Ist d-you sicher? Datenschutz und Kritik

d-you ist so gebaut, dass Ihre Daten verschlüsselt nur auf Ihrem Smartphone liegen und Sie jede Weitergabe selbst bestätigen. Gegenüber dem Kopieren oder Fotografieren des Ausweises ist das ein echter Fortschritt, denn signierte digitale Nachweise lassen sich auf Echtheit prüfen. Gleichzeitig kritisieren Datenschützer, Verbraucherschützer und Sicherheitsforscher mehrere Punkte der deutschen Umsetzung – vor allem die fehlende pseudonyme Nutzung zum Start und zu wenig Kontrolle der Unternehmen, die Daten abfragen. Hier beide Seiten.

Wie d-you Ihre Daten schützen soll

Nach Angaben der offiziellen FAQ (Stand 12.10.2026):

• Lokale Speicherung: Ihre Nachweise und Ausweisdaten liegen ausschließlich lokal und verschlüsselt auf Ihrem Gerät, nicht in einer zentralen Datenbank.
• Keine zentrale Nachverfolgung: Daten fließen direkt zwischen Ihrer Wallet und dem anfragenden Unternehmen. Laut FAQ ist die Architektur „bewusst so gestaltet, dass keine zentrale Stelle die Nutzung der Wallet nachvollziehen kann“. Auch wer einen Nachweis ausgestellt hat, erfährt nicht, wo Sie ihn nutzen.
• Nur nötige Daten: Sie können Teile eines Nachweises einzeln freigeben, zum Beispiel nur „über 18“ statt des Geburtsdatums. Diese selektive Offenlegung schreibt die eIDAS-Verordnung vor (Art. 5a Abs. 4 Buchst. a).
• Registrierte Abfragen: Unternehmen müssen sich registrieren und angeben, welche Daten sie wofür abfragen; andere Daten dürfen sie nicht verlangen (Art. 5b Abs. 3). Die Registerangaben werden öffentlich zugänglich gemacht (Art. 5b Abs. 5). Laut FAQ prüft die Wallet bei jeder Anfrage, ob nur registrierte Daten abgefragt werden.
• Protokoll: Alle Anfragen, auch abgelehnte, werden in Ihrer Wallet dokumentiert – nur lokal, nicht beim Anbieter.
• Schutz bei Verlust: Wallet-PIN und Gerätesperre schützen die Daten; die Wallet lässt sich aus der Ferne sperren.
• Offener Quellcode: Das BMDS kündigt an, den Quellcode zu veröffentlichen; die eIDAS-Verordnung verlangt eine Open-Source-Lizenz für die App-Komponenten (Art. 5a Abs. 3). Laut heise haben die Entwickler den Code der Apps und des Backends bereits veröffentlicht, den einer Sicherheitskomponente (RASP) aber nicht. Das BSI nennt es in seiner schriftlichen Stellungnahme zur Anhörung einen „notwendigen Schritt“, den Quellcode öffentlich zugänglich zu machen, „um unabhängige Prüfungen zu ermöglichen und Vertrauen in die Architektur zu schaffen“. Vor dem Start soll laut FAQ ein Bug-Bounty-Programm beginnen.

Die zentrale Schlüsselverwaltung

Die kryptografischen Schlüssel, mit denen Sie jede Freigabe bestätigen, liegen bei d-you nicht in einem Sicherheitschip im Smartphone, sondern in Hardware-Sicherheitsmodulen beim Wallet-Anbieter. Der Anbieter kann laut FAQ weder auf die Schlüssel noch auf Ihre Daten zugreifen. Der Vorteil: Mehr Smartphones sind kompatibel. Als Grund nannte Torsten Lodderstedt, einer der Geschäftsführer der d-you-Betreibergesellschaft Common Codes, dass die Endgeräte selbst nicht sicher genug seien; das sehe auch das BSI so (heise, 6.10.2026).

Bianca Kastl vom Innovationsverbund Öffentliche Gesundheit hält die Architektur dagegen für stark zentralisiert. Sie kritisierte außerdem, dass das Bug-Bounty-Programm an das noch nicht veröffentlichte Produkt gebunden sei, und sah beim Quellcode „sehr, sehr viel Luft nach oben“ (heise).

