre wirksame technische Durchsetzung wäre jedoch erheblich eingeschränkt.

Im weiteren Verlauf der Verhandlungen konnten in diesem Punkt jedoch Fortschritte erzielt werden. Dazu erklärte die Datenschutzorganisation epicenter.works: „Am 18. Juni fand eine weitere Abstimmung statt. Das finale Textdokument liegt uns noch nicht vor, aber die wesentlichen Ergebnisse sind bekannt.

Bei den Registrierungszertifikaten haben wir nach jahrelangem Druck gewonnen. Die Wallet kann nun wirksam verhindern, dass Dienste mehr Daten abfragen als erlaubt. Ein echter Fortschritt, der ohne den anhaltenden Einsatz der Zivilgesellschaft und einer Koalition von Mitgliedstaaten nicht möglich gewesen wäre“, so ein aktuelles Statement von epicenter.works.

Biometrische Daten als Streitpunkt

Kontrovers diskutiert wird zudem die Aufnahme eines biometrischen Lichtbilds in den Mindestdatensatz der sogenannten Person Identification Data (PID). Die Europäische Kommission hatte, auch wenn das nicht in der eiDAS-Verordnung enthalten war, ursprünglich eine verpflichtende Speicherung vorgesehen. Nach einer Einigung im eIDAS-Ausschuss vom 18. Juni 2026 sollen nun die Mitgliedstaaten zwar verpflichtet werden, ein Lichtbild in die Wallet aufzunehmen, den Nutzerinnen und Nutzern jedoch die Möglichkeit einräumen können, dieser Speicherung zu widersprechen (Opt-out).

Datenschutzorganisationen kritisieren, dass dadurch kein europaweit einheitliches Schutzniveau gewährleistet werde. Schließlich steht es den Mitgliedsstaaten frei, eine Opt-out-Variante anzubieten. Hinzu kommt, dass biometrische Daten nach Art. 9 DSGVO zu den besonderen Kategorien personenbezogener Daten gehören, sofern sie zur eindeutigen Identifizierung einer Person verarbeitet werden. Werden biometrische Daten Bestandteil der Wallet, ist daher besonders sorgfältig zu prüfen, unter welchen Voraussetzungen ihre Verarbeitung zulässig ist und wie verhindert wird, dass sie für unnötige Identitätsabfragen genutzt werden.

Pseudonymität nur auf dem Papier?

Um beim Thema „unnötige Identitätsabfragen“ zu bleiben: Ein weiterer Kritikpunkt – und hier ging die neuste Abstimmung der EU wohl gegen die Datenschutzorganisationen aus – betrifft die pseudonymen Identitätsnachweise. Zwar sieht die eIDAS-2.0-Verordnung grundsätzlich vor, dass Nutzerinnen und Nutzer sich gegenüber Diensten pseudonym ausweisen können. Laut den Datenschutzorganisationen sind die Durchführungsrechtsakte jedoch so formuliert, dass Diensteanbieter darauf verzichten können, pseudonyme Nachweise zu unterstützen.

Besonders relevant ist dies bei der Altersverifikation, etwa für soziale Netzwerke, Glücksspiel- oder Erwachsenenangebote. Für diese Anwendungen genügt eigentlich der Nachweis, dass eine Person volljährig ist. Klarnamen oder vollständige Identitätsdaten sind hierfür nicht erforderlich. Können Dienste dennoch faktisch umfassende Identitätsdaten verlangen, würde das die praktische Wirkung von Datenminimierung und Pseudonymität erheblich schwächen.

Sonderweg: Signierte Daten statt sicherer Kanäle

Neben den europäischen Diskussionen wird auch die geplante technische Umsetzung in Deutschland kritisch bewertet. Nach derzeitigem Stand sollen Identitätsdaten als digital signierte Datensätze an Diensteanbieter übermittelt werden. Die Signatur bestätigt die Echtheit der Daten und ermöglicht ihre Verwendung als Identitätsnachweis.

Kritiker sehen hierin ein Sicherheitsrisiko. Gelangen signierte Datensätze durch Datenlecks in die Hände von Angreifern, könnten diese als glaubwürdige Identitätsnachweise missbraucht werden. Angesichts der bereits heute umfangreichen Sammlung und des Handels personenbezogener Daten – wie unter anderem die Data-Broker-Recherchen von netzpolitik.org zeigen – erscheint dieses Risiko nicht nur theoretischer Natur.

Als datenschutzfreundlichere Alternative schlägt etwa Verbraucherzentrale Bundesverband die Übermittlung über sogenannte sichere Kanäle vor. Dieses Verfahren wird bereits beim elektronischen Personalausweis eingesetzt. Dabei werden Identitätsdaten ausschließlich während einer geschützten Verbindung übertragen und unmittelbar verifiziert, ohne dass dauerhaft nutzbare signierte Datensätze entstehen. Zahlreiche Sicherheitsforscherinnen und Sicherheitsforscher sowie der Verbraucherzentrale Bundesverband sprechen sich deshalb für dieses Modell aus.

Datenschutz bleibt eine offene Baustelle

Die EUDI-Wallet stellt also kein abgeschlossenes Produkt dar, sondern ein fortlaufend entstehendes Regelungs- und Technikgefüge aus eIDAS-Verordnung, Durchführungsrechtsakten, technischen Spezifikationen und nationalem Umsetzungsrecht. Die entscheidenden Fragen werden daher weniger auf der Ebene der gesetzlichen Grundentscheidung beantwortet als in ihrer praktischen Umsetzung: Welche Daten dürfen Diensteanbieter tatsächlich anfordern? Erkennt die Wallet unzulässige Datenabfragen automatisch? Wird pseudonyme Nutzung im Alltag tatsächlich ermöglicht? Und gelingt es, beim Umgang mit biometrischen Daten ein einheitlich hohes Datenschutzniveau sicherzustellen?

Maßgeblich ist also nicht, ob die EUDI-Wallet datenschutzfreundlich konzipiert wurde, sondern ob ihre Schutzmechanismen verbindlich, überprüfbar und technisch wirksam umgesetzt werden. Davon hängt letztlich ab, ob die Wallet das notwendige Vertrauen für einen europaweiten Einsatz schaffen kann.