Europa erlebt eine Revolution der digitalen Identität: Drei grosse Systeme konkurrieren darum, zu definieren, wie wir online beweisen, wer wir sind. Die EUDI-Wallet der Europäischen Union, die eUID der Schweiz und ID Austria aus Österreich versprechen alle eine sichere digitale Identifikation, doch sie verfolgen dramatisch unterschiedliche Ansätze beim Schutz der Privatsphäre — besonders bei heiklen Aufgaben wie der Altersverifikation.
Es steht viel auf dem Spiel. Diese Systeme werden darüber entscheiden, ob der Nachweis deines Alters für den Zugang zu altersbeschränkten Inhalten bedeutet, dass du dein Geburtsdatum, deinen Namen und deinen Browserverlauf an unzählige Websites preisgibst — oder ob du einfach bestätigst «Ja, ich bin über 18», ohne sonst etwas zu verraten. Der Unterschied zwischen diesen Ansätzen ist nicht nur technische Philosophie. Es ist der Unterschied zwischen Überwachung und Souveränität über deine persönlichen Daten.
Das Datenschutz-Paradox
Die EUDI-Wallet hat auf dem Papier die strengsten Datenschutzanforderungen. Europäische Vorschriften verlangen, dass das System verhindern muss, dass Nutzerinnen und Nutzer dienstübergreifend verfolgt werden, dass es die selektive Offenlegung nur notwendiger Informationen unterstützt und Unverknüpfbarkeit gewährleistet, sodass Unternehmen nicht kollaborieren können, um Profile deiner digitalen Aktivität zu erstellen. Das Gesetz verlangt ausdrücklich Zero-Knowledge-Proofs — kryptografische Verfahren, mit denen du Tatsachen über dich beweisen kannst, ohne die zugrunde liegenden Daten preiszugeben.
Doch hier liegt das Problem: Die aktuelle technische Umsetzung liefert nicht wirklich das, was das Gesetz verlangt. Im Juni 2024 analysierte eine Gruppe von Kryptografie-Expertinnen und -Experten die Architektur des Systems und kam zu einem vernichtenden Urteil. Das vorgeschlagene Design bleibe hinter den eigenen Datenschutzanforderungen der Verordnung zurück, schlossen sie, und würde eine grundlegende Neugestaltung benötigen, um die rechtlichen Standards zu erfüllen. Der Europäische Datenschutzbeauftragte teilte diese Bedenken.
Die Europäische Kommission hat es abgelehnt, Zero-Knowledge-Proofs in das aktuelle Design aufzunehmen, und verweist dabei auf Einschränkungen mobiler Geräte und auf die Unreife der Technologie. Daraus entsteht eine missliche Lage, in der das Gesetz Datenschutzvorkehrungen verlangt, die das tatsächliche System bei seinem Start im Dezember 2026 nicht bieten wird. Die Kluft zwischen rechtlichen Anforderungen und technischer Realität bleibt ungelöst, während die Frist näher rückt.
Die ehrgeizige Vision der Schweiz
Die Schweiz genehmigte ihr eUID-System in einer Volksabstimmung im September 2025 mit hauchdünnem Vorsprung — nur 50,39 Prozent stimmten Ja. Das System, das Ende 2026 startet, nimmt eine entschiedenere Haltung zum Datenschutz ein als die EU oder Österreich. Die offizielle Dokumentation bestätigt ausdrücklich Pläne für Zero-Knowledge-Proofs, die es Nutzerinnen und Nutzern erlauben, zu beweisen, dass sie über einem bestimmten Alter sind, ohne ihr genaues Geburtsdatum oder andere identifizierende Informationen preiszugeben.
Das Schweizer Design speichert alle Identitätsdaten ausschliesslich auf den Smartphones der Nutzerinnen und Nutzer, nicht auf Regierungsservern. Der grösste Teil der Infrastruktur wird quelloffen sein und unabhängige Sicherheitsaudits ermöglichen. Das System nutzt Peer-to-Peer-Verifikation zwischen digitalen Wallets und Diensteanbietern und erzeugt keine Transaktionsprotokolle oder Nutzungsprofile. Jede Interaktion erfordert die ausdrückliche Zustimmung der Nutzerin oder des Nutzers.
Dennoch haben Schweizer Datenschutzexpertinnen und -experten Zweifel geäussert, ob all diese ehrgeizigen Funktionen beim Start tatsächlich umgesetzt werden. Das System bleibt unbewiesen, bis es live geht, und Zero-Knowledge-Proofs — zwar als «geplant» bestätigt — haben noch keinen festen Liefertermin. Es besteht ein reales Risiko, dass die Schweiz bei ihren Datenschutzzielen zu viel verspricht und zu wenig liefert.