Was Fachleute kritisieren

Bei der Anhörung im Digitalausschuss des Bundestags am 6. Oktober 2026 kamen laut Bundestag und heise unter anderem diese Punkte zur Sprache:

• Keine pseudonyme Nutzung zum Start: Andreas Hartl, leitender Beamter beim Bundesdatenschutzbeauftragten, nannte das Fehlen „aus Datenschutzsicht misslich“. Die eIDAS-Verordnung verlangt, dass Wallets Pseudonyme erzeugen können (Art. 5a Abs. 4 Buchst. b); laut offizieller FAQ soll Pseudonymisierung nach dem Start schrittweise folgen. Lodderstedt argumentierte, ein Nachweis wie „ist über 16“ sei bereits pseudonym.
• Wenig Kontrolle der Datenabfragen: Thomas Lohninger (epicenter.works) verwies laut heise darauf, dass Diensteanbieter in anderen EU-Staaten ihre Nutzungsszenarien vorab einer Zulassungsbehörde darlegen müssen. Bianca Kastl vermisste Schutzmaßnahmen bei der Registrierung und warnte vor einem „Cookie-Banner 2.0“-Szenario, wenn die Zwecke der Abfragen nicht plausibel geprüft werden (Bundestag).
• Signierte Daten: Anders als beim Online-Ausweis erhalten Unternehmen staatlich signierte Daten, die auch nach der Übermittlung als echt erkennbar bleiben. Laut netzpolitik.org warnen Datenschützer, Sicherheitsforscher und zivilgesellschaftliche Organisationen, dass das Datenhandel und Identitätsdiebstahl erleichtern kann. Die offizielle FAQ verweist dagegen auf den Schutz durch „Holder Binding“: Eine Präsentation soll nicht von Dritten wiederverwendet werden können.
• Kompromittierte Smartphones: Jiska Classen (Universität Potsdam) wies darauf hin, dass große Teile der Sicherheitsarchitektur noch nicht öffentlich sind und viele Geräte keine Updates mehr bekommen. Wer ein fremdes Handy kontrolliert, könnte sich im Namen des Opfers ausweisen. Sie forderte eine klare Haftungsregelung und eine einfache Sperrung.
• Profilbildung: Lina Ehrig vom Verbraucherzentrale Bundesverband (vzbv) warnte, dass Nutzungsvorgänge verknüpft und sehr detaillierte Profile gebildet werden könnten. Solange es keine pseudonyme Nutzung gibt, sollten die Ausweisdaten nur dort abgefragt werden dürfen, wo eine Identifizierung rechtlich vorgeschrieben ist.
• Lichtbild: Der Gesetzentwurf erlaubt, das biometrische Lichtbild aus dem Ausweis-Chip für die digitalen Ausweisdaten auszulesen, zu signieren und zu übermitteln (§ 20 Abs. 1 des Regierungsentwurfs). Der vzbv kritisiert diese standardmäßige Übernahme und fordert mindestens eine Möglichkeit zum Abwählen. Nach EU-Recht wird das Lichtbild ab 11.08.2028 ohnehin Pflichtangabe, mit Warnhinweis bei jeder Abfrage und Speicherverbot für Unternehmen; die Verordnung erlaubt den Staaten aber ein Abwählen. Details: Lichtbild in der EUDI-Wallet.

Wie ist das einzuordnen?

Die Grundarchitektur – Daten auf dem Gerät, Freigabe durch Sie, keine zentrale Nutzungsdatenbank – gilt als datenschutzfreundlich. Die Kritik richtet sich vor allem gegen Lücken bei den Regeln für Unternehmen und gegen fehlende Funktionen zum Start. Einige Punkte kann der Bundestag mit dem Digitale Identitätengesetz noch ändern; die Abstimmung ist für den 15. Oktober 2026 angesetzt. Eudigo aktualisiert diesen Artikel danach.

Worauf Sie selbst achten sollten

• Prüfen Sie jede Anfrage: Wer fragt an, welche Daten, wofür? Für einen Altersnachweis braucht niemand Ihre Adresse. Im Zweifel ablehnen.
• Smartphone aktuell halten: Sicherheitsupdates installieren, Gerätesperre nutzen, keine Apps aus unbekannten Quellen.
• PIN geheim halten: Wallet-PIN nicht notieren und nicht gleich wie die Ausweis-PIN wählen.
• Nur die offizielle App: Laden Sie d-you nur aus dem App Store oder von Google Play und folgen Sie keinen Links aus unbekannten Nachrichten.
• Verlust sofort melden: Bei Verlust des Smartphones die Wallet sperren lassen.

Mehr zu den Grundlagen: Was ist d-you? und Was ist eine vertrauende Partei?