Digitale Identitätengesetz: Pseudonyme gibt es später

Von /

Der Bundestag hat am 15. Oktober 2026 das Digitale Identitätengesetz beschlossen, mit den Stimmen von CDU/CSU und SPD gegen AfD, Grüne und Linke. Damit hat die staatliche Wallet „d-you“ ihre Rechtsgrundlage, und der Start am 2. Januar 2027 steht. Beschlossen wurde außerdem eine Entschließung, in der die Koalition die Bundesregierung auffordert, die Pseudonymfunktion nachzuliefern. Dieselbe Funktion, die das EU-Recht seit 2024 zwingend vorschreibt.

Ich habe die Beschlussempfehlung des Digitalausschusses gelesen, die Stellungnahmen aus der Anhörung vom 6. Oktober und das Ergebnispapier der Unionsfraktion zur Lage in den Kommunen. Mein Eindruck: Die Koalition hat an einigen Stellen nachgebessert, und das ist mehr, als ich erwartet hatte. An den beiden Punkten, die den Sachverständigen am wichtigsten waren, hat sie das Gesetz aber unverändert gelassen und stattdessen Absichten beschlossen.

Dieser Artikel sortiert, was jetzt gilt, was geändert wurde, was nur Entschließung ist, und warum ich den Unterschied für den eigentlichen Punkt halte.

Was das Digitale Identitätengesetz regelt und was nicht

Das Gesetz, im Verfahren Drucksache 21/7408, ist ein Durchführungsgesetz. Die Funktionen der Wallet und die Rechte der Nutzer stehen nicht darin, sondern in der eIDAS-Verordnung (EU) 2024/1183, die seit dem 20. Mai 2024 unmittelbar in jedem Mitgliedstaat gilt. Das deutsche Gesetz legt fest, wer zuständig ist: wer die Wallet bereitstellt, wer die vertrauenden Beteiligten registriert, wer die Aufsicht führt. Es ändert nebenbei das Onlinezugangsgesetz, das Passgesetz und das Personalausweisgesetz.

Das ist wichtig für die Einordnung der Kritik. Vieles, was in der Anhörung gefordert wurde, kann ein nationales Gesetz nur ergänzen, nicht ersetzen. Der BfDI schreibt in seiner Stellungnahme selbst, die wesentlichen Funktionen und die Rechte der Betroffenen seien durch die eIDAS-Verordnung bereits abschließend geregelt. Umgekehrt heißt das: Was die Verordnung vorschreibt, muss Deutschland liefern, egal was im Bundesgesetz steht.

Nach Darstellung der Bundesregierung entsteht mit der Wallet erstmals ein elektronisches Identifizierungsmittel auf dem Sicherheitsniveau „hoch“ für mobile Endgeräte. Die Nutzung ist freiwillig, bestehende Verfahren wie die Online-Ausweisfunktion bleiben. Der Bundestag gibt den jährlichen Erfüllungsaufwand der Verwaltung mit einem Rückgang um rund 121,7 Millionen Euro an, so steht es im Textarchiv des Bundestages. Wie diese Zahl zustande kommt, habe ich nicht nachgerechnet.

Was die Koalition im Ausschuss geändert hat

Fairerweise zuerst das, was sich bewegt hat. Der Änderungsantrag der Koalitionsfraktionen, angenommen am 14. Oktober, enthält mehrere Punkte, die Sachverständige gefordert hatten.

Das biometrische Lichtbild wird zum Opt-out. Ein neuer Satz in § 20 Absatz 1 stellt klar, dass die Verarbeitung nicht erforderlich und damit unzulässig ist, wenn der Nutzer die Aufnahme des Lichtbilds in die Personenidentifizierungsdaten ausdrücklich ablehnt. Der Regierungsentwurf hatte das Foto noch verpflichtend vorgesehen. Die Möglichkeit gibt die Durchführungsverordnung (EU) 2026/1731 den Mitgliedstaaten frei; Deutschland nutzt sie jetzt.

