Freiwillig, unzertifiziert, und die eine Schutzfunktion fehlt: Was hinter „d-you“ steckt

Freiwillig, unzertifiziert und ohne Schutzfunktion - und trotzdem geht Deutschland an den Start. Am 2. Januar 2027 soll die digitale Identitäts-Wallet „d-you“ eingeführt werden. Doch ausgerechnet eine vom EU-Recht vorgeschriebene Datenschutzfunktion fehlt. Während die Bundesregierung ein modernes, bequemes Identitätssystem verspricht, eröffnet eine kaum beachtete Experimentierklausel dem Digitalministerium weitreichende Möglichkeiten: automatisierte Entscheidungen über digitale Identitäten, KI-gestützte Verfahren, die Verknüpfung behördlicher Prozesse und die Einbindung privater Unternehmen. Gleichzeitig stellt sich die Frage, wie freiwillig eine digitale Identität tatsächlich bleibt, wenn analoge Alternativen schrittweise verschwinden. Österreich liefert bereits ein bemerkenswertes Beispiel. Michael Hollister untersucht die gesetzlichen Grundlagen, die technischen Schwachstellen und eine entscheidende Frage: Wer kontrolliert künftig unsere digitale Identität - der Bürger oder der Staat?

von Michael Hollister
Exklusive Veröffentlichung nur bei Michael Hollister am 04. November 2026

4.007 Wörter * 21 Minuten Lesezeit

Am 2. Januar 2027 stellt die Bundesrepublik ihren Bürgern eine App zur Verfügung, die ihr „digitales Ich“ werden soll. Sie heißt „d-you“, sie trägt das europäische Etikett EUDI-Wallet, und sie erfüllt die Definition, die auf ihr steht, nicht. Die eine Schutzfunktion, die das europäische Recht zwingend verlangt, fehlt ihr zum Start. Deshalb ist sie keine zertifizierte EUDI-Wallet. Deshalb könnte das Bundesamt für Sicherheit in der Informationstechnik sie in diesem Zustand gar nicht zertifizieren. Und deshalb steht am Anfang dieses Textes kein Verdacht, sondern eine Zwickmühle, aus der es für den deutschen Staat keinen sauberen Ausweg gibt. Entweder d-you ist eine EUDI-Wallet im Sinne der Verordnung – dann muss sie die Pseudonymfunktion besitzen und zertifiziert sein, und beides hat sie nicht, womit der Start europäisches Recht bricht. Oder d-you ist eben keine fertige EUDI-Wallet, sondern ein unvollständiges Vorprodukt – dann aber reißt Deutschland die europäische Frist, die bis Ende Dezember 2026 die Bereitstellung von „mindestens einer“ EUDI-Wallet verlangt, denn was per eigenem Gesetz noch keine vollwertige Wallet ist, erfüllt diese Pflicht nur dem Namen nach. Beide Türen führen in den Konflikt mit dem EU-Recht; die eine über die fehlende Schutzfunktion, die andere über die verpasste Frist. Deutschland wählt erkennbar die zweite Tür, und es hat sich den Schlüssel dazu selbst geschrieben: Paragraf 1 Absatz 3 des deutschen Umsetzungsgesetzes erklärt die Regeln ausdrücklich auch auf ein Identifizierungsmittel für anwendbar, dem der volle Funktionsumfang einer Wallet fehlt. Dieser Paragraf macht den unfertigen Start national zulässig – er heilt den europäischen Widerspruch nicht, er verschiebt ihn nur von der einen Pflicht auf die andere. Es ist eine juristische Trickserei, und sie wirft die Frage auf, die der ganze Start aufwirft: Warum muss ein Produkt, das weder das eine noch das andere sauber ist, ausgerechnet jetzt und unbedingt an den Markt?

Das ist kein Unfall. Das ist eine Entscheidung. Und Entscheidungen haben Gründe.

