Quellen-Tabelle

Nutzung der EUDI-Wallet muss für Bürger kostenlos und freiwillig sein; Registrierung erfolgt auf hohem Vertrauensniveau ("High"); der Quellcode der Anwendungssoftware-Komponenten muss einer Open-Source-Lizenz unterliegen. Jeder Mitgliedstaat muss spätestens 24 Monate nach Verabschiedung der Durchführungsrechtsakte eine EUDI-Wallet an Bürger ausgeben.

Das ist das Gesetz, das die digitale Ausweis-App für alle EU-Bürger einführt. Im Gesetzestext steht: freiwillig und kostenlos. Ob das in der Praxis auch so bleibt, ist eine andere Frage — siehe die nächsten Quellen.

Der Architecture Reference Framework (ARF) mache laut epicenter.works "die EUDI-Wallet zu einem Instrument der willkürlichen Massenüberwachung und autoritären Kontrolle, was mit der Charta der Grundrechte und der eIDAS-Verordnung unvereinbar ist." Die im Gesetz vorgeschriebenen Schutzprinzipien "Unbeobachtbarkeit" und "Unverknüpfbarkeit" fehlen demnach im technischen Umsetzungsdokument.

Wichtigster Punkt: Im GESETZ stehen gute Datenschutz-Regeln (siehe oben). Diese Quelle zeigt: Im technischen BAUPLAN, nach dem die Wallet tatsächlich gebaut wird, fehlen genau diese Schutzregeln bisher. Gesetzestext und Umsetzung klaffen auseinander — das ist der Kern des Problems, nicht "die EU will euch überwachen".

Der Kommissionsvorschlag sieht vor, ein verpflichtendes biometrisches Porträtfoto in den Mindestdatensatz aufzunehmen, den jede EUDI-Wallet enthalten muss — jede Nutzung, etwa Altersnachweis oder Vertragsunterschrift, würde potenziell ein Gesichtsbild übertragen. Während der Trilog-Verhandlungen zur eIDAS-Verordnung wurde eine Formulierung zum Schutz vor biometrischer Verarbeitung explizit aus dem Text gestrichen; die Kommission versuche nun, verpflichtende Biometrie per Durchführungsrechtsakt einzuführen und damit das Parlament zu umgehen.

Eine Bürgerrechtsorganisation zeigt mit Belegen: Die Kommission versucht über einen technischen Nebenweg (Durchführungsrechtsakt statt neues Gesetz), doch noch verpflichtende Gesichtserkennungs-Daten in die Wallet einzubauen — obwohl das im Hauptgesetz extra herausverhandelt wurde. Das ist der konkreteste, am besten belegte "Function Creep"-Fall im ganzen Themenfeld.

Die Leitlinien sollen Koordinatoren für digitale Dienste und zuständige nationale Behörden bei Anwendung und Auslegung von Art. 28 unterstützen; aus Annahme der Maßnahmen kann aber nicht automatisch auf Einhaltung geschlossen werden, und nur der EuGH kann Art. 28 verbindlich auslegen.

Das ist der offizielle EU-Leitfaden, wie Plattformen Minderjährige schützen sollen. Wichtig: "Leitlinie" heißt nicht "Gesetz" — sie ist eine Empfehlung, keine Pflicht, aber Behörden orientieren sich in der Praxis daran.

Die Kommission empfiehlt technisch robuste und diskriminierungsfreie Methoden zur Altersverifikation; als künftiger Standard wird insbesondere auf die EUid-Wallet und die "Blueprint"-Infrastruktur für gerätebasierte Altersüberprüfung verwiesen. Vor allem bei Glücksspiel oder Pornografie hält die Kommission Altersverifikation für erforderlich und angemessen.

Hier steht schwarz auf weiß die Verbindung, die in vielen Debatten nur behauptet wird: Die EU verweist bei Altersprüfung tatsächlich auf dieselbe digitale Ausweis-App (EUDI-Wallet, Dossier B1) — kein Gerücht, sondern offizielle Empfehlung. Trotzdem bleibt die Nutzung laut Gesetzestext freiwillig (siehe B1).