Die Frist, in der Bundesbehörden elektronische Attributsbescheinigungen bereitstellen müssen, sinkt in § 16 von 24 auf zwölf Monate nach Verkündung. Die Evaluierung des Gesetzes wird nach § 24 vom dritten ins zweite Kalenderjahr vorgezogen. Bei der Vergabe der Wallet muss nach § 5 die digitale Souveränität der EU und Deutschlands angemessen berücksichtigt werden, mit Prüfung kritischer Abhängigkeiten und Exit-Strategien. Das hatte der Bundesrat gefordert.

Die Experimentierklausel in § 23 bleibt, wird aber eingehegt. Eine Erprobung darf nur noch einmal verlängert werden. Vor jeder Abweichung vom Gesetz muss das Digitalministerium den Digitalausschuss unterrichten und ihm mindestens zwei Sitzungswochen für eine Stellungnahme geben, bevor etwas im Bundesanzeiger erscheint. Landesweite Erprobungen brauchen das Einvernehmen der betroffenen Länder, nicht nur das Benehmen.

Und das Onlinezugangsgesetz bekommt in § 3 einen neuen Satz: Das zentrale Bürgerkonto des Bundes muss für Identifizierung und Authentifizierung stets gewährleistet bleiben. Wer die Wallet nicht will, behält die BundID.

Das sind reale Verbesserungen. Ich will sie nicht kleinreden, weil ich im Folgenden erkläre, warum sie mir nicht reichen.

Pseudonymfunktion: Pflicht im EU-Recht, Absicht im Bundestag

Artikel 5a Absatz 4 Buchstabe b der eIDAS-Verordnung schreibt vor, dass jede Wallet dem Nutzer das Generieren von Pseudonymen und deren verschlüsselte, lokale Speicherung ermöglichen muss. Erwägungsgrund 60 ergänzt, dass der Zugang zu Diensten unter einem Pseudonym nicht verboten sein sollte, wenn keine Vorschrift zur Identifizierung zwingt. Das ist kein Nice-to-have, das ist der Kern der Idee: Wer sich bei einem Forum anmeldet, soll nicht seinen Klarnamen mit staatlicher Signatur abliefern müssen.

d-you startet ohne diese Funktion. Das steht nicht in einem kritischen Blog, sondern in der Entschließung der Koalition selbst: Nach aktuellem Planungsstand könne die Pseudonymfunktion zum Start nicht zur Verfügung stehen. Die Regierung wird aufgefordert, sie „wenn nicht zum Start, so doch zeitnah“ bereitzustellen. Ein Datum gibt es nicht. Die Parlamentarische Staatssekretärin Gitta Connemann begründete das laut netzpolitik.org im Ausschuss damit, dass Vorgaben der EU-Kommission noch ausstehen. Markus Reichel, Berichterstatter der Union, räumte in der Debatte eine Lücke ein.

Hier liegt der Unterschied, auf den es mir ankommt. Ein Gesetz bindet. Eine Entschließung ist eine Aufforderung des Bundestages an die Regierung; sie hat politisches Gewicht und keine Rechtsfolge. Die Koalition hätte den Starttermin an die Funktion koppeln können. Sie hätte ins Gesetz schreiben können, dass die Wallet bis zur Pseudonymfunktion nur dort eingesetzt wird, wo eine Ausweispflicht besteht. Genau das hatten BfDI und epicenter.works als Übergangslösung vorgeschlagen. Stattdessen steht die Pflicht im EU-Recht, die Lücke im Planungsstand und die Lösung in einer Absichtserklärung.

Bianca Kastl vom Innovationsverbund Öffentliche Gesundheit bringt es gegenüber netzpolitik.org auf den Satz: „Pseudonyme verkommen im Gesetz zu einer Absichtserklärung“. Sie hatte in der Anhörung gefordert, den Start zu verschieben, bis die Wallet datensparsam nutzbar ist. Die Linke verlangte im Ausschuss dasselbe. Beides wurde abgelehnt.

Ich halte das Argument mit den fehlenden EU-Spezifikationen für den stärksten Punkt der Regierung, und ich komme darauf zurück. Aber es rechtfertigt nicht, mit einer Wallet zu starten, die nur Klarnamen kann, und dann die Erweiterung des Einsatzbereichs nicht an die Nachlieferung zu knüpfen. Fehlt die Spezifikation, fehlt sie. Dann muss die Wallet so lange auf die Fälle beschränkt bleiben, in denen der Klarname ohnehin Pflicht ist. Das kostet nichts außer Marketingreichweite.

