Neuer Name, alte Baustellen: Das sind die Hürden zum Start der digitalen Brieftasche „d‑you“

Für Karsten Wildberger (CDU) war es „ein besonderer Tag“. Am Mittwoch präsentierte der Digitalminister den offiziellen Namen der deutschen EUDI-Wallet: „d‑you“ wird sie demnach heißen. Das „d“ stehe für digital und für Deutschland, das „you“ verweise auf die einzelne Nutzer:in, erklärt der Minister.

Die digitale Brieftasche soll am 2. Januar 2027 als Handy-App starten. Künftig sollen Bürger:innen dort digitale Ausweisdokumente, Zeugnisse und Hotelreservierungen ablegen können. Sie werde nutzerfreundlich und sicher sein, versprach Wildberger bei dem Pressetermin. Zugleich betonte er, dass er die App als „lebendes Produkt“ begreife, das um neue Funktionen anwachse. „Um d‑you entsteht ein Ökosystem“, so der Minister, „das neue Anwendungen, innovativere Geschäftsmodelle und effizientere Verwaltungsleistungen ermöglicht.“

Zunächst aber startet d‑you deutlich kleiner als geplant: Zu Beginn soll nur der digitale Ausweis nutzbar sein, später folgen Führerschein und „kurz danach“ ein Lichtbildnachweis. Schrittweise sollen weitere Funktionen sowie kommunale und privatwirtschaftliche Anwendungen hinzukommen.

Die schleppende Umsetzung zeigt, dass die Frist zum Start der digitalen Brieftasche zu ambitioniert ist. Zudem deutet die Bundesregierung an, dass sich das Datum aus Sicherheitsgründen verschieben könnte. Denn rund um das Projekt gibt es gerade bei der IT-Sicherheit etliche Baustellen.

Es fehlt immer noch Fachpersonal

Die digitale Brieftasche entsteht im Auftrag des Digitalministeriumsbei der Common Codes GmbH, einem von der Bundesagentur für Sprunginnovationen (Sprind) gegründeten Unternehmen. Noch vor wenigen Tagen suchte es händeringend nach externer Unterstützung im Bereich der Informationssicherheit. Der ausgeschriebene Auftrag sieht unter anderem vor, die Architektur der App abzusichern.

Die IT-Sicherheitsforscherin Bianca Kastl findet das zu spät. „Das ist ein wenig so, als würde man auf einem fahrenden Zug noch ein paar Sicherheitsingenieure holen und sie dann fragen, ob das mit den Bremsen denn so okay ist“, sagte Kastl dem Tagesspiegel Background.

Auf Herz und Nieren ungeprüft

Auch die App selbst ist noch nicht geprüft. In Kürze soll immerhin ein Bug-Bounty-Programm starten. Es belohnt externe Fachleute, die IT-Sicherheitslücken in der Wallet finden und melden.

Allerdings gibt es nach wie vor kein Testobjekt. Zwar hat das Ministerium vor wenigen Tagen den Quellcode der App für iOS und Android auf der Plattform Github veröffentlicht. Sicherheitslücken sollen jedoch nicht dort, sondern erst in der veröffentlichten Anwendung nachgewiesen werden. Bislang sind die Apps jedoch nicht auf den App-Marktplätzen von Google und Apple verfügbar.

Währenddessen schreibt das Bundesamt für Sicherheit in der Informationstechnik (BSI) noch immer an den Sicherheitsvorgaben. Die „Cyber-Sicherheitsbehörde des Bundes“ soll ein nationales Zertifizierungsschema für die digitale Brieftasche entwickeln. Die Technische Richtlinie 03189 soll etwa festlegen, welche Anforderungen d‑you erfüllen muss.

Die Verzögerung hat vor allem zwei Gründe. Zum einen hat die EU-Kommission noch nicht alle Vorgaben für die EUDI-Wallet festgelegt. Zum anderen gibt es im BSI offenbar Bedenken zur IT-Sicherheit der geplanten App, wie Tagesspiegel Background Anfang Juni berichtete.

Eine Veröffentlichung der Richtlinie sei dem BSI zufolge nur möglich, wenn die Entwicklung der Wallet abgeschlossen sei. „Eine erste Veröffentlichung der TR-03189 auf der Webseite des BSI ist zum Ende dieses Jahrs geplant“, teilte eine BSI-Sprecherin auf Anfrage von netzpolitik.org mit – nur wenige Tage vor dem geplanten Start von d‑you.

Fachleute warnen vor signierten Daten

Das engt Wildbergers Zeitplan weiter ein. Und es ist möglich, dass die Bundesregierung die Bedenken des BSI einmal mehr beiseiteschiebt. Bereits im Oktober 2024 entschied sich das damals noch zuständige Innenministerium (BMI) für eine Architektur-Variante bei der deutschen Wallet, die auf sogenannte signierte Daten setzt. Diese Entscheidung, zu der offenbar auch ganz eigene Interessen im Sprind-Team führten, hat weitreichende Folgen für die Sicherheit der App.

Grundsätzlich sind bei der digitalen Brieftasche zwei Wege möglich, um Echtheit und Integrität übermittelter Identitätsdaten zu bestätigen: mit Hilfe eines sicheren Kanals („Authenticated Channel“) oder durch das Signieren von Daten („Signed Credentials“).

Der sichere Kanal kommt bei der Online-Funktion des elektronischen Personalausweises zum Einsatz. Eine sichere und vertrauenswürdige Datenübermittlung gewährleistet hier die Echtheit der übermittelten Daten, die eine Person identifizieren. Die technischen Voraussetzungen dafür schafft der im Ausweis verbaute Chip.

Bei den Signed Credentials hingegen werden die übermittelten Daten mit einer kryptografischen Signatur versehen. Sie tragen damit quasi ein Echtheitssiegel – auch lange nach der Übermittlung. Dieses Siegel mache die Daten überaus wertvoll für Datenhandel und Identitätsdiebstahl, warnten unabhängig voneinander das BSI, die Bundesdatenschutzbeauftragte, mehrere IT-Sicherheitsforscher:innen sowie zivilgesellschaftliche Organisationen.

Start könnte sich verschieben

Karsten Wildberger verteidigte die Entscheidung des BMI für signierte Daten bei dem gestrigen Pressetermin. Nur so lasse sich das Vorhaben skalieren, sagte der Minister, der bekanntlich gerne groß denkt.

Allerdings zeigte er sich gestern auffällig zurückhaltend. Zwar betont Wildberger weiterhin bei jeder Gelegenheit, dass die staatliche Wallet am 2. Januar starten werde. Zugleich peilt er einen eher stillen Start an. Er wolle zunächst Erfahrungen und Feedback sammeln, sagte Wildberger, erst danach soll d‑you breiter beworben werden und eine bundesweite Kommunikationskampagne starten.

Auch die Bundesregierung treibt offenbar die Sorge um, dass nicht alles reibungslos verlaufen wird. Sie werde „unter Berücksichtigung eventueller Restrisiken über den Start der staatlichen EUDI-Wallet entscheiden“. Mit anderen Worten: Sie könnte den Start der Wallet wegen Bedenken zur IT-Sicherheit verschieben.