Warum die EUDI-Wallet allein nicht für Sicherheit sorgt

Digitale Identitäten könnten zum neuen Vertrauensanker unserer vernetzten Wirtschaft werden – doch eine sichere Wallet allein reicht dafür nicht aus. Der eigentliche Gamechanger liegt darin, Identität, Berechtigung und Handlung künftig kryptografisch überprüfbar miteinander zu verbinden. Mit KI-Agenten entsteht gleichzeitig eine neue Klasse digitaler Akteure, für die Unternehmen dieses Vertrauensmodell schon heute weiterdenken müssen.

Henning Dittmer, VP DACH bei PingIdentity , warnt davor, die Sicherheit digitaler Identitäten allein an Wallets und Authentifizierungsverfahren festzumachen – entscheidend sei vielmehr die Vertrauenswürdigkeit der Prozesse, Berechtigungen und Wiederherstellungsmechanismen dahinter.

Eine Woche nach dem International Identity Day wird der Bundestag über das Digitale-Identitäten-Gesetz beraten. Die erste Lesung ist für den 23. September 2026 vorgesehen. Mit dem Gesetz sollen die nationalen rechtlichen Voraussetzungen für die Einführung der European Digital Identity Wallet, kurz EUDI-Wallet, geschaffen werden.

Während weltweit noch immer hunderte Millionen Menschen keinen anerkannten Identitätsnachweis besitzen, haben wir in Deutschland ein anderes Problem: Wir können unsere Identität nachweisen – aber viele digitale Prozesse sind noch nicht darauf ausgelegt, dieser Identität wirklich zu vertrauen.

d-you verändert das digitale Vertrauensmodell

Mit der EUDI-Wallet soll sich das ändern. Die deutsche staatliche Wallet trägt den Namen d-you und soll am 2. Januar 2027 starten. Zum Launch sollen rund 40 Partner aus Wirtschaft, Wissenschaft und Verwaltung Anwendungen bereitstellen – beispielsweise für Altersnachweise, Vertragsabschlüsse oder die Eröffnung eines Bankkontos.

Das ist ein wichtiger Schritt. Entscheidend für den Erfolg wird jedoch nicht allein sein, wie sicher die Wallet selbst konstruiert ist. Entscheidend ist das gesamte Ökosystem, das ihr vertraut.

Denn eine digitale Identität ist nur so sicher wie der Prozess, in dem sie verwendet wird.

Wenn ein Unternehmen künftig einen Altersnachweis, eine Fahrerlaubnis oder eine Vertretungsberechtigung aus einer Wallet entgegennimmt, muss es nicht nur technisch überprüfen können, ob dieser Nachweis gültig ist. Es braucht ebenso belastbare Prozesse für den Fall, dass eine Prüfung scheitert, ein Gerät verloren geht, ein Zugang wiederhergestellt werden muss oder ein Nutzer die Kontrolle über seine digitale Identität verliert. Angreifer suchen den schwächsten Prozess

Genau an diesen Stellen entstehen heute viele relevante Sicherheitsrisiken.

In den vergangenen Jahren haben wir erhebliche Fortschritte bei der Absicherung von Logins gemacht. Multi-Faktor-Authentifizierung, Passkeys und zunehmend phishing-resistente Verfahren erhöhen das Sicherheitsniveau deutlich. Angreifer reagieren darauf jedoch konsequent: Statt die stärkste Sicherheitskontrolle direkt anzugreifen, suchen sie den schwächeren Weg.

Das kann der Helpdesk sein. Der Prozess zur Wiederherstellung eines Accounts. Eine telefonische Identitätsprüfung. Oder ein Onboarding-Prozess, bei dem ein hochgeladenes Dokument noch immer als ausreichender Beleg für eine Identität akzeptiert wird.

Damit verschiebt sich die entscheidende Sicherheitsfrage: Nicht nur „Wie authentifiziert sich ein Nutzer?“, sondern zunehmend „Wie entsteht Vertrauen in seine Identität?“

Generative KI entwertet den Augenschein

Generative KI verschärft dieses Problem erheblich. Dokumente, Bilder, Stimmen und zunehmend auch Videos lassen sich mit immer geringerem Aufwand überzeugend synthetisch erzeugen.

Prozesse, die Vertrauen daraus ableiten, dass ein Dokument authentisch aussieht oder eine Person bestimmte persönliche Informationen kennt, verlieren deshalb zunehmend ihre Aussagekraft.

Die EUDI-Wallet bietet die Chance, dieses Prinzip umzudrehen. Unternehmen müssen nicht länger möglichst viele persönliche Informationen sammeln, kopieren und speichern, nur um Identität nachzuweisen. Stattdessen können sie kryptografisch überprüfen, ob ein benötigter Nachweis gültig und vertrauenswürdig ist. Das ist weit mehr als die Digitalisierung des Personalausweises. Es ist ein anderes Modell von Vertrauen.

Nach den Menschen kommen die KI-Agenten

Bei der Einführung dieses neuen Vertrauensmodells sollten wir allerdings bereits den nächsten Schritt mitdenken. Denn künftig werden nicht mehr ausschließlich Menschen digitale Transaktionen auslösen.

Software- und KI-Agenten werden im Auftrag von Menschen und Unternehmen Verträge vorbereiten, Bestellungen anstoßen, Informationen abrufen und Transaktionen initiieren. Damit entsteht eine neue Herausforderung für das Identity and Access Management.

Auch diese Agenten benötigen eine überprüfbare Identität. Noch wichtiger ist jedoch die Frage, in wessen Auftrag sie handeln, welche Aktionen sie ausführen dürfen und wie lange diese Berechtigung besteht.

Eine digitale Vollmacht für einen KI-Agenten muss deshalb eindeutig zuordenbar, begrenzt und jederzeit widerrufbar sein. Andernfalls schaffen wir eine neue Vertrauensinfrastruktur für menschliche Identitäten und übersehen gleichzeitig eine der am schnellsten wachsenden Klassen digitaler Akteure.

Von der Authentifizierung zur überprüfbaren Berechtigung

Deutschland hat mit der EUDI-Wallet deshalb eine größere Chance, als lediglich einen weiteren Verwaltungsprozess zu digitalisieren.

Wir können eine Infrastruktur schaffen, in der Vertrauen nicht daraus entsteht, dass jemand die richtigen Informationen kennt oder ein Dokument überzeugend aussieht. Vertrauen kann stattdessen darauf beruhen, dass Identität, Nachweis und Berechtigung tatsächlich überprüfbar sind.

Bis zum geplanten Start von d-you am 2. Januar 2027 bleibt nicht mehr viel Zeit. Unternehmen, Behörden und andere Stellen, die digitale Nachweise akzeptieren wollen, sollten diese Monate deshalb nicht nur für die technische Integration der Wallet nutzen. Sie sollten ihre gesamten Identitätsprozesse überprüfen – vom Onboarding über Authentifizierung und Autorisierung bis hin zur Wiederherstellung eines Zugangs.

Denn am Ende entscheidet nicht die Wallet allein darüber, ob digitale Identität sicher funktioniert. Entscheidend ist, wem und was wir vertrauen – und wie zuverlässig wir überprüfen können, wer tatsächlich handelt.