Digitale Identitäts-Wallet steht vor Expertenzweifeln und fehlendem Gesetz vor Januar-Start

Die deutsche Bundesregierung bestätigte diese Woche, dass sie an ihrem Zeitplan für den Start der EU-Digital-Identity-Wallet am 2. Januar 2027 festhält, und wies damit eine Welle von Expertenkritik zurück, die zuvor im Bundestag geäußert worden war. Zugleich dementierte sie offiziell, dass ihr Entwicklungsprozess chaotisch verlaufen sei. In ihrer schriftlichen Antwort auf eine parlamentarische Anfrage der Grünen (Bündnis 90/Die Grünen) — eingereicht am 6. Juli und veröffentlicht am 30. Juli — bezeichnete die Regierung das Projekt als "strukturiertes, agiles Großprojekt der Informationstechnik", das sich im vorgesehenen Zeit- und Budgetrahmen bewege, und wies Vorwürfe eines Steuerungschaos als Missverständnis der agilen Entwicklungsmethodik zurück.

Nicht direkt beantwortet hat die Regierung die spezifischere Sorge: dass das, was Deutschland den Bürgern am 2. Januar tatsächlich in die Hand gibt, nach Worten technischer Experten ein Minimalkonstrukt sein wird — ein abgespecktes Basismodell, das lediglich die europäischen Mindestanforderungen erfüllt und kaum mehr — und dass das dafür vorgesehene Gesetz zum Startzeitpunkt möglicherweise noch nicht in Kraft ist.

Diese Entwicklung fällt in eine Zeit, in der weniger als die Hälfte der 27 EU-Mitgliedstaaten die Frist für das digitale Vorzeigeprojekt der EU bis zum 24. Dezember 2026 einhalten dürfte. Deutschlands Starttermin am 2. Januar, eine Woche nach Ablauf dieser Frist, macht das Land zu einem von wenigen europäischen Staaten, die pünktlich oder nahezu pünktlich starten dürften. Kritiker wenden jedoch ein, dass es wenig bedeute, zu den Schnellsten zu gehören, wenn dieses Tempo durch ein Produkt erkauft wird, das hinter den eigenen Spezifikationen zurückbleibt.

Deutschlands digitale Identitäts-Wallet: Was im Januar startet — und was nicht

Die EUDI-Wallet geht auf eIDAS 2.0 zurück, die Verordnung (EU) 2024/1183, die am 20. Mai 2024 in Kraft trat und alle 27 EU-Mitgliedstaaten verpflichtet, ihren Bürgern bis Ende Dezember 2026 mindestens eine zertifizierte nationale Wallet zur Verfügung zu stellen. Die Wallet soll es EU-Bürgern ermöglichen, amtliche Nachweise — Personalausweise, Diplome, Führerscheine, medizinische Unterlagen — über eine Smartphone-App zu speichern und vorzuzeigen, mit grenzüberschreitender Anerkennung innerhalb der EU.

Die rechtliche Grundlage in Deutschland bildet das Digitale-Identitäten-Gesetz (DIdG), ein Gesetzentwurf, den das Bundeskabinett am 20. Mai 2026 billigte und zur Beratung an den Bundestag weiterleitete. Der Global Legal Monitor der Library of Congress bestätigt, dass das Gesetz das Bundesministerium für Digitales und Staatsmodernisierung (BMDS) als zuständige Behörde benennt. Die Entwicklung der Wallet liegt beim BMDS, das das operative Tagesgeschäft an die SPRIND, die Bundesagentur für Sprunginnovationen, delegiert hat, die wiederum mit der Common Codes GmbH als "Orchestrator" des Ökosystems zusammenarbeitet.

Was die Wallet zum Start am 2. Januar leisten wird: Identifizierung und die Vorlage von Nachweisen. Was sie noch nicht kann: qualifizierte elektronische Signaturen, pseudonyme Anmeldungen oder Zahlungsfreigaben. Diese Funktionen sind für 2027 und 2028 geplant. Die Nutzung der Wallet ist kostenlos und freiwillig, analoge Alternativen müssen weiterhin verfügbar bleiben.