Vertrauende Beteiligte: Appell statt Prüfung

Der zweite Punkt betrifft die Gegenseite. Wer Daten aus der Wallet abfragen will, ein Onlineshop, eine Bank, eine Plattform, muss sich als „vertrauender Beteiligter“ registrieren und dabei angeben, welche Daten er für welchen Zweck abrufen will. Lina Ehrig vom Verbraucherzentrale Bundesverband hatte laut Bundestags-Bericht zur Anhörung gefordert, dass eine Aufsichtsbehörde vorab prüft, ob nur das zwingend Erforderliche angefordert wird, und dass es wirksame Sanktionen gibt. Thomas Lohninger von epicenter.works verlangte ein risikobasiertes Registrierverfahren und ein öffentliches Verzeichnis, aus dem jeder ablesen kann, wer was abfragen darf.

Nichts davon steht im Gesetz. Die Begründung zur Beschlussempfehlung verweist auf Artikel 5 Absatz 1 Buchstabe c der DSGVO, also auf den Grundsatz der Datenminimierung, und stellt klar, dass dieser bereits bei der Registrierung gilt. Vertrauende Beteiligte seien „gehalten“, ihn anzuwenden. Außerdem soll das Digitalministerium Leitfäden herausgeben, welche Daten typischerweise für welche Dienste abgefragt werden können, und über Profilbildungsrisiken informieren.

Gehalten sein ist kein Prüfverfahren. Die Rechtmäßigkeit jeder Abfrage bleibt damit an zwei Stellen hängen: beim Unternehmen, das sich selbst einschätzt, und beim Nutzer, der im Moment der Abfrage entscheiden muss, ob die Bank wirklich seine Anschrift braucht. Sonja Lemke von der Linken nannte das in der Plenardebatte eine Cookie-Banner-2.0-Situation, Kastl hatte in der Anhörung denselben Vergleich gezogen. Der Unterschied zum Cookie-Banner ist allerdings, dass die Daten hier staatlich signiert sind. Was einmal weitergegeben ist, trägt ein Echtheitssiegel, das kein Widerruf entfernt.

Fairerweise: Die eIDAS-Verordnung selbst steht dieser Forderung im Weg. Erwägungsgrund 17 sagt, die Registrierung solle kosteneffizient sein, automatische Verfahren nutzen und ausdrücklich „kein Verfahren zur Vorabgenehmigung umfassen“. Wer eine Vorabprüfung jeder Abfrage verlangt, verlangt etwas, das der EU-Gesetzgeber bewusst nicht wollte. Die Regierung kann sich darauf berufen. Was sie nicht erklärt, ist, warum sie den Spielraum darunter nicht nutzt: eine Plausibilitätsprüfung der angegebenen Zwecke, ein öffentliches Register, ein Sanktionskatalog bis zum Ausschluss aus dem Ökosystem. Lohninger hat das in der Anhörung als fehlende Müllabfuhr bezeichnet. Ein Ökosystem ohne Müllabfuhr bleibt nicht lange eines, in dem man sich aufhalten möchte.

Experimentierklausel: Das Ministerium entscheidet, der Ausschuss hört zu

Die Experimentierklausel in § 23 erlaubt dem Digitalministerium, Abweichungen und Ergänzungen vom Gesetz zu erproben, befristet und mit Veröffentlichung im Bundesanzeiger. Die Linke wollte den Paragrafen komplett streichen, mit der Begründung, dass ein Ministerium damit Regelungen eines Parlamentsgesetzes aussetzen könne, was der Gewaltenteilung widerspreche. Der Antrag fiel im Ausschuss mit den Stimmen von Union, AfD und SPD.

Was bleibt, ist die Unterrichtungspflicht gegenüber dem Digitalausschuss mit zwei Sitzungswochen Frist. Das ist mehr als vorher. Es ist aber eine Anhörung, kein Vetorecht. Das Ministerium muss zuhören, nicht folgen. Lemke sagte dazu laut netzpolitik.org, die staatliche Identität sei kein Spielplatz.

