Quellen-Tabelle

Nutzung der EUDI-Wallet muss für Bürger kostenlos und freiwillig sein; Registrierung erfolgt auf hohem Vertrauensniveau ("High"); der Quellcode der Anwendungssoftware-Komponenten muss einer Open-Source-Lizenz unterliegen. Jeder Mitgliedstaat muss spätestens 24 Monate nach Verabschiedung der Durchführungsrechtsakte eine EUDI-Wallet an Bürger ausgeben.

Das ist das Gesetz, das die digitale Ausweis-App für alle EU-Bürger einführt. Im Gesetzestext steht: freiwillig und kostenlos. Ob das in der Praxis auch so bleibt, ist eine andere Frage — siehe die nächsten Quellen.

Der Architecture Reference Framework (ARF) mache laut epicenter.works "die EUDI-Wallet zu einem Instrument der willkürlichen Massenüberwachung und autoritären Kontrolle, was mit der Charta der Grundrechte und der eIDAS-Verordnung unvereinbar ist." Die im Gesetz vorgeschriebenen Schutzprinzipien "Unbeobachtbarkeit" und "Unverknüpfbarkeit" fehlen demnach im technischen Umsetzungsdokument.

Wichtigster Punkt: Im GESETZ stehen gute Datenschutz-Regeln (siehe oben). Diese Quelle zeigt: Im technischen BAUPLAN, nach dem die Wallet tatsächlich gebaut wird, fehlen genau diese Schutzregeln bisher. Gesetzestext und Umsetzung klaffen auseinander — das ist der Kern des Problems, nicht "die EU will euch überwachen".

Die Kommission empfiehlt technisch robuste und diskriminierungsfreie Methoden zur Altersverifikation; als künftiger Standard wird insbesondere auf die EUid-Wallet und die "Blueprint"-Infrastruktur für gerätebasierte Altersüberprüfung verwiesen. Vor allem bei Glücksspiel oder Pornografie hält die Kommission Altersverifikation für erforderlich und angemessen.

Hier steht schwarz auf weiß die Verbindung, die in vielen Debatten nur behauptet wird: Die EU verweist bei Altersprüfung tatsächlich auf dieselbe digitale Ausweis-App (EUDI-Wallet, Dossier B1) — kein Gerücht, sondern offizielle Empfehlung. Trotzdem bleibt die Nutzung laut Gesetzestext freiwillig (siehe B1).

Im Berichtszeitraum wurden durchschnittlich täglich 119 neue Schwachstellen in IT-Systemen bekannt — ein Wachstum von rund 24 Prozent gegenüber dem Vorjahr. Insbesondere unzureichend geschützte Angriffsflächen machen Deutschland im digitalen Raum verwundbar.

Das ist der offizielle deutsche Jahresbericht zur IT-Sicherheitslage — direkt von der zuständigen Bundesbehörde. Wichtig für den Masterplan-Punkt "zentrale Datenspeicher sind Honeypots": Fast täglich zwei neue Sicherheitslücken, Tendenz stark steigend. Genau das Risiko, das entsteht, wenn immer mehr Daten (Vorratsdaten, Vermögensregister, Wallet-Daten) zentral gespeichert werden.

Das indische Parlament warnte 2025 vor hohen Fehlerquoten bei der biometrischen Authentifizierung, die legitime Empfänger von Sozialleistungen ausschließen — Fingerabdrücke älterer Menschen, landwirtschaftlicher Arbeiter und durch körperliche Arbeit abgenutzter Haut werden vom System nicht erkannt. Das Parlamentskomitee (PAC) stellte fest: Verifikationsfehler führen zu ungerechtfertigtem Ausschluss von Sozialprogramm-Empfängern — mit teils tödlichen Folgen.

Das ist das konkreteste Warnbeispiel weltweit dafür, was passiert, wenn ein Staat ein zentrales biometrisches Identitätssystem für den Zugang zu Grundversorgung verpflichtend macht: Technische Fehlerquoten treffen die Schwächsten am härtesten — Menschen, deren Fingerabdrücke durch harte körperliche Arbeit verändert sind, verlieren den Zugang zu Nahrungsmittelhilfen. Wichtig für Blackstone: Das ist keine hypothetische Sorge, sondern ein dokumentierter, vom eigenen Parlament untersuchter Fall.

