Neuer Name, alte Baustellen: Das sind die Hürden zum Start der digitalen Brieftasche „d‑you“

<p>Die deutsche Version der EUDI-Wallet, die im Januar 2027 starten soll, wird „d‑you“ heißen. Bis dahin muss das Digitalministerium aber noch Probleme bei der IT-Sicherheit lösen. Bei „Restrisiken“ könnte die Bundesregierung den Start verschieben.</p>
<figure class="wp-caption entry-thumbnail"><img width="1900" height="1069" src="https://cdn.netzpolitik.org/wp-upload/2026/09/d-you_1900.jpg" class="attachment-landscape-860 size-landscape-860 wp-post-image" alt="Eine Bühne mit Sprecher:innenpult, dahinter eine Leinwand mit dem Schriftzug &quot;d-you&quot;." decoding="async" loading="lazy" srcset="https://cdn.netzpolitik.org/wp-upload/2026/09/d-you_1900.jpg 1900w, https://cdn.netzpolitik.org/wp-upload/2026/09/d-you_1900-860x484.jpg 860w, https://cdn.netzpolitik.org/wp-upload/2026/09/d-you_1900-1200x675.jpg 1200w, https://cdn.netzpolitik.org/wp-upload/2026/09/d-you_1900-380x214.jpg 380w, https://cdn.netzpolitik.org/wp-upload/2026/09/d-you_1900-1536x864.jpg 1536w" sizes="auto, (max-width: 1900px) 100vw, 1900px" /><figcaption class="wp-caption-text">Digitalminister Karsten Wildberger präsentierte am Mittwoch den neuen Namen und das Logo der staatlichen Wallet. <span class='media-license-caption'> – <a class="" rel="license" target="_blank" href="http://creativecommons.org/licenses/by-nd/4.0/deed.de">CC-BY-ND 4.0</a>: netzpolitik.org</span></figcaption></figure>
<p class="wp-block-paragraph">Für Karsten Wildberger (CDU) war es „ein besonderer Tag“. Am Mittwoch präsentierte der Digitalminister <a href="https://bmds.bund.de/aktuelles/aktuelle-meldungen/detail/meldung-eudi-wa... offiziellen Namen der deutschen EUDI-Wallet</a>: „d‑you“ wird sie demnach heißen. Das „d“ stehe für digital und für Deutschland, das „you“ verweise auf die einzelne Nutzer:in, erklärt der Minister.</p>

<p class="wp-block-paragraph">Die digitale Brieftasche soll am 2. Januar 2027 als Handy-App starten. Künftig sollen Bürger:innen dort digitale Ausweisdokumente, Zeugnisse und Hotelreservierungen ablegen können. Sie&nbsp;werde nutzerfreundlich und sicher sein, versprach Wildberger bei dem Pressetermin. Zugleich betonte er, dass er die App als „lebendes Produkt“ begreife, das um neue Funktionen anwachse. „Um d‑you entsteht ein Ökosystem“, so der Minister, „das neue Anwendungen, innovativere Geschäftsmodelle und effizientere Verwaltungsleistungen ermöglicht.“</p>

<p class="wp-block-paragraph">Zunächst aber startet d‑you deutlich kleiner als geplant: Zu Beginn soll nur der digitale Ausweis nutzbar sein, später folgen Führerschein und „kurz danach“ ein Lichtbildnachweis. Schrittweise sollen weitere Funktionen sowie kommunale und privatwirtschaftliche Anwendungen hinzukommen.</p>

<p class="wp-block-paragraph">Die schleppende Umsetzung zeigt, dass die Frist zum Start der digitalen Brieftasche zu ambitioniert ist. Zudem deutet die Bundesregierung an, dass sich das Datum aus Sicherheitsgründen verschieben könnte. Denn rund um das Projekt gibt es gerade bei der IT-Sicherheit etliche Baustellen.</p>

<h2 class="wp-block-heading">Es fehlt immer noch Fachpersonal</h2>

<p class="wp-block-paragraph">Die digitale Brieftasche entsteht im Auftrag des Digitalministeriumsbei der Common Codes GmbH, einem von der Bundesagentur für Sprunginnovationen (Sprind) gegründeten Unternehmen. Noch vor wenigen Tagen suchte es händeringend nach externer Unterstützung im Bereich der Informationssicherheit. Der ausgeschriebene Auftrag sieht unter anderem vor, die Architektur der App abzusichern.</p>