Der Bundestag hat das zugrunde liegende Gesetz am 15. Oktober 2026 verabschiedet, mit den Stimmen von CDU/CSU und SPD, gegen AfD, Grüne und Linke. Einen Tag zuvor hatte der Digitalausschuss den Regierungsentwurf noch geändert. Die App selbst, nach monatelangem Namensstreit schließlich „d-you“ getauft, soll mit rund vierzig Partnern aus Wirtschaft, Wissenschaft und Verwaltung an den Start gehen, die eigene Anwendungen bereitstellen. Die Kosten beziffert die Bundesregierung für die Wirtschaft auf einmalig 13,5 Millionen Euro und laufend 1,1 Millionen Euro im Jahr, während die Verwaltung um 121,7 Millionen Euro jährlich entlastet werden soll. Das Gesamtbudget des Projekts über die Jahre 2023 bis 2028 liegt bei rund 214 Millionen Euro. Es ist, in Zahlen wie in Anspruch, kein Nebenprojekt.

Die Frage, die diesen Text trägt, ist nicht, ob die Wallet bequem ist. Sie wird bequem sein. Die Frage ist eine andere, und sie ist technischer Natur, nicht moralischer: Kann eine Identitätsinfrastruktur den Missbrauch durch eine künftige Regierung technisch verhindern – oder verlässt sie sich darauf, dass künftige Regierungen ihn unterlassen? Wer ein Werkzeug baut, entscheidet nicht über seinen Gebrauch. Er entscheidet nur, wozu es fähig ist. Was dieses Werkzeug kann, lässt sich den Gesetzestexten entnehmen, die der Bundestag beschlossen hat. Es steht alles da. Man muss es nur lesen.

Die Zwickmühle

Beginnen wir mit dem Widerspruch, der den ganzen Start begleitet. Die europäische Verordnung, auf die sich Deutschland beruft – die Verordnung (EU) 2024/1183, gemeinhin eIDAS 2.0 -, schreibt den Mitgliedstaaten nicht nur vor, eine digitale Brieftasche bereitzustellen. Sie schreibt vor, wie diese Brieftasche beschaffen sein muss. In Artikel 5a Absatz 4 Buchstabe b verlangt sie ausdrücklich, dass die Wallet dem Nutzer das „Generieren von Pseudonymen und deren verschlüsselte und lokale Speicherung“ ermöglicht. Die Pseudonymfunktion ist keine Kür. Sie ist die Vorschrift. Sie ist der Mechanismus, der verhindern soll, dass jeder Behördengang, jeder Login, jeder Altersnachweis unter dem echten Namen zusammenläuft und sich zu einem Bewegungsprofil fügt.

Warum diese eine Funktion so viel Gewicht trägt, versteht man, wenn man sich die Architektur der Wallet ansieht. Sie ist kein zentraler Datentopf, in dem alles über alle an einer Stelle liegt – dieses Bild wäre falsch, und die Befürworter weisen es zu Recht zurück. Das Modell ist dezentral: Die Daten liegen auf dem Gerät des Nutzers. Die Gefahr liegt nicht in einer großen Datenbank, sie liegt in der Verknüpfbarkeit. Jeder Vorgang, bei dem man sich unter Klarnamen ausweist, hinterlässt eine Spur, und Spuren unter demselben Namen lassen sich zusammenführen. Das Pseudonym ist genau der Mechanismus, der diese Zusammenführung durchschneiden soll: Es erlaubt, sich auszuweisen, ohne jedes Mal den vollen Namen mitzuliefern, und macht so aus einer durchgehenden Spur eine Reihe getrennter. Fehlt es, bleibt nur der Klarname. Und der verbindet.

Genau diese Funktion fehlt der d-you-Wallet zum Start.

Daneben steht eine zweite Vorschrift. Artikel 5c der Verordnung verlangt, dass die Wallet zertifiziert wird – und zwar auf Konformität mit genau den Anforderungen, die Artikel 5a aufstellt. Keine Pseudonymfunktion, keine Konformität. Keine Konformität, keine Zertifizierung. Das ist keine juristische Spitzfindigkeit, das ist die schlichte Mechanik der Verordnung: Was die Anforderungen nicht erfüllt, kann nicht zertifiziert werden, was nicht zertifiziert ist, ist keine EUDI-Wallet im Sinne des Gesetzes.

