EUDI-Wallet: Gesundheitswesen plant mit, doch zentrale Fragen sind offen

Torsten Lodderstedt, der nach eigenen Angaben seit 20 Jahren mit digitalen Identitäten arbeitet, verzichtet auf Folien. Der Projektleiter der deutschen EUDI-Wallet bei Sprind und Geschäftsführer der Betreibergesellschaft Common Codes zeigt beim TI-Summit 2026 lieber live, was Nutzerinnen und Nutzer ab dem 2. Januar 2027 mit der staatlichen Wallet „d-you“ tun können sollen: unter anderem einen digitalen Ausweis einrichten und Nachweise speichern. Sichtlich erfreut zeigte sich Lodderstedt über die Zahl der Launch-Partner: Zum Start sollen rund 50 Partner dabei sein, in der Sandbox würden bereits mehr als 300 Anwendungsfälle erprobt.

Die Personenidentifizierungsdaten (PID) für den digitalen Ausweis werden mithilfe der Online-Ausweisfunktion des Personalausweises bezogen. Wer die dafür nötige PIN vergessen hat, kann wieder den PIN-Rücksetzdienst nutzen. Für den digitalen Ausweis setzt d-you auf einen Cloud-Sicherheitsanker. Smartphone und PIN dienen als zwei Faktoren, um einen Schlüssel in einem Hardware-Sicherheitsmodul freizugeben. Lodderstedt zufolge kennt dessen Betreiber weder die Identität der Person noch den Zweck der Nutzung. Die Architektur soll Sicherheitsdefizite von Smartphones abfedern; andere Nachweise können an Sicherheitskomponenten im Gerät gebunden werden.

Anders als beim Online-Ausweis, bei dem jeder Diensteanbieter einen eigenen eID-Server nutzt, ist damit eine zentrale Komponente an jeder Präsentation des digitalen Ausweises beteiligt. Konkrete Vorgaben für deren Betrieb macht der Entwurf des Digitale-Identitäten-Gesetzes nicht; er verlangt lediglich, dass der Wallet-Anbieter die Inhalte der Nachweise nicht kennen darf. Für sektorale Identity Provider im Gesundheitswesen schreibt die Gematik dagegen detailliert vor, dass ihr Betreiber technisch nicht nachvollziehen kann, welcher Versicherte welchen Fachdienst nutzt.

Kritik in Bundestagsanhörung

Der Cloud-Ansatz war kurz zuvor Gegenstand einer Bundestagsanhörung zum Digitale-Identitäten-Gesetz. Sachverständige warnten vor Risiken einer zentralen Sicherheitskomponente und veralteten Smartphones. Schon im Juli hatten Sachverständige ähnliche Bedenken geäußert und gefragt, ob das Projekt noch zu retten sei. Sprind verteidigte den Ansatz als derzeit gangbaren Weg. Für das Gesundheitswesen stellt sich darüber hinaus eine konkrete Frage: Welche Sicherheitsregeln gelten, wenn die Wallet zum Zugang zu ePA und E-Rezept eingesetzt wird?

Kritik gab es auch am Entwicklungsprozess. Bianca Kastl vom Innovationsverbund Öffentliche Gesundheit forderte einen in Open-Source-Projekten üblichen Open-Development-Ansatz nach EU-Vorbild, der Architektur- und Entwicklungsentscheidungen nachvollziehbar macht. Bei der Referenzimplementierung der EU-Kommission sei der Code von Beginn an öffentlich einsehbar; in Deutschland sei dagegen zunächst ohne öffentliche Einsicht entwickelt worden. Das Belohnungsprogramm für gemeldete Sicherheitslücken sei an das noch nicht veröffentlichte Produkt gebunden, die Testumgebung stehe unter Vertraulichkeitsvereinbarungen. Nach eigenen Angaben hat Sprind den Code der Apps und des Backends inzwischen veröffentlicht; den Code einer Sicherheitskomponente will das Projekt aus Lizenz- und Sicherheitsgründen zurückhalten.

Wer darf welche Daten abfragen?

Lodderstedt demonstriert, wie die Wallet nur ausgewählte Attribute aus einem Nachweis freigibt. Für eine Altersprüfung könnte statt des Geburtsdatums allein die Information übermittelt werden, dass eine Person volljährig ist. Für den digitalen Ausweis beschreibt er außerdem einen Vorrat jeweils nur einmal verwendeter Nachweise. Das soll verhindern, dass Dienste eine Person anhand wiederkehrender technischer Merkmale erkennen.

