DIGITALE ID – FOLGE 2
Was steckt wirklich in der Wallet?
Personalausweis, Führerschein, Alter, Ausbildung, Berechtigungen – die digitale Brieftasche kann weit mehr aufnehmen als nur einen digitalen Ausweis. Genau darin liegt ihre Stärke. Und ihr Risiko.
Wenn von der digitalen ID gesprochen wird, entsteht schnell ein falsches Bild.
Man könnte meinen, Deutschland digitalisiere lediglich den Personalausweis und lege ihn ins Smartphone.
Das ist nicht der Plan.
Die EUDI-Wallet ist vielmehr als eine digitale Infrastruktur für ganz unterschiedliche Nachweise und persönliche Attribute konzipiert.
In Deutschland soll die staatliche Wallet d-you Anfang 2027 zunächst mit grundlegenden Funktionen starten. Zu den ersten vorgesehenen Nachweisen gehören nach aktuellem Stand unter anderem die digitale Ausweisfunktion, der digitale Führerschein, der Sozialpass und der Rentenausweis. Weitere Nachweise sollen schrittweise hinzukommen.
Und genau dieses „schrittweise“ ist entscheidend.
Denn die eigentliche Bedeutung der digitalen ID wird wahrscheinlich nicht am Starttag sichtbar werden.
Sie entsteht dadurch, was später alles hinzugefügt werden kann.
1. Der digitale Ausweis ist nur der Anfang
Die EUDI-Wallet kann sogenannte Electronic Attestations of Attributes – EAA aufnehmen.
Das klingt kompliziert, bedeutet aber zunächst etwas Einfaches:
Eine vertrauenswürdige Stelle bestätigt digital eine bestimmte Eigenschaft einer Person.
Beispielsweise:
„Diese Person ist volljährig.“
oder:
„Diese Person besitzt die Fahrerlaubnis Klasse B.“
oder:
„Diese Person besitzt einen bestimmten Bildungsabschluss.“
Der entscheidende Unterschied zu einem klassischen Dokument:
Der Nachweis ist digital signiert und kann technisch überprüft werden.
Ein Unternehmen muss also nicht einfach einem Foto oder einer eingescannten Urkunde vertrauen.
Es kann kryptografisch prüfen, ob der Nachweis echt und gültig ist.
Das ist technisch ein erheblicher Fortschritt.
Aber es bedeutet auch:
Die Wallet wird zu einer Sammlung digital bestätigter Eigenschaften einer Person.
2. Welche Eigenschaften können darin landen?
Die europäische Regulierung geht deutlich weiter als Personalausweis und Führerschein.
Die EU nennt als Mindestliste unter anderem:
- Adresse
- Alter
- Geschlecht
- Familienstand
- Familienzusammensetzung
- Staatsangehörigkeit bzw. Staatsbürgerschaft
- Bildungsabschlüsse und Titel
- berufliche Qualifikationen und Berechtigungen
- Vollmachten und Vertretungsrechte
- behördliche Genehmigungen und Lizenzen
Diese Liste ist besonders interessant.
Denn sie zeigt:
Die digitale Identität beschreibt nicht nur, wer jemand ist.
Sie kann zunehmend auch beschreiben,
welche Eigenschaften, Rechte, Qualifikationen und Berechtigungen diese Person besitzt.
Das ist eine andere Dimension als ein digitaler Personalausweis.
3. Und nicht nur der Staat kann Nachweise ausstellen
Ein weiterer Punkt wird in der öffentlichen Diskussion häufig übersehen.
Digitale Nachweise müssen nicht ausschließlich von Behörden kommen.
Im deutschen EUDI-Ökosystem können neben öffentlichen Stellen auch private Unternehmen, Vereine und andere Organisationen zu sogenannten „Issuern“, also Ausstellern digitaler Nachweise, werden.
Damit könnte die Wallet beispielsweise irgendwann auch Nachweise enthalten über:
- Mitgliedschaften
- Qualifikationen
- berufliche Berechtigungen
- Tickets
- Vergünstigungsberechtigungen
- bestimmte Kunden- oder Vertragsverhältnisse
- weitere von Organisationen ausgestellte Attribute
Das deutsche EUDI-Projekt nennt beispielsweise bereits Hochschulzeugnisse, Führerscheine, E-Rezepte und verschiedene Berechtigungen als mögliche digitale Nachweise.
Damit wird aus dem digitalen Ausweis langsam etwas anderes:
Eine digitale Brieftasche für verifizierte Eigenschaften.
4. Das klingt zunächst hervorragend
Und vieles daran ist tatsächlich sinnvoll.
Statt eine komplette Dokumentenkopie zu verschicken, könnte beispielsweise nur eine bestimmte Eigenschaft bestätigt werden.
