Gefälschte EUDI-Wallet-Apps könnten für Kriminelle besonders attraktiv werden, weil die künftige Anwendung nicht nur Anmeldedaten, sondern digitale Identitätsnachweise, Altersbestätigungen und weitere persönliche Dokumente verwalten soll. Wie die Redaktion von Techify.de. Die echte EUDI-Wallet wird sich jedoch nicht allein an ihrem Namen, Logo oder der Platzierung im App-Store erkennen lassen: Entscheidend werden die staatlich bestätigte Herkunft, die Zertifizierung, das EU-Vertrauenszeichen und der Abgleich mit einer offiziellen Liste zertifizierter Wallets sein.
Deutschland plant die Bereitstellung seiner staatlichen Wallet nach Angaben des Bundesdigitalministeriums für Januar 2027, während die EU-Mitgliedstaaten grundsätzlich verpflichtet sind, bis Ende 2026 mindestens eine EUDI-Wallet anzubieten. Bis zur offiziellen Veröffentlichung sollten Nutzer daher keine App installieren, die bereits mit angeblichem „EUDI-Zugang“, „EU-Ausweis-Aktivierung“ oder vorzeitiger Registrierung wirbt.
Die EUDI-Wallet soll eine europaweit einsetzbare digitale Brieftasche werden. Bürgerinnen und Bürger sollen damit ihre Identität online und offline nachweisen, ausgewählte persönliche Angaben übermitteln, Dokumente verwalten und elektronische Signaturen nutzen können. Die deutsche Anwendung soll freiwillig und kostenlos bleiben; bestehende analoge Möglichkeiten sollen weiterhin verfügbar sein.
„Die EUDI-Wallet hat das Potenzial, der Beginn von etwas Großem zu sein.“
(Bundesdigitalminister Karsten Wildberger, EUDI ON 2026 in Berlin am 25. Juni 2026)
Warum gefälschte EUDI-Wallet-Apps ein besonders hohes Risiko darstellen
Eine gefälschte Wallet-App müsste technisch nicht alle Funktionen des echten digitalen Ausweises nachbilden. Für einen erfolgreichen Angriff könnte bereits eine professionell gestaltete Oberfläche genügen, die Nutzer zur Eingabe ihrer Personalausweis-PIN, zur NFC-Erfassung des Ausweises, zur Aufnahme eines Selfies oder zum Hochladen von Dokumenten auffordert.
Auch eine App, die nach der Installation lediglich eine Fehlermeldung zeigt, könnte im Hintergrund Kontaktdaten, Geräteinformationen, Zwischenablagen oder Benachrichtigungen auslesen. Besonders kritisch wären missbrauchte Bedienungshilfen unter Android, weil darüber Bildschirminhalte erfasst und Eingaben automatisiert werden können.
Kriminelle könnten die Anwendung außerdem mit Phishing-Seiten kombinieren. Ein QR-Code in einer E-Mail, einer SMS, einem Brief oder auf einem manipulierten Behördenplakat könnte zu einer gefälschten Download-Seite führen. Dass QR-Codes reale Internetadressen verschleiern können, zeigt bereits die Angriffsmethode, die im Beitrag über gefälschte Zahlungsseiten hinter QR-Codes beschrieben wird.
Das Aussehen einer App ist kein Echtheitsnachweis. Logos, Screenshots, EU-Sterne, Bundesadler und positive Bewertungen lassen sich kopieren oder künstlich erzeugen. Selbst die Veröffentlichung in einem offiziellen App-Store bedeutet lediglich, dass die Anwendung dessen Prüfprozess durchlaufen hat; sie beweist nicht automatisch, dass eine staatliche Stelle die App herausgibt.
Mögliche Angriffsziele wären:
- Personalausweis-PIN und Transport-PIN;
- Fotos oder Scans von Ausweis und Reisepass;
- Name, Anschrift, Geburtsdatum und Ausweisnummer;
- Video- oder Selfie-Aufnahmen für Identitätsprüfungen;
- Bank-, Steuer- oder Versicherungsdaten;
- Zugangsdaten für BundID, E-Mail-Konten oder Onlinebanking;
- Wiederherstellungscodes und Sicherheitsfragen;
- NFC-Kommunikation zwischen Smartphone und Ausweis;
- SMS-Codes, Push-Bestätigungen oder Passwörter;
- vollständige Geräteübernahme über Fernwartungssoftware.
