Herausforderungen und Bedenken zur Einführung der EUDI-Wallet in Deutschland

Die Einführung der europäischen digitalen Identitätswallet (EUDI-Wallet) steht in Deutschland unter kritischer Beobachtung. Wenige Monate vor dem von der EU-Kommission avisierten Starttermin Anfang 2027 mehren sich die Stimmen von Experten, die erhebliche Bedenken hinsichtlich der Umsetzung, der Sicherheit und der Funktionalität äußern. Ein Fachgespräch der Linksfraktion im Bundestag beleuchtete kürzlich die vielfältigen Herausforderungen, die das Projekt der digitalen Brieftasche begleiten.

Herausforderungen bei der Implementierung der EUDI-Wallet

Die EUDI-Wallet ist als zentrales Instrument für die digitale Identität in Europa konzipiert. Sie soll es Bürgern ermöglichen, digitale Nachweise wie Personalausweis, Führerschein oder Bildungszertifikate sicher auf dem Smartphone zu speichern und bei Bedarf vorzuzeigen. Die EU-Verordnung eIDAS 2.0 schreibt vor, dass alle Mitgliedstaaten bis Anfang 2027 eine interoperable nationale Wallet bereitstellen müssen. In Deutschland ist das Bundesministerium für Digitales und Staatsmodernisierung (BMDS) für die Umsetzung zuständig, wobei die Bundesagentur für Sprunginnovationen (SPRIND) mit der Entwicklung beauftragt wurde.

Intransparenz und Entwicklungsprozess

Ein zentraler Kritikpunkt ist die mangelnde Transparenz des Entwicklungsprozesses in Deutschland. Während die europäische Referenzimplementierung quelloffen entwickelt wird und Einblicke in den Fortschritt und die Funktionen ermöglicht, wird der Quellcode der deutschen Implementierung nicht öffentlich zugänglich gemacht. Dies erschwert eine unabhängige Überprüfung der Sicherheit und Funktionalität. Experten wie Bianca Kastl vom Innovationsverbund Öffentliche Gesundheit (InÖG) bemängeln, dass Konsultationen von SPRIND primär dazu dienten, bereits getroffene Entscheidungen zu bestätigen, anstatt verschiedene technische Ansätze ergebnisoffen zu diskutieren. Zudem seien Unternehmen an den Konsultationen beteiligt, die gleichzeitig an den technischen Spezifikationen mitwirkten, was Interessenkonflikte aufwerfen könnte.

Sicherheitsarchitektur und potenzielle Risiken

Die Wahl der technischen Architektur in Deutschland steht ebenfalls in der Kritik. Die Entscheidung für signierte Daten mit einer "Cloud als Sicherheitsanker" wird als potenziell riskant eingestuft. Dies könnte zentrale Angriffspunkte schaffen und die Ausfallsicherheit des Gesamtsystems gefährden, sollte es zu Problemen mit den Cloud-Diensten oder den Anbietern personenbezogener Daten kommen. Die Befürchtung besteht, dass zukünftige KI-gestützte Angriffe, wie sie beispielsweise durch Systeme wie Claude Mythos ermöglicht werden könnten, neue Bedrohungsszenarien eröffnen.

Ein weiterer Aspekt ist die unzureichende Berücksichtigung von Post-Quanten-Sicherheit. Obwohl dies ein zunehmend relevantes Thema für die langfristige Sicherheit digitaler Identitäten ist, sei das Wallet-Konzept in diesem Bereich bislang wenig konkret. Die Tatsache, dass sicherheitsrelevante Dienstleistungen wie Bedrohungsanalysen und Sicherheitsprüfungen erst wenige Monate vor dem geplanten Start ausgeschrieben werden, deutet auf erheblichen Nachholbedarf hin.

Zweifel an der Unabhängigkeit der Sicherheitsbewertung durch das Bundesamt für Sicherheit in der Informationstechnik (BSI) wurden ebenfalls geäußert. Da das BSI bereits eng in die Entwicklung der Architektur eingebunden war, könnte dies die Objektivität der Bewertung beeinträchtigen. Vergleiche zur elektronischen Patientenakte (ePA) legen nahe, dass ähnliche Probleme in der Vergangenheit bereits aufgetreten sind.

Datenschutz und Funktionalität: Offene Fragen und Bedenken

Datenschutzbedenken und die Rolle privater Anbieter

Die Wallet soll Nachweise enthalten, deren Echtheit durch digitale Signaturen bestätigt wird. Experten wie Daniel Leisegang, Co-Chefredakteur von Netzpolitik, weisen darauf hin, dass signierte personenbezogene Daten, sollten sie in falsche Hände gelangen oder unnötig häufig an private Dienste übermittelt werden, Identitätsdiebstahl und den Handel mit verifizierten Daten erleichtern könnten. Es wird gefordert, dass Deutschland durch strengere nationale Vorgaben, wie die Beschränkung des Abrufs staatlich signierter Nachweise auf klar definierte Diensteanbieter, diesem Risiko begegnet. Der aktuelle Gesetzentwurf enthalte solche Einschränkungen jedoch noch nicht.

Die geplante Aufnahme biometrischer Passfotos in den Mindestdatensatz der Wallet ist ebenfalls ein Diskussionspunkt. Es bleibt unklar, ob Nutzer verpflichtet sein werden, diese zu hinterlegen, oder ob sie darauf verzichten können. Das BMDS prüft diese Frage derzeit noch.