Ein Online-Shop muss für einen Altersnachweis nicht unbedingt wissen:
- Name
- Adresse
- Geburtsdatum
Es könnte ausreichen:
„18 Jahre oder älter: JA“
Das Prinzip nennt sich Selective Disclosure, also selektive Offenlegung.
Die Nutzer sollen selbst entscheiden können, welche Informationen sie freigeben.
Die deutsche EUDI-Wallet ist genau auf dieses Prinzip ausgelegt.
Das ist datenschutzrechtlich und technisch grundsätzlich interessant.
Aber jetzt kommt der entscheidende Punkt.
RISIKO 1: Wer bestimmt eigentlich, welche Eigenschaft wahr ist?
Eine digitale Signatur beweist, dass ein Nachweis von einer bestimmten Stelle ausgestellt wurde.
Sie beweist aber nicht automatisch, dass die zugrunde liegende Information inhaltlich richtig ist.
Das ist ein grundlegender Unterschied.
Wenn eine Behörde einen digitalen Nachweis ausstellt, dass eine Person eine bestimmte Berechtigung besitzt, kann die Wallet dessen Echtheit überprüfen.
Aber:
Was passiert, wenn die ursprüngliche Information falsch ist?
Oder wenn sich die Lebenssituation verändert?
Oder wenn ein Nachweis irrtümlich nicht aktualisiert wird?
Die Digitalisierung beseitigt damit nicht das Problem falscher Daten.
Sie macht falsche Daten vielmehr maschinenlesbar und technisch vertrauenswürdig.
Das ist ein Unterschied, den man nicht unterschätzen sollte.
RISIKO 2: Die Macht des Ausstellers wächst
Heute kann ein falsches Dokument oft relativ einfach korrigiert werden.
Bei einer digitalen Infrastruktur hängt dagegen die Gültigkeit eines Nachweises an einem System aus:
Aussteller → digitaler Nachweis → Vertrauensinfrastruktur → Wallet → Empfänger
Der Aussteller bekommt damit eine besonders wichtige Rolle.
Er entscheidet nicht unbedingt darüber, was der Bürger besitzt.
Aber er bestätigt digital, was andere Systeme als gültige Information akzeptieren können.
Bei bestimmten Nachweisen können außerdem Gültigkeitsstatus oder Zurückziehungen digital geprüft werden.
Das ist technisch sinnvoll.
Es schafft aber eine neue Abhängigkeit:
Wer einen digitalen Nachweis ausstellt oder widerruft, besitzt damit erhebliche praktische Macht über dessen digitale Verwendbarkeit.
RISIKO 3: Die Daten liegen zwar nicht zentral – aber sie verschwinden nicht
Die deutsche Wallet verfolgt ausdrücklich einen dezentralen Ansatz.
Die Daten sollen grundsätzlich auf dem Smartphone des Nutzers gespeichert werden.
Eine zentrale Speicherung der Wallet-Daten beim Staat ist nach dem vorgesehenen Modell nicht vorgesehen. Die Datenübertragung soll direkt zwischen Wallet und jeweiligem Dienst erfolgen.
Das ist ein wichtiger Schutz.
Aber daraus darf man nicht den falschen Schluss ziehen:
„Dann gibt es keine Datensammlung.“
Denn sobald ein Nutzer einen Nachweis an eine Bank, einen Händler, eine Behörde oder einen anderen Dienst übermittelt, kann der Empfänger die erhaltenen Daten nach den für ihn geltenden rechtlichen Regeln verarbeiten und gegebenenfalls speichern.
Die deutsche EUDI-Wallet-Seite sagt selbst ausdrücklich, dass Relying Parties Daten aus Nachweisen extrahieren, verarbeiten und gegebenenfalls speichern können.
Das bedeutet:
Die Wallet verhindert nicht automatisch die Datensammlung außerhalb der Wallet.
Sie kann lediglich dafür sorgen, dass von Anfang an weniger Daten übertragen werden.
Das ist ein wichtiger Unterschied.
RISIKO 4: Aus vielen kleinen Nachweisen kann ein sehr aussagekräftiges Bild entstehen
Nehmen wir eine Person, die im Laufe der Jahre verschiedene digitale Nachweise verwendet:
Identität
↓
Adresse
↓
Führerschein
↓
Arbeitgeber
↓
Berufsqualifikation
↓
Bank
↓
Versicherung
↓
Alter
↓
Bildungsabschluss
↓
Mitgliedschaften
Jeder einzelne Nachweis kann für sich genommen völlig harmlos sein.
Doch die Kombination vieler Attribute kann sehr aussagekräftig werden.
