„Ist das Projekt noch zu retten?“ Experten zweifeln an Umsetzung der EUDI-Wallet

Fehlende Transparenz, offene Haftungsfragen, Sicherheitsbedenken und Zweifel am Zeitplan: Bei einem Fachgespräch der Linksfraktion im Bundestag haben Sachverständige deutliche Kritik an der geplanten Einführung der europäischen digitalen Identitätswallet (EUDI-Wallet) geäußert.

Die Fraktion hatte die Veranstaltung organisiert, weil es zum Referentenentwurf zum Digitale-Identitäten-Gesetz (DIdG) vor allem Stellungnahmen von Unternehmen und Wirtschaftsverbänden gibt und kritische Stimmen aus Wissenschaft, Verbraucherschutz und Zivilgesellschaft stärker einbeziehen wollte.

Die EUDI-Wallet soll auf Grundlage der europäischen eIDAS-Verordnung digitale Nachweise wie Personalausweis, Führerschein oder Zeugnisse auf dem Smartphone bündeln. Die EU schreibt vor, dass die Mitgliedstaaten bis Anfang 2027 eine interoperable nationale Wallet bereitstellen. In Deutschland verantwortet das Bundesministerium für Digitales und Staatsmodernisierung (BMDS) die Umsetzung. Mit der Entwicklung wurde die Bundesagentur für Sprunginnovationen (SPRIND) beauftragt.

Den ersten von vier Kurzvorträgen hielt Bianca Kastl vom Innovationsverbund Öffentliche Gesundheit (InÖG). Sie begleitet das Projekt seit mehreren Jahren und kritisierte vor allem den Entwicklungsprozess. Zwar führe SPRIND Konsultationen durch, diese dienten aus ihrer Sicht aber eher dazu, die eigene Lösung zu bestätigen. Unterschiedliche technische Ansätze würden jedoch nicht ergebnisoffen diskutiert. An den Konsultationen seien zudem Unternehmen beteiligt, die gleichzeitig an den technischen Spezifikationen mitarbeiteten.

„Prozesse um EUDI-Wallet intransparent“

Aus Sicht Kastls ist der Prozess insgesamt zu intransparent. Während die europäische Referenzimplementierung offen entwickelt werde und sich dort nachvollziehen lasse, welche Funktionen wann umgesetzt werden, präsentiere SPRIND zwar seit Jahren klickbare Prototypen, veröffentliche den Quellcode der deutschen Implementierung jedoch nicht. Selbst sicherheitsrelevante Details könnten nur eingeschränkt überprüft werden. Wer etwa Informationen über die geplanten Attributnachweise erhalten wolle, müsse zuvor eine Verschwiegenheitserklärung (NDA) unterzeichnen.

Auch technisch sieht Kastl erhebliche Risiken. Deutschland habe sich für signierte Daten mit „Cloud als Sicherheitsanker“ entschieden, was „langfristig nicht die klügste Lösung“ sei. Dadurch entstehe ein zentraler Angriffspunkt. Fielen die Cloud-Dienste oder die Anbieter der personenbezogenen Daten aus, funktioniere das Gesamtsystem nicht mehr. Hinzu kämen neue Risiken durch KI-gestützte Angriffe dank Systemen wie Claude Mythos.

„Wenig Konkretes bei Post-Quanten-Kryptographie“

Beim Thema Post-Quanten-Sicherheit sei das Wallet-Konzept bislang wenig konkret. Selbst die elektronische Patientenakte (ePA) sei bei der Übermittlung von Zertifikaten inzwischen weiter als die geplante Wallet. Parallel würden derzeit noch sicherheitsrelevante Dienstleistungen ausgeschrieben – etwa für Bedrohungsanalysen und Sicherheitsprüfungen. Dass dies wenige Monate vor dem geplanten Start geschehe, wertete Kastl als Hinweis darauf, dass noch erheblicher Entwicklungsbedarf bestehe.

Zweifel äußerte sie auch daran, ob das Bundesamt für Sicherheit in der Informationstechnik (BSI) die notwendige unabhängige Sicherheitsbewertung übernehmen könne. Das BSI sei bereits eng in die Entwicklung der Architektur eingebunden gewesen. Ein ähnliches Problem habe es bereits bei der elektronischen Patientenakte gegeben.