Deutschland kennt diese Klemme. Es hat sie nicht übersehen, es hat sie einkalkuliert. Der Ausweg steht im deutschen Gesetz selbst, im Gesetz über die Europäische Brieftasche für die Digitale Identität, kurz EBDIG, das den Kern des Digitale-Identitäten-Gesetzes bildet. Dessen Paragraf 1 Absatz 3 erklärt die Vorschriften des Gesetzes ausdrücklich auch für ein elektronisches Identifizierungsmittel für anwendbar, dem der volle Funktionsumfang einer Wallet fehlt. Die Gesetzesbegründung sagt offen, warum: Damit die Vorschriften „nicht umgangen“ werden, wenn der volle Funktionsumfang „noch nicht“ abgebildet ist. Voraussetzung ist allein, dass die Identifizierungsfunktion besteht. Mit anderen Worten: Das Gesetz baut die unvollständige Wallet als Regelfall ein. Es ist darauf ausgelegt, dass gestartet wird, bevor das Produkt fertig ist.

Wie bewusst dieser Zustand ist, lässt sich nicht an Kritikern ablesen, sondern an der Mehrheit, die das Gesetz beschlossen hat. In einer Entschließung, die CDU/CSU und SPD gemeinsam durch den Digitalausschuss brachten, heißt es über die fehlende Pseudonymfunktion wörtlich, sie sei „zwingend, um die Übereinstimmung mit dem unmittelbar verbindlichen Unionsrecht herzustellen“. Die Koalition schreibt also selbst in ein amtliches Dokument, dass die Funktion zwingend ist, dass sie der Übereinstimmung mit bindendem EU-Recht dient – und beschließt im selben Atemzug den Start ohne sie. Die Bundesregierung soll sie, so die Entschließung, „wenn nicht zum Start, so doch zeitnah“ nachliefern. Zeitnah ist kein Datum. Es ist ein Versprechen.

Dazu kommt eine zweite Lücke, die das europäische Recht selbst gelassen hat, und sie erklärt einiges über die Richtung des Ganzen. Der sogenannte Zero-Knowledge-Proof – ein kryptografisches Verfahren, mit dem sich etwas beweisen lässt, ohne die zugrunde liegenden Daten preiszugeben, etwa die Volljährigkeit, ohne das Geburtsdatum zu zeigen – gilt vielen als die eigentliche Schutztechnik einer datensparsamen Identität. In der Verordnung steht er nur in den Erwägungsgründen, nicht im verfügenden Teil. Er ist damit kein zwingendes Recht, sondern eine Empfehlung. Was die Daten wirklich schützen würde, ist Kür; was sie erfassbar macht, ist Pflicht. Man kann diese Gewichtung für einen Zufall halten. Man kann sie auch für eine Aussage halten.

Hier lohnt der Blick dessen, der so etwas von Berufs wegen prüft. Eine Zertifizierung nach dem IT-Grundschutz des BSI funktioniert anders als eine Zertifizierung nach der Norm ISO 27001. Bei ISO 27001 lässt sich mit einem Auditor über den Reifegrad reden; wo eine Maßnahme noch nicht steht, aber nachweislich geplant und begonnen ist, kann der erklärte Umsetzungswille in die Bewertung einfließen – der gute Wille zählt, in Grenzen. Beim BSI-Grundschutz gilt das nicht. Fehlt eine geforderte Voraussetzung, bricht die Prüfung an dieser Stelle ab. Es gibt kein „ist in Arbeit“. Es gibt erfüllt oder nicht erfüllt. Wer je auf der anderen Seite eines solchen Audits gesessen hat, weiß, dass sich daran nicht rütteln lässt: Die Voraussetzung ist da, oder sie ist es nicht.

Ein Produkt, das die sensibelsten Daten eines Menschen bündeln soll – Ausweis, Führerschein, perspektivisch Gesundheits- und Zahlungsnachweise -, geht also in einem Zustand produktiv, in dem die zuständige nationale Sicherheitsbehörde es nach ihren eigenen Maßstäben nicht durchwinken würde. Dass dieselbe Behörde, das BSI, zugleich als nationale Aufsichts- und Zertifizierungsstelle für eben diese Wallet vorgesehen ist, verschärft den Widerspruch nur. Man muss diese Lücke nicht dramatisieren. Man muss nur die Frage stellen, die sich jedem Sicherheitsverantwortlichen stellt: Wie belastbar ist ein zentraler Identitätsspeicher, der die eigene Sicherheitsprüfung noch nicht bestanden hat, gegen den Tag, an dem jemand versucht, ihn zu leeren? Das ist keine theoretische Frage. Deutsche Verwaltungsnetze sind in den vergangenen Monaten in einem Ausmaß ausgeräumt worden, das die Antwort unbequem macht – doch das gehört in den zweiten Teil, dorthin, wo es um die Architektur geht.

