Quellen-Tabelle

Im Berichtszeitraum wurden durchschnittlich täglich 119 neue Schwachstellen in IT-Systemen bekannt — ein Wachstum von rund 24 Prozent gegenüber dem Vorjahr. Insbesondere unzureichend geschützte Angriffsflächen machen Deutschland im digitalen Raum verwundbar.

Das ist der offizielle deutsche Jahresbericht zur IT-Sicherheitslage — direkt von der zuständigen Bundesbehörde. Wichtig für den Masterplan-Punkt "zentrale Datenspeicher sind Honeypots": Fast täglich zwei neue Sicherheitslücken, Tendenz stark steigend. Genau das Risiko, das entsteht, wenn immer mehr Daten (Vorratsdaten, Vermögensregister, Wallet-Daten) zentral gespeichert werden.

Estlands System ist auch in mehrfacher Hinsicht privatsphäre-fördernd konzipiert: Die zur Authentifizierung genutzten Merkmale beschränken sich auf Chip-Lesegeräte und Passwörter oder Einmalcodes — der Verzicht auf Biometrie begrenzt die eingriffsintensive Nutzung körperlicher Daten.

Wichtigster Kontrast zu Aadhaar und zur geplanten EUDI-Wallet: Estland verzichtet bewusst auf Biometrie für die alltägliche Authentifizierung — genau das Element, das bei Aadhaar (Fingerabdrücke) und der EU-Altersverifikations-App (Gesichtsbilder, siehe Dossier B2) die größten Probleme verursacht. Das zeigt: Ein datenschutzfreundlicheres Digital-ID-Design ist technisch möglich und wurde bereits erfolgreich umgesetzt.

Am 18. Juni 2026 wurden von der EU-Kommission Änderungen für Durchführungsrechtsakte vorgeschlagen, darunter die verpflichtende Aufnahme biometrischer Lichtbilder in die EUDI-Wallet. Die Bundesregierung erachtet nach Abstimmung mit BSI und BfDI eine "sichere Bereitstellung und datensparsame sowie selektive Nutzung" biometrischer Lichtbilder im deutschen Wallet-Ökosystem als grundsätzlich sinnvoll und setzte sich für Schutzmaßnahmen ein.

Sehr wichtig für Ausgewogenheit: Das ist die offizielle Position der Bundesregierung, direkt aus einer Bundestagsantwort — nicht Ablehnung, sondern bedingte Zustimmung mit Schutzauflagen, entwickelt gemeinsam mit dem BSI (Sicherheitsbehörde) und dem BfDI (Datenschutzbeauftragter). Zeigt: Es ist keine einfache "Bundesregierung gegen Datenschutz"-Geschichte — die zuständigen deutschen Fachbehörden waren eingebunden.

Die Kommission hat inzwischen (Stand 8. Mai 2026) 31 Durchführungsrechtsakte erlassen, um die notwendigen Standards festzulegen. Der deutsche Starttermin ist der 2. Januar 2027, orientiert an der EU-weiten Verpflichtung zur Wallet-Bereitstellung ab spätestens 31. Dezember 2026.

Nützlicher Überblick zum reinen Zeitplan — 31 einzelne Durchführungsrechtsakte zeigen, wie viele technische Detailentscheidungen in diesem Prozess stecken (von denen die Biometrie-Frage nur eine ist). Für ein vollständiges B1-Update wäre eine systematische Sichtung aller 31 Akte ein eigenes größeres Rechercheprojekt.

Internet-repräsentative Onlinebefragung unter 1.000 Personen ab 16 Jahren im Auftrag des vzbv, statistische Fehlertoleranz max. ±3 Prozentpunkte. (Für exakte Vertrauens-Prozentzahlen: Volltext des Positionspapiers bei nächster Gelegenheit auswerten — hier nur Methodik erfasst.)

Es gibt eine repräsentative Umfrage dazu, wie sehr die deutsche Bevölkerung der geplanten Wallet vertraut — für einen Blackstone-Artikel zum Meinungsbild relevant, aber die konkreten Prozentzahlen müssen noch aus dem verlinkten Positionspapier extrahiert werden.

Bezüglich der vorgeschlagenen Änderungen an der NIS2-Richtlinie begrüßen EDPB und EDPS die Einstufung von Anbietern europäischer digitaler Identitäts-Wallets und europäischer Unternehmens-Wallets als "wesentliche Einrichtungen" ("essential entities").

Wichtige Querverbindung zu Dossier B1 (EUDI-Wallet): Wallet-Anbieter sollen künftig denselben strengen Cybersicherheits-Standards unterliegen wie andere kritische Infrastruktur — von den Datenschutzbehörden ausdrücklich begrüßt. Das ist ein positiver Fund für B1, der zeigt, dass zumindest an dieser Stelle striktere statt laxere Regeln für die Wallet-Infrastruktur geplant sind.

KJM lässt Autoident-Verfahren (automatischer Foto-Ausweis-Abgleich per ML) als Ersatz für Video-Identifizierung zur Altersverifikation zu.

Zulassung eines automatisierten Altersverifikationsverfahrens 2019. Belegt nicht spätere Verbreitung/Fehlerquoten.

Bundesrechnungshof prüfte ressortübergreifende Steuerung deutscher Digitalidentitäts-Vorhaben (eID, BundID, EUDI-Wallet).

Prüfbericht der obersten Finanzkontrollbehörde zur Koordination von Digitalprojekten.

2% aller entdeckten gefälschten Dokumente 2025 mit generativer KI erstellt; KI-Fake-IDs für ca. 15 USD in 30 Minuten produzierbar.

KI macht Dokumentenfälschung billiger. Herstellerstudie, nicht unabhängig verifiziert.

8.065 biometrische Injection-Angriffsversuche bei einem Finanzinstitut Jan-Aug 2025; Deepfake-Erstellung ab 10-50 USD als Dienstleistung.

Zahl bezieht sich nur auf ein Institut, nicht die Gesamtbranche.