d-you-Wallet: HackerOne-Prämien von bis zu 40.000 US-Dollar ausgelobt

Das Entwicklerteam der künftigen deutschen EUDI-Wallet d-you hat sich am 12. November 2026 in einer öffentlichen Fragerunde auf der Diskussionsplattform Reddit den Bedenken von Nutzern gestellt. Fünf Teammitglieder gaben dabei detaillierte Einblicke in die technische Architektur, Datenschutzvorkehrungen sowie bestehende Grenzen der staatlichen Digital-Identitätslösung.

Dezentrale Architektur und Verzicht auf Google Play Integrity

Ein zentraler Diskussionspunkt war der Schutz der Privatsphäre und die technische Unabhängigkeit. Wie das Entwicklerteam darlegte, basiert die Wallet auf einer dezentralen Architektur, bei der Ausweisdaten ausschließlich verschlüsselt auf dem jeweiligen Smartphone gespeichert werden.

Eine zentrale Datenbank existiert nicht. Über das Prinzip der selektiven Offenlegung sollen Nutzer zudem gezielt steuern können, welche Datenpunkte an abfragende Stellen übermittelt werden. Aussteller der Identitätsnachweise seien technisch nicht in der Lage, die Nutzung der Daten nachzuverfolgen.

Auf technischer Ebene verzichtet die Anwendung inzwischen auf Googles Play-Integrity-Dienst. Stattdessen sollen hardwarebasierte Sicherheitsbestätigungen (Key Attestations) genügen, um die Integrität der Ausführungsumgebung zu prüfen.

Eine offizielle Unterstützung des datenschutzorientierten Betriebssystems GrapheneOS war zum Stand vom 12. November 2026 für den Start jedoch noch nicht zugesagt, da hierfür zunächst alle rechtlichen und technischen Vorgaben der europäischen eIDAS-Verordnung erfüllt sein müssen. Der Quellcode der Lösung ist unter einer Open-Source-Lizenz einsehbar, zudem kommt das Ausstellungsverfahren Batch Issuance zum Einsatz.

Wer sein Android-Smartphone für sensible Anwendungen wie digitale Ausweise oder Banking nutzt, sollte die grundlegenden Sicherheitsvorkehrungen kennen. Dieser kostenlose Ratgeber zeigt in 5 einfachen Schritten, wie Sie Ihr Gerät effektiv gegen externe Zugriffe absichern. 5 sofort umsetzbare Schutzmaßnahmen entdecken

Ablauf bei Kontrollen, Gerätesicherheit und Anwendungsfälle

Für Kontrollsituationen, beispielsweise durch die Polizei, sieht das Konzept vor, dass das Smartphone im Besitz des Nutzers verbleibt. Bei einer Überprüfung wird ein QR-Code vorgezeigt; die tatsächliche Datenübertragung erfolgt erst nach expliziter Bestätigung durch den Anwender wahlweise über Bluetooth oder eine Internetverbindung.

Für den digitalen Personalausweis ist zur Authentifizierung anfangs noch eine aktive Internetverbindung erforderlich, mittelfristig plant das Team jedoch eine rein lokale Lösung.

Im Falle eines Gerätewechsels müssen Anwender die Wallet vollständig neu einrichten, da kein klassisches Backup-System integriert ist. Zur Absicherung bei Geräteverlust steht ein Löschschlüssel bereit, über den sich die Wallet aus der Ferne sperren lässt.

Um Schwachstellen frühzeitig zu identifizieren, läuft bereits seit September 2026 ein öffentliches Bug-Bounty-Programm auf der Plattform HackerOne, bei dem für gefundene Sicherheitslücken Prämien von bis zu 40.000 US-Dollar ausgelobt sind.

Die Sicherheit mobiler Betriebssysteme ist die Voraussetzung für das Vertrauen in digitale Identitätslösungen. Erfahren Sie in diesem kostenlosen Report, wie Sie durch gezielte Updates Sicherheitslücken schließen und Ihr Smartphone dauerhaft vor Malware schützen. Kostenlosen Sicherheits-Ratgeber herunterladen

Kritik von Verbraucherschützern und Vorbereitung auf den Start

Bereits im Vorfeld gab es auch kritische Stimmen. In einem Interview reagierte Projektleiter Torsten Lodderstedt auf Einwände von Verbraucherschützern, die Datenschutzrisiken, das Fehlen einer Funktion zur pseudonymen Nutzung sowie die Gefahr überzogener Datenabfragen durch Unternehmen moniert hatten. Lodderstedt verwies in diesem Zusammenhang auf die durchgeführten Sicherheitstests und die konsequente Open-Source-Strategie des Projekts.

Die Infrastruktur für Registrierungen und Sicherheitszertifikate wird über die bundeseigene Common Codes GmbH abgewickelt, ein Tochterunternehmen der Bundesagentur für Sprunginnovationen. Die Einbindung für vertrauenswürdige Stellen (Relying Parties) ist kostenlos, die Finanzierung erfolgt durch den Steuerzahler.

Derzeit befinden sich über 300 konkrete Anwendungsfälle in der technischen Integration, von denen zum Start rund 50 bereitstehen sollen. Presseberichten zufolge ist der offizielle Start für den 2. Januar 2027 vorgesehen, unter anderem für den digitalen Personalausweis und den Führerschein. Als Mindestvoraussetzungen gelten die Betriebssystemversionen iOS ab 26.4 sowie Android ab 14.