Digitale Identitäten: Verbraucherzentrale fordert mehr Datenschutz bei digitaler Brieftasche

Wer ein personalisiertes Bahnticket nutzt, online shoppen geht oder den eigenen Wohnsitz ummeldet, muss dafür mitunter seine Identität nachweisen. Künftig sollen Verbraucher:innen dann nicht mehr Plastikkarten, sondern digitale Dokumente zücken. Für diese Dokumente soll allen EU-Bürger:innen ab Herbst 2026 eine digitale Brieftasche zur Verfügung stehen.

Zu dem digitalpolitischen Großvorhaben der Europäischen Union hat der Verbraucherzentrale Bundesverband (vzbv) heute ein knapp 60-seitiges Gutachten veröffentlicht. Dessen Urteil fällt deutlich aus: „Die aktuell vorliegenden Spezifikationen blieben hinter ihren Möglichkeiten zurück“, so das Fazit des Gutachtens – und zwar sowohl hinsichtlich der Sicherheit als auch dem Schutz der Privatsphäre.

In einem begleitenden Positionspapier mahnt der vzbv deshalb bessere Schutzvorkehrungen an. Datensicherheit, Verschlüsselung und Datenschutz sollten von Anfang an in das Design der digitalen Identitätssysteme integriert werden. Nur dann könnten die Verbraucher:innen der Technologie auch vertrauen und die wiederum ihre Vorteile sicher ausspielen, schreibt der Verband.

Datensparsamkeit gegen Konzernmacht

Der vzbv kritisiert unter anderem, dass Verbraucher:innen gemäß der aktuellen Spezifikationen in ihrer digitalen Brieftasche keinen klaren Überblick darüber erhalten sollen, welche Daten genau Unternehmen und Verwaltungsbehörden abfragen. Ebenso wenig müssen diese kenntlich machen, ob die jeweilige Datenabfrage rechtlich überhaupt notwendig ist oder nicht.

Desweiteren müsse eindeutig geregelt sein, dass Unternehmen abgefragte Daten nicht mit anderen, ihnen bereits vorliegenden Daten oder gar amtlichen Dokumenten verknüpfen. Die Brieftasche dürfe nicht zum „Cookie-Ersatz“ werden, mahnt der Verband. Auch eine eindeutige, dauerhafte Personenkennziffer lehnt er ab.

Hinter diesen Forderungen steht auch die Sorge, dass die mächtigen Tech-Konzerne noch mächtiger werden. „Die digitale Brieftasche darf nicht dazu führen, dass private Anbieter wie Google, Amazon oder Apple ihre Monopolstellungen weiter ausbauen“, sagt Michaela Schröder, die den Geschäftsbereich Verbraucherpolitik beim vzbv leitet.

Um eine Überidentifikation zu vermeiden, sollten Verbraucher:innen auch stets das Recht haben, sich mit selbstgewählten Pseudonymen auszuweisen, sofern keine weiteren Daten erforderlich sind. In bestimmten Fällen müsse sich der Datenaustausch auf den sogenannten Zero-Knowledge-Proof beschränken, etwa wenn Verbraucher:innen beim Kauf von hochprozentigen alkoholischen Getränken nur ihre Volljährigkeit nachweisen müssen.

Gegen signierte Daten

Um die Sicherheit der Brieftasche zu erhöhen, spricht sich das Gutachten des vzbv dagegen aus, dass bei der Übermittlung von Personenidentifizierungsdaten signierte Daten genutzt werden. Der vzbv positioniert sich damit klar gegen eine Richtungsentscheidung der Bundesregierung im vergangenen Oktober.

Bei der digitalen Brieftasche sind grundsätzlich zwei Wege möglich, um die Echtheit und die Integrität von übermittelten Identitätsdaten zu bestätigen: mit Hilfe sicherer Kanäle („Authenticated Channel“) oder durch das Signieren von Daten („Signed Credentials“).

Der sichere Kanal kommt bereits beim elektronischen Personalausweis zum Einsatz. Hier wird die Echtheit der übermittelten Personenidentifizierungsdaten durch eine sichere und vertrauenswürdige Übermittlung gewährleistet. Die technischen Voraussetzungen dafür schafft der im Personalausweis verbaute Chip.

Bei den Signed Credentials hingegen werden die übermittelten Daten etwa mit einem Sicherheitsschlüssel versehen. Sie tragen damit auch noch lange nach der Übermittlung quasi ein Echtheitssiegel. Dieses Siegel macht die Daten allerdings auch überaus wertvoll für den Datenhandel und Datendiebstahl, so zumindest die Warnung der Bundesdatenschutzbeauftragten, mehrerer Sicherheitsforschender und zivilgesellschaftlicher Organisationen.

Dessen ungeachtet hat sich die Bundesregierung bei der deutschen Wallet für die Umsetzung einer Architekturvariante entschieden, die auf signierte Daten setzt.

Diese Entscheidung kritisiert der vzbv. Sein Gutachten erachtet den sicheren Kanal als die bessere Wahl, um die Authentizität und Integrität der Daten zu gewährleisten. Der vzbv fordert, das aktuelle Architekturkonzept zu überarbeiten, damit bei der digitalen Brieftasche auch sichere Kanäle implementiert werden können.

Eine digitale Brieftasche für alle

Das EU-Gesetz, das dem ganzen Prozess zugrunde liegt, trat im Mai 2024 in Kraft. Die novellierte eIDAS-Verordnung sieht vor, dass die Wallet freiwillig und kostenlos sowie interoperabel sein soll. Außerdem sollen die Nutzer:innen transparent darüber bestimmen können, welche Daten sie an wen weitergeben. Derzeit werden in Brüssel die technischen Anforderungen an die europäische digitale Brieftasche verhandelt.

Die jeweiligen EU-Mitgliedstaaten müssen die Verordnung in nationales Gesetz gießen. In Deutschland muss das die kommende Regierung übernehmen.

Bereits im Mai 2024 startete die Bundesagentur für Sprunginnovationen einen sogenannten Innovationswettbewerb. Er hat das Ziel, ein umfassendes Architekturkonzept für die deutsche Wallet und eine prototypische Infrastruktur für die EUDI-Wallet zu entwickeln. Laut Bundesinnenministerium soll das finale Architekturkonzept, das „auch die Rollen und Zuständigkeiten im EUDI-Wallet-Ökosystem definieren wird“, im Herbst dieses Jahres veröffentlicht werden.

Auf dieser Grundlage werde dann in einem „iterativen Prozess“ schrittweise eine „vollfunktionsfähige EUDI-Wallet“ entstehen, die den rechtlichen Anforderungen entspricht. Im Rahmen des Konsultationsprozesses für EUDI-Wallets werde dann außerdem die Frage diskutiert, „wer in der Bundesrepublik Deutschland die EUDI-Wallets herausgeben und betreiben wird“.