Bis 2026 müssen alle EU-Staaten nationale Wallet-Apps für die Digitale EU-Identitätswallet einführen, um persönliche Daten zu speichern und zu teilen. Italien, Frankreich und Finnland gehen voran. Wo stehen die übrigen Länder?
Brüssel will persönliche Behördengänge vereinfachen und verschlanken. Bis Ende des Jahres soll die EU dazu die „EU Digital Identity Wallet“ (EUDI-Wallet) starten. Sie bietet einen privaten digitalen Raum, in dem Bürgerinnen und Bürger, Einwohnerinnen und Einwohner sowie Unternehmen persönliche Dokumente speichern und teilen, auf öffentliche und private Dienste zugreifen und Unterlagen elektronisch unterschreiben können.
WERBUNG
WERBUNG
Die Digitale Identitäts-Wallet ist eine kostenlose App für Smartphones und Tablets. Nutzerinnen und Nutzer laden sie auf ihr Gerät und verwalten darüber ihre Nachweise. Die Wallet macht sie weniger abhängig von Speicherlösungen großer Tech-Konzerne wie Apple oder Google Wallet und von rein nationalen Systemen. Gleichzeitig gewinnen sie mehr Kontrolle über ihre eigenen Daten.
Eine einzige einheitliche App für die gesamte EU wird es nicht geben. Jeder Mitgliedstaat entwickelt seine eigene Wallet. Alle Anwendungen folgen jedoch gemeinsamen technischen Standards. So können Nutzerinnen und Nutzer ihre Wallet überall in der EU verwenden, und Dienstanbieter können ihre Angebote jederzeit grenzüberschreitend bereitstellen.
EUDI-Wallet: Was die neue Ausweis-App leisten soll
Die EUDI-Wallet ist Teil der Verordnung eIDAS 2.0, mit der die EU einen einheitlichen digitalen Markt für elektronische Identifizierung schaffen will. Im Kern handelt es sich um eine Identitäts-App für Bürgerinnen und Bürger, Einwohnerinnen und Einwohner sowie Unternehmen. Sie soll die Aufbewahrung von Dokumenten vereinfachen, digitale Identifizierung beschleunigen und zugleich sicherer und verlässlicher machen.
Anstatt Ausdrucke von Ausweisen und Bescheinigungen mit sich zu führen oder mehrere Apps zur Dokumentenablage zu nutzen, können Nutzerinnen und Nutzer in der Wallet alle wichtigen Unterlagen in einem privaten digitalen Bereich bündeln. Dazu gehören offizielle Nachweise wie Personalausweise oder Geburtsurkunden. Auch elektronische Rezepte, Hochschulabschlüsse, digitale Versionen des Führerscheins, Fitnessstudio-Mitgliedschaften oder Bordkarten lassen sich hinterlegen.
Über die Wallet teilen Nutzerinnen und Nutzer Dokumente mit privaten und öffentlichen Stellen, online wie offline und in allen EU-Ländern. Bewerben sie sich etwa auf eine Stelle in Deutschland, können sie Arbeitgebern ihr spanisches Hochschulzeugnis direkt aus der Wallet zeigen, ohne die Unterlagen neu zusammenzustellen. Wer in Stockholm eine Wohnung mietet, kann seine Miethistorie aus Mailand unmittelbar aus der Wallet vorlegen – ganz ohne nationale Spezial-App.
Über die Wallet erhalten sie Zugang zu nationalen und grenzüberschreitenden öffentlichen Diensten, etwa zu Portalen der Krankenversicherung oder der Sozialversicherung. Sie können einen Reisepass beantragen oder ihre Steuererklärung abgeben. Ebenso lassen sich private Angebote nutzen, zum Beispiel einen Bankkredit beantragen oder ein Online-Konto eröffnen.
Wer solche Dienste nutzt, muss sich eindeutig ausweisen. Die Kontrolle über die digitale Identität bleibt jedoch während des gesamten Vorgangs bei der Nutzerin oder dem Nutzer.
„Menschen sollten das Recht haben, Nein zu sagen, keinerlei Informationen weiterzugeben oder nur ausgewählte Daten zu teilen. Wenn jemand zum Beispiel nach deinem Studierendenausweis fragt, könntest du den Namen deiner Universität und vielleicht dein Studienfach nennen, aber nicht die Ausweisnummer“, sagte Thomas Lohninger, Geschäftsführer der Digitalrechte-NGO epicenter.
