d-you: Wenn Identität zur digitalen Infrastruktur wird

Das Bundesministerium für Digitales und Staatsmodernisierung (BMDS) beschreibt d-you als freiwillige, kostenlose und datenschutzorientierte Infrastruktur. Persönliche Nachweise sollen verschlüsselt auf dem Endgerät gespeichert werden. Nutzer sollen kontrollieren können, welche Informationen sie weitergeben.

Die wirtschaftliche Bedeutung liegt jedoch nicht in der Digitalisierung des Personalausweises. Mit der EUDI-Wallet entsteht eine standardisierte Infrastruktur für den Nachweis von Identitäten und persönlichen Eigenschaften. Für Banken, Versicherer und andere Unternehmen kann sie Identitätsprüfungen vereinfachen, automatisieren und verbilligen.

Damit verändert sich nicht nur das Verfahren. Es verändert sich die Ökonomie der Identifikation.

Dezentral gespeichert, systemisch vernetzt

Die EUDI-Wallet ist nicht als zentrale Bürgerdatenbank angelegt. Nachweise sollen grundsätzlich auf dem Endgerät liegen. Daraus folgt jedoch nicht, dass d-you eine technisch isolierte Anwendung ist.

Die veröffentlichten Repositories des deutschen Wallet-Projekts enthalten Backend-Komponenten für kryptografische Funktionen, Geräteprüfung, Wallet-Attestierungen und Statusinformationen. Die Smartphone-App ist Teil einer technischen Vertrauenskette.

Der Quellcode wesentlicher Komponenten ist öffentlich zugänglich. Das ermöglicht externen Fachleuten, Implementierungen zu untersuchen. Nicht veröffentlicht sind jedoch sämtliche Bestandteile des späteren Produktivbetriebs. Open Source schafft Transparenz über Softwarekomponenten, aber keine vollständige Transparenz über Betrieb und Sicherheit des Gesamtsystems.

Für die Risikobewertung ist diese Unterscheidung wichtiger als die Frage, ob Daten „zentral“ oder „dezentral“ gespeichert werden.

Weniger Daten pro Vorgang

Datenschutzrechtlich enthält die EUDI-Architektur einen wichtigen Mechanismus: die selektive Offenlegung, „Selective Disclosure“.

Ein Dienst soll nur die Informationen erhalten, die für den jeweiligen Vorgang erforderlich sind. Für einen Altersnachweis muss deshalb nicht der vollständige Datensatz mit Name, Anschrift und Geburtsdatum übertragen werden. Genügen kann die bestätigte Eigenschaft, dass die betreffende Person mindestens 18 Jahre alt ist.

Die Wallet macht aus Dokumenten damit einzelne verifizierbare Attribute. Berechtigungen, Qualifikationen oder andere Eigenschaften können elektronisch übertragen und kryptografisch geprüft werden.

Für Banken und Versicherer ist das mehr als eine neue Form der Legitimation. Prüfprozesse, die heute Dokumente, Identifikationsdienstleister und teilweise manuelle Bearbeitung erfordern, können stärker automatisiert werden.

Das senkt Transaktionskosten.

Niedrigere Kosten verändern den Einsatz

An diesem Punkt beginnt die systemische Wirkung.

Solange eine Identitätsprüfung Aufwand verursacht, wird sie vor allem dort eingesetzt, wo sie gesetzlich vorgeschrieben ist oder wirtschaftlich benötigt wird. Sinkt der Aufwand erheblich, verändert sich diese Abwägung.

Ein Altersnachweis, eine Identitätsbestätigung oder ein anderes verifiziertes Attribut lässt sich dann mit geringeren Kosten in digitale Prozesse integrieren.

Das erzeugt einen Effekt, der in der Datenschutzdiskussion leicht übersehen wird: Die einzelne Identitätsprüfung kann datensparsamer werden, während gleichzeitig die Zahl der Identitätsprüfungen steigt.

Selective Disclosure begrenzt die Datenmenge je Vorgang. Es begrenzt nicht die Zahl der Vorgänge.

Für die langfristige Wirkung der EUDI-Wallet sind deshalb zwei Größen zu unterscheiden: Wie viele Daten werden bei einer Prüfung übertragen – und wie häufig wird überhaupt geprüft?

Freiwilligkeit trifft auf Netzwerkeffekte

Die Bundesregierung erklärt die Nutzung von d-you für freiwillig. Menschen ohne Wallet sollen nicht benachteiligt werden, alternative Verfahren sollen erhalten bleiben. Ein allgemeiner gesetzlicher Nutzungszwang besteht nach gegenwärtiger Rechtslage nicht.

Die tatsächliche Wahlfreiheit hängt jedoch auch von den Kosten der Alternativen ab.

Wenn eine Identifikation mit der Wallet wenige Sekunden dauert, während ein alternatives Verfahren zusätzliche Dokumente, Videoidentifikation oder persönliche Vorsprache verlangt, verschiebt sich die Nutzung auch ohne rechtliche Verpflichtung.

Hinzu kommt der Netzwerkeffekt. Je mehr Menschen die Wallet verwenden, desto attraktiver wird ihre Integration für Unternehmen und Behörden. Je mehr Stellen sie akzeptieren, desto größer wird wiederum ihr Nutzen.

Aus einem freiwilligen Verfahren kann auf diese Weise ein Marktstandard werden. Dafür ist kein gesetzlicher Anschlusszwang erforderlich.

Das Risiko verteilt sich

Auch bei der IT-Sicherheit führt die dezentrale Speicherung nicht zum Verschwinden des Risikos. Sie verändert dessen Verteilung.

Zur Vertrauenskette gehören Smartphone, Betriebssystem, Wallet-App, Backend-Dienste, Aussteller von Nachweisen, empfangende Stellen, kryptografische Schlüssel und Zertifizierungsinstanzen.

Ein kompromittiertes Smartphone erzeugt ein anderes Schadenbild als ein gestohlener Signaturschlüssel oder eine Schwachstelle in einer zentral genutzten Infrastrukturkomponente. Mit zunehmender Verbreitung wächst zugleich der wirtschaftliche Wert eines erfolgreichen Angriffs.

Für Banken und Versicherer entsteht damit nicht nur eine neue Möglichkeit zur Prozessautomatisierung. Es entsteht eine neue Abhängigkeit von einer gemeinsamen Identitätsinfrastruktur.

Der Engpass verschiebt sich

Die EUDI-Wallet schafft nach gegenwärtigem Stand weder eine zentrale Bürgerdatenbank noch einen allgemeinen gesetzlichen Identitätszwang. Ihre größere Wirkung liegt an anderer Stelle: Sie macht verifizierte Identität zu einer standardisierten und kostengünstig verfügbaren Funktion digitaler Prozesse.

Damit verschiebt sich auch die regulatorische Aufgabe.

Wenn die technische Architektur die Datenmenge einer einzelnen Prüfung begrenzt, wird die Häufigkeit der Prüfungen zur nächsten relevanten Größe. Datenschutz betrifft dann nicht mehr nur Speicherung und Übertragung, sondern auch die Voraussetzungen, unter denen Unternehmen, Behörden und Plattformen überhaupt einen Identitätsnachweis verlangen dürfen.