Estlands System ist auch in mehrfacher Hinsicht privatsphäre-fördernd konzipiert: Die zur Authentifizierung genutzten Merkmale beschränken sich auf Chip-Lesegeräte und Passwörter oder Einmalcodes — der Verzicht auf Biometrie begrenzt die eingriffsintensive Nutzung körperlicher Daten.

Wichtigster Kontrast zu Aadhaar und zur geplanten EUDI-Wallet: Estland verzichtet bewusst auf Biometrie für die alltägliche Authentifizierung — genau das Element, das bei Aadhaar (Fingerabdrücke) und der EU-Altersverifikations-App (Gesichtsbilder, siehe Dossier B2) die größten Probleme verursacht. Das zeigt: Ein datenschutzfreundlicheres Digital-ID-Design ist technisch möglich und wurde bereits erfolgreich umgesetzt.

Das zuständige eIDAS-Committee traf am 18. Juni 2026 wichtige Entscheidungen zur EUDI-Wallet, nachdem eine vorherige Sitzung am 6. Mai an "fundamentalen Problemen" gescheitert war. Bei einem Streitthema ("relying parties") musste die Kommission nachgeben — zugunsten der Nutzer. Bei anderen Themen, darunter der verpflichtenden biometrischen Erfassung, konnte sich die Kommission größtenteils durchsetzen, was die Schutzrechte der Nutzer deutlich aushöhlt, obwohl der Gesetzestext diese explizit einfordert.

Wichtigstes Update im ganzen Projekt: Was im vorherigen Batch noch als Kommissions-*Versuch* dargestellt wurde, ist jetzt größtenteils *beschlossen* — die verpflichtende biometrische Gesichtserfassung kommt, trotz gegenteiliger Intention im ursprünglichen Gesetzestext. Nicht ganz einseitig: Bei einem anderen Streitpunkt (wer die Wallet-Anbieter kontrollieren darf) hat die Kommission nachgegeben.

Am 18. Juni 2026 wurden von der EU-Kommission Änderungen für Durchführungsrechtsakte vorgeschlagen, darunter die verpflichtende Aufnahme biometrischer Lichtbilder in die EUDI-Wallet. Die Bundesregierung erachtet nach Abstimmung mit BSI und BfDI eine "sichere Bereitstellung und datensparsame sowie selektive Nutzung" biometrischer Lichtbilder im deutschen Wallet-Ökosystem als grundsätzlich sinnvoll und setzte sich für Schutzmaßnahmen ein.

Sehr wichtig für Ausgewogenheit: Das ist die offizielle Position der Bundesregierung, direkt aus einer Bundestagsantwort — nicht Ablehnung, sondern bedingte Zustimmung mit Schutzauflagen, entwickelt gemeinsam mit dem BSI (Sicherheitsbehörde) und dem BfDI (Datenschutzbeauftragter). Zeigt: Es ist keine einfache "Bundesregierung gegen Datenschutz"-Geschichte — die zuständigen deutschen Fachbehörden waren eingebunden.

Die Kommission hat inzwischen (Stand 8. Mai 2026) 31 Durchführungsrechtsakte erlassen, um die notwendigen Standards festzulegen. Der deutsche Starttermin ist der 2. Januar 2027, orientiert an der EU-weiten Verpflichtung zur Wallet-Bereitstellung ab spätestens 31. Dezember 2026.

Nützlicher Überblick zum reinen Zeitplan — 31 einzelne Durchführungsrechtsakte zeigen, wie viele technische Detailentscheidungen in diesem Prozess stecken (von denen die Biometrie-Frage nur eine ist). Für ein vollständiges B1-Update wäre eine systematische Sichtung aller 31 Akte ein eigenes größeres Rechercheprojekt.

Interoperabilität ist ein Grundprinzip des Spezifikationsprozesses, die aktuell entwickelten Standards können die nötige Standardisierung leisten. Die derzeitige Spezifikation bleibt jedoch sowohl bei Sicherheit als auch beim Schutz der Privatsphäre hinter ihrem Potenzial zurück — sie benötigt eine grundlegende Überarbeitung, bevor alle gewünschten Eigenschaften erreicht sind. Keine Haftungslücken konnten zu diesem Zeitpunkt identifiziert werden.

