Ab Ende 2026 müssen alle Staaten der Europäischen Union eine European Digital Identity Wallet (EUDI-Wallet) anbieten – also eine digitale Brieftasche für alle Bürgerinnen und Bürger der EU. Was die bringen soll und warum Datenschutz-Fachleute jetzt warnen.
Was ist die EUDI-Wallet?
Die EUDI-Wallet ist eine digitale Brieftasche auf dem Smartphone für alle Bürgerinnen und Bürger der EU und Personen, die hier leben. Mit ihr sollen Nutzerinnen und Nutzer ihre Identität digital nachweisen und Dokumente wie Online-Verträge rechtsgültig unterschreiben können. Auch Ausweis, Führerschein, Zeugnisse, Fahrkarten oder Tickets für Konzerte und Reisen können in der Wallet gespeichert und bei Bedarf geteilt werden.
Bürgerinnen und Bürger können sich mit der Wallet zudem bei einem Behördenportal ohne Papierunterlagen registrieren. Möglich ist auch, ohne ein Video-Ident-Verfahren ein Konto bei einer Bank zu eröffnen. Denkbar ist zudem die Nutzung der EUDI-Wallet zur Vorlage von Bildungs- und Berufsqualifikationen bei Arbeitgebern oder Universitäten.
Die Wallet funktioniert grenzüberschreitend in allen Ländern der Europäischen Union und soll sowohl online als auch offline verfügbar sein. Sämtliche Daten werden auf dem Smartphone der Nutzerinnen und Nutzer gespeichert.
Hintergrund: Die EUDI-Wallet ist ein zentrales Element der sogenannten eIDAS‑2.0-Verordnung. eIDAS steht für Electronic Identification, Authentication and Trust Services, zu Deutsch: Elektronische Identifizierung, Authentifizierung und Vertrauensdienste. Mit der Verordnung will die EU die Digitalisierung vorantreiben und sicherstellen, dass digitale Dienste grenzüberschreitend funktionieren. Die Wallet soll es Nutzerinnen und Nutzern sowie Unternehmen ermöglichen, ihre Identität sicher und unkompliziert digital nachzuweisen, und die Nutzung digitaler Dienste in anderen EU-Ländern erleichtern.
Wann startet die EUDI-Wallet?
Laut EU-Verordnung müssen alle Mitgliedstaaten bis Ende 2026 eine digitale Brieftasche zur Verfügung stellen. In Deutschland soll die Wallet laut zuständigem Bundesministerium für Digitales und Staatsmodernisierung Anfang Januar 2027 starten.
Es können sowohl staatliche Stellen als auch private Firmen eine EUDI-Wallet anbieten. Firmen müssen nach aktuellem Stand aber vorgegebene Sicherheitsstandards der EU einhalten. Eine staatliche Stelle muss ihre Produkte zertifizieren. Alle Staaten sind aber verpflichtet, eine eigene Wallet bereitzustellen.
Die Nutzung der Wallet ist laut Gesetz freiwillig und kostenlos. Menschen, die keine EUDI-Wallet verwenden, sollen nicht benachteiligt werden. Bestimmte Anbieter wie Banken müssen aber eine Wallet akzeptieren.
Was bedeutet die EUDI-Wallet für Patienten?
Auch einzelne Gesundheitsnachweise sollen in der Wallet gespeichert werden können. Das geht aus dem Entwurf für das sogenannte Digitale-Identitäten-Gesetz (DIdG)[1] hervor. Um welche Nachweise es dabei genau gehen könnte, legt der Gesetzentwurf allerdings nicht fest. Denkbar wäre zum Beispiel, Patientenkurzakten in der Wallet abzulegen. Solche Akten enthalten die wichtigsten Gesundheitsinformationen einer Person zu Behandlungen, Allergien oder zur Medikation.
Anmeldung zur GesundheitsID
Aktuell werden verschiedene Funktionen der Wallet getestet. Zum Beispiel, dass sich Nutzerinnen und Nutzer mithilfe ihrer persönlichen Daten in der digitalen Brieftasche für die sogenannte GesundheitsID anmelden können, die für den Zugriff auf die elektronische Patientenakte gebraucht wird. Das erklärt ein Sprecher der Bundesagentur für Sprunginnovationen (SPRIND) auf Anfrage der Apotheken Umschau. Die Agentur ist für die Ausarbeitung der EUDI-Wallet in Deutschland verantwortlich.
Auch soll noch in diesem Jahr getestet werden, wie die Krankenversichertennummer als offizieller digitaler Nachweis Teil der Wallet werden kann, so der Sprecher. Damit könnten sich Versicherte zum Beispiel ohne elektronische Gesundheitskarte in der Praxis oder per Telemedizin ausweisen.
Rolle der Apotheken
Apotheken könnten als eine der Stellen dienen, bei denen man sich für die Anmeldung der EUDI‑Wallet identifizieren lassen kann. Im DIdG werden Apotheken – neben Post- oder Beförderungsunternehmen und Banken – als mögliche Anlaufstellen genannt, die für eine Identitätsprüfung eingesetzt werden können. Details dazu stehen allerdings noch nicht fest.
