Vom Entwurf zur Entscheidung: Was die Kabinettsfassung des Digitale-Identitäten-Gesetzes für Unternehmen und Vertrauensdienste wirklich bedeutet
Kurz erklärt
Das Digitale-Identitäten-Gesetz (DIdG) schafft den nationalen Rechtsrahmen für die europäische digitale Brieftasche, die EUDI-Wallet. Es regelt, wie die Wallet rechtlich eingebettet wird, wer Zuständigkeiten trägt, welche Verordnungen folgen müssen und unter welchen Bedingungen die Wallet auch für Minderjährige oder Payment-Funktionen nutzbar sein soll. Der heutige Kabinettsbeschluss ist nicht der Abschluss eines Prozesses – er ist der Startschuss für die eigentlich anspruchsvolle Phase: die Umsetzung.
Eine These zum Einstieg: Das Gesetz ist nicht das Problem
Gesetze werden verabschiedet, Verordnungen folgen, Fristen werden gesetzt. Das ist der normale Gang der Dinge. Was Unternehmen und Vertrauensdiensteanbieter wirklich herausfordert, ist die Lücke zwischen dem, was ein Gesetz beschließt, und dem, was sich danach operativ tatsächlich umsetzen lässt.
Beim DIdG ist diese Lücke besonders groß – und sie ist kein Fehler, sondern eine bewusste Konstruktionsentscheidung. Der Gesetzgeber hat erkannt, dass in einem so technologisch dynamischen Umfeld wie der digitalen Identität viele Details besser per Verordnung geregelt werden als durch starre Gesetzesnormen. Das ist politisch klug und technologisch nachvollziehbar. Strategisch bedeutet es jedoch: Wer jetzt auf das fertige Regelwerk wartet, bevor er handelt, wird zu spät sein.
Was sich vom Referentenentwurf zur Kabinettsfassung geändert hat
Der Vergleich zwischen dem Referentenentwurf vom März und der heute verabschiedeten Kabinettsfassung zeigt einige substanzielle Verschiebungen, die für Unternehmen und Dienstleister direkt relevant sind.
Bundesrat erhält Mitsprache bei den Kernverordnungen. Im Referentenentwurf hatte das Bundesministerium für Digitales und Staatsmodernisierung (BMDS) weitreichende Gestaltungsbefugnisse beansprucht – zentrale Durchführungsverordnungen sollten ohne Zustimmung des Bundesrats erlassen werden können. Die Kabinettsfassung korrigiert das grundlegend: Verordnungen zu Betrieb, Anerkennung, Sicherheit, Zahlungsmitteln und Schriftformersatz unterliegen nun dem Bundesratsvorbehalt. Das erhöht die demokratische Legitimität, verlängert aber die Zeitachse für die Konkretisierung. Fristen werden damit nicht kürzer.
Akzeptanzpflichten für Unternehmen vorerst in die Experimentierklausel verschoben. Der Referentenentwurf enthielt eine Ermächtigung, mit der das Ministerium private Unternehmen – Banken, Versicherungen, Telekommunikationsanbieter – direkt per Verordnung zur Wallet-Akzeptanz hätte verpflichten können. Diese Ermächtigung fehlt im Kerngesetz der Kabinettsfassung. Stattdessen sind sektorspezifische Akzeptanzpflichten nur noch im Rahmen der Experimentierklausel möglich: befristet, mit Evaluierungspflicht, unter engen Voraussetzungen. Das nimmt zunächst Druck aus dem Markt – verlagert ihn aber in die Ungewissheit. Wann solche Erprobungen stattfinden und welche Sektoren betroffen sind, liegt im Ermessen des Ministeriums.
Mindestalter für Wallet-Tests auf 13 Jahre angehoben. Im Referentenentwurf war die Untergrenze für Wallet-Erprobungen bei Minderjährigen noch auf 12 Jahre gesetzt. Die Kabinettsfassung hebt diese auf 13 Jahre an – einen Wert, der sich europaweit zunehmend als Standard etabliert und mit dem Schwellenwert für digitale Einwilligungsfähigkeit nach Art. 8 DSGVO korrespondiert. Flankiert wird dies durch eine neue Vorgabe im Personalausweisgesetz: Die eID-Funktion wird bei der Produktion automatisch deaktiviert, wenn die antragstellende Person jünger als 13 ist.
