Aktuelles

d-you: Deutschlands digitale Brieftasche und ein paar offene Baustellen

Deutschland hat seiner digitalen Brieftasche einen Namen gegeben, und der Name ist tatsächlich das Wenigste, worüber man hier reden sollte. "d-you" heißt sie jetzt, ausgesprochen wie eine englische Höflichkeitsfloskel mit deutschem Akzent. Ab dem 2. Januar 2027 soll sie den Personalausweis aufs Smartphone bringen. Klingt nach einem Digitalisierungsschritt, auf den wir seit Jahren gewartet haben. Ist es auch. Nur eben mit ein paar Fußnoten, die es in sich haben.

Was genau ist d-you eigentlich?

Hinter dem Namen steckt die deutsche Version der European Digital Identity Wallet, kurz EUDI-Wallet, ein Projekt, das jeder EU-Mitgliedstaat bis Januar 2027 umsetzen muss, weil es die überarbeitete eIDAS-Verordnung so vorschreibt. Das Bundesministerium für Digitales und Staatsmodernisierung hat sich für sein Kind ein eigenes Branding ausgedacht: Das "d" steht für digital und Deutschland, das "you" für die Nutzerin, den Nutzer, und ganz nebenbei auch für den europäischen Rahmen, in dem das Ganze eingebettet ist. Als Logo gibt es eine abstrahierte Hand - Symbol für Selbstbestimmung, wie es in der Pressemitteilung heißt, frei nach dem Motto: Es sind deine Daten, in deiner Hand. Bundesdigitalminister Karsten Wildberger stellte das Projekt Anfang September in Berlin vor, gemeinsam mit rund 40 Partnern aus Wirtschaft, Wissenschaft und Verwaltung.

Die Grundidee ist nicht wirklich neu: ein Ausweis, den man nicht mehr aus dem Portemonnaie kramen muss, sondern per App vorzeigt, verschlüsselt gespeichert direkt auf dem eigenen Gerät statt irgendwo in einer Cloud. Freiwillig, kostenlos, und laut Ministerium mit offenem Quellcode.

Der Starttermin - und was am 2. Januar wirklich da ist

Hier lohnt sich der zweite Blick. Wer jetzt glaubt, ab Januar landen Führerschein, Krankenkassenkarte und Studienausweis gebündelt auf dem Handy, wird enttäuscht. Zum Start gibt es erst einmal den digitalen Zwilling des Personalausweises. Alles andere - Führerschein, Lichtbildnachweis, später weitere Dokumente - folgt schrittweise, und laut Berichten hat man den Umfang zum Launch sogar noch einmal kleiner geschnitten als ursprünglich geplant, weil es bei der Datensicherheit offenbar noch klemmt. Das ist per se kein Drama, wahrscheinlich sogar der vernünftigere Weg, als alles auf einmal live zu schalten. Nur klingt "40 Partner mit eigenen Anwendungen zum Go-live" eben deutlich größer, als es am Ende sein wird.

Zu den angekündigten Einsatzfeldern zählen die Alterskontrolle ohne Preisgabe des genauen Geburtsdatums, der rechtssichere Vertragsabschluss und die schnelle Kontoeröffnung bei der Bank. Mit dabei sind unter anderem die Bundesagentur für Arbeit, die Deutsche Rentenversicherung, die Deutsche Post, Vodafone, Rossmann, mehrere Sparkassen und diverse Hochschulen. Die Deutsche Post testet die Wallet bereits im Zusammenhang mit ihrem Postident-Angebot.

Die unbequeme Frage: Wer prüft eigentlich, ob das Ding sicher ist?

Und jetzt zum Teil, den die Pressemitteilung naturgemäß etwas knapper hält. Kryptografen kritisieren das zugrunde liegende Sicherheitskonzept seit Monaten, unter anderem auf dem Chaos Communication Congress des Chaos Computer Club. Der zentrale Vorwurf: Die Mitgliedstaaten geben die Wallets selbst heraus und zertifizieren gleichzeitig deren Sicherheit - wer ein System baut, kann es schlecht unabhängig prüfen. Verbände wie die BAG Selbsthilfe schließen sich dieser Kritik an und verweisen zusätzlich auf ungeklärte Fragen bei der Metadaten-Erhebung und beim Schutz vor Kompromittierung über das Smartphone-Betriebssystem selbst.

Die EU-Kommission steht dabei auch nicht ganz unbeteiligt da: Datenschutzorganisationen wie epicenter.works warnen, dass geplante Durchführungsrechtsakte es Unternehmen erlauben könnten, deutlich mehr Daten abzufragen, als für den jeweiligen Zweck eigentlich nötig wäre. Das mag im Einzelfall banal klingen, ist in der Summe aber genau das Gegenteil von dem, was die Wallet eigentlich verspricht: Datensparsamkeit und Kontrolle in der eigenen Hand.

Wiedergänger

Wer schon länger deutsche Digitalprojekte beobachtet, hat bei alldem ein gewisses Déjà-vu. Fachleute ziehen bereits Vergleiche zur elektronischen Patientenakte, deren Weg von der Ankündigung bis zur einigermaßen stabilen Nutzung bekanntlich nicht gerade eine Erfolgsgeschichte war. Auch bei d-you gilt: groß angekündigt, Startdatum fixiert, aber die technischen und rechtlichen Fragen werden teilweise noch geklärt, während längst über Partner und Anwendungsfälle gesprochen wird. Das muss nicht zwangsläufig schiefgehen. Aber es macht nicht gerade zuversichtlich, wenn die immer gleiche Reihenfolge - erst Pressetermin, dann Sicherheitskonzept fertigstellen - zum wiederkehrenden Muster wird.

Betrifft uns das? Und unsere Kunden?

Sobald d-you tatsächlich läuft, wird das für alle relevant, die online Identitäten prüfen müssen: Altersverifikation im Shop, Vertragsabschlüsse, Kontoeröffnungen, vielleicht auch Bewerbungsprozesse. Wer als Unternehmen Daten aus der Wallet abfragen will, muss sich als sogenannte Relying Party registrieren und genau angeben, welche Daten zu welchem Zweck gebraucht werden - Facebook braucht keinen Geburtsort, das Weinversand-Shop keinen vollständigen Namen, nur die Bestätigung der Volljährigkeit. Für uns heißt das: Wer heute schon Altersverifikation, KYC-Prozesse oder digitale Vertragsunterschriften für Kunden baut, sollte die Entwicklung der Schnittstellen im Blick behalten. Die Sandbox-Umgebung existiert bereits, erste Unternehmen testen dort ihre Anwendungsfälle. Warten, bis alles fertig ist, kann man - aber dann steht man beim Go-Live ganz hinten in der Schlange.

Unterm Strich: Die Idee hinter d-you ist gut und überfällig, der Name ist Geschmackssache, und die Kritik der Sicherheitsforscher sollte man ernst nehmen statt als übliches "Typisch-Deutsch"-Gemecker abzutun. Ob aus dem großen Ökosystem-Versprechen am Ende ein reibungsloser Alltag wird oder ein weiteres Kapitel in der langen Geschichte verkackter deutscher Digitalprojekte, entscheidet sich in den nächsten Monaten. Wir bleiben dran.

12.09.2026