Dienste, die Daten aus der Wallet anfordern, müssen sich als vertrauende Beteiligte registrieren und ihre beabsichtigten Datenabfragen angeben. Die Wallet soll eine Anfrage ablehnen, wenn ein Dienst mehr Daten fordert, als er zuvor deklariert hat. Das löst allerdings nicht jede Datenschutzfrage. In der Bundestagsanhörung kritisierten Sachverständige, dass eine solche technische Kontrolle noch nicht beantwortet, ob bereits die angemeldeten Daten für den jeweiligen Zweck erforderlich sind. Gerade wenn künftig Gesundheitsnachweise in der Wallet liegen, wird relevant, wer solche Abfragen inhaltlich prüft.

Auch bei der Verknüpfbarkeit muss zwischen verschiedenen Funktionen unterschieden werden. Sprind verweist auf selektive Freigabe und einmalig verwendete Nachweise. Eine allgemein einsetzbare pseudonyme Nutzung steht nach Einschätzung mehrerer Sachverständiger zum Start jedoch noch nicht zur Verfügung. Enthält ein vorgezeigter Versicherungsnachweis beispielsweise die Krankenversichertennummer, kann schon dieses Attribut eine Person wiedererkennbar machen – unabhängig von wechselnden technischen Kennungen.

Die Wallet als Zugang zur GesundheitsID

Christian Dransfeld, Produktmanager GesundheitsID bei der Gematik, beschreibt auf dem Panel zwei erste Integrationsstufen. Zunächst sollen Versicherte die Wallet nutzen können, um ihre GesundheitsID einzurichten oder sich gegenüber ihrer Krankenkasse zu identifizieren. Einige Kassen wollen das nach seinen Worten bereits früh im Jahr 2027 anbieten, die übrigen im Laufe des Jahres folgen. Danach soll auch ein Versicherungsnachweis als eigenständiges Credential in die Wallet kommen. Die Gematik arbeite daran, diesen Nachweis in einem „Rulebook“ zu definieren, und stimme sich dazu insbesondere mit den Kostenträgern ab.

Das Bundesgesundheitsministerium bezeichnet die anfängliche Nutzung von Wallet und GesundheitsID auf Anfrage als „Übergangsarchitektur“. Versicherte sollen nach Einführung der Wallet 2027 über diese Kombination auf ihre ePA und Informationen zum E-Rezept zugreifen können. Mittelfristig will das Ministerium einen direkten Zugriff über die Wallet ermöglichen.

Dabei ist noch eine Voraussetzung zu klären. Die Gematik-Spezifikation für sektorale Identity Provider verlangt die Unterstützung einer PID aus einer zertifizierten EUDI-Wallet. Lodderstedt räumte auf dem Panel ein, dass eine Wallet, die nicht alle funktionalen Anforderungen der eIDAS-Verordnung erfüllt, nicht als EUDI-Wallet anerkannt werden kann – „ein Riesenproblem“. Deutschland konzentriere sich zunächst auf Ausweise und Nachweise; Funktionen wie Pseudonyme seien technisch lösbar, schwierig sei der regulatorische Teil. Das Bundesdigitalministerium konnte in der Anhörung noch keinen Termin nennen, zu dem d-you als vollständige EUDI-Wallet zertifiziert und bei der EU-Kommission gemeldet sein wird. Ob und ab wann die nationale Startversion die Gematik-Anforderung erfüllt, ist damit offen.

Wird die GesundheitsID überflüssig?

Moderatorin Maria Parsch, heute bei IBM und zuvor bei der Gematik für die GesundheitsID tätig, stellt Dransfeld die Grundsatzfrage: Wird die Wallet die GesundheitsID obsolet machen? Sollte die Wallet breit genutzt werden, sei es langfristig vermutlich weder sinnvoll noch wirtschaftlich, zwei Systeme parallel zu betreiben, antwortet er. Eine Entscheidung darüber stehe aber noch aus.

Die Fragen reichen über den Namen der künftigen Anwendung hinaus. Ein staatlicher Identitätsnachweis bestätigt, wer eine Person ist. Ein Versicherungsnachweis muss zusätzlich die Zuordnung zum Versicherungsverhältnis ermöglichen. Der heutige sektorale Identity Provider übernimmt darüber hinaus Funktionen beim Zugang zu TI-Diensten. Welche davon bei einem direkten Wallet-Zugang weiterhin nötig sind und wer sie dann übernimmt, ist noch nicht entschieden.

Der vom Digitale-Identitäten-Gesetz getrennte Entwurf des Gesetzes für Daten und digitale Innovation im Gesundheitswesen (GeDIG) enthält nach Angaben des BMG weitere Schritte: Ab dem 1. Dezember 2028 soll die Wallet zusammen mit entsprechenden elektronischen Nachweisen unmittelbar wie die eGK als Versicherungsnachweis dienen. Sobald die technischen Voraussetzungen vorliegen, spätestens aber ab dem 1. Dezember 2030, soll sie auch zur Authentisierung wie die eGK eingesetzt werden können. Das sind Regelungen eines laufenden Gesetzgebungsverfahrens, noch keine geltende Rechtslage.