Österreichs funktionierende Lösung
Österreich verfolgt einen gänzlich anderen Ansatz: etwas ausliefern, das heute funktioniert, statt Perfektion für morgen zu versprechen. Das System ID Austria ist seit Dezember 2023 in Betrieb, mit bereits über einer Million aktivierten digitalen Dokumenten. Es bietet echte selektive Offenlegung für die Altersverifikation — wenn du dein Alter nachweist, sehen Diensteanbieter nur dein Foto, den Zeitstempel der Verifikation und die Bestätigung, dass du die Altersschwelle erreichst. Dein Name und dein Geburtsdatum bleiben verborgen.
Das System funktioniert offline über kurzlebige QR-Codes und Bluetooth-Übertragungen, was es für reale Verifikationen wie Verkehrskontrollen praktikabel macht. Es ist mit staatlichen Diensten und dem privaten Sektor integriert. Es zeigt, dass datenschutzfreundliche digitale Identität kein bloss theoretisches Konzept ist — sie kann jetzt funktionieren.
Doch Österreichs Pragmatismus hat Grenzen. Dem System fehlen die fortschrittlichen kryptografischen Schutzmassnahmen, die Europa rechtlich verlangt und die Schweiz verspricht. Es gibt keine Zero-Knowledge-Proof-Fähigkeit, und die Dokumentation geht nicht auf Unverknüpfbarkeit ein — die Fähigkeit zu verhindern, dass verschiedene Dienste deine Aktivitäten miteinander in Verbindung bringen. Am gravierendsten: Die Altersverifikationsfunktion funktioniert derzeit nur innerhalb Österreichs, nicht EU-weit.
Was das für Nutzerinnen und Nutzer bedeutet
Die Spannung zwischen diesen drei Systemen offenbart eine grundlegende Herausforderung der digitalen Identität. Rechtliche Rahmenwerke können Datenschutzvorkehrungen vorschreiben, aber wenn die Technologie nicht bereit oder die Umsetzung mangelhaft ist, existieren diese Vorkehrungen nur auf dem Papier. Ehrgeizige technische Designs können modernste Kryptografie versprechen, aber wenn sie nie ausgeliefert werden, bekommen Nutzerinnen und Nutzer nichts. Und funktionierende Systeme beweisen das Konzept, bieten aber möglicherweise keinen ausreichenden langfristigen Datenschutz.
Speziell bei der Altersverifikation unterstützen alle drei Systeme das Grundkonzept der selektiven Offenlegung — zu beweisen, dass man alt genug ist, ohne das genaue Alter preiszugeben. Doch sie unterscheiden sich dramatisch darin, wie gründlich sie vor Tracking und Korrelation über mehrere Dienste hinweg schützen. Die EUDI-Wallet verlangt rechtlich Unverknüpfbarkeit, erreicht sie technisch aber möglicherweise nicht. Die Schweiz plant Zero-Knowledge-Proofs, hat sie aber noch nicht geliefert. Österreich bietet funktionierende selektive Offenlegung, aber ohne fortschrittliche Anti-Tracking-Massnahmen.
Die praktischen Auswirkungen sind bedeutsam. Wenn diese Systeme live gehen, werden sie darüber entscheiden, ob Online-Altersverifikation bedeutet, eine digitale Spur überall dort zu hinterlassen, wo du dein Alter nachweist — was sowohl staatliche Überwachung als auch unternehmerische Profilbildung ermöglicht. Oder ob du Tatsachen über dich beweisen kannst, während du echte Privatsphäre und Kontrolle über deine persönlichen Informationen behältst.
Das Wichtigste in Kürze
- Die EUDI-Wallet hat die strengsten gesetzlichen Datenschutzanforderungen, sieht sich aber der Kritik ausgesetzt, dass ihr aktuelles technisches Design diese Anforderungen nicht erfüllt.
- Die Schweiz verspricht die fortschrittlichsten Datenschutzfunktionen, einschliesslich Zero-Knowledge-Proofs, doch die Umsetzung bleibt ungewiss, bis das System startet.
- Österreich bietet als einziges heute ein funktionierendes System mit echter selektiver Offenlegung, dem aber fortschrittliche kryptografische Schutzmassnahmen fehlen.
- Die Kluft zwischen rechtlichen Anforderungen, technischen Versprechen und praktischer Umsetzung offenbart grundlegende Herausforderungen bei der Bereitstellung datenschutzfreundlicher digitaler Identität.
- Alle drei Systeme unterstützen die grundlegende selektive Offenlegung für die Altersverifikation, unterscheiden sich aber dramatisch im Schutz vor dienstübergreifendem Tracking und Korrelation.
Foto: Jakub Zerdzicki via Pexels