Eine allgemeine gesetzliche Altersgrenze für den Zugang zu Online-Plattformen existiert in Deutschland derzeit nicht; bei Verstoß gegen die Pflicht zu Vorsorgemaßnahmen nach Art. 28 DSA drohen Bußgelder bis zu fünf Millionen Euro; eine Pflicht zur Nutzung bestimmter Verifikationssysteme gibt es in Deutschland nach dieser Analyse aktuell nicht.

Wichtige Präzisierung für Deutschland: Es gibt noch kein Gesetz, das ein bestimmtes Alters-Check-System vorschreibt. Firmen müssen sich schützend kümmern (sonst Bußgeld), aber WIE, ist noch offen. "Ausweispflicht fürs Internet" ist für DE aktuell nicht korrekt — Stand dieses Gutachtens.

Grundsatzurteil, das die EU-Vorratsdatenspeicherungsrichtlinie 2006/24/EG für ungültig erklärte. Startpunkt einer bis heute andauernden Rechtsprechungslinie gegen anlasslose, pauschale Vorratsdatenspeicherung.

Das höchste EU-Gericht hat schon 2014 gesagt: Alle Bürger anlasslos auf Vorrat zu überwachen, ist rechtswidrig. Das ist keine neue Erkenntnis — das gilt seit über zehn Jahren.

Eine anlasslose, generelle Vorratsdatenspeicherung verstößt gegen die Grundsätze einer demokratischen Gesellschaft und gegen die Charta der Grundrechte der Europäischen Union. Bestätigt und vertieft Digital Rights Ireland.

Zweites großes Urteil, das dieselbe Linie bestätigt: Pauschale Überwachung aller ist verboten — nur gezielt, zeitlich und räumlich begrenzt wäre erlaubt.

Nutzer elektronischer Kommunikationsmittel dürfen grundsätzlich erwarten, dass ihre Nachrichten und die damit verbundenen Daten anonym bleiben und nicht gespeichert werden, es sei denn, sie haben eingewilligt. Umfassendste und aktuellste Zusammenfassung der bisherigen Rechtsprechungslinie.

Das Gericht bestätigt zum dritten Mal: Anonyme Kommunikation ist der Normalfall, den der Staat respektieren muss — Überwachung ist die begründungspflichtige Ausnahme, nicht umgekehrt.

Der EuGH bestätigte erneut das Verbot einer unterschiedslosen Vorratsdatenspeicherung; der deutsche Gesetzgeber muss die noch geltenden §§ 175–181 TKG und § 100g Abs. 2 StPO aufheben. Direkte Konsequenz für deutsches Recht — zeigt, dass diese Urteile keine abstrakte EU-Theorie sind, sondern deutsche Gesetze außer Kraft setzen.

Dieses Urteil betraf direkt ein deutsches Gesetz und erklärte es für unanwendbar. Kein abstraktes EU-Prinzip, sondern konkrete Wirkung auf deutsches Recht.

Trusted Flagger werden von privaten oder juristischen Personen des Privatrechts wahrgenommen; durch die sogenannte Beleihung würden sie eigentlich zu Amtsträgern — allerdings ordnet das Gutachten die Übertragung an Trusted Flagger explizit NICHT als hoheitliche oder schlicht-hoheitliche Aufgabe ein, weshalb sie rechtlich keine "Beliehenen" sind.

Wichtige juristische Feinheit: Private Organisationen bekommen hier eine Sonderrolle vom Staat übertragen — das Gutachten des Bundestags selbst sagt aber: Rechtlich sind sie trotzdem keine Behörden-Vertreter. Wer "der Staat lässt private Zensoren agieren" sagt, verkürzt eine differenziertere Rechtslage.

Anbieter sollen künftig verpflichtet sein, die IP-Adressen ihrer Kunden für drei Monate vorsorglich zu speichern; IP-Adressen sind oft der einzige Ansatzpunkt, um Täter bei internetbezogener Kriminalität zu identifizieren.

