Quellen-Tabelle

Nutzung der EUDI-Wallet muss für Bürger kostenlos und freiwillig sein; Registrierung erfolgt auf hohem Vertrauensniveau ("High"); der Quellcode der Anwendungssoftware-Komponenten muss einer Open-Source-Lizenz unterliegen. Jeder Mitgliedstaat muss spätestens 24 Monate nach Verabschiedung der Durchführungsrechtsakte eine EUDI-Wallet an Bürger ausgeben.

Das ist das Gesetz, das die digitale Ausweis-App für alle EU-Bürger einführt. Im Gesetzestext steht: freiwillig und kostenlos. Ob das in der Praxis auch so bleibt, ist eine andere Frage — siehe die nächsten Quellen.

Der Architecture Reference Framework (ARF) mache laut epicenter.works "die EUDI-Wallet zu einem Instrument der willkürlichen Massenüberwachung und autoritären Kontrolle, was mit der Charta der Grundrechte und der eIDAS-Verordnung unvereinbar ist." Die im Gesetz vorgeschriebenen Schutzprinzipien "Unbeobachtbarkeit" und "Unverknüpfbarkeit" fehlen demnach im technischen Umsetzungsdokument.

Wichtigster Punkt: Im GESETZ stehen gute Datenschutz-Regeln (siehe oben). Diese Quelle zeigt: Im technischen BAUPLAN, nach dem die Wallet tatsächlich gebaut wird, fehlen genau diese Schutzregeln bisher. Gesetzestext und Umsetzung klaffen auseinander — das ist der Kern des Problems, nicht "die EU will euch überwachen".

Die Leitlinien sollen Koordinatoren für digitale Dienste und zuständige nationale Behörden bei Anwendung und Auslegung von Art. 28 unterstützen; aus Annahme der Maßnahmen kann aber nicht automatisch auf Einhaltung geschlossen werden, und nur der EuGH kann Art. 28 verbindlich auslegen.

Das ist der offizielle EU-Leitfaden, wie Plattformen Minderjährige schützen sollen. Wichtig: "Leitlinie" heißt nicht "Gesetz" — sie ist eine Empfehlung, keine Pflicht, aber Behörden orientieren sich in der Praxis daran.

Die Kommission empfiehlt technisch robuste und diskriminierungsfreie Methoden zur Altersverifikation; als künftiger Standard wird insbesondere auf die EUid-Wallet und die "Blueprint"-Infrastruktur für gerätebasierte Altersüberprüfung verwiesen. Vor allem bei Glücksspiel oder Pornografie hält die Kommission Altersverifikation für erforderlich und angemessen.

Hier steht schwarz auf weiß die Verbindung, die in vielen Debatten nur behauptet wird: Die EU verweist bei Altersprüfung tatsächlich auf dieselbe digitale Ausweis-App (EUDI-Wallet, Dossier B1) — kein Gerücht, sondern offizielle Empfehlung. Trotzdem bleibt die Nutzung laut Gesetzestext freiwillig (siehe B1).

Eine allgemeine gesetzliche Altersgrenze für den Zugang zu Online-Plattformen existiert in Deutschland derzeit nicht; bei Verstoß gegen die Pflicht zu Vorsorgemaßnahmen nach Art. 28 DSA drohen Bußgelder bis zu fünf Millionen Euro; eine Pflicht zur Nutzung bestimmter Verifikationssysteme gibt es in Deutschland nach dieser Analyse aktuell nicht.

Wichtige Präzisierung für Deutschland: Es gibt noch kein Gesetz, das ein bestimmtes Alters-Check-System vorschreibt. Firmen müssen sich schützend kümmern (sonst Bußgeld), aber WIE, ist noch offen. "Ausweispflicht fürs Internet" ist für DE aktuell nicht korrekt — Stand dieses Gutachtens.

Die Jugendschutzleitlinien gelten mit Ausnahme von Kleinst- und Kleinunternehmen für alle Online-Plattformen, die für Minderjährige zugänglich sind — auch für Plattformen, die nicht für Minderjährige gedacht sind, aber aufgrund unzureichender Altersverifikation dennoch minderjährige Nutzer haben.

Das erklärt, warum am Ende praktisch fast jede größere Plattform betroffen ist — nicht weil sie sich an Kinder richtet, sondern weil sie nicht sicher ausschließen kann, dass Kinder mitlesen. Das ist der eigentliche Hebel, der Altersverifikation so verbreitet macht.

Grundsatzurteil, das die EU-Vorratsdatenspeicherungsrichtlinie 2006/24/EG für ungültig erklärte. Startpunkt einer bis heute andauernden Rechtsprechungslinie gegen anlasslose, pauschale Vorratsdatenspeicherung.