<p class="wp-block-paragraph">Die IT-Sicherheitsforscherin Bianca Kastl findet das zu spät. „Das ist ein wenig so, als würde man auf einem fahrenden Zug noch ein paar Sicherheitsingenieure holen und sie dann fragen, ob das mit den Bremsen denn so okay ist“, <a href="https://background.tagesspiegel.de/digitalisierung-und-ki/briefing/bund-... Kastl</a> dem Tagesspiegel Background.</p><div id="netzpolitik-cta-530895" class="netzpolitik-cta"><div class="campaign-landtagswahl2026 campaign-landtagswahl2026__stoerer alignfull">
<div class="stripes stripes--stoerer"></div>
<div class="chevron">
<div class="chevron--top"></div>
<div class="chevron--bottom chevron--offset"></div>
</div>
<div class="content">
<div class="content__visible">
<div class="content__row-1">
<svg class="image ltw26-svg" viewBox="0 0 148 148" xmlns:xlink="http://www.w3.org/1999/xlink"><defs><style>.cls-1{fill:000000;}</style><clipPath id="clippath"><rect class="cls-1" width="148" height="148" /></clipPath></defs><g class="cls-5"><path class="cls-3" d="M83.02,147.44c40.56-4.98,69.4-41.9,64.42-82.46C142.46,24.42,105.54-4.42,64.98.56,24.42,5.54-4.42,42.46.56,83.02c4.98,40.56,41.9,69.4,82.46,64.42" /><path class="cls-2" d="M82.61,144.16c38.75-4.76,66.3-40.02,61.54-78.77C139.4,26.64,104.13-.91,65.39,3.84,26.64,8.6-.91,43.87,3.84,82.61c4.76,38.75,40.02,66.3,78.77,61.54" /><path class="cls-3" d="M70.13,21.27c1.93.31,3.33,1.79,3.5,3.83l.65,7.65c.19,2.26-1.5,4.11-3.66,4.25-2.07.14-3.96-1.37-4.16-3.57l-.69-7.64c-.18-2.03.93-3.74,2.78-4.38l1.56-.14Z" /><path class="cls-3" d="M123.81,67.04l.14,1.56c-.31,1.93-1.79,3.33-3.83,3.5l-6.87.58c-2.26.19-4.11-1.5-4.25-3.66-.13-2.07,1.37-3.96,3.57-4.16l6.86-.62c2.03-.18,3.74.94,4.38,2.78" /><path class="cls-3" d="M104.8,111.29l-.32-3.93c-.26-2.15-2.03-3.75-4.29-3.55l-46.9,4.1c-2.22.19-3.78,2.09-3.59,4.24l.35,3.93,54.75-4.79ZM95.62,96.32l-2.3-25.98c-.96-10.87-10.69-18.67-21.34-17.69-10.55.98-18.69,10.31-17.76,21.1l2.25,25.99,39.13-3.42ZM109.29,118.78l-62.25,5.45c-2.34.2-4.24-1.22-4.48-3.56l-.68-7.63c-.45-5.04,2.17-9.76,6.85-11.94l-2.32-26.44c-1.33-15.14,9.82-28.36,24.71-29.83,14.9-1.47,28.66,9.44,30.01,24.64l2.38,26.83c4.88,1.31,8.34,5.4,8.78,10.37l.7,7.84c.11,2.2-1.31,4.05-3.7,4.26" /><path class="cls-3" d="M46.26,43.98c1.71,1.43,1.77,3.86.49,5.44-1.3,1.62-3.79,2.03-5.47.61l-6.26-5.27c-1.67-1.41-1.62-3.91-.3-5.43,1.34-1.55,3.76-1.88,5.43-.48l6.11,5.12Z" /><path class="cls-3" d="M102.12,44.58c-1.47,1.76-3.89,1.92-5.55.59-1.61-1.3-2.02-3.79-.6-5.47l5.27-6.26c1.4-1.66,3.92-1.61,5.42-.29,1.54,1.34,1.88,3.76.48,5.43l-5.03,6.01Z" /><path class="cls-3" d="M35.12,79.52l-7.17.64c-2.19.2-4.02-1.43-4.24-3.48-.23-2.14,1.3-4.15,3.55-4.34l7.06-.62c2.19-.19,4,1.41,4.23,3.48.22,2-1.16,4.11-3.44,4.32" /><path class="cls-3" d="M77.7,71.79c.2,2.3-1.42,4.09-3.48,4.32-2.13.24-4.14-1.29-4.34-3.55l-.69-7.84c-.19-2.2,1.43-4.01,3.48-4.24,2.14-.23,4.14,1.29,4.34,3.55l.69,7.76Z" /><path class="cls-3" d="M79.08,87.52c.19,2.16-1.41,4.07-3.57,4.26-2.16.19-4.07-1.41-4.26-3.57-.19-2.16,1.41-4.07,3.57-4.26,2.16-.19,4.07,1.41,4.26,3.57" /></g></svg>
</div>
<div class="content__row-2">
<h3 class="headline">Wir schlagen Alarm. <br> Für deine Grundrechte.</h3>
</div>
<div class="content__row-3"><a class="button" onclick="twingle_stoerer_ltw(this.closest('.content').querySelector('.ltw-2026-stoerer-widget')); return false;">Jetzt mitmachen</a></div>
</div>
<div class="ltw-2026-stoerer-widget"></div>
</div>
<div class="stripes stripes--stoerer"></div>
<div class="chevron">
<div class="chevron--bottom"></div>
<div class="chevron--top chevron--offset"></div>
</div>
</div>