Digitales PIN-Rücksetzen wird möglich. Bisher war das Zurücksetzen der eID-PIN nur per Brief oder persönlich im Amt möglich – der kostenlose PIN-Rücksetzbrief wurde bereits Ende 2023 eingestellt. Die Kabinettsfassung öffnet erstmals den Weg für ein vollständig digitales Rücksetzverfahren, das allerdings eine vorherige Authentifizierung auf hohem Sicherheitsniveau voraussetzt. Übergangsweise soll der Dienst ab der zweiten Jahreshälfte 2026 kostenlos wieder verfügbar sein.
Das Lichtbild in der Wallet: Sicherheitsgewinn und Angriffsfläche zugleich
Einer der heikelsten Punkte der Kabinettsfassung betrifft das amtliche Lichtbild. Vorgesehen ist, dass eine eigens bestimmte Behörde das biometrische Lichtbild aus dem Chip des Personalausweises auslesen, signieren und als Teil der staatlich bestätigten Identitätsdaten in die Wallet übertragen darf. Der Zugriff ist auf diese Behörde beschränkt, das Bild muss nach Übermittlung gelöscht werden, und diese Behörde darf selbst kein Wallet-Anbieter sein.
Für den Einsatz in der Wallet gilt: Nur registrierte Dienste dürfen bestimmte Attribute oder Daten abfragen, und die Wallet soll im Regelfall eher abstrakte Merkmale wie „über 18″ ausgeben, statt das vollständige Bild weiterzugeben. Das ist das Prinzip der selektiven Offenlegung – ein datenschutzrechtlich sinnvoller Ansatz, der auch für Vertrauensdiensteanbieter neue Gestaltungsmöglichkeiten eröffnet.
Die eigentliche Spannung liegt woanders: Ein amtlich signiertes biometrisches Lichtbild auf einem Smartphone ist gleichzeitig ein hochattraktives Angriffsziel. DSGVO und technische Sicherheitsvorgaben können das Missbrauchsrisiko mindern, aber nicht vollständig ausschließen. Wer Lösungen rund um die Wallet-Infrastruktur entwickelt oder betreibt, muss diese Abwägung zwischen Sicherheitsgewinn und Angriffsfläche ernst nehmen – und in Architekturentscheidungen, Risikoanalysen und vertragliche Verantwortlichkeiten einpreisen.
Die Verordnungsarchitektur als eigentlicher Gestaltungsraum
Aus Sicht erfahrener Beraterinnen und Berater im Bereich digitaler Vertrauensdienste ist die zentrale Botschaft des DIdG nicht in seinen Paragraphen zu finden – sondern in dem, was es offen lässt. Das Gesetz benennt Regelungsbereiche, delegiert ihre Ausgestaltung aber an Verordnungen, die erst noch zu schreiben sind: zu Betrieb und Anerkennung, zu Sicherheitsanforderungen, zu Zahlungsmitteln und zum Schriftformersatz.
Diese Verordnungsarchitektur ist nicht nur rechtlich relevant, sie ist strategisch entscheidend. Denn dort, wo die konkrete Ausgestaltung noch offen ist, lässt sich noch gestalten: durch Stellungnahmen in Konsultationsprozessen, durch frühzeitige technische Positionierung, durch den Aufbau von Infrastruktur, die regulatorisch flexibel genug ist, um mit den entstehenden Standards mitzuwachsen.
Für qualifizierte Vertrauensdiensteanbieter bedeutet das: Die relevante Expertise liegt nicht nur im Einhalten der Vorgaben, die bereits feststehen – sondern im Navigieren der Spannung zwischen dem, was heute gilt, und dem, was morgen gelten wird. Diese Kompetenz ist nicht mit einem Gesetzesbeschluss automatisch vorhanden; sie entsteht durch kontinuierliche Auseinandersetzung mit dem regulatorischen Prozess.
