Die Europäische Union baut gerade an etwas, das sie selbst bescheiden „digitale Brieftasche“ nennt. Gemeint ist die EUDI Wallet — eine App, die künftig Personalausweis, Führerschein, Zeugnisse, elektronische Signatur und Behördenkontakte bündeln soll. Ende 2026 muss sie in jedem Mitgliedstaat verfügbar sein, ab 2030 sollen achtzig Prozent der EU-Bürger sie nutzen. Das klingt nach Fortschritt. Es klingt auch nach einem System, das erhebliche Machtfragen aufwirft — und bei dem die entscheidenden Fragen noch nicht beantwortet sind.
Technisch ist die Wallet gut gedacht. Sie soll nach dem Prinzip der Datensparsamkeit funktionieren: Nur das Nötigste wird weitergegeben, also etwa „volljährig: ja“ statt das vollständige Geburtsdatum. Die Daten bleiben auf dem Gerät des Nutzers, kein zentrales Protokoll zeichnet auf, wer wann wo seine Identität vorgezeigt hat. Das ist im sogenannten Architecture and Reference Framework festgeschrieben — dem technischen Grundgesetz des Systems.
Soweit die gute Nachricht. Das Problem liegt nicht in der Technik. Es liegt in der Frage, wer das System kontrolliert — und welche Erfahrungen wir mit eben diesen Akteuren bereits gemacht haben.
Das Doctolib-Modell als Warnung
Man muss nicht lange suchen, um zu verstehen, was passiert, wenn digitale Infrastruktur mit sensiblen persönlichen Daten auf kommerziellen Appetit trifft. Doctolib, das französische Unternehmen, das in Deutschland inzwischen bei rund 70.000 Arztpraxen die Terminvergabe übernommen hat, ist das Lehrbeispiel.
Wer als Patient telefonisch einen Termin vereinbart und anschließend eine Erinnerungs-SMS von Doctolib erhält, hat daran vermutlich noch nicht gedacht: Das Unternehmen erhält beim Einstieg in eine Arztpraxis Zugriff auf den gesamten Patientenstammdatensatz — unabhängig davon, ob man selbst je ein Konto angelegt hat. Datenschutzexperten haben dokumentiert, dass Doctolib dabei sogar Zugriff auf die Daten von Verstorbenen oder von Patienten bekommt, die von einem anderen Arzt behandelt worden sind — etwa wenn ein Nachfolger eine bestehende Praxis übernimmt.
Gesundheitsdaten aus der App wurden an Facebook und die Werbeplattform Outbrain weitergegeben — darunter Sucheingaben und die Angabe, ob jemand privat oder gesetzlich versichert ist. Als das aufflog, hieß es, ein „generischer Cookie“ sei schuld. Jahrelang ignorierte das Unternehmen die Kritik der Berliner Datenschutzaufsicht weitgehend und schmückte sich gleichzeitig mit Zertifikaten, deren Qualität sich bei näherer Betrachtung als zweifelhaft erwies — darunter eine Zertifizierung, die mit dem deutschen BSI verwechselt werden konnte, tatsächlich aber von einer British Standards Institution stammte.
Seit Februar 2025 möchte Doctolib Gesundheitsdaten der Nutzer für das Training eigener KI-Systeme verwenden — natürlich nur mit Einwilligung, versteht sich. Wer diese Einwilligung stillschweigend erteilt hat, weil er die geänderten Datenschutzbestimmungen nicht gelesen hat, steht damit in guter Gesellschaft.
Das alles geschah unter der DSGVO, unter der Aufsicht europäischer Datenschutzbehörden, in einem geregelten Rechtsrahmen. Es hat nicht viel geholfen.
Die Governance-Lücke in der Wallet
Man könnte sagen: Die EUDI Wallet ist staatlich, kein kommerzielles Unternehmen — der Vergleich hinkt. Stimmt. Aber er hinkt nur halb. Denn erstens soll das Wallet-Ökosystem ausdrücklich auch für private Anbieter geöffnet werden. Und zweitens sind es dieselben staatlichen Akteure, die einerseits Datensparsamkeit versprechen und andererseits seit Jahren Vorratsdatenspeicherung, Staatstrojaner und Chatkontrolle fordern.
Der deutsche Referentenentwurf für das Wallet-Gesetz enthält eine Passage, die man genau lesen sollte: Weite Teile der konkreten Ausgestaltung werden nicht parlamentarisch geregelt, sondern dem zuständigen Ministerium nach „pflichtgemäßem Ermessen“ überlassen. Dazu kommt eine Experimentierklausel, die ausdrücklich erlaubt, neue Funktionen und KI-gestützte Entscheidungen zu erproben — ohne dass dafür jedes Mal der Bundestag gefragt werden muss.
Das ist die eigentliche Schwachstelle. Nicht das, was die Wallet heute kann. Sondern was eine andere Regierung, ein anderes Parlament, ein anderer Innenminister in zehn Jahren daraus machen kann — mit einer Infrastruktur, die dann längst in Millionen Alltagsabläufe eingebaut ist.
Infrastrukturen werden selten für ihre schlimmsten denkbaren Nutzungen gebaut. Aber sie ermöglichen sie. Die Geschichte ist voll von Systemen, die gut gemeint anfingen und sich später als sehr nützlich für Zwecke erwiesen, die ihre Schöpfer nie im Sinn hatten.
Was fehlt
Es fehlt eine klare parlamentarische Verankerung der Kerngrundsätze — nicht als Ministeriumserlass, sondern als Gesetz. Es fehlt eine unabhängige technische Aufsicht mit echter Kontrollbefugnis. Es fehlt die verbindliche Festschreibung, dass keine Nutzungsprotokolle zentral gespeichert werden dürfen — nicht als technisches Versprechen, sondern als einklagbares Recht.
Und es fehlt die ehrliche Auseinandersetzung mit der eigenen Geschichte. Wer jahrelang für Vorratsdatenspeicherung gestritten hat, muss sich nicht wundern, wenn ihm die Bürger beim Aufbau einer zentralen Identitätsinfrastruktur nicht blind vertrauen.
Vertrauen muss verdient werden. Die Wallet kann sinnvoll sein. Aber die Bedingungen, unter denen sie es sein darf, sind noch nicht erfüllt.