Das BMDS verwies auf sein sächsisches Pilotprojekt als Beleg für den planmäßigen Fortschritt — Dresdner Bürger konnten testweise Nachweise wie den Dresden-Pass (eine Sozialkarte) und die Sächsische Ehrenamtskarte in eine Vorserien-Wallet-Umgebung laden. Laut der parlamentarischen Antwort der Regierung testete die Sandbox der SPRIND in den sechs Monaten vor dem Pilotprojekt 115 Organisationen anhand von 150 Anwendungsfällen, wobei sich die Anbindung der vertrauenden Stellen (Relying Parties) als der identifizierte Engpass des Programms erwies.

In derselben parlamentarischen Antwort legte die Regierung auch das Projektbudget offen: netto 79,3 Millionen Euro (rund 91 Millionen US-Dollar) bis Ende 2026, mit weiteren geplanten 135 Millionen Euro (rund 155 Millionen US-Dollar) für Betrieb und Ausbau bis 2028, wie Heise Online in seiner Berichterstattung über die parlamentarische Antwort berichtete.

Was Experten sagten — und was die Regierung nicht beantwortete

Die Beschwichtigungen der Regierung zielten teilweise darauf ab, ein konkretes Ereignis zu entkräften: eine von der Fraktion Die Linke im Bundestag organisierte Expertenanhörung, bei der Fachleute pointierte Bedenken vorbrachten, die weit über allgemeine Skepsis hinausgingen.

Daniel Leisegang, Chefredakteur von Netzpolitik.org, erklärte in der Anhörung, die Wallet werde zum Start weit von dem entfernt sein, was sie eigentlich sein soll. Leisegang kritisierte insbesondere, dass das DIdG dem BMDS über Verordnungsermächtigungen weitreichende Befugnisse einräumt: zentrale Entscheidungen über Architektur und Funktionsumfang der Wallet würden erst nach Verabschiedung des Gesetzes getroffen, nicht im Gesetz selbst. Diese Struktur verstärke die Risiken, so Leisegang, weil sie wichtige politische Entscheidungen zu einer rein ministeriellen Angelegenheit mache.

Bianca Kastl, Wissenschaftlerin im Innovationsverbund Öffentliche Gesundheit, äußerte eine noch gezieltere Sorge zu einer bestimmten Regelung im DIdG: der Experimentierklausel, die es dem BMDS erlauben würde, zusätzliche Verfahren zur Identitätsprüfung per Rechtsverordnung freizugeben — ohne weitere parlamentarische Zustimmung. "So etwas ist im Bereich digitaler Identitäten nicht angemessen", sagte Kastl. Mit Verweis auf ihre Erfahrungen mit der Digitalisierung des deutschen Gesundheitswesens warnte sie, derselbe Mechanismus könne später genutzt werden, um die videobasierte Identitätsprüfung (VideoIdent) wieder einzuführen, die in anderen digitalen Gesundheitsanwendungen wegen Sicherheits- und Zugangsbedenken bereits abgeschafft worden war. "Wenn etwas schiefgeht, hat man ein Problem, das sich nicht schnell rückgängig machen lässt", sagte sie bei der Anhörung.

Weitere Experten bei der Anhörung wiesen auf ungeklärte Haftungsfragen hin — wer haftet, wenn einem Bürger durch einen Ausfall der Wallet, ein Datenleck oder Identitätsbetrug ein Schaden entsteht — und äußerten Bedenken zur Post-Quanten-Sicherheit der Wallet.

Der breitere Expertenkonsens lautete, dass Deutschland ein Minimalkonstrukt starten werde und dass manche versprochenen Funktionen — etwa die Ausstellung digitaler Schwerbehindertenausweise durch Kommunen — noch Jahre entfernt sein könnten.

Worum es in der Architekturdebatte wirklich geht

Hinter dem politischen Streit verbirgt sich eine technische Kontroverse, auf die die parlamentarische Antwort der Regierung nicht direkt einging.

Deutschlands EUDI-Wallet setzt, wie die meisten Implementierungen nach dem EU Architecture and Reference Framework (ARF), auf ein Modell signierter Nachweise: Legt ein Nutzer einen Identitätsnachweis aus seiner Wallet vor, übergibt er der vertrauenden Stelle (Relying Party) ein digital signiertes Dokument. Der vzbv — der Verbraucherzentrale Bundesverband — gab eine unabhängige Sicherheitsanalyse bei Defendo IT in Auftrag, die zu dem Ergebnis kam, dass dieser Ansatz ein technisches Verfolgungsrisiko schafft: Vertrauende Stellen, die signierte Nachweise erhalten, können — sofern sie zusammenwirken oder Daten zusammenführen — die Aktivitäten eines Nutzers über verschiedene Dienste hinweg im Zeitverlauf verknüpfen.