</div>
<h2 class="wp-block-heading">Auf Herz und Nieren ungeprüft</h2>

<p class="wp-block-paragraph">Auch die App selbst ist noch nicht geprüft. In Kürze soll immerhin <a href="https://www.linkedin.com/posts/eudi-wallet-deutschland_our-code-is-open-... Bug-Bounty-Programm starten</a>. Es belohnt externe Fachleute, die IT-Sicherheitslücken in der Wallet finden und melden.</p>

<p class="wp-block-paragraph">Allerdings gibt es nach wie vor kein Testobjekt. Zwar hat das Ministerium vor wenigen Tagen den Quellcode der App für <a href="https://github.com/german-national-wallet/de-eudi-wallet-ios">iOS</a> und <a href="https://github.com/german-national-wallet/de-eudi-wallet-android">Androi... auf der Plattform Github veröffentlicht. Sicherheitslücken sollen jedoch nicht dort, sondern erst in der veröffentlichten Anwendung <a href="https://github.com/german-national-wallet/de-eudi-wallet-android/blob/ma... werden</a>. Bislang sind die Apps jedoch nicht auf den App-Marktplätzen von Google und Apple verfügbar.</p>

<p class="wp-block-paragraph">Währenddessen schreibt das Bundesamt für Sicherheit in der Informationstechnik (BSI) noch immer an den Sicherheitsvorgaben. Die „Cyber-Sicherheitsbehörde des Bundes“ soll ein nationales Zertifizierungsschema für die digitale Brieftasche entwickeln. Die <a href="https://bmi.usercontent.opencode.de/eudi-wallet/eidas2/en/spotlight/difa... Richtlinie 03189</a> soll etwa festlegen, welche Anforderungen d‑you erfüllen muss.</p>

<p class="wp-block-paragraph">Die Verzögerung hat vor allem zwei Gründe. Zum einen hat die EU-Kommission noch nicht alle Vorgaben für die EUDI-Wallet festgelegt. Zum anderen gibt es im BSI offenbar Bedenken zur IT-Sicherheit der geplanten App, wie Tagesspiegel Background <a href="https://background.tagesspiegel.de/digitalisierung-und-ki/briefing/einbl... Juni berichtete</a>.</p>

<p class="wp-block-paragraph">Eine Veröffentlichung der Richtlinie sei dem BSI zufolge nur möglich, wenn die Entwicklung der Wallet abgeschlossen sei. „Eine erste Veröffentlichung der TR-03189 auf der Webseite des BSI ist zum Ende dieses Jahrs geplant“, teilte eine BSI-Sprecherin auf Anfrage von netzpolitik.org mit – nur wenige Tage vor dem geplanten Start von d‑you.</p>

<h2 class="wp-block-heading">Fachleute warnen vor signierten Daten</h2>

<p class="wp-block-paragraph">Das engt Wildbergers Zeitplan weiter ein. Und es ist möglich, dass die Bundesregierung die Bedenken des BSI <a href="https://background.tagesspiegel.de/digitalisierung-und-ki/briefing/von-w... mehr beiseiteschiebt</a>. Bereits im Oktober 2024 <a href="https://de.linkedin.com/posts/markus-richter-134315204_opensource-digita... sich</a> das damals noch zuständige Innenministerium (BMI) für eine Architektur-Variante bei der deutschen Wallet, die auf sogenannte signierte Daten setzt. Diese Entscheidung, zu der offenbar <a href="https://background.tagesspiegel.de/digitalisierung-und-ki/briefing/einbl... ganz eigene Interessen im Sprind-Team</a> führten, hat weitreichende Folgen für die Sicherheit der App.</p>

