EU-Wallet d-you: Warum Experten die deutsche Umsetzung kritisieren
Was bei der Anhörung im Bundestag passiert ist
Die Meldung von heise Security ist in ihrem Kern schnell erzählt. Im Digitalausschuss des Bundestages fand eine Anhörung zur deutschen Umsetzung der europäischen digitalen Brieftasche statt, in Deutschland unter dem Namen d-you geplant. Eingeladen waren Sachverständige aus verschiedenen Richtungen. Das Ergebnis, so die Zusammenfassung der Quelle: Kaum einer der geladenen Experten war mit dem deutschen Vorgehen zufrieden.
Das ist zunächst eine Momentaufnahme, kein Urteil und schon gar kein Aus für das Projekt. Anhörungen im Bundestag dienen dazu, Kritik zu sammeln, bevor Entscheidungen fallen. Dass sie hier auffallend einhellig ausfiel, ist trotzdem ein Signal. Wenn Fachleute mit unterschiedlichem Hintergrund an derselben Stelle Bauchschmerzen haben, lohnt es sich, genauer hinzuschauen.
Welche einzelnen Kritikpunkte im Detail vorgebracht wurden, steht in der von uns ausgewerteten Zusammenfassung nicht. Wir wollen Ihnen deshalb nichts unterschieben, was dort nicht steht. Wer die technischen und politischen Einzelheiten nachlesen möchte, findet den Originalbericht am Ende dieses Artikels. Unser Beitrag setzt an einer anderen Stelle an: Was folgt aus einer solchen Debatte für ein Unternehmen, das mit Kunden online zu tun hat?
Worum es bei der EU-Wallet grundsätzlich geht
Die Idee hinter der europäischen digitalen Identitätsbrieftasche, kurz EUDI-Wallet, ist leicht zu verstehen. Statt dass Bürgerinnen und Bürger Ausweisdokumente, Nachweise und Bescheinigungen als Papier oder Plastikkarte mit sich führen, sollen sie diese in einer App auf dem Smartphone halten. Bei Bedarf weisen sie sich damit aus: gegenüber einer Behörde, einer Bank, einem Vermieter oder eben einem Onlinehändler.
Der Reiz liegt in einer Vorstellung, die viele aus dem Alltag kennen. Heute legt man an der Kasse seinen Führerschein oder Ausweis vor und zeigt damit weit mehr, als der Gegenüber wissen muss. Name, Anschrift, Geburtsdatum und Foto liegen offen, obwohl vielleicht nur die Frage „Ist die Person volljährig?" zu beantworten wäre. Eine gut gebaute digitale Brieftasche könnte hier gezielter arbeiten und nur die Information preisgeben, die für den Zweck nötig ist.
Ob und wie gut das in der Praxis gelingt, hängt an unzähligen Details der Umsetzung: an der technischen Architektur, an der Frage, wer was speichern oder nachvollziehen kann, an Schnittstellen, an der Bedienbarkeit und am Vertrauen der Nutzer. Genau an diesen Stellen entscheidet sich, ob eine Wallet im Alltag ankommt oder ein Prestigeprojekt bleibt, das kaum jemand verwendet. Die Kritik der Sachverständigen bezieht sich auf die deutsche Umsetzung, nicht auf den europäischen Grundgedanken als solchen. Das ist ein wichtiger Unterschied.
Warum ein Mittelständler das überhaupt interessieren sollte
Man kann berechtigt fragen: Ich verkaufe Werkzeug, betreibe eine Hausverwaltung oder führe einen Handwerksbetrieb. Warum soll mich eine Anhörung im Digitalausschuss kümmern? Die ehrliche Antwort lautet: Heute vermutlich noch nicht akut, in ein paar Jahren möglicherweise sehr konkret.
Digitale Identitäten berühren drei Bereiche, die in fast jedem Unternehmen mit Onlinepräsenz eine Rolle spielen. Erstens den Login: Wie melden sich Kunden an Ihrem Portal oder Shop an, und wie stellen Sie sicher, dass Konto und Person zusammengehören? Zweitens Nachweise: Wo müssen Sie Alter, Berechtigung oder Identität prüfen, etwa bei altersbeschränkten Produkten, bei Verträgen oder bei Zugängen zu Fachbereichen? Drittens den Datenschutz: Welche Daten erheben Sie dafür, wo speichern Sie sie, und wer haftet, wenn etwas schiefgeht?