Eine gefälschte Anwendung könnte diese Daten nicht nur für einzelne Kontoübernahmen verwenden. Zusammengesetzte Identitätsprofile eignen sich auch für Kreditbetrug, die Eröffnung fremder Konten, Vertragsabschlüsse, SIM-Swapping und gezielte Social-Engineering-Angriffe.
Woran die echte EUDI-Wallet erkennbar sein soll
Die europäische EUDI-Verordnung sieht nicht vor, dass jede beliebige Identitäts-App den Status einer EUDI-Wallet beanspruchen darf. Wallet-Lösungen müssen definierte technische, funktionale und sicherheitsbezogene Anforderungen erfüllen und durch dafür vorgesehene Konformitätsbewertungsstellen zertifiziert werden.
Ein wesentliches Erkennungsmerkmal wird das EU Digital Identity Wallet Trust Mark sein. Dieses Vertrauenszeichen soll klar und einheitlich anzeigen, dass eine Wallet nach den Vorgaben des europäischen Identitätsrahmens bereitgestellt wurde. Nationale Zertifizierungssysteme sollen für diese Funktion keine konkurrierenden Konformitätszeichen entwickeln.
Das Zeichen allein reicht jedoch nicht aus. Eine gefälschte App kann eine sichtbare Grafik kopieren. Die Wallet muss deshalb zusätzlich eine technische Möglichkeit bieten, über einen von der Europäischen Kommission bereitgestellten Link den tatsächlichen Zertifizierungsstatus der konkreten Wallet-Lösung zu kontrollieren. Die EU-Regelungen verknüpfen das Trust Mark ausdrücklich mit der Liste zertifizierter europäischer Wallets.
Die wichtigsten Prüfpunkte im Überblick
| Prüfmerkmal | Echte EUDI-Wallet | Verdächtige oder gefälschte App |
|---|---|---|
| Veröffentlichung | Über offizielle staatliche Informationsseite angekündigt | Link kommt ausschließlich per Werbung, SMS oder Messenger |
| Anbieter | Klar benannte Behörde oder offiziell bestätigter Wallet-Anbieter | Unbekannte Firma, Privatperson oder ähnlich klingender Name |
| Zertifizierung | In offizieller EU-Liste beziehungsweise nationaler Bekanntmachung nachprüfbar | Nur ein Logo oder unbelegtes „EU Certified“-Versprechen |
| Trust Mark | Mit technischer Zertifikatsprüfung verbunden | Lediglich als Bild in App oder Werbung eingeblendet |
| Download | Verlinkung über staatliche Domain zum offiziellen App-Store | APK-Datei, Downloadportal oder QR-Code unbekannter Herkunft |
| Kosten | Staatliche deutsche Wallet kostenlos | Aktivierungsgebühr, Abonnement oder „Premium-Verifizierung“ |
| Zugangsdaten | Keine Weitergabe von PIN, Passwort oder TAN an Support | Support fordert PIN, TAN, Fernzugriff oder Wiederherstellungscode |
| Berechtigungen | Auf den konkreten Zweck begrenzte Zugriffe | Kontakte, SMS, Bedienungshilfen oder Gerätesteuerung ohne nachvollziehbaren Grund |
| Aktualisierungen | Über den offiziellen App-Store und dokumentierten Anbieter | Manuelles Update über Datei oder externen Link |
| Widerruf | Zertifikatsstatus kann geprüft und aufgehoben werden | Keine überprüfbare Zertifikats- oder Anbieterinformation |
Die Europäische Kommission hat außerdem Regeln für eine maschinenlesbare Liste zertifizierter EUDI-Wallets beschlossen. Mitgliedstaaten müssen Informationen über bereitgestellte und zertifizierte Lösungen an die Kommission sowie an die zuständige europäische Kooperationsgruppe übermitteln. Wird eine Zertifizierung aufgehoben, muss dieser Status ebenfalls berücksichtigt werden.