Wie lässt sich die EUDI-Wallet im Ausland nutzen?
Die EUDI-Wallet ist dafür vorgesehen, in allen EU-Mitgliedstaaten zu funktionieren. So wird man damit zum Beispiel in Frankreich einen Mietwagen abholen und dabei den digitalen Führerschein statt der Plastikkarte nutzen können. Wenn jemand länger im EU-Ausland leben, arbeiten oder studieren möchte, vereinfacht die Wallet viele Abläufe: Behördengänge, Kontoeröffnungen, Miet- oder Arbeitsverträge lassen sich digital und rechtssicher erledigen. In vielen Situationen wird man sich also direkt über das Smartphone ausweisen können – ohne Papierdokumente oder Plastikkarten.
Wie steht es um den Datenschutz?
Die EU legt in ihrer Verordnung verschiedene Maßnahmen fest, um die Wallet sicher zu machen. So sollen nur die nötigsten Daten für einen Dienst angefordert werden. Nutzerinnen und Nutzer sollen zudem „frei genutzte Pseudonyme“ verwenden können, also nicht ihre Klarnamen.
Der Datenaustausch soll Ende-zu-Ende verschlüsselt erfolgen. Das heißt: Die Daten sind auf dem Weg zum Ziel gesichert und werden nur an den Endgeräten entschlüsselt. Wenn das Alter abgefragt wird, soll das passieren, ohne den gesamten Datensatz zu offenbaren. Das System teilt also nur mit, ob jemand (über) 18 ist oder nicht. Das Geburtsdatum wird zum Beispiel nicht weitergegeben. Auch soll es Anbietern nicht möglich sein, Nutzerverhalten zu verfolgen und mit anderen Daten zu verbinden, also zu tracken.
Die EUDI-Wallet soll über ein Dashboard verfügen, das zeigt, mit wem Nutzerinnen und Nutzer ihre Daten geteilt haben, beziehungsweise wer auf die Daten Zugriff hat. Die Liste soll auch ermöglichen, eine Löschanfrage für die Daten oder eine Meldung an die zuständige Datenschutzbehörde zu stellen, falls Daten missbraucht wurden.
Kritik an der EUDI-Wallet
In einem offenen Brief[2] des Demokratievereins epicenter.works kritisieren Vertreterinnen und Vertreter von Zivilgesellschaft und Sicherheitscommunity einen Vorstoß der EU-Kommission zur EUDI-Wallet. Der Grund: In sogenannten Durchführungsrechtsakten zur eIDAS-Verordnung seien viele Punkte enthalten, die den Datenschutz und die Privatsphäre untergraben. Der Brief wurde unter anderem vom deutschen Hackerverein Chaos Computer Club unterschrieben.
So möchte die EU-Kommission unter anderem Registrierungszertifikate für die Wallet je nach Mitgliedstaat freiwillig statt verpflichtend machen. Solche Zertifikate sind aber nötig, damit Nutzerinnen und Nutzer benachrichtigt werden, wenn Daten aus ihrer Wallet unberechtigt abgefragt werden. Auch das Recht auf eine pseudonyme Identität soll ausgehebelt werden: Anbieter sollen die Identität, auch wenn es unnötig ist, anfordern können. Besonders kritisch: Nutzende sollen zwingend biometrische Gesichtsdaten in der Wallet speichern. Solche Daten sind sicherheitstechnisch besonders sensibel und schützenswert. Das Nachverfolgen von Nutzerinnen und Nutzern will die EU-Kommission ebenfalls vereinfachen: In ihrem Vorschlag spricht sie nur noch davon, Tracking zu „erschweren“, statt es zu verbieten.
Ein anderes Problem ist vor allem in Deutschland die Art und Weise, wie die Wallet umgesetzt werden soll: als signierte Daten. Das heißt: Daten werden quasi amtlich signiert und damit als echt bestätigt, um dann zur Identifizierung weitergeschickt zu werden. Falls durch ein Datenleck Kriminelle an solche signierten Daten gelangen, können sie diese als glaubwürdigen Identitätsnachweis missbrauchen und damit unter falschem Namen illegale Aktivitäten anstoßen. So zeigten die Data-Broker-Files-Recherchen von unter anderem Netzpolitik.org, dass persönliche Daten heute schon systematisch gesammelt und gehandelt werden.
Eine alternative Methode wäre die Übermittlung über sogenannte sichere Kanäle. Diese Methode wird zum Beispiel beim elektronischen Personalausweis eingesetzt: Hier wird die Echtheit der Daten über eine geschützte Verbindung nur in dem Moment der Abfrage bestätigt – es wird kein signiertes Dokument weitergegeben. Diese Vorgehensweise wird von vielen Sicherheitsforscherinnen und -forschern bevorzugt. Unter anderem spricht sich auch der Verbraucherzentrale Bundesverband in einem Gutachten[3] gegen signierte Daten und für sichere Kanäle aus.