Der deutsche Personalausweis mit eID-Funktion liefert bereits ein Modell, wie sich dies vermeiden lässt. Seine Online-Ausweisfunktion nutzt einen anderen Mechanismus: die eingeschränkte Identifizierung über einen sicheren Kanal, bei dem der Chip des Ausweises Attribute direkt gegenüber einer verifizierten vertrauenden Stelle nachweist, ohne dass ein signiertes Dokument den Besitzer wechselt. Es entsteht kein übertragbarer Nachweis. Das Positionspapier des vzbv empfiehlt ausdrücklich den Ansatz des sicheren Kanals für die EUDI-Wallet und betont, dieser sei sowohl datenschutzfreundlich als auch technisch ausgereift, wie Heise Online in seiner Berichterstattung über die Verbraucherschutzwarnung berichtete.

Die Kontroverse um die Experimentierklausel steht in direktem Zusammenhang mit diesem Architekturstreit. Kritiker befürchten, die Klausel könnte es dem BMDS erlauben, allein per Rechtsverordnung zusätzliche Verifizierungsmethoden zu genehmigen — auch solche, die genau die Verfolgungsrisiken wieder einführen, die Zero-Knowledge-Proofs und die Alternative des sicheren Kanals verhindern sollen — und das ohne jede parlamentarische Abstimmung. Ob die erste Lesung des DIdG im Bundestag in diesem Herbst diese Regelung aufgreifen wird, ist unklar.

Deutschlands Gesetz existiert beim Start der Wallet möglicherweise noch nicht

Unter den von Kritikern vorgebrachten Bedenken ist die gesetzliche Lücke wohl die strukturell ungewöhnlichste. Das DIdG passierte im Mai 2026 das Bundeskabinett, erhielt bis zum 10. Juli Stellungnahmen des Bundesrats und soll nach Ende der parlamentarischen Sommerpause im Herbst 2026 im Bundestag beraten werden. Nach einer Abstimmung im Bundestag muss auch der Bundesrat noch tätig werden; anschließend muss der Bundespräsident unterzeichnen. Das Zeitfenster zwischen der erwarteten Verabschiedung und dem Start am 2. Januar 2027 ist knapp.

Die Position der Regierung, wie sie in ihrer parlamentarischen Antwort dargelegt wird, lautet, dass der Start am 2. Januar kein Inkrafttreten des DIdG voraussetzt — die erste Phase (Identifizierung und Vorlage von Nachweisen) stütze sich auf bestehende Rechtsgrundlagen, die das DIdG nach seinem Inkrafttreten lediglich ergänze. Kritiker haben die rechtliche Tragfähigkeit dieser Reihenfolge infrage gestellt und die offene Frage aufgeworfen, welchen Rechtsschutz Bürger und vertrauende Stellen während einer möglichen Übergangslücke hätten.

Opt-out beim biometrischen Foto: ein Kompromiss, der niemanden zufriedenstellte

Eine weitere Kontroverse betrifft das biometrische Foto, das im Person Identification Data (PID)-Nachweissatz der Wallet vorgeschrieben ist. Die Europäische Kommission hatte eine verpflichtende biometrische Speicherung in jeder Wallet vorgeschlagen; nach Verhandlungen im eIDAS-Ausschuss am 18. Juni 2026 lautete das Ergebnis, dass die Mitgliedstaaten ein Foto einbinden müssen, den Bürgern jedoch ein Opt-out von dessen Speicherung anbieten können.

Datenschützer zeigten sich unzufrieden. Biometrische Daten, die zur eindeutigen Identifizierung einer Person verarbeitet werden, gelten nach Artikel 9 der DSGVO als besondere Kategorie personenbezogener Daten mit erhöhten Schutzanforderungen. Ein Opt-out-Modell, das manche Mitgliedstaaten gar nicht anbieten werden, schafft ein uneinheitliches Schutzniveau innerhalb der EU — genau jene Art von Fragmentierung, die eIDAS 2.0 eigentlich verhindern sollte.

Der Großteil Europas wird nicht rechtzeitig fertig sein

Deutschlands Starttermin am 2. Januar fällt auch deshalb auf, weil sich zeigt, wer sich in dieser Gruppe befindet — und wer fehlt.

