Am 24. Dezember dieses Jahres bekommen wir in der EU ein neues Recht. Ich sitze in Neumünster und kann dann zu meinem eigenen Staat gehen und eine digitale Identitäts-Wallet verlangen. Eine App, die meinen Ausweis enthält, online belegt, dass ich ich bin, und nichts kostet.

Jeder Mitgliedstaat muss bis dahin eine anbieten. Das steht in der Verordnung, mit Nummer und Absatz.

Deutschland startet am 2. Januar.

Das Recht

Die Rechtsgrundlage ist die Verordnung (EU) 2024/1183, in Kraft seit Mai 2024. Sie schreibt die alten eIDAS-Regeln um und fügt Artikel 5a ein: Jeder Mitgliedstaat muss innerhalb von 24 Monaten nach Inkrafttreten der technischen Durchführungsrechtsakte mindestens eine europäische Wallet bereitstellen. Diese Rechtsakte wurden Ende November 2024 erlassen, damit fällt die Frist auf den 24. Dezember 2026.

Was ihr bekommt, ist ein Recht, keine Pflicht. Niemand muss etwas installieren. Wer aber eine will, dem muss sein Staat sie geben, und Ausstellung, Nutzung und Widerruf sind für Privatpersonen kostenlos.

Die Idee ist eine App für die Dinge, die ihr heute mit Plastik belegt oder mit dem Scan von Plastik. Der Ausweis. Später Führerschein, Zeugnisse, Versichertenkarte. Ihr weist ein einzelnes Merkmal nach statt des ganzen Dokuments, ein Shop mit Altersgrenze erfährt also, dass ihr über 18 seid, und sonst nichts.

Der letzte Teil ist die Version von den Folien.

Neun Tage

Deutschlands Starttermin ist der 2. Januar 2027. Das Digitalministerium hat ihn angekündigt, und das Datum erzählt die Geschichte von selbst: Es ist der erste Werktag nach Ablauf der Frist.

Interessanter finde ich, wie das Ministerium die Anforderung auf seiner eigenen Seite formuliert. Bis Anfang 2027 solle in jedem Mitgliedstaat mindestens eine EUDI-Wallet verfügbar sein. Die Verordnung sagt 24. Dezember 2026. Verschiebt die Frist ins Folgejahr, und der eigene Start ist plötzlich pünktlich.

Neun Tage zu spät, vorher angekündigt, und so formuliert, dass es nicht nach zu spät aussieht.

Neun Tage sind nichts. Gebaut wird die deutsche Wallet von SPRIND, der Bundesagentur für Sprunginnovationen, zusammen mit dem BSI, der Bundesdruckerei, Fraunhofer AISEC und anderen, und in Dresden lief im Sommer ein Pilot mit dem Dresden-Pass und der sächsischen Ehrenamtskarte, wie netzpolitik.org schreibt. Es wird also gebaut.

Es ist die Formulierung, die mich stört. Nicht die Verzögerung.

Die erste Stufe

Zuerst kommt der Identitätsteil. Eure Personenidentifizierungsdaten, damit ihr gegenüber einer Behörde oder einer Firma belegen könnt, dass ihr ihr seid. Den Rest führt das Ministerium als spätere Stufen: elektronische Attributsbescheinigungen, Führerschein, Reisepass, qualifizierte Signaturen, Bezahlfunktion.

Am ersten Tag ist das also ein digitaler Ausweis in einer App. Keine Brieftasche voller Dokumente.

Das ist in Ordnung, und es ist gut zu wissen, bevor euch jemand den Führerschein aufs Handy verspricht. Ich hätte ihn ja auch gern.

Dezember 2027

Das Datum, das die meisten von uns stärker betrifft, liegt ein Jahr später.

Ab dem 24. Dezember 2027 muss eine lange Liste von Unternehmen die Wallet akzeptieren, überall dort, wo das Gesetz sie ohnehin zu einer starken Authentifizierung verpflichtet. Banken und Zahlungsdienstleister. Telekommunikation, Energie, Verkehr, Gesundheit, Post. Dazu die sehr großen Online-Plattformen aus dem Digital Services Act.

Damit ist das keine Behörden-App, die niemand nutzt. Sie wird stark genutzt werden. Wenn eure Bank sie nehmen muss, habt ihr irgendwann eine.

Nachteile

Die Nachweise in der Wallet sind kryptografisch signiert. Das macht sie fälschungssicher, genau darum geht es, und es macht sie zugleich wertvoll für Diebe.

Ein signierter Beleg, dass diese Adresse zu dieser Person gehört, ist etwas anderes als ein Screenshot eines Ausweises. Die Bundesdatenschutzbeauftragte und Sicherheitsforscher haben davor gewarnt, dass signierte Attribute für Identitätsdiebstahl und Datenhandel wertvoll sind, netzpolitik.org hat die Details.

Dann die Pseudonymität. Ihr sollt die Wallet nutzen können, ohne jedes Mal euren Namen herauszugeben. Dieses Recht gibt es, und nationales oder EU-Recht kann es einschränken.

Und Zero-Knowledge-Proofs, also die Kryptografie, mit der ihr den Nachweis „über 18" führt, ohne sonst etwas preiszugeben, stehen in den Erwägungsgründen der Verordnung.

Außerdem hält hier eine App die Dokumente, die euch ausweisen, gebaut vom Staat, auf einem Telefon von Apple oder Google, oder zumindest mit deren Software. Das ist so ziemlich das Gegenteil der europäischen Souveränitätsidee.

Ein europäisches System, das Menschen zuverlässig identifiziert, wird außerdem alle interessieren, die je wissen wollten, wer hinter einem Konto steckt. Die EU streitet dieses Jahr darüber, ob Nachrichten gescannt werden dürfen. Die beiden Vorgänge haben nichts miteinander zu tun, und ich würde nicht darauf wetten, dass das so bleibt.

Unterm Strich

Europa baut hier etwas Brauchbares, finde ich. So wie beim eigenen CLOUD Act oder beim digitalen Euro. Eine kostenlose Identität, die ihr bei eurem eigenen Staat verlangen könnt, nach einem Standard in 27 Ländern.

Und dann landet sie im größten Mitgliedstaat neun Tage zu spät, mit einer Frist, die auf „Anfang 2027" umformuliert wurde.

Ich hole mir meine im Januar. Dann sehen wir, was sie kann.

Zuerst auf Englisch erschienen: Medium