Wenn eine staatlich getragene Wallet in diesen Bereichen eine echte Alternative zu bestehenden Verfahren würde, verschöben sich Erwartungen. Kunden könnten fragen, warum sie sich bei Ihnen noch mit Passwort und Ausweisfoto-Upload registrieren sollen, wenn es anderswo mit einem Fingertipp geht. Gleichzeitig steigen die Anforderungen an Ihre Systeme, wenn Sie solche Nachweise annehmen wollen. Es geht also um Wettbewerbsfähigkeit ebenso wie um Sicherheit.
Dazu kommt ein zweiter Gedanke. Wenn die Umsetzung ruckelt, hat das Folgen für alle, die sich darauf verlassen. Ein Unternehmen, das früh und fest auf eine einzelne Lösung setzt, trägt das Risiko, dass sich Spezifikationen, Zeitpläne oder Schnittstellen noch ändern. Eine Anhörung mit so viel Kritik ist deshalb eine Erinnerung, die Entwicklung zu beobachten, aber nicht blind hinterherzulaufen.
Kundenlogin: Chance und Stolperstein zugleich
Der Kundenlogin ist für viele Mittelständler eine der unbequemsten Baustellen. Passwörter werden vergessen, wiederverwendet oder gestohlen. Support-Anfragen wegen gesperrter Konten kosten Zeit. Zwei-Faktor-Verfahren erhöhen die Sicherheit, aber auch die Hürde bei der Anmeldung, und mancher Kunde bricht den Vorgang ab.
Eine digitale Identität auf dem Smartphone könnte hier theoretisch beides lösen: höhere Sicherheit bei geringerer Reibung. Statt eines weiteren Passworts bestätigt der Kunde seine Anmeldung in einer App, die er ohnehin besitzt und mit Biometrie schützt. Für Händler und Dienstleister, die heute viel Aufwand in Registrierung und Kontowiederherstellung stecken, wäre das attraktiv.
Der Stolperstein liegt in der Abhängigkeit. Je stärker ein Login an eine externe Identitätslösung gekoppelt ist, desto wichtiger werden deren Verfügbarkeit, Stabilität und Verbreitung. Ist die Wallet in der Bevölkerung kaum verbreitet oder in der Bedienung hakelig, wird sie kein verlässlicher Zugangsweg. Wer seinen Login ausschließlich darauf stützt, sperrt dann einen Teil seiner Kundschaft aus. Realistisch ist deshalb für längere Zeit ein Nebeneinander: bisherige Verfahren bleiben bestehen, die Wallet kommt als zusätzliche Option dazu.
Aus technischer Sicht bedeutet das, dass Ihr Anmeldesystem so gebaut sein sollte, dass es mehrere Verfahren verkraftet. Wer heute ein Kundenportal neu aufsetzt oder überarbeitet, sollte darauf achten, dass die Authentifizierung als austauschbarer Baustein angelegt ist und nicht tief im Rest der Anwendung verdrahtet wird. Das kostet bei der Planung wenig und erspart später teure Umbauten, egal ob am Ende die Wallet, ein anderer Standard oder ein Anbieter-Login zum Zug kommt.
Altersprüfung: Wo die digitale Brieftasche glänzen könnte
Bei der Altersprüfung zeigt sich der mögliche Nutzen am deutlichsten. Viele Branchen müssen sicherstellen, dass ihre Kunden ein bestimmtes Alter haben, etwa Händler von altersbeschränkten Waren oder Anbieter bestimmter Inhalte. Die bisherigen Wege sind unbefriedigend. Entweder genügt ein Klick auf „Ich bin über 18", der rechtlich wie praktisch wenig Wert hat, oder es wird ein aufwendiges Verfahren mit Ausweiskopie, Videoident oder Postident verlangt, das Kunden abschreckt und Daten ansammelt, die ein kleines Unternehmen eigentlich gar nicht haben möchte.
Das Versprechen einer Wallet lautet, dass der Nachweis „volljährig, ja oder nein" geführt werden kann, ohne dass Ihr Shop Name, Anschrift oder Ausweisnummer zu Gesicht bekommt. Für Sie wäre das ein doppelter Gewinn: weniger Aufwand und weniger personenbezogene Daten, die Sie schützen müssen. Denn jedes Ausweisfoto, das auf Ihrem Server liegt, ist im Ernstfall ein Problem.