Der BfDI hatte vorgeschlagen, Abweichungen mit Datenschutzbezug im Einvernehmen mit seiner Behörde und solche mit Sicherheitsbezug im Einvernehmen mit dem BSI zu treffen. Das steht nicht im Gesetzestext. Es steht in der Begründung: Vor einer Entscheidung nehme das Ministerium im Einvernehmen mit dem BSI eine Risikoabwägung vor und beteilige in Datenschutzfragen den BfDI im Einvernehmen. Begründungen sind Auslegungshilfe. Wer sich in drei Jahren auf diese Zusage berufen will, findet sie nicht im Paragrafen.

Dasselbe Muster wie bei den Pseudonymen: Die Forderung wird aufgenommen, aber eine Stufe unterhalb der Verbindlichkeit abgelegt. Ich sehe darin keine Bösartigkeit, eher eine Gewohnheit. Es ist die Gewohnheit, Kritik dadurch zu befrieden, dass man sie zitiert.

Die Gegenposition: Start der Skalierung, nicht Ende der Entwicklung

Die Befürworter haben Argumente, und ich will sie fair wiedergeben.

Torsten Lodderstedt von der SPRIND, die die Entwicklung koordiniert, sagte in der Anhörung, man müsse Nutzen und Risiken am Status quo messen, nicht an einem Idealbild, und der 2. Januar sei „der Start der Skalierung, nicht das Ende unserer Entwicklung“. Das ist nicht falsch. Die Online-Ausweisfunktion gibt es seit 2010, genutzt wird sie wenig. Eine Wallet, die erst startet, wenn alle Funktionen fertig sind, startet womöglich nie. Und die Konkurrenz heißt nicht Idealbild, sondern Login mit Google.

Zweitens die EU-Ebene. Wenn die Kommission die technischen Vorgaben für Pseudonyme noch nicht geliefert hat, kann Deutschland sie nicht normgerecht bauen. Ein nationaler Alleingang bei der Kryptografie wäre eine Insellösung, die bei der nächsten Spezifikation wieder umgebaut werden muss. Dass Connemann auf die Kommission verweist, ist also kein Ausweichen. Ich konnte den aktuellen Stand der Durchführungsrechtsakte zu Pseudonymen selbst nicht verifizieren und nehme die Aussage als das, was sie ist: die Darstellung des Ministeriums.

Drittens die Kommunen. Miriam Marnich vom Deutschen Städte- und Gemeindebund sagte in der Anhörung, die Wallet müsse zum 2. Januar 2027 im kommunalen Alltag nutzbar sein, das Gesetz schaffe dafür die Grundlage. Arno Fiedler vom Verband Sichere Digitale Identität sprach sich für eine kurzfristige Umsetzung aus und lobte ausgerechnet die Experimentierklausel. Wer Dienste anbieten will, braucht Rechtssicherheit, und die gab es vor dem 15. Oktober nicht.

Das alles erklärt, warum man startet. Es erklärt nicht, warum man den Einsatzbereich nicht an die Fertigstellung koppelt. Lodderstedts Skalierung und Kastls Übergangsbeschränkung schließen sich nicht aus. Man hätte beides haben können.

Kommunen: 91 Prozent stehen am Anfang

Die Verkürzung der Frist für Attributsbescheinigungen von 24 auf zwölf Monate klingt nach Tempo. Sie gilt für Bundesbehörden. Die meisten Nachweise, die Bürger brauchen, stellen aber Länder und Kommunen aus: Meldebescheinigung, Geburtsurkunde, Wohnungsgeberbescheinigung. Und die stehen deutlich weiter hinten, als die Debatte im Bundestag vermuten lässt.

Die CDU/CSU-Fraktion hat am 7. Juli 2026 ein Fachgespräch mit über 300 Teilnehmern aus Kommunen, kreisfreien Städten und Landkreisen abgehalten und die Ergebnisse im September veröffentlicht. In der Live-Abfrage antworteten 191 Teilnehmer auf die Frage nach ihrem Vorbereitungsstand: 103 stehen ganz am Anfang, 71 haben begonnen, sich mit dem Thema zu befassen, 13 sind in der Sandbox, vier halten sich für sehr gut vorbereitet. Das Papier rechnet das auf rund 91 Prozent in einer frühen Phase hoch. Auf die offene Frage, was es für einen gelungenen Start braucht, war der häufigste Begriff „Geld“ mit 79 von 176 Antworten. Als dringendste Voraussetzung nannten die Kommunen eine klare Roadmap bis 2027.