Das ist der konkrete deutsche Gesetzentwurf, der trotz der EuGH-Urteilskette (Dossier B3) versucht, eine neue Speicherpflicht einzuführen — diesmal beschränkt auf IP-Adressen, drei Monate, statt aller Kommunikationsdaten. Kabinett hat zugestimmt, Bundestag/Bundesrat müssen noch entscheiden.

Ein Positionspapier des BKA besagt: Gemessen an den wahrscheinlichsten Fallkonstellationen wäre eine Speicherverpflichtung von 2 bis 3 Wochen auch bei besonderen (terroristischen) Gefahrenlagen regelmäßig ausreichend; bei 14 Tagen Speicherdauer geht man von einer erfolgreichen Zuordnung von 84,5 % der angefragten IP-Adressen aus, was sich bei 21 Tagen auf 88,4 % steigern ließe.

Bemerkenswerter Fund: Die Polizeibehörde selbst (BKA) hält laut diesem Papier deutlich kürzere Speicherfristen (2–3 Wochen) für praktisch ausreichend — der Gesetzentwurf sieht aber drei Monate vor. Das ist ein starkes, unabhängig belegtes Argument gegen die Verhältnismäßigkeit der geplanten Frist, direkt aus einer Sicherheitsbehörde, nicht von Privacy-Aktivisten.

Moore fand, dass aus NFC-fähigen Ausweisdokumenten extrahierte Gesichtsbilder als unverschlüsselte PNG-Dateien auf das Gerät geschrieben werden und nur bei erfolgreicher Verifikation gelöscht werden; bei fehlgeschlagenem oder unterbrochenem Prozess können die Bilder auf dem Gerät verbleiben. Zusätzlich werden Selfie-Bilder auf externen Speicher geschrieben und nie gelöscht. Der französische Hacker Baptiste Robert bestätigte Moores Befunde unabhängig; auch PIN-Code oder Touch-ID ließen sich einfach umgehen.

Das ist der Original-Beleg für den "2-Minuten-Umgehung"-Vorfall aus Davids ursprünglichen Notizen — jetzt korrekt zugeordnet: Sicherheitsberater Paul Moore, mehrfach unabhängig von anderen Experten bestätigt. Die App speicherte Gesichtsbilder unverschlüsselt, obwohl die Kommission behauptete, keine persönlichen Daten zu speichern.

Der offene Brief von 371 Sicherheits- und Datenschutz-Wissenschaftlern aus 29 Ländern (Anmerkung: spätere Berichterstattung, siehe unten, nennt 419) fordert ein Moratorium, "bis der wissenschaftliche Konsens über Nutzen und Schaden von Altersprüfungstechnologien steht". Eine spätere Quelle (TechRadar, siehe vorheriges Batch) beziffert die Unterzeichnerzahl mit "419 Datenschutz- und Sicherheitswissenschaftler". Die Diskrepanz erklärt sich plausibel durch nachträgliche Unterzeichnungen — die Petition blieb offenbar offen.

Wichtige Präzisierung für Blackstone: Es gibt nicht eine feste Zahl "400+", sondern die Petition wuchs über Zeit (mindestens 371, später mindestens 419 Unterzeichner aus rund 29–32 Ländern je nach Erfassungszeitpunkt). Im Dossier sollte "über 400 Wissenschaftler aus rund 30 Ländern (Zahl wächst)" stehen statt einer falsch-präzisen Einzelzahl — das ist selbst die ehrlichste Darstellung.

Das zuständige eIDAS-Committee traf am 18. Juni 2026 wichtige Entscheidungen zur EUDI-Wallet, nachdem eine vorherige Sitzung am 6. Mai an "fundamentalen Problemen" gescheitert war. Bei einem Streitthema ("relying parties") musste die Kommission nachgeben — zugunsten der Nutzer. Bei anderen Themen, darunter der verpflichtenden biometrischen Erfassung, konnte sich die Kommission größtenteils durchsetzen, was die Schutzrechte der Nutzer deutlich aushöhlt, obwohl der Gesetzestext diese explizit einfordert.