Integrierte Funktionen wie „selective disclosure“ und „zero-knowledge proof“ ermöglichen es, nur die jeweils nötigen Angaben preiszugeben, ohne weitere identifizierende Details offenzulegen. Dienstanbieter erhalten dadurch lediglich die Mindestdaten, die sie zur Erbringung ihres Angebots brauchen. Über ein Datenschutz-Dashboard sehen Nutzerinnen und Nutzer, wer Zugriff auf ihre Informationen hat, während Aussteller digitaler Dokumente sie nicht verfolgen oder profilieren dürfen.
Dokumente lassen sich direkt aus der Wallet heraus unterschreiben – mit einer kostenlosen elektronischen Signatur, die in allen Mitgliedstaaten rechtlich ebenso gilt wie eine handschriftliche Unterschrift.
Sicherheit und Datenschutz
Die Wallet bündelt eine große Zahl zentraler Nachweise in einem einzigen digitalen System. So viel sensible Information an einem Ort bedeutet zugleich ein mögliches „Single Point of Failure“.
„Wenn man alle Eier in einen Korb legt, darf dieser Korb im Idealfall niemals versagen“, sagte Lohninger. Ein Hackerangriff, ein technischer Fehler oder ein Ausfall könnte den Zugang zu allem beeinträchtigen – von Nahverkehr und staatlichen Diensten bis zu Onlinekonten und digitalen Ausweisdokumenten.
Wird ein Smartphone kompromittiert oder gestohlen, könnte eine unbefugte Person sofort auf die gesamten rechtlichen, medizinischen und beruflichen Informationen der betreffenden Bürgerin oder des betreffenden Bürgers zugreifen.
Hinzu kommen technische Risiken. Zwar untersagt der Rechtsrahmen den Mitgliedstaaten, die Nutzung der Wallet nachzuverfolgen. Die Anwendung muss dennoch mit staatlichen Servern kommunizieren, um die Gültigkeit von Nachweisen zu prüfen. Entscheidet sich ein Land für ein zentralisiertes Prüfsystem, entsteht dabei eine digitale Spur. Regierungen oder mit ihnen kooperierende Unternehmen könnten Zeitstempel und Schlüssel auswerten und so genau nachvollziehen, wo und wann sich eine Person authentifiziert.
Datenschutz-Aktivistinnen und -Aktivisten warnen zudem vor „Über-Identifizierung“. Lohninger befürchtet, dass die Wallet verifizierte Identität so einfach und günstig machen könnte, dass Organisationen sie zunehmend auch dort verlangen, wo bisher keine Pflicht bestand. „Dinge, die wir heute noch pseudonym oder anonym erledigen können, könnten bald immer stärker einer Klarnamenpflicht unterliegen“, sagte er.
Die Risiken hängen stark davon ab, wie jeder Mitgliedstaat die Daten speichert. Am meisten Privatsphäre verspricht eine dezentralisierte Architektur, bei der alle Nachweise ausschließlich auf dem gesicherten Hardware-Chip des Smartphones liegen. Setzt ein Land dagegen auf Cloud-Backups oder zentrale Server, entsteht ein großes Angriffsziel für Cyberkriminelle und Insider. Das schwächt die Datensicherheit erheblich.
Einige geplante Datenschutzmechanismen beruhen zudem auf kryptografischer Technik, die sich noch in der Entwicklung befindet. Lohninger verweist auf sogenannte Zero-Knowledge-Proofs, mit denen jemand etwa nachweisen könnte, über achtzehn zu sein, ohne das genaue Geburtsdatum offenzulegen.
Er warnt jedoch davor, dass Teile des nötigen technischen Rahmens noch nicht fertig sind, und beschreibt manche dieser Technologien zum Schutz der Privatsphäre als „die Grenze der kryptografischen Wissenschaft“. In der Praxis versuchen Entwicklerinnen und Entwickler, ein schwieriges Dreieck aus Datenschutz, Sicherheit und Bedienbarkeit auszubalancieren.
Wer hinter der EUDI-Wallet steht
Drei Akteursgruppen arbeiten zusammen, damit das System funktioniert. Wallet-Anbieter sind private Unternehmen, die die Apps entwickeln, sie zum Download bereitstellen und technischen Support leisten. Aussteller sind vertrauenswürdige öffentliche oder private Organisationen, die digitale Dokumente vergeben, etwa Bildungsabschlüsse, Aufenthaltstitel oder Führerscheine. Dienstanbieter sind öffentliche oder private Stellen, die Informationen aus der Wallet nutzen und vor ihrer Leistung eine Authentifizierung verlangen – zum Beispiel Apotheken oder Universitäten.
