Ab dem 2. Januar 2027 wird der Personalausweis in Deutschland auch in digitaler Form verfügbar sein. Die staatliche App „D-You“ soll den physischen Ausweis jedoch nicht ersetzen, sondern ergänzen – freiwillig, kostenlos und schrittweise.

Was ist d-you – und was steckt hinter dem Namen?

Hinter „D-You“ verbirgt sich die deutsche Umsetzung der sogenannten EUDI-Wallet (European Digital Identity Wallet). Gemäß der novellierten eIDAS-Verordnung sind alle EU-Mitgliedstaaten dazu verpflichtet, ihren Bürgerinnen und Bürgern bis Ende 2026 eine solche digitale Brieftasche bereitzustellen. Der Name ist dabei Programm: Das „d“ steht für „digital“ und „Deutschland“, das „you“ rückt die Nutzerin bzw. den Nutzer in den Mittelpunkt.

Die App ist bewusst mehr als nur ein digitaler Personalausweis. Langfristig sollen darin auch der Führerschein, Bildungsnachweise, die Krankenkassenkarte und weitere offizielle Dokumente gespeichert werden können. Zum Start im Januar 2027 liegt der Fokus jedoch zunächst auf der Ausweisfunktion.

So funktioniert die Einrichtung und Nutzung

Die Einrichtung erfolgt einmalig: Der Chip des physischen Personalausweises wird per NFC mit dem Smartphone ausgelesen, wobei die sechsstellige Karten-PIN, die man selbst gewählt hat, zusätzlich benötigt wird. Anschließend liegt der digitale Ausweis lokal auf dem Gerät und kann für Identifizierungsvorgänge genutzt werden, ohne dass die Plastikkarte jedes Mal hervorgeholt werden muss.

Ein zentraler Unterschied zum bisherigen Online-Ausweis ist, dass dieser nur zusammen mit dem physischen Ausweis funktioniert, während der digitale Ausweis in D-You im digitalen Raum ein vollwertiges Äquivalent zum Personalausweis ist. Nach der Einrichtung funktioniert er eigenständig.

Zumindest für die Freigabe von Daten wird eine Internetverbindung benötigt. Der Grund dafür ist, dass ein Teil der kryptografischen Schlüssel, die für die sichere Identitätsfreigabe erforderlich sind, in besonders geschützten Sicherheitsmodulen auf Servern verwaltet wird. Der Server bestätigt lediglich die Echtheit der Freigabe, während die eigentlichen Ausweisdaten verschlüsselt auf dem Smartphone verbleiben.

Meine Einschätzung: d-you ist ein Schritt nach vorn – aber nicht der letzte

Grundsätzlich halte ich die Einführung von D-You für richtig. Eine staatliche digitale Brieftasche, die unabhängig von den großen Tech-Konzernen funktioniert und den Menschen mehr Kontrolle über ihre Daten gibt, ist längst überfällig. Trotzdem bin ich überzeugt: Was am 2. Januar 2027 an den Start geht, ist bestenfalls eine Baustelle mit gutem Fundament – aber kein fertiges Produkt.

Die selektive Offenlegung ist das Argument, das wirklich zählt

Für mich liegt der entscheidende Fortschritt in der sogenannten selektiven Offenlegung. Wer heute beim Kauf von Alkohol sein Alter nachweisen muss, legt im Zweifel den kompletten Personalausweis vor – mit Name, Geburtsort und Adresse. Das ist nicht nur umständlich, sondern auch datenschutzrechtlich absurd, denn die Verkäuferin muss nur wissen, ob der Kunde volljährig ist, nicht wo er wohnt oder wie er heißt. Genau das soll d-you ermöglichen: die Freigabe einzelner Attribute, nicht des gesamten Datensatzes. Wenn ein Anbieter nur die Information „über 18: ja“ erfragt, dann soll auch nur diese eine Information übertragen werden – nicht mehr und nicht weniger. Das ist ein echter Gewinn an Datensparsamkeit, und ich finde, das darf man ruhig deutlich sagen.

Die Architektur stimmt im Ansatz

Auch die dezentrale Grundidee überzeugt mich. Die Ausweisdaten liegen verschlüsselt auf dem eigenen Smartphone und nicht auf einem zentralen staatlichen Server. Beim Austausch mit Diensteanbietern ist der Wallet-Anbieter nicht zwischengeschaltet und soll nicht nachvollziehen können, wann und wofür ich die Wallet nutze. Unternehmen und Behörden, die Daten abrufen wollen, müssen sich vorab registrieren und angeben, welche Informationen sie benötigen. Das kann Vertrauen schaffen – vorausgesetzt, die versprochenen Kontrollmechanismen funktionieren tatsächlich.

Die Wallet soll sehr datenschutzfreundlich sein, was zunächst einmal gut klingt. Aber ich möchte das nicht einfach glauben müssen, sondern es überprüfen können. Und genau da fangen meine Bedenken an.