Die "Experimentierklausel" und ihre Implikationen

Die im Digitale-Identitäten-Gesetz (DIdG) vorgesehene "Experimentierklausel" ermöglicht die Zulassung weiterer Verfahren zur Identitätsprüfung. Kritiker befürchten, dass diese Klausel dazu genutzt werden könnte, um später Verfahren wie Videoident wieder einzuführen, um die Verbreitung der Wallet zu beschleunigen. Erfahrungen aus der Digitalisierung des Gesundheitswesens lassen hier Parallelen zu ähnlichen Entwicklungen erkennen.

Funktionsumfang und Zeitplan

Angesichts der verbleibenden Zeit bis Anfang 2027 wird erwartet, dass die Wallet in Deutschland zunächst nur die europäischen Mindestanforderungen erfüllen wird. Experten rechnen mit einem "Minimalkonstrukt", das nicht alle vorgesehenen Funktionen bieten wird. Viele der als Mehrwert angepriesenen Anwendungsfälle, wie die digitale Ausstellung von Schwerbehindertenausweisen durch Kommunen, könnten noch Jahre dauern. Dies wirft die Frage auf, inwieweit der versprochene Komfort und Nutzen der Wallet zum Start tatsächlich gegeben sein wird.

Fazit und Ausblick

Die EUDI-Wallet ist ein ambitioniertes Vorhaben mit dem Potenzial, die digitale Interaktion von Bürgern mit Behörden und Unternehmen zu vereinfachen. Die aktuellen Diskussionen und die geäußerten Bedenken von Experten verdeutlichen jedoch, dass die erfolgreiche und sichere Umsetzung zahlreiche Herausforderungen birgt. Transparenz im Entwicklungsprozess, eine robuste Sicherheitsarchitektur und ein umfassender Datenschutz sind entscheidende Faktoren für die Akzeptanz und das Vertrauen der Nutzer. Die kommenden Monate werden zeigen, inwieweit die Verantwortlichen diese Kritikpunkte aufgreifen und die notwendigen Anpassungen vornehmen können, um das Projekt der EUDI-Wallet auf eine solide Basis zu stellen und einen wirkungsvollen Start im Jahr 2027 zu ermöglichen.

Bibliography: - heise online: „Ist das Projekt noch zu retten?“ Experten zweifeln an Umsetzung der EUDI-Wallet. URL: https://www.heise.de/news/Ist-das-Projekt-noch-zu-retten-Experten-zweifeln-an-Umsetzung-der-EUDI-Wallet-11360249.html - heise online: EUDI-Wallet: Warum die staatliche Brieftasche einen schweren Start haben wird. URL: https://www.heise.de/hintergrund/EUDI-Wallet-Warum-die-staatliche-Brieftasche-einen-schweren-Start-haben-wird-11311712.html - heise online: Seite 2: Kritik an Zulassung von EUDI-Wallet-Apps privater Anbieter. URL: https://www.heise.de/news/Ist-das-Projekt-noch-zu-retten-Experten-zweifeln-an-Umsetzung-der-EUDI-Wallet-11360249.html?seite=2 - klamm.de: Starttermin der deutschen Eudi-Wallet 2027 in Gefahr. URL: https://www.klamm.de/news/starttermin-der-deutschen-eudi-wallet-2027-in-gefahr-21N1781011750180.html - uncut-news.ch: IT-Sicherheitsexpertin und Hackerin schlägt Alarm: EU-Digital-ID könnte zur größten Datenkatastrophe Europas werden. URL: https://uncutnews.ch/it-sicherheitsexpertin-und-hackerin-schlaegt-alarm-eu-digital-id-koennte-zur-groessten-datenkatastrophe-europas-werden/ - identity-economy.de: EUDI: Die Wallet, die kaum einer kennt – und warum das das kleinere Problem ist. URL: https://identity-economy.de/eudi-die-wallet-die-kaum-einer-kennt-und-warum-das-das-kleinere-problem-ist - de.headtopics.com: „Ist das Projekt noch zu retten?“ Experten zweifeln an Umsetzung der EUDI-Wallet - Netzpolitik | EUDI-Wallet Nachrichten. URL: https://de.headtopics.com/news/ist-das-projekt-noch-zu-retten-experten-zweifeln-an-85433033 - Capgemini: Ein EUDI-Launch 2027 bleibt wirkungslos, wenn er nur Technik ausrollt und kein Ökosystem aktiviert. URL: https://www.capgemini.com/de-de/insights/blog/eineudi-launch-2027-bleibt-wirkungslos-wenn-er-nur-technik-ausrollt-und-kein-oekosystem-aktiviert/ - borncity.com: Bundes-E-Wallet: Digitale Identität unter Sicherheits-Vorbehalt. URL: https://borncity.com/news/bundes-e-wallet-digitale-identitaet-unter-sicherheits-vorbehalt/ - it-boltwise.de: EUDI-Wallet bis Dezember: Digitale Identität und Digital-Euro-Start rücken näher. URL: https://www.it-boltwise.de/eudi-wallet-bis-dezember-digitale-identitaet-und-digital-euro-start-ruecken-naeher.html