„Member States will make wallets available to every citizen, resident and business by the end of 2026.“
(Europäische Kommission, Informationsseite zur europäischen digitalen Identität)
Der Herausgebername muss exakt stimmen
Vor der Installation sollten Nutzer den Entwicklernamen im App-Store vollständig öffnen und mit der offiziellen Bekanntmachung des Bundes abgleichen. Ein Name wie „European ID Service“, „EUDI Deutschland GmbH“ oder „EU Wallet Authority“ kann amtlich wirken, ohne zu einer Behörde zu gehören.
Auch einzelne Buchstaben, Bindestriche und Länderangaben sind relevant. Betrüger registrieren häufig Namen, die sich nur geringfügig vom Original unterscheiden. Ähnliche Methoden werden bei gefälschten Webseiten, Onlinebanking-Portalen und angeblichen Paketdiensten eingesetzt.
Die App-Store-Seite sollte zusätzlich folgende Angaben enthalten:
- nachvollziehbare Anbieteradresse;
- offizieller Supportkontakt;
- verlinkte Datenschutzerklärung;
- eindeutige Versionsnummer;
- dokumentiertes Aktualisierungsdatum;
- Angaben zu erforderlichen Betriebssystemversionen;
- konsistente Verlinkung zur staatlichen Projektseite;
- keine Werbeversprechen zu sofortigen Geldzahlungen oder Sonderleistungen.
Bewertungen sind nur ein ergänzendes Signal. Eine neue staatliche Anwendung kann zunächst wenige Rezensionen besitzen, während eine betrügerische App Bewertungen kaufen oder aus einer zuvor anders genutzten Anwendung übernehmen kann.
Was Deutschland bisher zur Veröffentlichung mitgeteilt hat
Das Bundesministerium für Digitales und Staatsmodernisierung führt das deutsche EUDI-Wallet-Projekt gemeinsam mit weiteren Partnern, darunter der Bundesagentur für Sprunginnovationen SPRIND und dem Bundesamt für Sicherheit in der Informationstechnik. Im Januar 2026 startete der Bund eine Sandbox, in der Unternehmen und öffentliche Stellen Anwendungen und Schnittstellen für das künftige Wallet-Ökosystem erproben können.
Nach Angaben des Bundesdigitalministers soll die deutsche Wallet im Januar 2027 einsatzbereit sein. Diese nationale Zeitangabe ist konkreter als die allgemeine europäische Vorgabe, nach der die Mitgliedstaaten ihre Wallets bis Ende 2026 bereitstellen müssen. Für Nutzer folgt daraus: Eine bereits Monate vorher angebotene vermeintlich fertige „deutsche EUDI-Wallet“ muss besonders kritisch geprüft werden.
Alternative Anbieter sollen ihre Lösungen in Deutschland ebenfalls zertifizieren lassen können. Nach der derzeitigen Planung soll diese Möglichkeit jedoch erst ungefähr zwölf Monate nach Einführung der staatlichen Wallet bereitstehen. Eine private App, die bereits vor dem offiziellen Start mit einer vollständigen deutschen EUDI-Zertifizierung wirbt, würde daher nicht zum aktuell veröffentlichten Zeitplan passen.
„Die Wallet wird im Januar 27 einsatzbereit sein.“
(Karsten Wildberger, Rede auf der re:publica am 22. Mai 2026)
Die staatliche Anwendung soll kostenlos und freiwillig nutzbar sein. Niemand muss für eine „Freischaltung“, eine beschleunigte Registrierung oder die Ausstellung einer angeblichen EU-ID bezahlen. Analoge Identitäts- und Verwaltungswege sollen fortbestehen.
Was beim offiziellen Start kontrolliert werden sollte
- Die Nachricht über die Veröffentlichung auf einer offiziellen Bundes- oder EU-Seite öffnen.
- Den App-Store-Link ausschließlich von dieser Seite aus aufrufen.
- Anbietername, App-Name und Logo mit der Bekanntmachung vergleichen.