Was mich zum Start wirklich stört

Drei Punkte bereiten mir Unbehagen. Sie betreffen den Kern dessen, was eine staatliche Wallet leisten soll.

  1. Die fehlende Möglichkeit der pseudonymen Nutzung. Es ist schwer zu verstehen, warum eine App, die erst 2027 startet, von Anfang an nicht die Möglichkeit bietet, sich pseudonym auszuweisen. Ohne diese Funktion ist die Wallet zunächst ausschließlich zur Klarnamen-Identifizierung fähig. Wenn die selektive Offenlegung das große Versprechen ist, dann gehört die pseudonyme Nutzung zwingend dazu. Erst beides zusammen ergibt den erhofften Datenschutzvorteil.
  2. Die fehlende Vorabprüfung von Datenabfragen. Zwar müssen sich Diensteanbieter registrieren und angeben, welche Daten sie abrufen wollen. Aber niemand prüft zu Beginn, ob diese Angaben verhältnismäßig sind. Die Datenminimierung der DSGVO greift erst im Nachhinein – wenn überhaupt. Unternehmen könnten von Anfang an übermäßig viele Daten abfragen und damit einen De-facto-Standard schaffen, der alles andere als datenschutzfreundlich ist. Eine auf Vertrauen basierende Wallet darf nicht davon ausgehen, dass Diensteanbieter von sich aus zurückhaltend sind. Es braucht eine Instanz, die vorab kontrolliert, statt eine, die hinterher reagiert.
  3. Drittens: die Blackbox RASP. Die Integritätsprüfung unter Android per Hardware-Attestierung ohne Google-Play-Dienste ist ein wichtiger Schritt in Richtung Souveränität. Die RASP-Komponente (Runtime Application Self-Protection), die nach Manipulationen der App sucht, ist jedoch nicht öffentlich einsehbar. Solange diese Komponente eine Blackbox bleibt, sind alle Aussagen zur Sicherheit der App fraglich. Ich will nicht behaupten, dass dort etwas nicht stimmt, aber ich kann es auch nicht überprüfen. Und das ist für eine staatliche Sicherheitsinfrastruktur ein Problem.

Was ab Januar 2027 konkret möglich ist

Der Start am 2. Januar 2027 markiert den Beginn einer schrittweisen Einführung. Zum Start werden rund 40 Partner aus Wirtschaft, Wissenschaft und Verwaltung mit eigenen Anwendungen dabei sein. Direkt nutzbar sein werden Funktionen wie der Altersnachweis, der rechtssichere Abschluss von Verträgen und die Eröffnung eines Bankkontos. Insgesamt sollen zum Go-Live mehr als 2.100 Online-Dienste angebunden sein. Wer allerdings gehofft hatte, ab Januar 2027 sein Portemonnaie zu Hause lassen zu können, wird enttäuscht.

Der digitale Führerschein wird in einem separaten Schritt eingeführt. Er soll Ende 2026 in der i-Kfz-App des Kraftfahrt-Bundesamts und Anfang 2027 zusätzlich in D-You verfügbar sein. Die beiden Apps werden parallel bestehen bleiben. Der Nachweis der Volljährigkeit an der Supermarktkasse oder im Restaurant wird 2027 allerdings noch nicht flächendeckend möglich sein, da hierfür zunächst Partnerschaften mit dem Handel aufgebaut werden müssen.

Kosten und Freiwilligkeit

Die Nutzung von D-You ist kostenlos und freiwillig. Dies ist eine EU-Vorgabe: Die Mitgliedstaaten sind verpflichtet, die Wallet kostenfrei anzubieten. Wer die App nicht nutzen möchte, kann weiterhin den physischen Personalausweis verwenden. Die vorhandenen Ausweisdokumente werden durch d-you nicht ersetzt.

Fazit: Sinnvolles Projekt mit Anlaufschwierigkeiten

Die Idee hinter D-You ist überzeugend: weniger Karten, schnellere digitale Identifikation und langfristig eine deutlich datenschutzfreundlichere Alternative zu den Wallets großer Tech-Konzerne. Die selektive Offenlegung von Daten stellt einen echten Fortschritt gegenüber dem physischen Ausweis dar und die dezentrale Architektur schafft Vertrauen.

Zum Start im Januar 2027 sollte man jedoch keine Wunder erwarten. Die wichtigsten Probleme sind bekannt: fehlende Pseudonyme, ausstehende Vorabprüfungen von Datenabfragen, eine noch unklare Kommunikationsstrategie und ein begrenztes Ökosystem an akzeptierenden Diensten.

Ein früher Einstieg schadet zwar nicht, verspricht aber noch keinen Alltagsnutzen. Ausschlaggebend wird sein, ob es gelingt, die datenschutzrechtlichen Lücken zu schließen und das Netzwerk an Partnern schnell auszubauen.