Der Bundestag hat heute mit Mehrheit von Union und SPD das Digitale Identitätengesetz beschlossen. Damit ist die rechtliche Grundlage für die Einführung der digitalen Brieftasche „d‑you“ zum 2. Januar 2027 gelegt. In der Smartphone-App sollen Bürger:innen künftig digitale Ausweisdokumente, Zeugnisse und Hotelreservierungen ablegen können.
Zunächst startet d‑you mit weit weniger Funktionen als geplant: Zu Beginn soll nur die Ausweisfunktion verfügbar sein, später sollen Führerschein und ein biometrisches Passfoto folgen. Erst danach sollen schrittweise Funktionen hinzukommen, die für mehr Sicherheit sowie Verbraucher- und Datenschutz sorgen sollen.
Dazu zählen unter anderem pseudonyme Logins, Zero-Knowledge-Proofs (zu Deutsch: Null-Wissen-Beweis) und die selektive Datenfreigabe. Diese Funktionen ermöglichen es Nutzer:innen, ihre Identität zu schützen oder nur das Allernotwendigste an sensiblen Daten preiszugeben. Deren Fehlen hatten vor gut einer Woche mehrere Fachleute in einer Anhörung im Digitalausschuss des Bundestags mit Nachdruck kritisiert.
Lichtbild muss nicht nicht mehr zwingend in die Wallet
Auf diese Kritik haben die Regierungsfraktionen nur geringfügig reagiert. Gestern hatten sie im Digitalausschuss eine Beschlussempfehlung für die heutige Plenumsabstimmung beschlossen, die Änderungen an dem Gesetzentwurf vorsieht. Die Empfehlung hat der Bundestag heute ebenfalls mit schwarz-roter Mehrheit verabschiedet.
So sollen es Nutzer:innen künftig ablehnen können, dass ihr biometrisches Passfoto in die digitale Brieftasche übernommen wird. Ein mögliches Opt-out sehen auch die Vorgaben auf EU-Ebene vor. Die Bundesregierung wollte die Nutzer:innen bislang dazu verpflichten.
Trotz der Möglichkeit eines Opt-out wertet Thomas Lohninger von der Bürgerrechtsorganisation epicenter.works die gesetzlichen Vorgaben als weiterhin unzureichend: „Das Gesetz sieht weiterhin keinen Nichtdiskriminierungsschutz vor, der verhindert, dass Nutzer:innen keine Nachteile erfahren, wenn sie das biometrische Passbild nicht übermitteln“, so Lohninger gegenüber netzpolitik.org. „Einen solchen Schutz braucht es aber – gerade wenn es um biometrische Daten geht.“
Bianca Kastl, die wie Lohninger an der Sachverständigen-Anhörung vor gut einer Woche teilnahm, ist ebenfalls skeptisch: „Die Möglichkeit, für die Übermittlung biometrischer Lichtbilder in die Wallet einen Opt-out wählen zu können, ist zwar gut“, so Kastl gegenüber netzpolitik.org. „Es ist aber lediglich die Ausnutzung des europäischen Rahmens.“
Pseudonyme kommen… irgendwann.
Besonders deutlich hatten die Fachleute kritisiert, dass die Wallet nicht die Möglichkeit biete, Pseudonyme zu verwenden, obwohl die zugrundeliegende eIDAS-Verordnung dies vorsieht. Pseudonyme sollen eine Über-Identifizierung, Tracking und kommerzielle Profilbildung verhindern. Ohne diese Funktion bietet die Wallet zu Beginn ausschließlich eine Klarnamen-Identifizierung, was Andreas Hartl, Vertreter des Bundesdatenschutzbeauftragten, in der Anhörung als „misslich“ bezeichnet hatte.
Wir kaufen keine Daten.
Wir recherchieren, wer es tut. Mit deiner Unterstützung.
Der Wallet-Berichterstatter der Unionsfraktion, Markus Reichel (CDU), räumte in der Bundestagsdebatte ein, dass hier „eine Lücke“ bestehe. Die pseudonyme Nutzung soll nun „schnellstmöglich“ kommen, wie es in dem Entschließungsantrag heißt, den der Digitalausschuss eingereicht hat.
Die Sache hat allerdings gleich zwei Haken. Erstens findet sich die pseudonyme Nutzung nur in einem Entschließungsantrag, den der Bundestag heute ebenfalls angenommen hat, und ist damit rechtlich nicht bindend. Ein solcher Antrag fordert die Bundesregierung nur zu einem bestimmten Handeln auf und hat vor allem politisches Gewicht.
Zweitens gibt es weiterhin kein Datum, wann die Pseudonyme kommen sollen. Das liege auch daran, so die parlamentarische Staatsekretärin im Bundesdigitalministerium Gitta Connemann gestern im Digitalausschuss, dass noch Vorgaben von der EU-Kommission ausstehen. Ihr Ministerium arbeite aber „in enger Zusammenarbeit mit BfDI daran, um das Beste zu geben“, so die Christdemokratin.
„Pseudonyme verkommen im Gesetz zu einer Absichtserklärung“, kritisiert Bianca Kastl das Vorgehen der Regierungsparteien gegenüber netzpolitik.org. „Wann Pseudonyme kommen werden – das bleibt unklar, unverbindlich.“ Sie hatte in der Anhörung dafür plädiert, den Starttermin zu verschieben, bis die Wallet datensparsame Kernfunktionen bietet.