<p class="wp-block-paragraph">Grundsätzlich sind bei der digitalen Brieftasche zwei Wege möglich, um Echtheit und Integrität übermittelter Identitätsdaten zu bestätigen: mit Hilfe eines sicheren Kanals („Authenticated Channel“) oder durch das Signieren von Daten („Signed Credentials“).</p><div id="netzpolitik-cta-523281" class="netzpolitik-cta"><div class="interstitial--article interstitial--article--gradient-1">
<div class="interstitial--article--main">
<div class="interstitial--article--section interstitial--article--header">
<h3>Alles netzpolitisch Relevante</h3>
<p>Drei Mal pro Woche als Newsletter in deiner Inbox.</p>
</div>
<div class="interstitial--article--section interstitial--article--cta">
<a href="/newsletter/?mtm_campaign=stoer" class="np-btn np-btn--light wpa-focusable">Jetzt abonnieren</a>
</div>
</div>
</div></div>

<p class="wp-block-paragraph">Der sichere Kanal kommt bei der Online-Funktion des <a href="https://www.personalausweisportal.de/Webs/PA/DE/buergerinnen-und-buerger... Personalausweises</a> zum Einsatz. Eine sichere und vertrauenswürdige Datenübermittlung gewährleistet hier die Echtheit der übermittelten Daten, die eine Person identifizieren. Die technischen Voraussetzungen dafür schafft der im Ausweis verbaute Chip.</p>

<p class="wp-block-paragraph">Bei den Signed Credentials hingegen werden die übermittelten Daten mit einer kryptografischen Signatur versehen. Sie tragen damit quasi ein Echtheitssiegel – auch lange nach der Übermittlung. Dieses Siegel mache die Daten überaus wertvoll für Datenhandel und Identitätsdiebstahl, warnten unabhängig voneinander <a href="https://www.bundestag.de/resource/blob/901718/f867818288768364aa3cb9cd5d... BSI</a>, die <a href="https://background.tagesspiegel.de/digitalisierung-und-ki/briefing/eudi-..., <a href="https://www.bundestag.de/resource/blob/901722/7b3b2d8edb2a64805bc1d96d71... <a href="https://www.bundestag.de/resource/blob/901724/67441ef0b9ead7f9f09f15cc52... sowie <a href="https://epicenter.works/fileadmin/medienspiegel/user_upload/epicenter.wo... Organisationen</a>.</p>

<h2 class="wp-block-heading">Start könnte sich verschieben</h2>

<p class="wp-block-paragraph">Karsten Wildberger verteidigte die Entscheidung des BMI für signierte Daten bei dem gestrigen Pressetermin. Nur so lasse sich das Vorhaben skalieren, sagte der Minister, der bekanntlich gerne groß denkt.</p>

<p class="wp-block-paragraph">Allerdings zeigte er sich gestern auffällig zurückhaltend. Zwar betont Wildberger <a href="https://www.zdfheute.de/politik/lanz-wildberger-lobo-russland-technologi... <a href="https://www.welt.de/videos/video6a57877b664e99bc41e93e7d/digitalminister... jeder Gelegenheit</a>, dass die staatliche Wallet am 2. Januar starten werde. Zugleich peilt er einen eher stillen Start an. Er wolle zunächst Erfahrungen und Feedback sammeln, sagte Wildberger, erst danach soll d‑you breiter beworben werden und eine bundesweite Kommunikationskampagne starten.</p>

<p class="wp-block-paragraph">Auch <a href="https://dserver.bundestag.de/btd/21/073/2107319.pdf">die Bundesregierung treibt offenbar die Sorge um</a>, dass nicht alles reibungslos verlaufen wird. Sie werde „unter Berücksichtigung eventueller Restrisiken über den Start der staatlichen EUDI-Wallet entscheiden“. Mit anderen Worten: Sie könnte den Start der Wallet wegen Bedenken zur IT-Sicherheit verschieben.</p>
<hr id="spenden"><p>Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen. <br>Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus <a href="https://netzpolitik.org/spenden/?via=rss">jetzt mit einer Spende</a>.</p><span class="vgwort"><img decoding="async" src="https://vg03.met.vgwort.de/na/d97dfd29ea2241b6b260bf08e025f45b" width="1" height="1" alt></span>