Quellen-Tabelle

Der Architecture Reference Framework (ARF) mache laut epicenter.works "die EUDI-Wallet zu einem Instrument der willkürlichen Massenüberwachung und autoritären Kontrolle, was mit der Charta der Grundrechte und der eIDAS-Verordnung unvereinbar ist." Die im Gesetz vorgeschriebenen Schutzprinzipien "Unbeobachtbarkeit" und "Unverknüpfbarkeit" fehlen demnach im technischen Umsetzungsdokument.

Wichtigster Punkt: Im GESETZ stehen gute Datenschutz-Regeln (siehe oben). Diese Quelle zeigt: Im technischen BAUPLAN, nach dem die Wallet tatsächlich gebaut wird, fehlen genau diese Schutzregeln bisher. Gesetzestext und Umsetzung klaffen auseinander — das ist der Kern des Problems, nicht "die EU will euch überwachen".

Der Kommissionsvorschlag sieht vor, ein verpflichtendes biometrisches Porträtfoto in den Mindestdatensatz aufzunehmen, den jede EUDI-Wallet enthalten muss — jede Nutzung, etwa Altersnachweis oder Vertragsunterschrift, würde potenziell ein Gesichtsbild übertragen. Während der Trilog-Verhandlungen zur eIDAS-Verordnung wurde eine Formulierung zum Schutz vor biometrischer Verarbeitung explizit aus dem Text gestrichen; die Kommission versuche nun, verpflichtende Biometrie per Durchführungsrechtsakt einzuführen und damit das Parlament zu umgehen.

Eine Bürgerrechtsorganisation zeigt mit Belegen: Die Kommission versucht über einen technischen Nebenweg (Durchführungsrechtsakt statt neues Gesetz), doch noch verpflichtende Gesichtserkennungs-Daten in die Wallet einzubauen — obwohl das im Hauptgesetz extra herausverhandelt wurde. Das ist der konkreteste, am besten belegte "Function Creep"-Fall im ganzen Themenfeld.

EDRi-Mitglied epicenter.works warnt seit fünf Jahren vor Schwachstellen bei Sicherheit, Datenschutz und Nutzersicherheit des europaweiten digitalen Identifikationssystems und war zentraler Akteur dabei, dass die eIDAS-Verordnung überhaupt Schutzmechanismen enthält. Zeigt: Die im Gesetz vorhandenen guten Klauseln (siehe BSDC-P-IDN-2024-011) sind selbst das Ergebnis von Zivilgesellschafts-Druck — kein automatisches Wohlwollen der Kommission.

Diese Organisation erklärt, warum man der fertigen App trotz gutem Gesetzestext noch nicht blind vertrauen sollte — und dass die guten Regeln im Gesetz überhaupt nur drinstehen, weil Bürgerrechtler dafür gekämpft haben.

Ein Positionspapier des BKA besagt: Gemessen an den wahrscheinlichsten Fallkonstellationen wäre eine Speicherverpflichtung von 2 bis 3 Wochen auch bei besonderen (terroristischen) Gefahrenlagen regelmäßig ausreichend; bei 14 Tagen Speicherdauer geht man von einer erfolgreichen Zuordnung von 84,5 % der angefragten IP-Adressen aus, was sich bei 21 Tagen auf 88,4 % steigern ließe.

Bemerkenswerter Fund: Die Polizeibehörde selbst (BKA) hält laut diesem Papier deutlich kürzere Speicherfristen (2–3 Wochen) für praktisch ausreichend — der Gesetzentwurf sieht aber drei Monate vor. Das ist ein starkes, unabhängig belegtes Argument gegen die Verhältnismäßigkeit der geplanten Frist, direkt aus einer Sicherheitsbehörde, nicht von Privacy-Aktivisten.

D64 begrüßt, dass die verfassungs- und europarechtlich unhaltbare präventive Speicherung von Standort- und Verkehrsdaten aus dem Gesetz gestrichen werden soll, sieht aber weiterhin die neuen Eingriffe als fatales Signal für den Grundrechtsschutz — der Entwurf setzt auf pauschale Speicherung sämtlicher IP-Adressen über drei Monate.

Wichtig für Fairness: Selbst ein kritischer Digitalverband erkennt an, dass der neue Entwurf schon abgespeckter ist als frühere Pläne — die Kritik bleibt trotzdem bestehen, aber differenziert statt pauschal ablehnend.

Der offene Brief von 371 Sicherheits- und Datenschutz-Wissenschaftlern aus 29 Ländern (Anmerkung: spätere Berichterstattung, siehe unten, nennt 419) fordert ein Moratorium, "bis der wissenschaftliche Konsens über Nutzen und Schaden von Altersprüfungstechnologien steht". Eine spätere Quelle (TechRadar, siehe vorheriges Batch) beziffert die Unterzeichnerzahl mit "419 Datenschutz- und Sicherheitswissenschaftler". Die Diskrepanz erklärt sich plausibel durch nachträgliche Unterzeichnungen — die Petition blieb offenbar offen.

Wichtige Präzisierung für Blackstone: Es gibt nicht eine feste Zahl "400+", sondern die Petition wuchs über Zeit (mindestens 371, später mindestens 419 Unterzeichner aus rund 29–32 Ländern je nach Erfassungszeitpunkt). Im Dossier sollte "über 400 Wissenschaftler aus rund 30 Ländern (Zahl wächst)" stehen statt einer falsch-präzisen Einzelzahl — das ist selbst die ehrlichste Darstellung.