Sechs groß angelegte Pilotprojekte (LSPs) bündeln die Expertise von öffentlichem und privatem Sektor, um die Funktionen der Wallet in verschiedenen Alltagssituationen zu testen und zu verbessern, etwa beim Ticketkauf oder beim Check-in für Reisen. An den laufenden LSPs sind 550 Unternehmen und Behörden aus der EU, Norwegen, Island und der Ukraine beteiligt. Sie prüfen mehr als elf typische Anwendungsfälle.
Derzeit laufen zwei Pilotprojekte weiter, vier andere sind 2023 gestartet und inzwischen abgeschlossen. Das Projekt APTITUDE testet die Wallet für Anwendungen wie digitale Reiseausweise (Digital Travel Credentials, DTC), eine sichere elektronische Version des Reisepasses für schnellere und reibungslosere Grenzkontrollen. Das Konsortium WE BUILD konzentriert sich darauf, Zahlungsprozesse zwischen Unternehmen, zwischen Unternehmen und Staat sowie zwischen Unternehmen und Verbraucherinnen und Verbrauchern zu vereinfachen.
Jeder Mitgliedstaat wird eine eigene nationale Wallet-App bereitstellen. Die EU-Kommission hat dafür einen gemeinsamen Werkzeugkasten entwickelt, den alle Anbieter umsetzen müssen. Er umfasst technische Spezifikationen wie vereinbarte Standards, Protokolle und Formate.
Stand in den Mitgliedstaaten
Die EU-Staaten arbeiten gegen eine feste Frist: Bis Ende 2026 sollen sie ihren Bürgerinnen und Bürgern eine voll funktionsfähige EUDI-Wallet anbieten. Lohninger rechnet jedoch mit einem uneinheitlichen Start. „Sehr wenige Mitgliedstaaten werden diese Frist tatsächlich einhalten können“, sagte er. Manche Länder könnten Systeme einführen, die der Wallet ähneln, aber anfangs noch nicht vollständig funktionieren oder interoperabel sind. Besonders weit sind Italien, Frankreich, Finnland und Bulgarien.
Ihr Ansatz: bereits vorhandene digitale Dienste und verbreitete Apps nutzen und sie an EUDI anpassen. Diese Staaten verfügen über offene Testumgebungen, in denen Entwicklerinnen und Entwickler sowie externe Prüfer von Nachweisen die kommende Wallet-Infrastruktur integrieren und erproben können.
In Italien hat die Regierung den EUDI-Rahmen direkt in ihre beliebte App für staatliche Dienstleistungen, IO, eingebaut – über die Initiative IT-Wallet. Italienische Bürgerinnen und Bürger können dort bereits elektronische Gesundheitskarten und Führerscheine in einer Live-Testumgebung hinterlegen.
Frankreich hat parallel den „EUDIW Unfold Playground“ innerhalb seines bestehenden Ökosystems France Identité gestartet. Es handelt sich um eine spezialisierte Sandbox, in der externe Technik-Anbieter digitale Nachweise im französischen Umfeld ausstellen und überprüfen können.
Auch Kroatien liegt im Zeitplan vorn. Das Land programmiert seine bereits vorhandene Certilia-Wallet-App neu, um sie an den strengen Architektur-Referenzrahmen der EU anzupassen. So lässt sich eine im Inland etablierte Anwendung frühzeitig in eine rechtskonforme europäische Wallet verwandeln – und Zeit sowie Entwicklungskosten sparen.
Andere Mitgliedstaaten kämpfen dagegen mit technischen Hürden, politischen Blockaden, wirtschaftlichen Interessen und Sicherheitsfragen. Vielen Ländern fehlt eine lokale Cybersicherheits-Struktur, mit der sich Apps schnell nach den geforderten Standards zertifizieren lassen.
Schweden und Deutschland haben bislang keinen praktikablen Weg für die Umsetzung gefunden. Schweden hat eine Roadmap veröffentlicht, die den Start der EUDI-Wallet erst für 2028 oder 2029 vorsieht. Deutschland ist noch nicht über die Prototyp-Phase hinaus zu einem geschlossenen nationalen Rollout gekommen. Vergabeverfahren sind kompliziert, hinzu kommt eine Diskussion darüber, ob die Wallet vollständig staatlich oder als öffentlich-private Lösung betrieben werden soll.
Gleichzeitig kommen Länder wie Griechenland, die Slowakei und andere über interne Testphasen kaum hinaus. Im Unterschied zu Italien oder Frankreich verfügen sie nicht über offene öffentliche Sandboxes oder externe Programmierschnittstellen, an denen Entwicklerinnen und Entwickler ihre Lösungen erproben können. Rumänien gehörte lange zu dieser Gruppe, hat den Prozess aber mit einer privaten Partnerschaft mit Mastercard beschleunigt und setzt nun auf ein Hybridmodell.