Das European Digital Identity Wallet (EUDI) verspricht Self-Sovereign Identity für alle EU-Bürger. Doch ein genauerer Blick zeigt: Es handelt sich nicht um reine SSI, sondern um einen regulatorischen Hybrid, der europäische Werte über technologische Radikalität stellt. Die Frage ist nicht, ob dieser Kompromiss falsch ist – sondern ob er als Fundament oder als Hindernis für künftige Innovation wirken wird.
Die Quadratur des digitalen Kreises
Bo Harald stellt in seinem Finextra-Beitrag Is EUDI actually SSI at all? eine einfache, aber fundamentale Frage: Ist das European Digital Identity Wallet wirklich Self-Sovereign Identity? Seine auf ChatGPT gestützte Analyse kommt zu einem klaren Befund: EUDI ist “SSI-inspiriert”, aber strukturell etwas anderes. Statt auf Decentralized Identifiers (DIDs) und dezentrale Verifizierungsnetzwerke zu setzen, verlässt sich EUDI auf EU-Trust Lists, Qualified Trust Service Providers (QTSPs) und staatsgarantierte Architekturen.
Die Reaktion darauf schwankt zwischen zwei Polen: Entweder wird EUDI als pragmatischer Fortschritt gefeiert, der SSI-Prinzipien massentauglich macht, oder als Regulierungskonstrukt kritisiert, das unter dem Label “Souveränität” faktisch staatliche Kontrolle zementiert. Beide Perspektiven greifen zu kurz. EUDI ist weder das Eine noch das Andere, sondern ein bewusster Kompromiss zwischen konkurrierenden Rationalitäten – und genau darin liegt sowohl seine Stärke als auch seine strukturelle Schwäche.
Souveränität: Technologische Vision vs. rechtliche Realität
Um zu verstehen, warum EUDI kein reines SSI ist, muss man die Grundspannung zwischen technologischer Vision und institutioneller Wirklichkeit betrachten. Self-Sovereign Identity, wie sie in der Krypto- und Dezentralisierungscommunity verstanden wird, basiert auf einem radikalen Prinzip: Der Nutzer kontrolliert seine Identität vollständig, ohne Intermediäre, ohne zentrale Instanzen, ohne staatliche Gatekeeper. DIDs ermöglichen es, Identitätsanker selbst zu wählen, Credentials direkt zwischen Parteien zu verifizieren, und Trust-Netzwerke emergent aufzubauen.
EUDI folgt einer anderen Logik. Es priorisiert Rechtssicherheit, Haftbarkeit und Masseninteroperabilität. Die EU-Trust Lists definieren, wer qualifizierte Aussteller sein darf. QTSPs werden zur zwischengeschalteten Kontrollinstanz. Die selektive Freigabe von Daten liegt zwar beim Nutzer, aber die grundlegende Architektur – wer welche Credentials ausstellen darf – ist staatlich vordefiniert. Das ist nicht SSI, sondern ein föderiertes Identity-Modell mit SSI-Elementen.
Ist das ein Scheitern? Nur, wenn man reine SSI als Maßstab anlegt. Betrachtet man EUDI hingegen als Versuch, die Vorteile dezentraler Identität mit den Anforderungen einer rechtsstaatlichen Infrastruktur zu verbinden, ergibt sich ein anderes Bild. Die Frage nach Haftung – wer garantiert, dass ein Credential echt ist? – ist keine ideologische Spitzfindigkeit, sondern eine praktische Notwendigkeit für Bankgeschäfte, Behördengänge, Vertragsabschlüsse. Reine SSI-Systeme haben diese Frage bislang nicht überzeugend gelöst. EUDI löst sie durch institutionelle Verankerung – auf Kosten der Dezentralität, gewiss, aber mit messbarem Nutzen für die Massenadoption.
Die Governance-Falle: Europas strukturelles Dilemma
Dennoch bleibt ein unbehagliches Gefühl. Denn EUDI ist symptomatisch für ein Muster, das in der europäischen Digitalstrategie immer wieder auftaucht: Governance vor Architektur. Gaia-X sollte eine europäische Cloud-Infrastruktur schaffen, endete aber als komplexes Konsortium ohne echte Anwendungsfälle. Die EUDI droht, in eine ähnliche Falle zu tappen – nicht durch technisches Versagen, sondern durch regulatorische Überfrachtung.
Das Problem liegt in der europäischen Logik der Vorab-Standardisierung. Während die USA und China Plattformen experimentieren lassen und später Leitplanken setzen, versucht die EU, Standards zu definieren, bevor die Technologie ausgereift ist. Das verlangsamt nicht nur Innovation, es schließt auch Entwicklungspfade aus, die sich später als überlegen erweisen könnten. EUDI hätte DIDs als optionale Erweiterung zulassen können – stattdessen setzt es auf issuergebundene Identifier. Das ist keine technische Notwendigkeit, sondern politische Risikoscheu.
Die Gefahr ist nicht, dass EUDI scheitert – es wird kommen, zu viel politisches Kapital ist investiert. Die Gefahr ist, dass es ein geschlossenes Ökosystem wird, das zwar innerhalb der EU funktioniert, aber global irrelevant bleibt. Wenn nur EU-Trust Lists gelten, entsteht ein regulatorischer Lock-in. Banken, Fintechs, Plattformen werden von staatlich kontrollierter Infrastruktur abhängig, können aber nicht mit anderen Identity-Standards interagieren. Das ist kein…