Das höchste EU-Gericht hat schon 2014 gesagt: Alle Bürger anlasslos auf Vorrat zu überwachen, ist rechtswidrig. Das ist keine neue Erkenntnis — das gilt seit über zehn Jahren.

Eine anlasslose, generelle Vorratsdatenspeicherung verstößt gegen die Grundsätze einer demokratischen Gesellschaft und gegen die Charta der Grundrechte der Europäischen Union. Bestätigt und vertieft Digital Rights Ireland.

Zweites großes Urteil, das dieselbe Linie bestätigt: Pauschale Überwachung aller ist verboten — nur gezielt, zeitlich und räumlich begrenzt wäre erlaubt.

Nutzer elektronischer Kommunikationsmittel dürfen grundsätzlich erwarten, dass ihre Nachrichten und die damit verbundenen Daten anonym bleiben und nicht gespeichert werden, es sei denn, sie haben eingewilligt. Umfassendste und aktuellste Zusammenfassung der bisherigen Rechtsprechungslinie.

Das Gericht bestätigt zum dritten Mal: Anonyme Kommunikation ist der Normalfall, den der Staat respektieren muss — Überwachung ist die begründungspflichtige Ausnahme, nicht umgekehrt.

Der EuGH bestätigte erneut das Verbot einer unterschiedslosen Vorratsdatenspeicherung; der deutsche Gesetzgeber muss die noch geltenden §§ 175–181 TKG und § 100g Abs. 2 StPO aufheben. Direkte Konsequenz für deutsches Recht — zeigt, dass diese Urteile keine abstrakte EU-Theorie sind, sondern deutsche Gesetze außer Kraft setzen.

Dieses Urteil betraf direkt ein deutsches Gesetz und erklärte es für unanwendbar. Kein abstraktes EU-Prinzip, sondern konkrete Wirkung auf deutsches Recht.

Trusted Flagger werden von privaten oder juristischen Personen des Privatrechts wahrgenommen; durch die sogenannte Beleihung würden sie eigentlich zu Amtsträgern — allerdings ordnet das Gutachten die Übertragung an Trusted Flagger explizit NICHT als hoheitliche oder schlicht-hoheitliche Aufgabe ein, weshalb sie rechtlich keine "Beliehenen" sind.

Wichtige juristische Feinheit: Private Organisationen bekommen hier eine Sonderrolle vom Staat übertragen — das Gutachten des Bundestags selbst sagt aber: Rechtlich sind sie trotzdem keine Behörden-Vertreter. Wer "der Staat lässt private Zensoren agieren" sagt, verkürzt eine differenziertere Rechtslage.

Ein Positionspapier des BKA besagt: Gemessen an den wahrscheinlichsten Fallkonstellationen wäre eine Speicherverpflichtung von 2 bis 3 Wochen auch bei besonderen (terroristischen) Gefahrenlagen regelmäßig ausreichend; bei 14 Tagen Speicherdauer geht man von einer erfolgreichen Zuordnung von 84,5 % der angefragten IP-Adressen aus, was sich bei 21 Tagen auf 88,4 % steigern ließe.

Bemerkenswerter Fund: Die Polizeibehörde selbst (BKA) hält laut diesem Papier deutlich kürzere Speicherfristen (2–3 Wochen) für praktisch ausreichend — der Gesetzentwurf sieht aber drei Monate vor. Das ist ein starkes, unabhängig belegtes Argument gegen die Verhältnismäßigkeit der geplanten Frist, direkt aus einer Sicherheitsbehörde, nicht von Privacy-Aktivisten.

Moore fand, dass aus NFC-fähigen Ausweisdokumenten extrahierte Gesichtsbilder als unverschlüsselte PNG-Dateien auf das Gerät geschrieben werden und nur bei erfolgreicher Verifikation gelöscht werden; bei fehlgeschlagenem oder unterbrochenem Prozess können die Bilder auf dem Gerät verbleiben. Zusätzlich werden Selfie-Bilder auf externen Speicher geschrieben und nie gelöscht. Der französische Hacker Baptiste Robert bestätigte Moores Befunde unabhängig; auch PIN-Code oder Touch-ID ließen sich einfach umgehen.

Das ist der Original-Beleg für den "2-Minuten-Umgehung"-Vorfall aus Davids ursprünglichen Notizen — jetzt korrekt zugeordnet: Sicherheitsberater Paul Moore, mehrfach unabhängig von anderen Experten bestätigt. Die App speicherte Gesichtsbilder unverschlüsselt, obwohl die Kommission behauptete, keine persönlichen Daten zu speichern.