Statt Kontrolle gibts nur Appelle an Unternehmen
Der Christdemokrat Markus Reichel beteuerte in der heutigen Bundestagsdebatte, dass die Regierungsfraktionen die Selbstbestimmung und Datenschutz gestärkt hätten.
Mehrere Fachleute hatten im Vorfeld strengere Kontrollen von Diensteanbietern angemahnt, die die Brieftasche einsetzen wollen. Konkret hatte Lina Ehrig vom Verbraucherzentrale Bundesverband gefordert, dass eine Aufsichtsbehörde vorab prüfen soll, dass beim Datenabruf durch sogenannte „vertrauende Beteiligte“ ausschließlich das zwingend erforderliche Minimum an Daten angefordert wird.
Eine solche Prüfung sieht das beschlossen Gesetz jedoch nicht vor. Stattdessen verweist es auf die Datenschutzgrundverordnung, wonach der Grundsatz der Datenminimierung gilt, wenn sich etwa Unternehmen als „vertrauende Beteiligte“ registrieren. „Daher sind vertrauende Beteiligte gehalten, bereits bei ihrer Registrierung diesen Grundsatz anzuwenden“. Statt eines risikobasierten Registrier- und Prüfverfahren für Diensteanbieter belässt es Schwarz-Rot also bei einem bloßen Appell an die Unternehmen.
Das Gesetz sieht außerdem kein öffentlich zugängliches Verzeichnis vor, welches Fachleute gefordert hatten. Ein solches könnte transparent aufzeigen, welche Daten etwa Unternehmen zu welchem Zweck und auf welcher Rechtsgrundlage abfragen dürfen. Offen ist auch, welche Sanktionen Diensteanbietern drohen, wenn sie gegen die Vorgaben verstoßen – bis hin zum Ausschluss aus dem Wallet-Ökosystem.
Alles netzpolitisch Relevante
Drei Mal pro Woche als Newsletter in deiner Inbox.
Datenabfragen erfolgen so auf Vertrauensbasis, so die Befürchtung von Sonja Lemke (Die Linke) in der Plenumsdebatte. „Wir laufen damit in eine Cookie-Banner‑2.0‑Situation hinein. Einmal verklickt, einmal nicht nachgedacht und schwuppdiwupp einem Unternehmen staatlich signierte Daten geschickt.“
Digitalministerium hat freie Hand
Schon der Gesetzentwurf der Bundesregierung sieht eine „Experimentierklausel“ vor, die es dem Bundesdigitalministerium (BMDS) etwa erlaubt, neue Verfahren zu erproben, mit denen Nutzer:innen ihre Identität nachweisen oder Kinder ab 12 Jahren die Wallet nutzen können.
Der Bundesdatenschutzbeauftragte hatte gefordert, dass das Ministerium hier die Expertise des Bundesdatenschutzbeauftragten oder des Bundesamts für Sicherheit in der Informationstechnik (BSI) einbeziehen müsse.
Dessen ungeachtet hat das Ministerium hier auch weiterhin relativ freie Hand: Will es künftig von den gesetzlichen Vorgaben abweichen, muss es vorab lediglich den Digitalausschuss des Bundestags informieren und mindestens zwei Sitzungswochen Zeit für eine Stellungnahme geben. Außerdem dürfen Erprobungen nur einmal verlängert werden.
Sonja Lemke warnte davor, dass hier das Ministerium und nicht der Bundestag das letzte Wort haben soll: „Die staatliche Identität ist kein Spielplatz, auf dem einfach mal ausprobieren kann.“
Die eigentliche Bewährungsprobe beginnt am 2. Januar
Offenbar wollen die Regierungsfraktion, dass d‑you schneller einen praktischen Nutzen bringt. Elektronische Ausweise und offizielle Dokumente müssen Bundesbehörden nun schon 12 statt 24 Monate nach Verkündung des Gesetzes bereitstellen. Ob das viel mehr Nutzen bringt, ist allerdings zweifelhaft: Viele Bescheinigungen stellen die Länder und Kommunen aus. Und die sind noch lange nicht auf die digitale Brieftasche vorbereitet.
Es sei klar, dass die Wallet bei ihrem Start am 2. Januar 2027 alle Anforderungen der eIDAS-Verordnung erfülle, räumte Markus Reichel bereits gestern im Digitalausschuss ein. Mit der heutigen Bundestagsentscheidung hat die Wallet eine entscheidende rechtliche Hürde genommen. Nun folge man einer klaren „Roadmap“, die den weiteren Weg aufzeige. Für die praktische Umsetzung sei es nun, so Reichel, entscheidend, dass bald alle Funktionen der digitalen Brieftasche bereitstehen, Nachweise verfügbar sind und die Behörden „d‑you“ akzeptieren.
Oder in den Worten des SPD-Abgeordneten Parsa Marvi: Mit der Verabschiedung des Gesetzes beginne nun „die eigentliche Bewährungsprobe für die Wallet“. Und das in wenigen Wochen.
Schreibe eine Ergänzung!