Christian Stuffrein vom Deutschen Landkreistag bemängelte in der Anhörung, dass die Nachweisausstellung über das Bürgerpostfach zunächst mit einem einzigen Anwendungsfall starten soll und der zentrale Ausstell- und Prüfdienst des Bundes erst im Laufe des Jahres 2027 produktiv wird. Marnich sagte, die strukturelle Einbindung der Kommunen bleibe im Gesetz unzureichend.

Das heißt für den 2. Januar: Die Wallet kommt, der Ausweis ist drin, und das Rathaus kann damit noch wenig anfangen. Das Fachgespräch stammt von der Fraktion, die das Gesetz eingebracht hat. Die Diagnose lag also vor dem Beschluss auf dem Tisch. Im Gesetz findet sich dazu nichts, in der Entschließung auch nicht.

Was mit 13 Jahren schon geht

Eine Änderung ist in der Berichterstattung untergegangen. Die Online-Ausweisfunktion des Personalausweises wird nicht mehr mit 16, sondern mit 13 Jahren eingeschaltet, und damit kann auch die Wallet ab 13 vollständig genutzt werden, weil die Personenidentifizierungsdaten aus dem Ausweis stammen. Die Linke lehnt das ab und sieht darin eine Vorbereitung auf das Social-Media-Verbot für Jugendliche. Ich habe über die Eckpunkte zum Jugendmedienschutz vor Kurzem geschrieben: Die Altersverifikation soll über d-you laufen. Jetzt passt die Altersgrenze der Wallet zur Altersgrenze des Verbots. Ob das Zufall ist, weiß ich nicht. Erklärt hat es niemand.

Dazu kommt eine Änderung im Pass- und Ausweisrecht, die mit der Wallet nichts zu tun hat: Lichtbilder dürfen künftig im automatisierten Verfahren zwischen Pass- und Ausweisbehörden übermittelt werden. Die Begründung nennt Bürokratieabbau bei Verlust und Umzug. Die Grünen kritisierten die Streichung des bisherigen Verbots. Dass eine solche Regelung in einem Gesetz landet, dessen Anhörung um Wallet-Pseudonyme ging, ist die Art von Omnibus, bei der man nachher nicht mehr weiß, was man mitbeschlossen hat.

Fazit

Das Digitale Identitätengesetz ist besser aus dem Ausschuss gekommen, als es hineingegangen ist. Opt-out beim Lichtbild, kürzere Fristen für Bundesnachweise, ein gesichertes Bürgerkonto, eine gebremste Experimentierklausel und Souveränität als Vergabekriterium sind Ergebnisse, die ohne die Anhörung nicht da wären.

Die beiden Punkte, die über Vertrauen entscheiden, sind geblieben, wie sie waren. Die Pseudonymfunktion, die das EU-Recht zwingend vorschreibt, steht in einer Entschließung ohne Datum. Die Kontrolle der Datenabfragen steht in einer Begründung, die Unternehmen für „gehalten“ erklärt, sich an die DSGVO zu halten. Und die Beteiligung von BfDI und BSI bei Abweichungen vom Gesetz steht ebenfalls in der Begründung, nicht im Gesetz. Die Koalition hat die Kritik gelesen, zitiert und eine Stufe unter der Verbindlichkeit abgelegt.

Am 2. Januar startet eine Wallet, die Klarnamen kann und sonst wenig, bei Kommunen, die zu neun Zehnteln am Anfang stehen. Das kann trotzdem gut werden, wenn die Nachlieferungen kommen. Nur hat niemand aufgeschrieben, bis wann.

Wer in den nächsten Wochen Abgeordnete trifft, hat eine konkrete Frage: Wann kommt die Pseudonymfunktion, und was passiert mit dem Einsatzbereich der Wallet, bis sie da ist. Die Entschließung sagt „zeitnah“. Ich würde mir das Datum geben lassen.

Quellen:

Nach oben scrollen