Nach der ersten Umgehung durch Paul Moore wurde das System erneut von ihm mit einer einfachen Chrome-Erweiterung umgangen; die App ist aktuell in fünf Ländern (u. a. Frankreich) im Test, hauptsächlich für Erwachseneninhalte/Glücksspiel — von der Leyen kündigte zusätzlich an, dieselbe Infrastruktur künftig für ein Mindestalter von rund 13 Jahren bei sozialen Netzwerken nutzen zu wollen.

Wichtige Aktualisierung: Es blieb nicht bei einem einmaligen Fehler — dieselbe Schwachstellen-Kategorie wurde erneut mit simplen Mitteln umgangen. Zusätzlich zeigt sich hier konkretes Function-Creep-Potenzial: Was für Porno-/Glücksspielseiten gedacht war, soll laut Ankündigung auf soziale Netzwerke ausgeweitet werden.

Der offene Brief von 371 Sicherheits- und Datenschutz-Wissenschaftlern aus 29 Ländern (Anmerkung: spätere Berichterstattung, siehe unten, nennt 419) fordert ein Moratorium, "bis der wissenschaftliche Konsens über Nutzen und Schaden von Altersprüfungstechnologien steht". Eine spätere Quelle (TechRadar, siehe vorheriges Batch) beziffert die Unterzeichnerzahl mit "419 Datenschutz- und Sicherheitswissenschaftler". Die Diskrepanz erklärt sich plausibel durch nachträgliche Unterzeichnungen — die Petition blieb offenbar offen.

Wichtige Präzisierung für Blackstone: Es gibt nicht eine feste Zahl "400+", sondern die Petition wuchs über Zeit (mindestens 371, später mindestens 419 Unterzeichner aus rund 29–32 Ländern je nach Erfassungszeitpunkt). Im Dossier sollte "über 400 Wissenschaftler aus rund 30 Ländern (Zahl wächst)" stehen statt einer falsch-präzisen Einzelzahl — das ist selbst die ehrlichste Darstellung.

Das zuständige eIDAS-Committee traf am 18. Juni 2026 wichtige Entscheidungen zur EUDI-Wallet, nachdem eine vorherige Sitzung am 6. Mai an "fundamentalen Problemen" gescheitert war. Bei einem Streitthema ("relying parties") musste die Kommission nachgeben — zugunsten der Nutzer. Bei anderen Themen, darunter der verpflichtenden biometrischen Erfassung, konnte sich die Kommission größtenteils durchsetzen, was die Schutzrechte der Nutzer deutlich aushöhlt, obwohl der Gesetzestext diese explizit einfordert.

Wichtigstes Update im ganzen Projekt: Was im vorherigen Batch noch als Kommissions-*Versuch* dargestellt wurde, ist jetzt größtenteils *beschlossen* — die verpflichtende biometrische Gesichtserfassung kommt, trotz gegenteiliger Intention im ursprünglichen Gesetzestext. Nicht ganz einseitig: Bei einem anderen Streitpunkt (wer die Wallet-Anbieter kontrollieren darf) hat die Kommission nachgegeben.

Am 18. Juni 2026 wurden von der EU-Kommission Änderungen für Durchführungsrechtsakte vorgeschlagen, darunter die verpflichtende Aufnahme biometrischer Lichtbilder in die EUDI-Wallet. Die Bundesregierung erachtet nach Abstimmung mit BSI und BfDI eine "sichere Bereitstellung und datensparsame sowie selektive Nutzung" biometrischer Lichtbilder im deutschen Wallet-Ökosystem als grundsätzlich sinnvoll und setzte sich für Schutzmaßnahmen ein.

Sehr wichtig für Ausgewogenheit: Das ist die offizielle Position der Bundesregierung, direkt aus einer Bundestagsantwort — nicht Ablehnung, sondern bedingte Zustimmung mit Schutzauflagen, entwickelt gemeinsam mit dem BSI (Sicherheitsbehörde) und dem BfDI (Datenschutzbeauftragter). Zeigt: Es ist keine einfache "Bundesregierung gegen Datenschutz"-Geschichte — die zuständigen deutschen Fachbehörden waren eingebunden.

Die Kommission hat inzwischen (Stand 8. Mai 2026) 31 Durchführungsrechtsakte erlassen, um die notwendigen Standards festzulegen. Der deutsche Starttermin ist der 2. Januar 2027, orientiert an der EU-weiten Verpflichtung zur Wallet-Bereitstellung ab spätestens 31. Dezember 2026.

Nützlicher Überblick zum reinen Zeitplan — 31 einzelne Durchführungsrechtsakte zeigen, wie viele technische Detailentscheidungen in diesem Prozess stecken (von denen die Biometrie-Frage nur eine ist). Für ein vollständiges B1-Update wäre eine systematische Sichtung aller 31 Akte ein eigenes größeres Rechercheprojekt.