Ob die deutsche Umsetzung dieses Versprechen einlöst, ist genau das, worüber gestritten wird. Aus der Zusammenfassung der Quelle lässt sich nicht ablesen, welche Rolle dieser Punkt bei der Anhörung spielte, und wir behaupten das auch nicht. Für Ihre Planung genügt die nüchterne Erkenntnis: Die Technik könnte Altersprüfungen einfacher und datensparsamer machen, aber nur dann, wenn sie in der Fläche funktioniert und akzeptiert wird. Bis dahin bleiben Sie auf Ihre heutigen Verfahren angewiesen, und deren rechtssichere Gestaltung bleibt Ihre Aufgabe.
Datenschutz: Mehr Vertrauen oder mehr Angriffsfläche?
Keine Identitätslösung kommt ohne Datenschutzdebatte aus, und bei einer staatlich verantworteten Wallet ist die Sensibilität besonders hoch. Zwei Sichtweisen stehen sich gegenüber, die beide etwas für sich haben.
Die optimistische Sicht: Eine Wallet kann Datenschutz verbessern, weil Nutzer selbst entscheiden, welche Angaben sie wem zeigen. Unternehmen erhalten nur, was sie brauchen, und müssen weniger speichern. Das passt zum Grundsatz der Datensparsamkeit, den die Datenschutz-Grundverordnung ohnehin verlangt.
Die skeptische Sicht: Ein zentrales Werkzeug, in dem viele wertvolle Nachweise liegen, ist ein attraktives Ziel. Wer das Smartphone verliert, wer Opfer von Schadsoftware wird oder auf eine gefälschte Wallet-App hereinfällt, riskiert mehr als bei einem gestohlenen Passwort. Auch die Frage, ob nachvollziehbar ist, wann und wo sich jemand ausgewiesen hat, beschäftigt Datenschützer. Ob und wie das in d-you gelöst ist, können wir aus der vorliegenden Meldung nicht beurteilen.
Für Unternehmen folgt daraus eine Einsicht, die unabhängig von der Wallet gilt: Datenschutz entsteht nicht durch ein Produkt, sondern durch Prozesse. Wer weiß, welche Kundendaten er wo speichert, wie lange er sie aufbewahrt und wer darauf zugreifen darf, kann jede neue Technik sauber einbinden. Wer das nicht weiß, wird auch mit der besten Wallet Probleme bekommen.
Die unterschätzten Risiken im Alltag
Neben den großen Fragen gibt es kleine, praktische Risiken, die in der politischen Debatte selten vorkommen, im Betrieb aber schnell relevant werden.
Da ist zunächst der Betrug. Sobald eine neue Art des Ausweisens verbreitet ist, versuchen Kriminelle, sie auszunutzen. Gefälschte Anmeldeseiten, die vorgeben, eine Wallet-Prüfung durchzuführen, oder Anrufe, bei denen Menschen zur Freigabe eines Nachweises überredet werden, sind naheliegende Varianten. Ihre Mitarbeiter im Kundenservice sollten wissen, dass „Der Kunde hat sich digital ausgewiesen" nicht automatisch bedeutet, dass alles in Ordnung ist.
Dann der Support. Jede neue Anmeldeoption erzeugt neue Fragen. Was tun, wenn die App des Kunden nicht funktioniert? Wenn er ein neues Handy hat? Wenn der Nachweis abgelaufen ist? Ohne klare Antworten und einen Rückfallweg landen diese Fälle bei Ihnen am Telefon.
Und schließlich die Technik im eigenen Haus. Wer Identitätsnachweise annimmt, muss die Gegenseite prüfen können, Zertifikate verwalten und Schnittstellen pflegen. Das ist kein Hexenwerk, aber eine Daueraufgabe. Kleine Betriebe sollten sich überlegen, ob sie das selbst leisten wollen oder lieber einen Dienstleister dazwischenschalten, der die Anbindung übernimmt. Eine solide IT-Sicherheit im Unternehmen ist dafür die Voraussetzung, nicht das Ergebnis.
Chancen, die Sie nicht verschenken sollten
Trotz aller Kritik wäre es falsch, das Thema abzuhaken. Wer sich früh mit digitalen Identitäten beschäftigt, kann daraus handfeste Vorteile ziehen.
Ein Vorteil liegt in der Konversion. Jede Hürde bei Registrierung und Kauf kostet Abschlüsse. Wenn sich Kunden künftig mit wenigen Handgriffen ausweisen oder anmelden können, steigt die Wahrscheinlichkeit, dass sie den Vorgang zu Ende bringen. Das gilt besonders für Bereiche, in denen heute noch Papier, Scans oder Videoident im Spiel sind.