Wichtigstes Update im ganzen Projekt: Was im vorherigen Batch noch als Kommissions-*Versuch* dargestellt wurde, ist jetzt größtenteils *beschlossen* — die verpflichtende biometrische Gesichtserfassung kommt, trotz gegenteiliger Intention im ursprünglichen Gesetzestext. Nicht ganz einseitig: Bei einem anderen Streitpunkt (wer die Wallet-Anbieter kontrollieren darf) hat die Kommission nachgegeben.

Am 18. Juni 2026 wurden von der EU-Kommission Änderungen für Durchführungsrechtsakte vorgeschlagen, darunter die verpflichtende Aufnahme biometrischer Lichtbilder in die EUDI-Wallet. Die Bundesregierung erachtet nach Abstimmung mit BSI und BfDI eine "sichere Bereitstellung und datensparsame sowie selektive Nutzung" biometrischer Lichtbilder im deutschen Wallet-Ökosystem als grundsätzlich sinnvoll und setzte sich für Schutzmaßnahmen ein.

Sehr wichtig für Ausgewogenheit: Das ist die offizielle Position der Bundesregierung, direkt aus einer Bundestagsantwort — nicht Ablehnung, sondern bedingte Zustimmung mit Schutzauflagen, entwickelt gemeinsam mit dem BSI (Sicherheitsbehörde) und dem BfDI (Datenschutzbeauftragter). Zeigt: Es ist keine einfache "Bundesregierung gegen Datenschutz"-Geschichte — die zuständigen deutschen Fachbehörden waren eingebunden.

Die Kommission hat eine Empfehlung angenommen, die EU-Länder auffordert, den Rollout der EU-Altersverifikations-App zu beschleunigen, mit dem Ziel, sie bis Ende 2026 verfügbar zu machen. EU-Länder können sie als eigenständige App oder integriert in die EUDI-Wallets anbieten.

Wichtige Rechtsform-Feinheit: Das ist eine "Empfehlung" (Recommendation), kein verbindlicher Rechtsakt — die Kommission kann Länder drängen, aber nicht zwingen. Trotzdem hoher politischer Druck mit konkretem Datum (Ende 2026).

Dänemark, Frankreich, Griechenland, Irland, Italien, Spanien und Zypern wollen eine Vorreiterrolle einnehmen und preschen mit der Umsetzung bereits vor.

Bestätigt dieselbe Länderliste über eine seriösere, unabhängige Quelle — für Blackstone-Zitate diese oder eine ähnliche Quelle statt der oben genannten fragwürdigen Quelle verwenden.

Der Bundestag befasste sich am 24. Juni 2026 mit der IP-Adressspeicherung (Drucksachen 21/6581, 21/7154); die Vorlage wurde an die Ausschüsse überwiesen, Federführung beim Ausschuss für Recht und Verbraucherschutz. Der Bundesrat begrüßt den Entwurf als "wesentlichen Beitrag zur inneren Sicherheit" und plädiert zusätzlich dafür, den Datenzugriff auch für Landes-Gefahrenabwehrbehörden sowie die Verfassungsschutzbehörden der Länder zu öffnen.

Wichtige Verschärfung gegenüber dem ursprünglichen Entwurf: Der Bundesrat will den Kreis der zugriffsberechtigten Behörden noch erweitern — über Strafverfolgung hinaus auch auf Verfassungsschutz. Das ist ein sehr konkretes, aktuelles Beispiel für Function Creep bereits im laufenden Gesetzgebungsverfahren, nicht erst nach Verabschiedung.

Der Entwurf wurde gegenüber früheren Vorhaben deutlich eingeschränkt, lässt aber weiterhin rechtliche und praktische Fragen offen; die Dauer der Speicherfrist bleibt wesentlicher Streitpunkt. Der Entwurf versucht eine "schmale" IP-Vorratsdatenspeicherung, verwendet aber Formulierungen, die in der Praxis deutlich weitergehende Datenspeicherungen erforderlich machen könnten.

Wichtige juristische Einschätzung für Ausgewogenheit: Selbst Kritiker erkennen an, dass der aktuelle Entwurf enger gefasst ist als frühere Pläne — die Sorge liegt jetzt weniger im Prinzip als in der handwerklichen Präzision der Formulierungen, die in der Praxis mehr Daten erfassen könnten als offiziell beabsichtigt.