Der Paragraf, der das Gesetz beugen darf

Es gibt in diesem Gesetz einen Paragrafen, der weiter reicht als alle anderen, und er hat in der öffentlichen Debatte kaum Beachtung gefunden. Es ist Paragraf 23 EBDIG, überschrieben mit „Experimentierklausel; Evaluierung“. Sein erster Absatz formuliert den Zweck in einer Klarheit, die man zweimal lesen sollte: Die Vorschrift dient „der Erprobung von Abweichungen von diesem Gesetz“. Ein Gesetz, das die Abweichung von sich selbst gleich mitbeschließt.

Die entscheidende Verschiebung steckt darin, wer über diese Abweichungen entscheidet. Nicht der Bundestag, der das Gesetz gemacht hat. Sondern das Bundesministerium für Digitales und Staatsmodernisierung, nach „pflichtgemäßem Ermessen“, wirksam durch eine Bekanntgabe im Bundesanzeiger. Das Ministerium muss für eine zugelassene Abweichung kein Änderungsgesetz durch das Parlament bringen. Es nutzt den Spielraum, den das Parlament ihm vorab eingeräumt hat. Der Bundestag hat sich, genauer gesagt sein Digitalausschuss, ein Mitspracherecht gesichert: Er wird vor der Bekanntgabe unterrichtet und erhält mindestens zwei Sitzungswochen zur Stellungnahme. Eine Stellungnahme ist keine Zustimmung. Das Ministerium muss sie zur Kenntnis nehmen, nicht befolgen.

Was erprobt werden darf, steht in einem Katalog von elf Punkten, und mehrere davon wiegen schwer. Punkt 2 erlaubt die Automatisierung von Entscheidungen über die Gültigkeit oder Wirksamkeit einer Wallet, ausdrücklich „einschließlich KI“. Punkt 3 erlaubt automatisierte Entscheidungen über die Personenidentifizierungsdaten selbst. Punkt 4 öffnet neue Formen der Zusammenarbeit zwischen Pass-, Ausweis-, Melde- und Wallet-Behörden, einschließlich gemeinsamer Sperrverfahren. Punkt 8 erlaubt die Verbindung bisher getrennter Prozesse und Verwaltungsverfahren. Der Katalog nennt biometrische Verfahren als zulässigen Erprobungsbereich. Und sein zehnter Punkt erlaubt die Ausgabe von Personenidentifizierungsdaten an Minderjährige ab einem Alter von dreizehn Jahren sowie die Übertragung der Identitätsprüfung an „geeignete private Dritte“. Für ein soziales Netzwerk gilt ein Dreizehnjähriger als zu jung; für die behördliche Ausgabe seiner digitalen Identität offenbar nicht.

Es lohnt, kurz innezuhalten, was das in der Summe bedeutet. Das Gesetz schafft einen Rechtsraum, in dem eine Software automatisiert, notfalls mit künstlicher Intelligenz, darüber entscheiden darf, ob die digitale Identität eines Menschen in diesem Moment gilt oder nicht; in dem bislang getrennte Register und Verfahren verknüpft werden dürfen; in dem biometrische Verfahren erprobt werden dürfen; und in dem die Identitätsprüfung an private Unternehmen übergehen kann – die Gesetzesbegründung nennt beispielhaft Banken, Postdienste und Apotheken. Wer an dieser Stelle fragt, welche privaten Stellen weltweit am meisten Erfahrung mit dem Sammeln und Verwerten von Identitätsdaten haben, beantwortet sich die Frage nach den naheliegenden Kandidaten selbst.

