EUDI-Wallet: BSI warnt vor mobilen Cyberrisiken

Deutschland steht kurz vor der Einführung der digitalen Brieftasche – doch Sicherheitsexperten schlagen Alarm. Der BSI-Lagebericht 2025 und eine scharfe Rüge des Bundesrechnungshofs werfen Schatten auf das Prestigeprojekt der Bundesregierung.

Es sollte der digitale Durchbruch werden: Personalausweis, Führerschein und Gesundheitsdaten gebündelt auf dem Smartphone. Doch die geplante EUDI-Wallet gerät unter Druck. Während der Bundesrechnungshof die Cloud-Lösung als unwirtschaftlich einstuft, warnt das Bundesamt für Sicherheit in der Informationstechnik vor verschärften Bedrohungen für mobile Anwendungen.

Der aktuelle BSI-Lagebericht zeichnet ein ernüchterndes Bild. Die Zahl neu entdeckter Schwachstellen ist im Vergleich zum Vorjahr um rund 24 Prozent gestiegen. Besonders alarmierend: Cyberkriminelle nutzen gezielt Lücken in Cloud-Infrastrukturen und mobilen Schnittstellen aus.

„Die Bedrohungslage ist weiterhin angespannt”, warnt BSI-Präsidentin Claudia Plattner. Die Warnung kommt zum denkbar ungünstigsten Zeitpunkt – die Architektur für die deutsche EUDI-Wallet soll bis Jahresende finalisiert werden.

Passend zum Thema mobile Sicherheit: Viele Android-Nutzer übersehen grundlegende Einstellungen, die Angreifer offene Türen bieten. Das kostenlose Sicherheitspaket erklärt die 5 wichtigsten Schutzmaßnahmen für Ihr Android-Smartphone – von der Prüfung installierter Apps über Berechtigungen bis zu sicheren Backup- und Update-Routinen. Mit Schritt-für-Schritt-Anleitungen und klaren Checklisten schützen Sie persönliche Daten sofort. Jetzt kostenloses Android-Sicherheitspaket herunterladen

Cloud-Wallet: Bequemlichkeit vor Sicherheit?

Der eigentliche Streitpunkt liegt in einer umstrittenen Architekturentscheidung. Das Bundesinnenministerium setzt auf eine Cloud-Wallet mit serverseitigem Hardware-Anker. Ziel: Die digitale Identität soll auch auf Smartphones ohne speziellen Sicherheitschip funktionieren.

Der Bundesrechnungshof zerpflückte diese Strategie als „teure Zwischenlösung” ohne nachgewiesenen wirtschaftlichen Nutzen. Das Problem aus Sicht der Experten: Der kryptografische Schlüssel liegt nicht exklusiv im geschützten Chip des Telefons, sondern wird über Cloud-Dienste verwaltet.

Die Risiken:

• Bei einer Kompromittierung des Cloud-Dienstes wären Millionen digitaler Identitäten gleichzeitig gefährdet
• Metadaten könnten entstehen, die Rückschlüsse auf Nutzungsverhalten ermöglichen
• Der Chaos Computer Club sieht darin ein potenzielles Ziel für Massenangriffe

Kann Anonymität garantiert werden?

Die EU-Verordnung fordert „Unobservability” – weder Staat noch Anbieter dürfen nachverfolgen können, wann und wo Bürger ihren digitalen Ausweis nutzen. Doch wie realistisch ist dieses Versprechen bei einer Cloud-Lösung?

Datenschutzexperten sind skeptisch. Wenn jeder Ausweisvorgang eine Serververbindung benötigt, entstehen zwangsläufig Metadaten. Das Bundesinnenministerium versichert zwar, durch Verschlüsselung keine Profile zu erstellen. Doch das Vertrauen in staatliche IT-Projekte ist nach den Pannen der Vergangenheit beschädigt.

Ein positiver Aspekt: Die Entwicklung erfolgt über OpenCoDE, das Open-Source-Repository der öffentlichen Verwaltung. Unabhängige Experten können den Quellcode auf Schwachstellen prüfen.

Deutschland hinkt hinterher

Während Österreich mit der „ID Austria” bereits voll funktionsfähige Systeme etabliert hat, kämpft Deutschland mit Verzögerungen. Der EU-Zeitplan sieht eigentlich vor, dass die Wallets bis Ende 2026 bereitstehen. Realistische Schätzungen gehen mittlerweile von Anfang 2027 aus.

Die Zeitschiene:

• Mai 2025: Nur noch digitale Passbilder für neue Ausweise zugelassen
• Ende 2025: Abschluss der Architekturkonsultationen
• 2027: Realistischer Rollout-Termin

Die Verzögerung hat auch technische Gründe: Die Integration in iOS und Android ist komplex. Deutschland muss diskriminierungsfreien Zugriff auf NFC-Schnittstellen und Sicherheitschips durchsetzen – ein Machtkampf auf EU-Ebene.

Was bedeutet das für Verbraucher?

Vorerst heißt es: Abwarten. Die derzeit verfügbare AusweisApp bleibt das einzige zertifizierte Mittel zur digitalen Identifikation. Ob die umstrittene Cloud-Lösung tatsächlich kommt oder der Expertendruck noch einen Schwenk auf reine Hardware-Sicherheit erzwingt, werden die nächsten Monate zeigen.

Ohne das Vertrauen der Sicherheitscommunity dürfte es die staatliche App schwer haben, auf den Smartphones der Bürger zu landen. Die Warnungen des BSI und die Kritik des Bundesrechnungshofs machen deutlich: Sicherheit darf nicht der Geschwindigkeit geopfert werden.

PS: Viele Smartphone-Sicherheitslücken lassen sich mit fünf einfachen Maßnahmen bereits wirkungsvoll schließen. Dieses kostenlose Sicherheitspaket erklärt leicht verständlich, welche Einstellungen Hacker fernhalten, wie Sie App-Rechte richtig setzen und welche Updates unbedingt nötig sind — ideal für Nutzer der AusweisApp oder jeder mobilen Identität. Schützen Sie Ihre digitalen Ausweise und Konten mit konkreten, sofort umsetzbaren Schritten. Android-Sicherheits-Guide jetzt anfordern