Unabhängige Risikobewertung erforderlich

Nach ihrer Einschätzung werde Deutschland die Wallet Anfang 2027 allenfalls mit den europäischen Mindestanforderungen starten können. Sie rechne mit einem „Minimalkonstrukt“, das noch längst nicht alle vorgesehenen Funktionen bieten werde. Für ein Projekt dieser Größenordnung seien die verbleibenden Monate zu knapp. Nötig seien stattdessen eine offene Entwicklung, transparente Implementierungen und eine unabhängige Risikobewertung. Den versprochenen Mehrwert der Wallet sieht Kastl zunächst nur begrenzt. Viele der häufig genannten Anwendungsfälle seien vor allem Komfortfunktionen. Bis Kommunen etwa eigene Nachweise wie Schwerbehindertenausweise digital ausstellen könnten, werde es ihrer Einschätzung nach noch Jahre dauern.

Bedenken bei Experimentierklausel

Kastl warnte außerdem vor der Experimentierklausel im DIdG-Gesetzentwurf. Diese ermögliche es künftig, weitere Verfahren zur Identitätsprüfung zuzulassen. Aus den Erfahrungen mit der Digitalisierung des Gesundheitswesens befürchtet sie, dass später beispielsweise Videoident-Verfahren wieder eingeführt werden könnten, um die Verbreitung der Wallet zu beschleunigen.

Nach Sicht von Daniel Leisegang, dem Co-Chefredakteur von Netzpolitik, werde die Wallet zum Start „bei Weitem nicht die Wallet sein, die sie sein soll“. Wie bei der elektronischen Patientenakte würden zunächst lediglich Grundfunktionen bereitstehen. Genau darin sieht Leisegang ein Problem. Der Gesetzentwurf für das DIdG räume dem BMDS über Verordnungsermächtigungen und Experimentierklauseln zudem erhebliche Gestaltungsspielräume für spätere Ausbaustufen ein. Das verstärke aus seiner Sicht die Risiken, weil zentrale Entscheidungen erst nach dem eigentlichen Gesetz getroffen würden.

Zunehmende Abschwächung von Datenschutz- und Sicherheitsvorgaben

Zudem kritisierte Leisegang eine schrittweise Abschwächung von Datenschutz- und Sicherheitsvorgaben im europäischen Gesetzgebungs- und Standardisierungsprozess. Ein Beispiel seien die in der eIDAS-Verordnung vorgesehenen frei wählbaren Pseudonyme. Damit sollten sich Nutzer etwa in Online-Foren oder bei anderen Diensten unter einem selbst gewählten Namen anmelden können, ohne ihre staatliche Identität preiszugeben. Nach dem derzeitigen Stand der technischen Umsetzung werde es stattdessen lediglich eine Möglichkeit zur anonymen Authentifizierung geben. Diese ersetze jedoch keine frei verwendbaren Pseudonyme, wie sie die Verordnung ursprünglich vorsehe.

Weitere Kritik richtete sich gegen den Einsatz signierter personenbezogener Daten. Die Wallet soll Nachweise enthalten, deren Echtheit durch digitale Signaturen bestätigt wird. Gelangten solche signierten Datensätze in falsche Hände oder würden sie unnötig häufig an private Dienste übermittelt, könnten sie nach Sicht von Leisegang Identitätsdiebstahl und den Handel mit verifizierten personenbezogenen Daten erleichtern. Deutschland könne dieses Risiko durch strengere nationale Vorgaben begrenzen, etwa indem nur klar definierte Diensteanbieter bestimmte staatlich signierte Nachweise abrufen dürfen. Solche Einschränkungen enthalte der Gesetzentwurf bislang jedoch nicht.

Auch die geplante Aufnahme biometrischer Passfotos in den Mindestdatensatz der Wallet kritisierte Leisegang. Nach seinen Angaben prüft das BMDS derzeit noch, ob Nutzer das biometrische Passfoto verpflichtend hinterlegen müssen oder darauf verzichten können. Das Ministerium habe ihm dies auf Anfrage mitgeteilt.