Wer wissen will, was das praktisch heißt, muss nicht spekulieren, er kann nach China schauen. In der Provinz Henan setzten die Behörden im Juni 2022 die Gesundheits-Codes von Bankkunden auf Rot – Menschen, die ihre eingefrorenen Ersparnisse zurückforderten und protestieren wollten. Ein roter Code bedeutete in Chinas Pandemie-System: kein Zutritt zu öffentlichen Orten, kein Zug, kein Bus. Betroffene berichteten der Nachrichtenagentur AP, ihr Code sei nach einem Polizeikontakt auf Rot gesprungen, obwohl ein negativer Test vorlag. Ein Mann, dessen Code am Bahnhof Zhengzhou rot wurde, kam in Polizeigewahrsam; Stunden nachdem man ihn aus der Stadt gebracht hatte, war der Code wieder grün. Mit einer Infektion hatte das nichts zu tun. Es hatte mit Steuerung zu tun. Das ist der Unterschied zwischen einem System, das Zugang gewährt, und einem, das Zugang entscheidet.

Nun sieht Paragraf 23 bei automatisierten Entscheidungen ein Recht auf Überprüfung vor, und die Datenschutz-Grundverordnung gilt weiter. Das ist das faire Gegenargument, und es gehört hierher. Nur greift es an der falschen Stelle. Eine nachträgliche Überprüfung hilft dem Bürger nicht in dem Moment, in dem er die Identität braucht und sie versagt – am Schalter, an der Grenze, vor dem verschlossenen Verwaltungsportal. Wer je versucht hat, eine automatisierte Fehlentscheidung zu korrigieren und keinen Menschen erreichte, der sie ansehen konnte, kennt die Hilflosigkeit, die dahinter liegt. Das Recht, später widersprechen zu dürfen, ersetzt nicht die Identität, die jetzt funktioniert.

Dass dieser Paragraf nicht nur den Kritikern außerhalb des Parlaments Sorgen macht, zeigt das Protokoll der Beratungen. Die Linksfraktion beantragte, Paragraf 23 ersatzlos zu streichen. Ihre Begründung zielte auf die Gewaltenteilung: Die Klausel erlaube der Exekutive, über Jahre von Parlamentsgesetzen abzuweichen, ohne dass die betroffenen Normen überhaupt einzeln benannt seien. Der Antrag wurde abgelehnt – und die Zusammensetzung dieser Ablehnung ist bemerkenswert. Gegen die Streichung stimmten CDU/CSU, SPD und die AfD gemeinsam; die Grünen enthielten sich. In der Frage, ob ein Ministerium einen gesetzlich verbrieften Freibrief zur Abweichung von Parlamentsgesetzen erhalten soll, fand die Regierungskoalition die Stimmen der AfD an ihrer Seite.

Besonders aufschlussreich ist ein Detail der Kontrolle, das die Opposition eigens benannte: Der Bundesrat erhält über Paragraf 23 kein allgemeines Zustimmungserfordernis für die einzelnen Erprobungsentscheidungen – obwohl das Gesetz an anderer Stelle, bei regulären Rechtsverordnungen, die Zustimmung des Bundesrats ausdrücklich verlangt. Die Linksfraktion wies darauf hin, dass das Ministerium damit womöglich auch von Regelungen abweichen könne, für deren ursprünglichen Erlass die Länderkammer hätte zustimmen müssen. Die Abweichung unterläuft also eine Kontrolle, die für den Normalfall vorgesehen ist. Wer sich ein solches Instrument schafft, schafft es nicht, um es im Schrank zu lassen.

Immerhin eine Grenze hat das Parlament eingezogen. Im ursprünglichen Regierungsentwurf vom 29. Juli war die wiederholte Verlängerung solcher Erprobungen vorgesehen, ohne ausdrückliche Begrenzung ihrer Zahl. In der am 14. Oktober geänderten, beschlossenen Fassung ist nur noch eine einzige erneute Befristung zulässig – aus zwei Jahren werden damit höchstens vier. Das ist die Entwarnung, und sie ist echt. Nur reicht sie genau so weit, wie das Gesetz unverändert bleibt. Eine Verlängerungsoption ist bereits eingebaut; eine zweite wäre nur eine Gesetzesänderung entfernt. Wer heute garantieren wollte, dass aus den vier Jahren nicht sechs oder acht werden, müsste für den Willen aller künftigen Mehrheiten bürgen. Diese Garantie kann niemand geben. Ein Werkzeug, das sich im Erprobungsbetrieb als nützlich erweist, legt keine Regierung freiwillig aus der Hand; sie ändert eher das Gesetz, das ihr im Weg steht. Das ist keine Unterstellung, das ist die nüchterne Erfahrung mit befristeten Befugnissen – man erinnere sich, wie viele der als Ausnahme gedachten Sonderregelungen der Pandemiejahre bis heute in Kraft sind.