Das Original-Gutachten selbst, nicht nur Presseberichte darüber — wichtig für Zitierfähigkeit. Ausgewogen: Weder "alles sicher" noch "alles Überwachung", sondern technisch präzise: gute Grundprinzipien, mangelhafte aktuelle Umsetzung, überarbeitungsfähig.

Findorff betonte, eine digitale Wallet könne durchaus Vorteile bringen — etwa bei Wohnungsbewerbungen, wo Interessenten heute oft ungeschwärzte Ausweiskopien verschicken müssten; eine datensparsame Lösung könne das deutlich verbessern. Die derzeit geplante Wallet erfülle diese Erwartungen aber noch nicht: Zentrales Problem sei das Fehlen einer standardisierten Pseudonymisierung, obwohl die eIDAS-Verordnung ein Recht darauf vorsehe.

Sehr konkretes, alltagsnahes Beispiel (Wohnungsbewerbung mit geschwärzten Daten statt komplettem Ausweis) macht greifbar, warum die Wallet-Idee an sich sinnvoll wäre — die Kritik richtet sich gezielt gegen die aktuelle technische Umsetzung, nicht gegen das Konzept.

Internet-repräsentative Onlinebefragung unter 1.000 Personen ab 16 Jahren im Auftrag des vzbv, statistische Fehlertoleranz max. ±3 Prozentpunkte. (Für exakte Vertrauens-Prozentzahlen: Volltext des Positionspapiers bei nächster Gelegenheit auswerten — hier nur Methodik erfasst.)

Es gibt eine repräsentative Umfrage dazu, wie sehr die deutsche Bevölkerung der geplanten Wallet vertraut — für einen Blackstone-Artikel zum Meinungsbild relevant, aber die konkreten Prozentzahlen müssen noch aus dem verlinkten Positionspapier extrahiert werden.

Bestätigt und ordnet dieselbe vzbv-Kritik ein — aktuelle Kommissionsvorschläge zur Wallet widersprächen laut vzbv den Verbraucherinteressen.

Zweitquelle für dieselbe Kritik aus einem seriösen, auf EU-Politik spezialisierten Fachmedium — nützlich zur Absicherung, dass die vzbv-Position korrekt wiedergegeben wird.

Die Studie basiert auf einer thematischen Analyse von 32 semi-strukturierten Interviews mit 41 estnischen Experten, die eng in die Lösung des ROCA-Falls 2017 eingebunden waren, und untersucht drei Bereiche: staatliche politische Aufgaben und Verantwortlichkeiten, die Rolle der IT-Industrie bei der eID-Bereitstellung, sowie Chancen und Pflichten für Endnutzer. Die Studie schlägt einen Paradigmenwechsel im eID-Management vor, der digitale Identität als Bürgerrecht und ihre Bereitstellung als staatliche Pflicht begreift.

Das ist die wissenschaftlich fundierteste verfügbare Aufarbeitung des Falls — nicht nur "was ist passiert", sondern eine tiefgehende Analyse, wer im System eigentlich verantwortlich ist, wenn ein Zulieferer-Fehler ein ganzes staatliches System gefährdet. Der vorgeschlagene Rahmen (digitale Identität als Bürgerrecht, ihre sichere Bereitstellung als Staatspflicht) ist eine gute konzeptionelle Grundlage für Blackstones eigene Position zur EUDI-Wallet.

Bezüglich der vorgeschlagenen Änderungen an der NIS2-Richtlinie begrüßen EDPB und EDPS die Einstufung von Anbietern europäischer digitaler Identitäts-Wallets und europäischer Unternehmens-Wallets als "wesentliche Einrichtungen" ("essential entities").

Wichtige Querverbindung zu Dossier B1 (EUDI-Wallet): Wallet-Anbieter sollen künftig denselben strengen Cybersicherheits-Standards unterliegen wie andere kritische Infrastruktur — von den Datenschutzbehörden ausdrücklich begrüßt. Das ist ein positiver Fund für B1, der zeigt, dass zumindest an dieser Stelle striktere statt laxere Regeln für die Wallet-Infrastruktur geplant sind.