Ein zweiter Vorteil liegt im Vertrauen. Kunden achten zunehmend darauf, wem sie ihre Daten geben. Ein Unternehmen, das erkennbar nur das Nötigste abfragt und das nachvollziehbar begründet, hebt sich von Mitbewerbern ab. Dafür muss man nicht auf die Wallet warten: Schon heute lässt sich überprüfen, ob Formulare wirklich alle abgefragten Felder brauchen.
Ein dritter Vorteil betrifft Prozesse im B2B. Wo Geschäftskunden Berechtigungen nachweisen müssen, etwa als Händler, Handwerksbetrieb oder Mitarbeiter einer bestimmten Firma, könnten digitale Nachweise manuelle Prüfungen ersetzen. Das ist heute noch Zukunftsmusik, aber eine, die Sie im Blick behalten sollten.
Was das für den Mittelstand bedeutet
Aus alldem lassen sich konkrete Schritte ableiten, die jetzt sinnvoll sind, ganz unabhängig davon, wie die Debatte um d-you ausgeht.
1. Bestandsaufnahme der Identitätsprozesse. Schreiben Sie auf, wo in Ihrem Unternehmen heute Identität, Alter oder Berechtigung geprüft wird: bei der Kontoerstellung, bei Bestellungen, bei Verträgen, im Kundenportal, bei Fernwartungszugängen. Für jeden Punkt notieren Sie, welches Verfahren im Einsatz ist, welche Daten dabei entstehen und wo sie gespeichert werden. Diese Liste ist der wertvollste Einzelschritt, weil sie zeigt, wo eine digitale Identität überhaupt einen Nutzen hätte.
2. Datensparsamkeit prüfen. Gehen Sie Ihre Formulare und Registrierungsstrecken durch. Fragen Sie sich bei jedem Feld, ob Sie die Angabe wirklich benötigen. Alles, was Sie nicht erheben, müssen Sie nicht schützen, nicht löschen und nicht in einer Datenpanne melden. Das ist heute schon Pflicht und morgen die beste Vorbereitung auf datensparsame Nachweisverfahren.
3. Login-Architektur modular halten. Wenn Sie ein Portal, einen Shop oder eine Kundenverwaltung neu bauen oder überarbeiten, achten Sie darauf, dass die Anmeldung austauschbar bleibt. Zusätzliche Verfahren sollten sich ergänzen lassen, ohne dass das gesamte System angefasst werden muss. Bei einem Neubau oder Relaunch Ihrer Seite ist das ein guter Zeitpunkt, um mit Ihrer Agentur oder Ihrem Entwickler darüber zu sprechen, auch im Zusammenhang mit Webdesign und Technik.
4. Zwei-Faktor-Anmeldung jetzt einführen. Warten Sie nicht auf die Wallet, um Konten besser zu schützen. Wo Ihre Kunden oder Mitarbeiter Zugänge haben, sollten Sie eine zweite Sicherheitsstufe anbieten oder vorschreiben. Das senkt das Risiko durch gestohlene Passwörter spürbar und bereitet Ihre Nutzer darauf vor, dass Anmeldung mehr ist als ein Passwort.
5. Rechtliche Anforderungen im Blick behalten. Je nach Branche und Größe gelten für Sie Pflichten zur IT-Sicherheit, die über den Datenschutz hinausgehen. Prüfen Sie, ob und wie die Vorgaben der NIS2-Richtlinie Ihr Unternehmen berühren. Eine Einordnung finden Sie auf unserer Seite zu NIS2 & IT-Sicherheit. Identitäts- und Zugriffsverwaltung gehört dort fast immer zu den Kernthemen.
6. Den Ist-Zustand Ihrer Website prüfen. Ein Onlineauftritt, der heute Sicherheitslücken, veraltete Software oder fehlerhafte Datenschutzeinbindungen hat, ist für neue Verfahren denkbar schlecht gerüstet. Ein Website-Audit zeigt, wo Sie technisch stehen, bevor Sie zusätzliche Funktionen anbinden.
7. Nicht der Erste sein müssen. Beobachten Sie die Entwicklung, aber investieren Sie nicht vorschnell in eine einzelne, noch umstrittene Lösung. Sinnvoll ist, informiert zu sein, Anforderungen zu sammeln und erst dann zu handeln, wenn Spezifikationen stabil und Ihre Kunden tatsächlich in der Lage sind, die Wallet zu nutzen.