Eine Einschätzung des Digital-Identity-Unternehmens Signicat vom Januar 2026 ergab, dass nur rund 12 der 27 EU-Mitgliedstaaten auf Kurs waren, bis Ende 2026 über eine funktionsfähige Wallet zu verfügen, darunter voraussichtlich Deutschland, Frankreich, Österreich, Griechenland und Italien. Eine Statusbewertung von Namirial vom April 2026 zeichnete ein etwas differenzierteres Bild — mit drei nahezu sicheren, fünf sehr wahrscheinlichen und acht wahrscheinlichen Ländern —, ließ aber weiterhin ein breites Mittelfeld mit realer Unsicherheit hinsichtlich Zertifizierung, Vollständigkeit der Anbindung und operativem Umfang erkennen. Die Niederlande signalisierten frühzeitig, die Dezember-Frist wahrscheinlich nicht vollständig einhalten zu können; Malta rechnete nur mit teilweiser Verfügbarkeit; Bulgarien hatte Berichten zufolge noch nicht einmal mit der Entwicklung einer staatlichen Wallet begonnen.

Ein von der Europäischen Kommission im April 2026 durchgeführter grenzüberschreitender Interoperabilitätstest ergab, dass weniger als ein Viertel der Mitgliedstaaten mit wallet-fähigen Anwendungen teilgenommen hatte — ein Signal, dass die tatsächliche Zahl der pünktlich startbereiten Länder noch geringer ausfallen könnte als ursprünglich angenommen. Die Anbindung vertrauender Stellen — der bereits in Deutschlands eigener Sandbox identifizierte Engpass — ist ein Problem in der gesamten EU, nicht nur in Berlin.

Die interne Haltung der Kommission erkennt diese Realität an: Ein einheitlicher europaweiter Startschuss war nie die realistische Erwartung. Der eigentliche Rollout wird gestaffelt erfolgen, wobei führende Länder vorangehen und andere über Monate oder Jahre hinweg folgen. Für Unternehmen und Banken, die die Wallet gemäß der verpflichtenden Akzeptanzpflicht für regulierte Sektoren bis Dezember 2027 akzeptieren müssen, bedeutet dies praktisch, dass sie nicht mit einem einheitlichen europäischen Markt planen können. Deutschland wird eine Wallet haben; ein großer Teil des Staatenbunds wird das nicht.

Die Hälfte der Nutzer hat noch nie von der Wallet gehört, die in fünf Monaten startet

Während sich die technische und ordnungspolitische Debatte im Bundestag und bei Expertenanhörungen zuspitzt, ergab eine im Juli 2026 von IDnow und dem Marktforschungsunternehmen Sapio Research veröffentlichte Verbraucherumfrage, dass 51 Prozent der befragten Verbraucher in Frankreich und Deutschland noch nie von der EUDI-Wallet gehört hatten. Die Umfrage unter 2.000 Befragten in beiden Ländern ergab, dass nur 20 Prozent ein klares Verständnis von einem System hatten, das verändern wird, wie Hunderte Millionen Menschen ihre Identität online nachweisen. Die Bekanntheit stieg deutlich, sobald die datenschutzfreundlichen Funktionen der Wallet erklärt wurden — 63 Prozent der Befragten gaben an, sie würden die Wallet eher nutzen, nachdem sie erfahren hatten, dass sich damit beispielsweise das Alter nachweisen lässt, ohne Name, Geburtsdatum oder Adresse preiszugeben.

Dieser Befund unterstreicht die strukturelle Herausforderung des Projekts: Selbst ein technisch erfolgreicher Start am 2. Januar einer Wallet, die Kritiker als Minimalkonstrukt bezeichnen, wird wenig bedeuten, wenn die Bürger nicht verstehen, was ihnen angeboten wird. Unter den Befragten, die mit der Wallet vertraut waren, äußerten 75 Prozent Vertrauen in einen erfolgreichen Rollout; unter denjenigen, die noch nie davon gehört hatten, sank dieser Wert auf 33 Prozent. Die Kommunikationskampagnen der Regierung zur Wallet sind in der öffentlichen Debatte bislang weitgehend ausgeblieben.

Ob das, was am 2. Januar an den Start geht, robust genug sein wird, um dieses Vertrauen aufzubauen — oder ob es Kritikern die Belege liefert, die sie brauchen, um zu argumentieren, die Regierung habe ihren Zeitplan über die Interessen ihrer Bürger gestellt —, wird sich in fünf Monaten zu zeigen beginnen.

Häufig gestellte Fragen

Was ist die EU Digital Identity Wallet, und was wird die deutsche Version zum Start können?