Freiwillig, bis auf Weiteres

Es gibt ein Wort, das über diesem ganzen Vorhaben steht wie eine Beruhigung, und es steht sogar im Gesetz. Artikel 5a Absatz 15 der europäischen Verordnung formuliert es unmissverständlich: „Die Nutzung von europäischen Brieftaschen für die Digitale Identität ist freiwillig.“ Wer sie nicht nutzt, darf im Zugang zu öffentlichen und privaten Diensten „in keiner Weise eingeschränkt oder benachteiligt werden“. Andere Identifizierungsmittel müssen verfügbar bleiben. Das ist die Zusage. Die Frage ist nicht, ob sie heute gilt. Die Frage ist, wie lange sie gilt und was sie wert ist, wenn sich die Lage ändert.

Freiwilligkeit steht in einem Gesetz, und Gesetze lassen sich ändern. Wie leicht und über welche Wege, hat sich in jüngerer Zeit mehr als einmal besichtigen lassen – es braucht nicht einmal eine Mehrheit, die offen gegen den Bürger stimmt, es genügt der passend gewählte Zeitpunkt und die ausgenutzte Verfahrensregel. Niemand kann zusichern, dass die Freiwilligkeit die nächste Legislaturperiode überdauert. Sie hängt nicht an der Technik, sie hängt am politischen Willen, und der wechselt mit jeder Wahl. Eine Regierung mit anderen Absichten müsste die Wallet nicht einmal verbieten lassen oder erzwingen; sie müsste nur den einen Satz streichen, der heute „freiwillig“ sagt.

Doch die Freiwilligkeit kann auch vollständig im Gesetz stehen bleiben und trotzdem verschwinden. Das ist der feinere, der wahrscheinlichere Weg, und er läuft über die Akzeptanz. Artikel 5f der Verordnung verpflichtet private Stellen, die Wallet zu akzeptieren, wenn sie aufgrund von Gesetz, Vertrag oder Aufsichtsrecht ohnehin eine starke Authentifizierung ihrer Nutzer verlangen. Die Verordnung zählt die betroffenen Bereiche selbst auf, und die Liste liest sich wie ein Querschnitt des täglichen Lebens: Verkehr, Energie, Bankwesen, Finanzdienstleistungen, Sozialversicherung, Gesundheit, Trinkwasser, Postdienste, digitale Infrastruktur, Bildung, Telekommunikation. Spätestens sechsunddreißig Monate nach Inkrafttreten der Durchführungsrechtsakte greift diese Akzeptanzpflicht, Ende 2027 also. Auch sehr große Online-Plattformen müssen die Wallet dann als Anmeldeweg anbieten.

Man stelle sich den Flughafen vor. Heute weist man sich mit dem Reisepass aus Papier aus, und die Fluggesellschaft muss ihn nehmen. Entsteht nun eine Pflicht, die digitale Wallet zu akzeptieren – gilt dann weiterhin eine spiegelbildliche Pflicht, auch den Papierausweis anzunehmen? Oder entdeckt der Betrieb, dass das Digitale schneller, billiger, bequemer ist, und lässt den analogen Weg verkümmern, bis er nur noch auf dem Papier existiert? Man kann sich die beiden Schalterreihen leicht ausmalen: neun Spuren, an denen die Wallet in Sekunden durchwinkt, und eine zehnte, an der mit Papier hantiert, wer meint, darauf bestehen zu müssen, mit der Wartezeit, die das mit sich bringt. Niemand hat die Wahl abgeschafft. Man hat sie nur so teuer gemacht, dass kaum jemand sie noch trifft. Die Verordnung fordert zwar, dass andere Mittel verfügbar bleiben, und Artikel 5a Absatz 15 untersagt die Benachteiligung dessen, der die Wallet meidet – das ist das Gegenargument, und es ist ernst zu nehmen. Nur entscheidet sich die Freiwilligkeit nicht am Wortlaut der Verordnung, sondern an der Praxis dahinter. Und die Praxis kennt die ausgehöhlte Freiwilligkeit bereits.