8. Support und Mitarbeiter vorbereiten. Wenn irgendwann neue Anmelde- oder Nachweisverfahren hinzukommen, brauchen Ihre Mitarbeiter klare Handlungsanweisungen: Was ist ein gültiger Nachweis, was ist ein Warnsignal, welchen Ersatzweg gibt es? Schulungen zu Phishing und Social Engineering lohnen sich schon heute.
9. Einen festen Ansprechpartner benennen. Ob intern oder extern: Jemand sollte das Thema digitale Identität im Auge behalten und Ihnen rechtzeitig sagen, wann ein Handeln sinnvoll wird. Gerade kleinere Betriebe in der Region fahren damit gut, einen vertrauten IT-Partner an der Seite zu haben, etwa über einen IT-Service Friesland, der Technik, Sicherheit und Alltagsbetrieb zusammen betrachtet.
Der gemeinsame Nenner aller Punkte: Sie müssen die Wallet nicht heute einbauen, aber Sie sollten Ihre Hausaufgaben machen, damit Sie es morgen könnten.
Einordnung: Kritik ist kein Grund zur Panik
Zum Schluss ein Wort zur Gelassenheit. Kritik in einer Bundestagsanhörung ist ein normaler Bestandteil demokratischer Entscheidungsprozesse. Sie bedeutet nicht, dass ein Projekt scheitert, und sie bedeutet auch nicht, dass die Technik grundsätzlich untauglich wäre. Oft führt genau solche Kritik dazu, dass Planungen nachgebessert werden. Ob das bei d-you gelingt, wird sich zeigen.
Für Unternehmen ist die nüchterne Haltung die beste: aufmerksam bleiben, die eigenen Prozesse in Ordnung bringen und sich nicht von Schlagzeilen treiben lassen, weder von euphorischen noch von alarmierenden. Die Themen, die eine digitale Identität berührt, nämlich sichere Anmeldung, verlässliche Nachweise und sparsamer Umgang mit Kundendaten, sind ohnehin Daueraufgaben. Wer sie heute ordentlich erledigt, ist für jede Variante der Zukunft gut aufgestellt.
Häufige Fragen
Was ist die EUDI-Wallet überhaupt?
Die EUDI-Wallet ist eine digitale Brieftasche für Identitätsnachweise, die auf dem Smartphone genutzt werden soll. Bürger sollen sich damit gegenüber Behörden und Unternehmen ausweisen können. In Deutschland läuft die Umsetzung unter dem Namen d-you.
Muss mein Unternehmen die Wallet schon jetzt unterstützen?
Aus der vorliegenden Meldung ergibt sich keine Pflicht für Ihr Unternehmen, und wir wollen hier keine Fristen behaupten, die dort nicht genannt werden. Sinnvoll ist es, die Entwicklung zu beobachten und Ihre Systeme so vorzubereiten, dass sich neue Verfahren später ergänzen lassen. Prüfen Sie außerdem, ob für Ihre Branche gesonderte Vorgaben gelten.
Was kritisieren die Experten an d-you genau?
Die Zusammenfassung des heise-Berichts hält fest, dass kaum ein geladener Experte mit der deutschen Umsetzung zufrieden war. Die einzelnen Kritikpunkte führen wir hier bewusst nicht auf, weil sie in der uns vorliegenden Zusammenfassung nicht aufgeführt sind. Details finden Sie im Originalartikel.
Kann die Wallet die Altersprüfung in meinem Shop vereinfachen?
Grundsätzlich ist das einer der naheliegenden Anwendungsfälle, weil nur die Information „volljährig" übermittelt werden müsste. Ob und wann das in der Praxis zuverlässig funktioniert, hängt von der Umsetzung und der Verbreitung ab. Bis dahin bleiben Ihre bisherigen, rechtssicheren Verfahren maßgeblich.
Was kann ich heute schon tun, um vorbereitet zu sein?
Verschaffen Sie sich einen Überblick über Ihre Identitäts- und Anmeldeprozesse, reduzieren Sie abgefragte Daten auf das Nötige und führen Sie eine Zwei-Faktor-Anmeldung ein. Halten Sie Ihre Webseite und Ihre Systeme technisch aktuell. Das zahlt sich unabhängig von der Wallet aus.