Die EU Digital Identity Wallet (EUDI-Wallet) ist ein in der EU-Verordnung 2024/1183 (eIDAS 2.0) festgelegtes Rahmenwerk für eine mobile App, das alle 27 EU-Mitgliedstaaten verpflichtet, ihren Bürgern bis Ende Dezember 2026 eine zertifizierte nationale Wallet anzubieten. Die deutsche Version ist für den 2. Januar 2027 vorgesehen. Zum Start unterstützt sie die Identifizierung und die Vorlage von Nachweisen — also das digitale Speichern und Vorzeigen von Personalausweis, Führerschein und ähnlichen Dokumenten. Qualifizierte elektronische Signaturen, pseudonyme Anmeldungen und Zahlungsfreigaben sind für spätere Phasen 2027 und 2028 geplant. Die Nutzung ist freiwillig und kostenlos, analoge Alternativen müssen weiterhin verfügbar bleiben.

Warum sind Experten wegen der "Experimentierklausel" des DIdG besorgt?

Die Experimentierklausel im deutschen Gesetzentwurf zu digitalen Identitäten (DIdG) ermächtigt das Bundesministerium für Digitales (BMDS), zusätzliche Verfahren zur Identitätsprüfung per Rechtsverordnung zu genehmigen, ohne dass eine weitere Abstimmung im Parlament erforderlich wäre. Kritiker, darunter Wissenschaftler des Innovationsverbunds Öffentliche Gesundheit, warnen, dies könne die Wiedereinführung der videobasierten Identitätsprüfung (VideoIdent) ermöglichen — ein Verfahren, das in der Digitalisierung des deutschen Gesundheitswesens wegen Sicherheits- und Zugangsbedenken bereits abgeschafft wurde —, und das ohne jede demokratische Kontrolle. Die tiefer liegende Sorge ist, dass die Klausel genutzt werden könnte, um Verifizierungsmethoden zu genehmigen, die genau jene datenschutzfreundliche Architektur untergraben, die die Wallet überhaupt erst sinnvoll macht.

Kann die EUDI-Wallet nachverfolgen, welche Dienste ich nutze?

Das hängt von der Architektur ab. Die für Deutschland erwartete Umsetzung nutzt signierte Nachweise — digital signierte Dokumente, die eine vertrauende Stelle erhält, wenn die Wallet vorgezeigt wird. Der deutsche Verbraucherzentrale Bundesverband (vzbv) gab eine Sicherheitsanalyse in Auftrag, die zu dem Ergebnis kam, dass dieser Ansatz ein Korrelationsrisiko schafft: Dienstanbieter, die signierte Nachweise erhalten, können prinzipiell die Aktivitäten einer Person über verschiedene Dienste hinweg im Zeitverlauf verknüpfen. Der deutsche Personalausweis nutzt bereits ein datenschutzfreundlicheres Verfahren — einen sicheren Kanal, der Attribute nachweist, ohne ein übertragbares signiertes Dokument zu erzeugen. Der vzbv hat empfohlen, dass die Wallet diesen Ansatz übernimmt. Ob der deutsche Basisstart stärkere Datenschutzvorkehrungen als das Modell signierter Nachweise umsetzen wird, hängt von Entscheidungen ab, die möglicherweise erst nach Verabschiedung des Gesetzes per Rechtsverordnung getroffen werden.

Was passiert, wenn Deutschlands Gesetz (DIdG) beim Start der Wallet noch nicht in Kraft ist?

Die deutsche Bundesregierung erklärt, der Start am 2. Januar 2027 setze kein Inkrafttreten des DIdG voraus, da Identifizierung und Vorlage von Nachweisen auf bestehenden Rechtsgrundlagen beruhten, die das DIdG nach seinem Inkrafttreten lediglich ergänzen werde. Kritiker haben angezweifelt, ob diese Reihenfolge rechtlich tragfähig ist, und die offene Frage aufgeworfen, welchen Rechtsschutz Bürger und Unternehmen in einer möglichen Lücke zwischen Start und Inkrafttreten hätten. Das DIdG soll nach Ende der Sommerpause im Herbst 2026 im Bundestag beraten werden, gefolgt von einer Prüfung durch den Bundesrat und der Unterzeichnung durch den Bundespräsidenten — ein knappes Zeitfenster vor der Januar-Frist.

Ursprünglich veröffentlicht auf Tech Times