In genau 100 Tagen soll die digitale Brieftasche „d‑you“ bundesweit an den Start gehen – wenn auch deutlich kleiner als geplant. So soll zu Beginn nur die Ausweisfunktion nutzbar sein, später folgen Führerschein und ein Lichtbildnachweis. Erst danach sollen schrittweise weitere Funktionen hinzukommen.
Für den Start am 2. Januar 2027 hat Digitalminister Karsten Wildberger (CDU) vor allem zweierlei im Fokus: „Sicherheit ist unsere Verantwortung, Selbstbestimmung ist Ihr Recht“, sagte der Minister gestern im Bundestag. Für die Sicherheit sorge, dass Nachweise in der digitalen Brieftasche verschlüsselt gespeichert würden. Selbstbestimmung bedeute, dass die Nutzung freiwillig bleibe und die Nutzer:innen entscheiden, welche Daten sie weitergeben.
Kritik an unzureichender Sicherheit
Rebecca Lenhard von den Grünen überzeugt das nicht. In der Bundestagsdebatte kritisierte die Abgeordnete, dass die Wallet zum Start weder Pseudonyme noch einen Zero-Knowledge-Proof biete.
Beides sind Verfahren, mit denen Nutzer:innen ihre Identität und ihre persönlichen Daten vor übermäßigem Zugriff durch Unternehmen und Behörden schützen können. Mit selbstgewählten Pseudonymen sollen sie sich ausweisen können, wenn keine weiteren Daten erforderlich sind.
Im Fall von Alterskontrollen ginge es noch datensparsamer. Hier kann sich der Datenaustausch auf den Zero-Knowledge-Proof (ZKP, zu Deutsch: Null-Wissen-Beweis) beschränken. Damit wird beispielsweise ausschließlich übermittelt, ob Personen ein Mindestalter überschreiten oder nicht. Die der deutschen Wallet zugrundeliegende EU-Verordnung sieht vor, dass beide Verfahren in die digitale Brieftasche integriert werden.
Dass dies nicht von Anfang an der Fall ist, wertet Lenhard als schwerwiegendes Versäumnis: „Vertrauen kann man am Ende nicht mit einem Update einspielen, und deshalb ist Sicherheit von vornherein ein ganz wichtiges Gut“, betonte sie gestern im Bundestag.
Eine ähnliche Kritik kommt aus der Zivilgesellschaft. In einer aktuellen Stellungnahme fordert der Verbraucherschutz Bundesverband (vzbv) die Bundesregierung auf, beim Schutz sensibler Daten nachzubessern. Die digitale Brieftasche müsse von Anfang an und standardmäßig pseudonyme Nutzung, selektive Datenoffenlegung und datensparsame Altersverifikation ermöglichen. Andernfalls riskiere die Regierung, dass die „d‑you“ bereits „ab Bereitstellung mehrheitlich abgelehnt wird.“
„Wer so Daten schützen will, der lässt auch sein Fahrrad unangeschlossen draußen stehen“
Sonja Lemke (Die Linke) kritisierte in ihrem Redebeitrag die Entscheidung, in der deutschen Wallet signierte Daten zu verwenden. Bereits im Oktober 2024 hatte sich das damals noch zuständige Innenministerium (BMI) für eine Architektur-Variante entschieden, die auf „Signed Credentials“ setzt. Diese Entscheidung, zu der offenbar auch ganz eigene Interessen führten, hat weitreichende Folgen für die Sicherheit der App.
Bei diesem Verfahren werden die übermittelten Daten mit einer kryptografischen Signatur versehen. Sie tragen damit quasi ein Echtheitssiegel – auch lange nach der Übermittlung. Dieses Siegel mache die Daten allerdings überaus wertvoll für Datenhandel und Identitätsdiebstahl, warnten schon damals unabhängig voneinander das Bundesamt für Sicherheit in der Informationstechnik (BSI), die Bundesdatenschutzbeauftragte und mehrere IT-Sicherheitsforscher:innen.
„Wer so Daten schützen will, der lässt auch sein Fahrrad unangeschlossen draußen stehen, in der Hoffnung, dass schon irgendjemand klingeln wird, wenn es geklaut wird“, sagte Lemke. Sie rief das Digitalministerium dazu auf, den Start der digitalen Brieftasche zu verschieben. „Nehmen Sie sich Zeit, das vernünftig zu machen“, sagte sie in Richtung von Digitalminister Wildberger.
Kommunen unvorbereitet
Ein späterer Termin könnte auch den Kommunen zugutekommen. Die seien Rebecca Lenhard zufolge nicht ausreichend auf „d‑you“ vorbereitet, obwohl die digitale Brieftasche gerade hier zum Einsatz kommen soll.
Alles netzpolitisch Relevante
Drei Mal pro Woche als Newsletter in deiner Inbox.
Auch Sonja Lemke wies darauf hin, dass die Kommunen „d‑you“ noch nicht einsetzen können. Zudem gebe es mit der Bund-ID und dem elektronischen Personalausweis Doppelstrukturen, die allerdings kaum jemand kenne. „Das Problem ist ja nicht die verfügbare Technik, es ist die Kommunikation und das Wissen“, so Lemke.
Ein Fachgespräch der Unions-Fraktionen stützt diese Einschätzung aus erster Hand. An dem Austausch hatten Anfang Juli mehr als 300 Bürgermeister:innen, Landrät:innen und IT-Verantwortliche aus Kommunen, kreisfreien Städten und Landkreisen teilgenommen. Mehr als 90 Prozent von ihnen gaben an, noch „in einer frühen Vorbereitungsphase“ für die nationale digitale Brieftasche zu stecken. Für eine flächendeckende Umsetzung fehlten ein klarer Fahrplan, Leitfäden sowie technische Standards, Schnittstellen und Referenzarchitekturen.
„Ohne diese Klarheit wird es kein erfolgreicher Roll-out“, fürchtet auch der Wallet-Berichterstatter der Unionsfraktion, Markus Reichel (CDU).
Sachverständigen-Anhörung am 6. Oktober
Die Debatte wird in zwei Wochen vertieft weitergehen. Nach der halbstündigen Aussprache hat die Mehrheit des Bundestages den Gesetzentwurf zur weiteren Beratung an die Ausschüsse überwiesen.
Federführend ist der Ausschuss für Digitales und Staatsmodernisierung. Er hat eine Anhörung von Sachverständigen für den 6. Oktober angesetzt.
Schreibe eine Ergänzung!