Schriftformersatz: Wo Vertrauensdienste strategisch relevant werden
Ein Aspekt, der in der öffentlichen Diskussion bisher wenig Aufmerksamkeit erhalten hat, aber für Unternehmen und Vertrauensdiensteanbieter von hoher praktischer Relevanz ist: der Schriftformersatz.
Die EUDI-Wallet soll künftig ermöglichen, dass digitale Nachweise die gesetzliche Schriftform ersetzen können. Das klingt technisch, hat aber weitreichende Konsequenzen: Vertragsabschlüsse, Willenserklärungen, behördliche Verfahren – all das kann in Zukunft rechtsverbindlich über die Wallet abgewickelt werden. Die Kabinettsfassung sieht allerdings vergleichsweise lange Übergangsfristen für diese Funktionen vor. Das bedeutet: Die Infrastruktur wird früher geschaffen, als ihre volle Rechtswirksamkeit greift.
Für Vertrauensdiensteanbieter, die heute bereits qualifizierte elektronische Signaturen und Siegel anbieten, entsteht hier eine strategische Brückenphase. Die Anforderungen an Identitäts- und Signaturprozesse werden durch die Wallet nicht kleiner – sie werden differenzierter. Welches Sicherheitsniveau für welchen Anwendungsfall gilt, wie Attributbescheinigungen mit bestehenden Signaturprozessen zusammenspielen und wie Unternehmen ihre Schnittstellen darauf ausrichten, sind Fragen, die jetzt geklärt werden müssen, auch wenn die gesetzlichen Fristen noch etwas Spielraum lassen.
Akzeptanzpflichten: Unsicherheit als strategisches Signal
Die Verschiebung der Akzeptanzpflichten in die Experimentierklausel dämpft zunächst den unmittelbaren Handlungsdruck. Das sollte allerdings nicht als Signal zur Entspannung missverstanden werden.
Die Branchenverbände machen deutlich, was auf dem Spiel steht: Mehr als die Hälfte der Bevölkerung möchte die Wallet nutzen, sobald sie ab Anfang 2027 verfügbar ist; unter Unternehmen mit mindestens 20 Beschäftigten planen sogar über 80 Prozent ihren Einsatz. Eine Wallet, die zwar technisch vorhanden ist, aber in zu wenigen Alltagssituationen akzeptiert wird, verfehlt ihren Nutzen. Der politische Druck, Akzeptanzpflichten über kurz oder lang einzuführen, ist daher strukturell angelegt – auch wenn der genaue Zeitpunkt und die betroffenen Sektoren noch unbestimmt sind.
Wer heute wartet, bis Akzeptanzpflichten verbindlich werden, hat die Gestaltungsphase verpasst. Wer jetzt in interoperable, skalierbare Identitätslösungen investiert, positioniert sich nicht nur für die Compliance – sondern für die Prozessoptimierung und die neue Geschäftsmöglichkeiten, die ein funktionierendes Wallet-Ökosystem eröffnet.
Was jetzt zu tun ist
Der Kabinettsbeschluss ist ein klares Signal, aber kein Abschluss. Das parlamentarische Verfahren steht noch aus, die Verordnungen sind zu schreiben, die technische Infrastruktur aufzubauen. Wer in Unternehmen oder Behörden Verantwortung für Identitätsprozesse, digitale Onboarding-Verfahren, Vertragsmanagement oder Compliance trägt, sollte die aktuelle Phase nicht als Wartezeit betrachten.
Konkret bedeutet das: Identifizierungsverfahren auf ihre Wallet-Tauglichkeit prüfen, Signatur- und Siegelprozesse auf Kompatibilität mit dem entstehenden Attribut-Ökosystem evaluieren, datenschutzrechtliche Anforderungen der selektiven Offenlegung in Architekturentscheidungen einbeziehen und interne Stakeholder mit dem Thema vertraut machen – bevor die regulatorischen Fristen den Takt vorgeben.
Das Gesetz beschreibt, wo die Reise hingeht. Die Frage, wie gut man beim Ankommen aufgestellt ist, entscheidet sich in den nächsten Monaten.
Dieser Artikel wird laufend aktualisiert, um neue Entwicklungen im Gesetzgebungsverfahren und in der Verordnungsgebung zu berücksichtigen.