Interoperabilität ist ein Grundprinzip des Spezifikationsprozesses, die aktuell entwickelten Standards können die nötige Standardisierung leisten. Die derzeitige Spezifikation bleibt jedoch sowohl bei Sicherheit als auch beim Schutz der Privatsphäre hinter ihrem Potenzial zurück — sie benötigt eine grundlegende Überarbeitung, bevor alle gewünschten Eigenschaften erreicht sind. Keine Haftungslücken konnten zu diesem Zeitpunkt identifiziert werden.

Das Original-Gutachten selbst, nicht nur Presseberichte darüber — wichtig für Zitierfähigkeit. Ausgewogen: Weder "alles sicher" noch "alles Überwachung", sondern technisch präzise: gute Grundprinzipien, mangelhafte aktuelle Umsetzung, überarbeitungsfähig.

Findorff betonte, eine digitale Wallet könne durchaus Vorteile bringen — etwa bei Wohnungsbewerbungen, wo Interessenten heute oft ungeschwärzte Ausweiskopien verschicken müssten; eine datensparsame Lösung könne das deutlich verbessern. Die derzeit geplante Wallet erfülle diese Erwartungen aber noch nicht: Zentrales Problem sei das Fehlen einer standardisierten Pseudonymisierung, obwohl die eIDAS-Verordnung ein Recht darauf vorsehe.

Sehr konkretes, alltagsnahes Beispiel (Wohnungsbewerbung mit geschwärzten Daten statt komplettem Ausweis) macht greifbar, warum die Wallet-Idee an sich sinnvoll wäre — die Kritik richtet sich gezielt gegen die aktuelle technische Umsetzung, nicht gegen das Konzept.

Seit 10.12.2025 müssen 10 Plattformen Nutzer unter 16 aktiv ausschließen, Selbstauskunft reicht nicht, Bußgeld bis 49,5 Mio. AUD.

Australien erstes Land mit striktem Unter-16-Ausschluss. Wirksamkeit der Prüfung nicht belegt.

Anteil wirksamer Alterschecks bei Kindern stieg von 25% (Jul 2025) auf 43% (Jan 2026); 69 Mio. Alterschecks im 2. Halbjahr 2025.

UK-Regulierer misst Fortschritt der Altersverifikationspflicht.

Mind. 9 US-Bundesstaaten führten 2025 Altersverifikationspflichten ein; Floridas Gesetz löste 1150%-Anstieg der VPN-Nachfrage aus.

EFF-Kritik: Gesetze treiben Nutzer zu unregulierten Auslandsseiten.

Nach Free Speech Coalition v. Paxton senkte der Supreme Court den Prüfmaßstab für Altersverifikation von strict auf intermediate scrutiny.

US-Urteil senkt Grundrechtsschutz bei Altersprüfung.

US-Report: Arbeitgeber setzen Bossware ohne Transparenz/Widerspruchsmöglichkeiten ein.

Keine Nutzungszahlen für Deutschland.

Ab 02.08.2026 gelten KI-Bewerbertools als Hochrisiko-KI, Verstöße bis 15 Mio. Euro oder 3% Jahresumsatz.

Neue EU-Pflichten für KI-Recruiting-Tools.

Finance Director autorisierte 499.000 USD Zahlung während Zoom-Call, bei dem alle Führungskräfte KI-Deepfakes waren.

Konkreter Deepfake-Betrugsfall. Details zur Software/Aufdeckung nicht belegt.

FDZ Gesundheit erschließt seit Oktober 2025 Abrechnungsdaten von ca. 73 Mio. gesetzlich Versicherten für Forschung.

Zentrale Forschungsdatenstelle für fast alle GKV-Versicherten. Widerspruchsmöglichkeit nicht im Detail erklärt.

Erste COPPA-Novelle seit 2013: Opt-in-Elterneinwilligung für Werbung, erweiterte Datendefinition, Compliance-Frist 22.04.2026.

Auswirkung auf EU-Anbieter nicht belegt.

5. Novelle StVG als Rechtsgrundlage für digitalen Führerschein, kompatibel zu EUDI-Wallet, Einführung Ende 2026 (EU-Frist 2030).

Keine Umstiegspflicht.

SLTD-Datenbank ~138 Mio. Datensätze, 2023 3,6 Mrd. Abfragen mit 232.423 Treffern.

Aktuellere Zahlen als 2023 nicht öffentlich verfügbar.

Neue harmonisierte technische Standards für digitale Bilder im FADO-Fälschungserkennungssystem.

Keine Fälschungsfall-Zahlen 2025 genannt.

VG Lüneburg: dauerhafte GPS-Ortung bei erlaubter Privatnutzung von Dienstwagen unzulässig.

Deutsches Pendant zu österreichischer DSB-Entscheidung.

11.824 Eingaben 2025 (+36%), 120 Kontrollen, fordert datensparsame Verfahren bei EUDI-Wallet/Deutschland-App.

Umsetzung der Forderungen nicht belegt.

Regelt elektronische Übermittlung von Meldedaten per OSCI-XMeld zwischen Meldebehörden und Verwaltungsportal seit 01.05.2022.

Tatsächliche Nutzungsquote der Behörden nicht belegt.

CampusCard-Geldbörsendaten pseudonymisiert 3 Jahre gespeichert, sonstige Daten 1 Jahr nach Exmatrikulation gelöscht.

Zusammenführung von Nutzungsprofilen über Funktionen hinweg nicht belegt.

Ausleihdaten in aDIS/BMS, Löschung nach 2 Jahren Inaktivität, Weitergabe an Kassen-/Steueramt zur Forderungsbeitreibung.

RFID-Datenspeicherung in Medien nicht belegt.