Und genau hier liegt eine der interessanten Fragen der digitalen Identität:
Datenschutz muss nicht nur vor einer zentralen Datenbank schützen.
Er muss auch verhindern, dass viele unterschiedliche Datenbestände miteinander zu einem umfassenden Profil verbunden werden.
Die EUDI-Architektur enthält deshalb Mechanismen gegen eine zentrale Nachverfolgung der Wallet-Nutzung.
Das ist wichtig.
Aber die Frage nach der Profilbildung bei den jeweiligen Empfängern bleibt eine andere Frage.
RISIKO 5: Die digitale Identität macht Daten maschinenlesbar
Das ist vielleicht einer der unterschätztesten Punkte.
Ein Papierdokument muss ein Mensch lesen.
Ein digitaler Nachweis kann von einer Maschine verarbeitet werden.
Das ist einer der großen Vorteile.
Und gleichzeitig ein Risiko.
Denn damit können Prozesse automatisiert werden.
Ein System kann beispielsweise feststellen:
Voraussetzung erfüllt → JA
oder
Voraussetzung erfüllt → NEIN
Das kann Verwaltung und Wirtschaft erheblich effizienter machen.
Es bedeutet aber auch:
Entscheidungen können zunehmend auf digital überprüfbaren Attributen beruhen.
Je stärker solche Prozesse automatisiert werden, desto wichtiger wird die Frage:
Was passiert, wenn das digitale Attribut falsch, veraltet oder unvollständig ist?
RISIKO 6: Das Smartphone wird zum Zugangsschlüssel
Die deutsche Wallet ist zunächst eine Smartphone-Anwendung.
Für die staatliche Wallet werden iOS und Android unterstützt.
Damit entsteht eine weitere Abhängigkeit.
Nicht nur von der digitalen Identität selbst.
Sondern auch von:
Smartphone → Betriebssystem → Hardware-Sicherheitsfunktionen → Wallet → Netzwerk → Vertrauensinfrastruktur
Die deutsche Regierung versucht zwar, die Wallet möglichst unabhängig von einzelnen Plattformen zu gestalten.
Die technische Realität bleibt jedoch:
Ohne geeignetes Endgerät funktioniert die mobile Wallet nicht.
Das ist heute noch kein großes Problem.
Aber je mehr Anwendungen an die digitale Identität gekoppelt werden, desto wichtiger wird die Frage nach Alternativen.
Was passiert beispielsweise bei:
- Verlust des Smartphones?
- technischem Defekt?
- Diebstahl?
- fehlendem Zugang zu einem kompatiblen Gerät?
- einem gesperrten Gerät?
- einem nicht mehr unterstützten Betriebssystem?
Die Bundesregierung betont deshalb ausdrücklich, dass analoge Alternativen erhalten bleiben sollen und die Wallet freiwillig ist.
Diese Zusicherung ist wichtig.
Und sie sollte auch langfristig überprüfbar bleiben.
RISIKO 7: Der Inhalt der Wallet ist nicht statisch
Hier liegt wahrscheinlich die größte strategische Frage.
Zum Start 2027 kommt nicht „die fertige digitale Identität“.
Das System soll vielmehr schrittweise erweitert werden.
Die deutsche Regierung beschreibt ausdrücklich weitere Nachweise und Funktionen, darunter perspektivisch:
- Gesundheitsnachweise
- Bildungszertifikate
- qualifizierte elektronische Signaturen
- Pseudonyme Logins
- Zahlungsautorisierung
Weitere Funktionen sollen nach dem Start schrittweise hinzukommen.
Das bedeutet:
Die entscheidende Frage lautet nicht, was in der Wallet am ersten Tag steckt.
Die entscheidende Frage lautet:
Was wird in fünf oder zehn Jahren darin stecken?
Denn eine Infrastruktur kann wachsen.
Und genau deshalb sollte die öffentliche Diskussion nicht nur die heutige Anwendung betrachten.
Sie muss auch über die Entwicklungsmöglichkeiten des Systems sprechen.
RISIKO 8: „Freiwillig“ muss dauerhaft überprüft werden
Offiziell ist die Sache eindeutig:
Die Nutzung der EUDI-Wallet bleibt freiwillig.
Auch alternative Verfahren sollen angeboten werden.
Das ist eine wichtige rechtliche und politische Vorgabe.
Aber auch hier sollte man zwischen rechtlicher Freiwilligkeit und praktischer Notwendigkeit unterscheiden.
Wenn eine digitale Identität irgendwann der schnellste und einfachste Weg ist,
- ein Bankkonto zu eröffnen,
- einen Vertrag abzuschließen,
- das Alter nachzuweisen,
- eine Behörde zu nutzen,
- einen Nachweis vorzulegen,
kann ein gesellschaftlicher Nutzungsdruck entstehen.