Man muss dafür nur über die Grenze nach Österreich blicken, wo die staatliche eID, die ID Austria, dieselbe Zusage trägt: freiwillig. In parlamentarischen Anfragen ist dokumentiert, dass Landwirte unter Druck geraten, die ID Austria zu nutzen, wenn sie in den Genuss von Förderungen kommen wollen. Und im Frühjahr 2025 verband das Schulverwaltungssystem Sokrates den Zugang mit einer Mehrfaktor-Anmeldung per ID Austria; seither müssen Bundeslehrer ihre Noten über diesen Weg eintragen. Eine Wiener Lehrerin, die sich weigerte, die ID Austria zu nutzen, erhielt die dienstliche Weisung, ihre Noten über eben dieses System einzutragen. Sie verweigerte weiter, und wurde fristlos entlassen.

Man soll diesen Fall fair erzählen: Sie hat eine dienstliche Weisung missachtet, das ist der Vorwurf, auf den sich die Entlassung stützt. Die ehrliche Frage lautet nur, was diese Weisung verlangte. Sie verlangte, das zu benutzen, dessen Nutzung laut Gesetz freiwillig ist. Als Ausweg nannte das zuständige Ministerium zwei Alternativen – Anmeldungen über private Anbieter wie Microsoft oder Google, oder einen FIDO2-Sicherheitsschlüssel. Nur setzt auch der FIDO2-Weg die ID Austria voraus, und die beiden anderen bedeuten, die Identitätsdaten von Lehrkräften und Schülern an amerikanische Konzerne zu geben. Die Gewerkschaft nennt das, was hier wirkt, mit dem einzig zutreffenden Wort: einen „indirekten Zwang“. Niemand muss die ID Austria besitzen – aber wer seine Dienstpflicht nur noch über sie erfüllen kann, hat keine Wahl mehr, sondern eine Weisung. Die Freiwilligkeit wird nicht abgeschafft. Sie wird so lange ausgehöhlt, bis von ihr nur die Vokabel übrig ist. Laut einer parlamentarischen Anfrage erklärte ein Regierungsvertreter noch im Juni 2025 öffentlich, bis 2029 werde es keinen Nutzungszwang für die ID Austria geben – während zur selben Zeit bereits ein Mensch wegen ihrer Verweigerung die Stelle verlor.

Deutschland kennt diesen Mechanismus bereits, und zwar an einer Stelle, an der es um mehr geht als um Subventionen und Noten – es geht um den eigenen Körper. Seit dem 18. März 2024 gibt es das Organspende-Register. Wer dort eine Erklärung hinterlegen will – Zustimmung oder, und darauf kommt es an, Widerspruch -, kann das ausschließlich nach elektronischer Identifizierung tun: entweder über die Online-Ausweisfunktion des Personalausweises samt sechsstelliger PIN, NFC-fähigem Smartphone und der amtlichen Ausweis-App, oder über die GesundheitsID der Krankenkasse. Einen Weg, sich auf Papier ins Register einzutragen oder dort zu widersprechen, sieht das Verfahren nicht vor; der Organspendeausweis aus Papier ist ein anderes, rechtlich schwächeres Dokument und ersetzt den Registereintrag nicht. Das Mindestalter für die Nutzung liegt bei sechzehn Jahren.

Das heißt: Wer die digitale Identifizierung aus Überzeugung meidet, kann seinen eigenen Willen in der dafür geschaffenen zentralen staatlichen Stelle nicht festhalten. Die Teilnahme ist freiwillig. Nur führt die Tür zur Ausübung des Rechts allein durch das System, das man nicht nutzen wollte. Das wiegt deshalb schwerer als der Fall der Landwirte oder der Lehrerin, weil es hier nicht um eine Förderung oder einen Arbeitsplatz geht, sondern um die höchstpersönliche Entscheidung, was nach dem Tod mit dem eigenen Körper geschehen soll. Wer sie treffen und amtlich festhalten will, muss die digitale Identität benutzen. Es ist dasselbe Muster, nur näher an der Haut: Das Digitale ist nicht verpflichtend. Es ist nur der einzige Weg.