Interoperabilität ist ein Grundprinzip des Spezifikationsprozesses, die aktuell entwickelten Standards können die nötige Standardisierung leisten. Die derzeitige Spezifikation bleibt jedoch sowohl bei Sicherheit als auch beim Schutz der Privatsphäre hinter ihrem Potenzial zurück — sie benötigt eine grundlegende Überarbeitung, bevor alle gewünschten Eigenschaften erreicht sind. Keine Haftungslücken konnten zu diesem Zeitpunkt identifiziert werden.

Das Original-Gutachten selbst, nicht nur Presseberichte darüber — wichtig für Zitierfähigkeit. Ausgewogen: Weder "alles sicher" noch "alles Überwachung", sondern technisch präzise: gute Grundprinzipien, mangelhafte aktuelle Umsetzung, überarbeitungsfähig.

Findorff betonte, eine digitale Wallet könne durchaus Vorteile bringen — etwa bei Wohnungsbewerbungen, wo Interessenten heute oft ungeschwärzte Ausweiskopien verschicken müssten; eine datensparsame Lösung könne das deutlich verbessern. Die derzeit geplante Wallet erfülle diese Erwartungen aber noch nicht: Zentrales Problem sei das Fehlen einer standardisierten Pseudonymisierung, obwohl die eIDAS-Verordnung ein Recht darauf vorsehe.

Sehr konkretes, alltagsnahes Beispiel (Wohnungsbewerbung mit geschwärzten Daten statt komplettem Ausweis) macht greifbar, warum die Wallet-Idee an sich sinnvoll wäre — die Kritik richtet sich gezielt gegen die aktuelle technische Umsetzung, nicht gegen das Konzept.

Der Rechtsausschuss des Bundesrates empfiehlt eine generelle, anlassunabhängige Speicherung von IP-Adressen ALLER Kunden — verpflichtend für alle Internetdiensteanbieter. Neben Strafverfolgungs- und Polizeibehörden sollen auch Geheimdienste, Finanzbehörden und der Zoll auf die Daten zugreifen dürfen, ohne strenge Begrenzung der Verwendungszwecke — was der Deutsche Anwaltverein als europarechtswidrig einstuft. Zusätzlich sollen neue "Sicherungsanordnungen" künftig auch Standort- und Inhaltsdaten betreffen, nicht nur Metadaten.

Das ist eine erhebliche Verschärfung gegenüber dem bereits in Batch 29 dokumentierten Stand: Nicht nur Verfassungsschutz, sondern auch Geheimdienste, Finanzbehörden und Zoll sollen Zugriff bekommen — und sogar Inhaltsdaten (nicht nur Metadaten) sollen künftig von Sicherungsanordnungen erfasst werden können. Das ist ein Lehrbuchbeispiel für Function Creep noch VOR Verabschiedung des Gesetzes: Der ursprüngliche Entwurf war auf IP-Adressen für Strafverfolgung beschränkt, der Bundesrat will das massiv ausweiten, bevor das Gesetz überhaupt verabschiedet ist.

Der Nationale Normenkontrollrat stellt in seiner offiziellen Prüfung fest: Für Bürgerinnen und Bürger seien "keine Auswirkungen" vorgesehen, eine Evaluierung der Neuregelung sei nicht vorgesehen, und das zuständige Ressort habe keinen Nutzen des Vorhabens dargestellt.

Bemerkenswerter, sehr trockener Befund eines offiziellen Regierungs-Prüfgremiums: Das federführende Ministerium konnte dem eigenen Kontrollgremium keinen belegten Nutzen des Gesetzes darlegen — und es ist nicht einmal eine spätere Überprüfung geplant, ob die Maßnahme überhaupt wirkt. Das ist ein außergewöhnlich starker, amtlicher Beleg für Blackstones Kritik an unbelegter Wirksamkeit von Überwachungsmaßnahmen (Verweis F4) — hier nicht von Aktivisten, sondern vom eigenen Prüfgremium der Regierung festgestellt.