Dafür braucht es keinen gesetzlichen Zwang.
Es reicht möglicherweise:
Digital geht es in zwei Minuten.
Analog dauert es zwei Tage.
Dann bleibt die Entscheidung formal freiwillig.
Aber die praktische Wahl verändert sich.
Ob eine solche Entwicklung tatsächlich eintreten wird, ist heute offen.
Gerade deshalb sollte sie beobachtet werden.
Und jetzt kommt der vielleicht wichtigste Punkt
Die digitale ID ist nicht einfach ein digitaler Personalausweis.
Sie ist eine Infrastruktur für verifizierte Eigenschaften einer Person.
Das ist etwas völlig anderes.
Der Personalausweis beantwortet im Wesentlichen:
Wer bist du?
Die digitale Wallet kann künftig zusätzlich beantworten:
Wie alt bist du?
Wo wohnst du?
Welche Qualifikationen besitzt du?
Welche Berechtigungen hast du?
Welche Nachweise kannst du erbringen?
Welche Vollmachten besitzt du?
Welche digitalen Verträge kannst du signieren?
Und perspektivisch möglicherweise noch mehr.
Die gute Nachricht
Es gibt durchaus starke Schutzmechanismen.
Die Wallet soll:
dezentral
verschlüsselt
zustimmungsbasiert
datensparsam
und mit
selektiver Offenlegung
arbeiten.
Die Nutzer sollen vor einer Übertragung sehen, wer welche Daten anfordert.
Die Wallet soll außerdem überprüfen, ob die anfragende Stelle registriert ist und welche Daten sie für ihren konkreten Anwendungsfall abfragen darf.
Das sind keine belanglosen Sicherheitsmaßnahmen.
Sie sind ein wesentlicher Bestandteil des Konzepts.
Aber die kritische Frage bleibt
Technische Schutzmechanismen können verhindern, dass eine zentrale Stelle sämtliche Wallet-Nutzungen mitliest.
Sie können aber nicht jede gesellschaftliche Entwicklung verhindern.
Denn irgendwann geht es nicht mehr nur um die Frage:
„Kann der Staat auf meine Wallet zugreifen?“
Die viel interessantere Frage lautet:
„Wie viele Lebensbereiche werden irgendwann von digitalen Nachweisen abhängig sein?“
Das ist der Punkt, an dem aus einer praktischen App eine gesellschaftlich relevante Infrastruktur wird.
Und deshalb sollte man die Entwicklung nicht nur daran messen, wie sicher die Wallet heute konstruiert ist.
Man muss auch beobachten:
Wer stellt Nachweise aus?
Wer darf sie verlangen?
Welche Nachweise kommen hinzu?
Wer speichert die erhaltenen Daten?
Welche Entscheidungen werden automatisiert?
Welche Alternativen bleiben erhalten?
Und vor allem:
Wer entscheidet darüber, was in zehn Jahren als digital gültiger Nachweis unserer Identität und unserer Eigenschaften gilt?
DAS FAZIT
Die digitale ID ist wahrscheinlich eine der interessantesten digitalen Infrastrukturentwicklungen der kommenden Jahre.
Sie kann Bürokratie reduzieren.
Sie kann Daten sparsamer übermitteln.
Sie kann Fälschungen erschweren.
Sie kann digitale Verträge und grenzüberschreitende Dienstleistungen vereinfachen.
Aber sie verändert gleichzeitig die Bedeutung von Identität.
Aus dem klassischen Ausweis könnte schrittweise ein digitales Bündel verifizierter Eigenschaften und Berechtigungen werden.
Das ist nicht automatisch gefährlich.
Aber es ist zu wichtig, um nur unter dem Gesichtspunkt der Bequemlichkeit betrachtet zu werden.
Deshalb gilt für diese Serie:
Nicht fragen, ob die digitale ID gut oder schlecht ist.
Sondern:
Welche Macht entsteht durch eine Infrastruktur, die digitale Identität, Nachweise, Berechtigungen und später möglicherweise Zahlungen miteinander verbinden kann?
Das ist die Frage, die wir in den nächsten Folgen weiterverfolgen.
DIGITALE ID – FOLGE 3
Wer sieht eigentlich was?
Die Wallet soll nur die Daten weitergeben, die der Nutzer freigibt.
Aber was sieht eine Bank?
Was sieht eine Behörde?
Was sieht ein Online-Shop?
Was kann ein Arbeitgeber verlangen?
Und was passiert mit den Daten, nachdem sie die Wallet verlassen haben?
Genau dort wird es interessant.