Der Praxistest: Check-in und Geräte ohne Updates

Der PKV-Verband hat mit Partnern, darunter die Bundesdruckerei, bereits einen Wallet-Check-in in einer Testumgebung erprobt. Privatversicherte besitzen nicht die eGK der gesetzlichen Krankenversicherung; ein digitaler Nachweis könnte daher gerade für sie einen anderen Weg in Praxisprozesse eröffnen. Produktmanager Julian Hartz beschreibt die Vorlage vom Smartphone ähnlich wie mobiles Bezahlen, allerdings mit einer zusätzlichen Bestätigung durch die versicherte Person.

Hartz wünscht sich, dass das auch bei schlechtem Empfang funktioniert. Lodderstedt kündigt eine Vorlage vor Ort per Bluetooth Low Energy sowie eine Prüf-App an. Daraus folgt noch nicht, dass jeder Schritt vollständig offline ablaufen wird: Insbesondere beim digitalen Ausweis mit Cloud-Sicherheitsanker und bei der Prüfung der Gültigkeit von Nachweisen sind die Abläufe zu unterscheiden.

Auch die Endgeräte bleiben ein Thema. Viele Krankenkassen unterstützen ihre ePA-Apps seit Juli 2026 nicht mehr auf Android 13 und älteren Versionen, weil diese keine Sicherheitsupdates mehr erhalten. Dazu beraten sich die Verantwortlichen. Ob für einen künftigen Wallet-Zugang zu denselben Gesundheitsdaten dieselben Betriebssystemanforderungen gelten, ist zu klären. Dass die Wallet einen Cloud-Sicherheitsanker verwendet, beantwortet diese Frage allein nicht.

Europäische Nachweise und digitale Heilberufsausweise

Die Wallet soll auch grenzüberschreitende Abläufe erleichtern. Hanna Ternes von der Deutschen Verbindungsstelle Krankenversicherung – Ausland beim GKV-Spitzenverband verweist auf Pläne für digital nutzbare Sozialversicherungsnachweise, darunter die Europäische Krankenversicherungskarte. Der Europäische Gesundheitsdatenraum wiederum soll den Austausch ausgewählter Gesundheitsdaten und E-Rezepte über Grenzen hinweg ermöglichen. Das ist nicht gleichbedeutend mit einem unmittelbaren Zugriff auf die gesamte deutsche ePA.

Parsch fragte, ob die Wallet helfen könne, wenn man erst am Flughafen merkt, dass der Personalausweis zu Hause liegt. Das sei eine gute Frage, sagte Lodderstedt, sie könne möglicherweise helfen. „Wobei, nach Spanien fliegen kannst du auch ohne Identitätsprüfung.“ Digitale Ausweise seien zudem „verschiedene Geschichten, nicht nur technisch, sondern auch rechtlich“. Innerhalb des Schengenraums finden zwar in der Regel keine Grenzkontrollen statt. Deutsche müssen bei Aus- und Einreise nach dem Passgesetz aber einen gültigen Personalausweis oder Reisepass mitführen, Fluggesellschaften kontrollieren ihn meist beim Boarding. Als Reisedokument ist die digitale Identität in d-you vorerst nicht vorgesehen. Eine umfassende grenzüberschreitende Nutzung der Wallet werde ohnehin noch Jahre dauern, so Lodderstedt. Zunächst müsse sich zeigen, welche Mitgliedstaaten mit welcher Ausbaustufe an den Start gehen.

Maria Milster von D-Trust sieht in der Wallet auch eine mögliche Grundlage für digitale Identitäten von Leistungserbringenden. Berufliche Attribute wie Fachrichtung oder Qualifikationen ließen sich als Nachweise ergänzen. Auch die qualifizierte elektronische Signatur (QES) war Thema. Lodderstedt zufolge wird noch diskutiert, wie sie in die Wallet eingebunden werden soll: Denkbar sei eine integrierte Signaturfunktion oder die Nutzung der Wallet, um eine qualifizierte Fernsignatur bei einem Vertrauensdiensteanbieter freizugeben. Eine Festlegung auf einen dieser Wege nannte er nicht. Milster skizzierte für Leistungserbringer wie Ärzte und Apotheker ein Modell mit Fernsignaturdienst. Offen bleibt dabei insbesondere, wie sich die heutige Komfortsignatur des elektronischen Heilberufsausweises abbilden ließe, mit der nach einmaliger PIN-Eingabe zahlreiche Dokumente signiert werden können.