Das ist die Mechanik, um die es geht, und sie lässt sich in einem Satz zusammenfassen. Freiwilligkeit, die an einem einzigen Gesetzesparagrafen, an einer Verfahrensumstellung oder an der stillen Abschaffung des analogen Alternativwegs hängt, ist keine Eigenschaft des Systems. Sie ist eine Einstellung, die sich ändern lässt. Die entscheidende Frage ist deshalb nicht, ob die Wallet heute freiwillig ist – das ist sie. Die Frage ist, was den Staat morgen daran hindert, aus dem Angebot eine Bedingung zu machen. Nach allem, was die dokumentierten Präzedenzfälle zeigen, lautet die ehrliche Antwort: nichts außer seinem eigenen Willen.

Wozu die Eile?

Fügt man das zusammen, steht ein eigentümliches Bild da. Ein Produkt, dem die zwingende Schutzfunktion fehlt. Eine Sicherheitsprüfung, die es nicht bestünde. Eine Experimentierklausel, die der Exekutive für vier Jahre erlaubt, von Parlamentsgesetzen abzuweichen und über die Gültigkeit der Identität automatisiert zu entscheiden. Und eine Freiwilligkeit, die nur so lange hält, wie der politische Wille sie trägt. Keine dieser Eigenschaften ist ein Versehen. Jede steht so im Gesetz, weil jemand sie so wollte.

Bleibt die Frage, die all das überspannt und die dieser erste Teil bewusst offen lässt: Warum zieht ein Staat so etwas durch – verspätet, denn die europäische Frist lief im Dezember 2026, rechtlich unfertig, gegen die Warnungen der eigenen Datenschützer und Sachverständigen -, und warum ausgerechnet jetzt, am 2. Januar? Wer einen Konstruktionsfehler dieser Größe in Kauf nimmt, hat dafür einen Grund, der schwerer wiegt als der Fehler. Dieser Grund steht nicht in der d-you-App. Er steht in dem, was auf ihr aufsetzen soll.

Davon handelt der zweite Teil.

Über den Autor

Michael Hollister war sechs Jahre Bundeswehrsoldat (SFOR, KFOR) und blickt hinter die Kulissen militärischer Strategien. Nach 14 Jahren im IT-Security-Bereich analysiert er primärquellenbasiert europäische Militarisierung, westliche Interventionspolitik und geopolitische Machtverschiebungen. Ein Schwerpunkt seiner Arbeit liegt auf dem asiatischen Raum, insbesondere Südostasien, wo er strategische Abhängigkeiten, Einflusszonen und Sicherheitsarchitekturen untersucht. Hollister verbindet operative Innensicht mit kompromissloser Systemkritik – jenseits des Meinungsjournalismus. Seine Arbeiten erscheinen zweisprachig auf www.michael-hollister.com sowie in kritischen Medien im deutsch- und englischsprachigen Raum.

Kriege, Bündnisse, Interessen und Machtpolitik – fundiert recherchiert und ohne vorgefertigte politische Schablonen eingeordnet.

Quellen

EU-Rechtsrahmen

Deutsches Gesetz (DIdG / EBDIG)

Zertifizierung / BSI

Österreich / ID Austria

Organspende-Register

China / Gesundheits-Code

© Michael Hollister – Weiterveröffentlichung ausdrücklich erwünscht.
Ich freue mich, wenn meine Artikel, Beiträge und Analysen auf Interesse stoßen und weiterverbreitet werden. Die vollständige oder auszugsweise Übernahme, Weitergabe und Veröffentlichung meiner Texte auf anderen Websites, Blogs oder in sonstigen Publikationen ist ausdrücklich gestattet und erwünscht. Eine vorherige Genehmigung ist nicht erforderlich.
Einzige Voraussetzung: Michael Hollister muss als Autor namentlich und deutlich erkennbar genannt werden. Zusätzlich ist ein gut sichtbarer, anklickbarer Link zur Originalwebsite www.michael-hollister.com zu setzen.

Ohne Autorennennung und Verlinkung ist eine Weiterverwendung nicht gestattet.

Wenn Ihnen diese Analysen helfen, hinter die Schlagzeilen zu schauen, unterstützen Sie meine Arbeit. Eine Fördermitgliedschaft kostet ab 4 Euro im Monat, öffnet sämtliche geschützten Beiträge und ist jederzeit kündbar.

PDF 📄

Mehr zu diesem Thema