Die Kommission hat eine Empfehlung angenommen, die EU-Länder auffordert, den Rollout der EU-Altersverifikations-App zu beschleunigen, mit dem Ziel, sie bis Ende 2026 verfügbar zu machen. EU-Länder können sie als eigenständige App oder integriert in die EUDI-Wallets anbieten.

Wichtige Rechtsform-Feinheit: Das ist eine "Empfehlung" (Recommendation), kein verbindlicher Rechtsakt — die Kommission kann Länder drängen, aber nicht zwingen. Trotzdem hoher politischer Druck mit konkretem Datum (Ende 2026).

Frankreich, Italien, Spanien, Irland, Dänemark, Griechenland und Zypern bilden die erste Welle und haben mit der Integration der App in ihre nationalen Digital-Identity-Wallets begonnen.

Diese sieben Länder sind konkret die ersten mit der App — für den Blackstone-Artikel empfiehlt sich, diese Länderliste über eine zweite, unabhängige Quelle zu verifizieren, bevor sie zitiert wird (Quellenherkunft hier unklar/fragwürdig, Fakt selbst aber plausibel und mit anderer Quelle unten bestätigt).

Dänemark, Frankreich, Griechenland, Irland, Italien, Spanien und Zypern wollen eine Vorreiterrolle einnehmen und preschen mit der Umsetzung bereits vor.

Bestätigt dieselbe Länderliste über eine seriösere, unabhängige Quelle — für Blackstone-Zitate diese oder eine ähnliche Quelle statt der oben genannten fragwürdigen Quelle verwenden.

Nach massiver Kritik aus der Community hat Discord die weltweite Einführung der Altersverifikation auf die zweite Hälfte 2026 verschoben und plant zusätzliche Verifizierungsoptionen statt ausschließlich staatlicher Ausweisdokumente oder Gesichtsscans — nachdem im Oktober zuvor eine Datenpanne die Ausweisdaten von rund 70.000 Nutzern offengelegt hatte.

Wichtiger Praxis-Beleg außerhalb der EU-Gesetzgebung: Sogar eine private Plattform (Discord) mit eigenem Altersverifikations-System hatte eine konkrete Datenpanne mit 70.000 betroffenen Ausweisdaten. Guter zusätzlicher Beleg für das generelle Risiko von Altersverifikations-Systemen, unabhängig davon, ob staatlich oder privat betrieben.

Der Entwurf wurde gegenüber früheren Vorhaben deutlich eingeschränkt, lässt aber weiterhin rechtliche und praktische Fragen offen; die Dauer der Speicherfrist bleibt wesentlicher Streitpunkt. Der Entwurf versucht eine "schmale" IP-Vorratsdatenspeicherung, verwendet aber Formulierungen, die in der Praxis deutlich weitergehende Datenspeicherungen erforderlich machen könnten.

Wichtige juristische Einschätzung für Ausgewogenheit: Selbst Kritiker erkennen an, dass der aktuelle Entwurf enger gefasst ist als frühere Pläne — die Sorge liegt jetzt weniger im Prinzip als in der handwerklichen Präzision der Formulierungen, die in der Praxis mehr Daten erfassen könnten als offiziell beabsichtigt.

Interoperabilität ist ein Grundprinzip des Spezifikationsprozesses, die aktuell entwickelten Standards können die nötige Standardisierung leisten. Die derzeitige Spezifikation bleibt jedoch sowohl bei Sicherheit als auch beim Schutz der Privatsphäre hinter ihrem Potenzial zurück — sie benötigt eine grundlegende Überarbeitung, bevor alle gewünschten Eigenschaften erreicht sind. Keine Haftungslücken konnten zu diesem Zeitpunkt identifiziert werden.

Das Original-Gutachten selbst, nicht nur Presseberichte darüber — wichtig für Zitierfähigkeit. Ausgewogen: Weder "alles sicher" noch "alles Überwachung", sondern technisch präzise: gute Grundprinzipien, mangelhafte aktuelle Umsetzung, überarbeitungsfähig.

Findorff betonte, eine digitale Wallet könne durchaus Vorteile bringen — etwa bei Wohnungsbewerbungen, wo Interessenten heute oft ungeschwärzte Ausweiskopien verschicken müssten; eine datensparsame Lösung könne das deutlich verbessern. Die derzeit geplante Wallet erfülle diese Erwartungen aber noch nicht: Zentrales Problem sei das Fehlen einer standardisierten Pseudonymisierung, obwohl die eIDAS-Verordnung ein Recht darauf vorsehe.

Sehr konkretes, alltagsnahes Beispiel (Wohnungsbewerbung mit geschwärzten Daten statt komplettem Ausweis) macht greifbar, warum die Wallet-Idee an sich sinnvoll wäre — die Kritik richtet sich gezielt gegen die aktuelle technische Umsetzung, nicht gegen das Konzept.