- Zertifizierungsstatus über die offizielle EU-Prüffunktion kontrollieren.
- App-Berechtigungen vor der Installation lesen.
- Keine APK-Dateien oder Konfigurationsprofile aus E-Mails installieren.
- Keine PIN, TAN oder Wiederherstellungscodes an angebliche Supportmitarbeiter übermitteln.
- Sicherheitsupdates für Smartphone und App zeitnah installieren.
- Gerätecode, biometrische Sperre und App-Store-Kontoschutz aktivieren.
- Bei Abweichungen die Installation abbrechen und die zuständige Stelle informieren.
Wer sein Smartphone generell gegen Kontenübernahmen absichern möchte, sollte zusätzlich die Hinweise zum Schutz von Apple Account, Banking-Apps und SIM-Karte nach einem Gerätediebstahl berücksichtigen. Die dort beschriebenen Risiken durch Phishing, fremde SIM-Karten und kompromittierte Konten betreffen auch digitale Identitätsanwendungen.
Diese Warnzeichen sprechen für eine gefälschte Wallet-App
Gefälschte Anwendungen arbeiten häufig mit Zeitdruck. Nutzer sollen angeblich sofort handeln, weil ihr digitaler Ausweis sonst deaktiviert werde, eine Frist ende oder eine staatliche Leistung nicht ausgezahlt werden könne.
Die echte Wallet dürfte zwar Benachrichtigungen zu notwendigen Vorgängen anzeigen. Eine Behörde wird jedoch nicht über einen zufälligen Messenger-Account verlangen, dass eine neue App per externer Datei installiert und anschließend die Ausweis-PIN übermittelt wird.
Kritische Warnsignale sind:
- „EUDI Wallet jetzt vorab aktivieren“;
- „Digitaler Personalausweis läuft heute ab“;
- „Identität bestätigen, sonst wird das Bankkonto gesperrt“;
- Download einer
.apk-,.ipa– oder Konfigurationsdatei; - Installation außerhalb von Google Play oder Apple App Store;
- Aufforderung zur Freigabe der Bedienungshilfen;
- Forderung nach Bildschirmfreigabe oder Fernwartung;
- Eingabe der Personalausweis-PIN in einem Chat oder Webformular;
- Zahlung per Kryptowährung, Geschenkkarte oder Sofortüberweisung;
- Werbung mit staatlichen Zuschüssen nach der Installation;
- falsche Schreibweisen und wechselnde Absenderdomains;
- Support ausschließlich über Telegram oder WhatsApp;
- Zertifikatslogo ohne anklickbare Statusprüfung;
- unbekannter Entwickler trotz angeblich staatlicher App.
Ein Schloss-Symbol im Browser oder eine verschlüsselte HTTPS-Verbindung bestätigt nur die technische Verschlüsselung der Verbindung. Es beweist nicht, dass die Webseite einer Behörde gehört. Nutzer müssen die vollständige Domain und den Anbieter kontrollieren.
Welche Daten die Wallet tatsächlich preisgeben soll
Das Grundprinzip der EUDI-Wallet besteht nicht darin, bei jedem Vorgang den vollständigen digitalen Personalausweis zu übermitteln. Nutzer sollen gezielt nur die Informationen freigeben können, die für eine konkrete Transaktion erforderlich sind.
Beim Kauf eines altersbeschränkten Produkts könnte beispielsweise die Bestätigung „über 18“ genügen, ohne Name, Geburtsdatum und Anschrift offenzulegen. Dieses Verfahren wird als selektive Offenlegung bezeichnet. Die Wallet soll außerdem transparent machen, welche Daten wann und gegenüber welcher Stelle verwendet wurden.
„Any personal data will be shared online only if the citizen chooses to share that information.“
(Europäische Kommission, Fragen und Antworten zur digitalen Identität)
Eine App, die pauschal Zugriff auf alle gespeicherten Dokumente verlangt oder jede Identitätsprüfung mit einem vollständigen Datensatz verbindet, sollte deshalb kritisch betrachtet werden. Gleiches gilt, wenn nicht erkennbar ist, wer die Daten anfordert und zu welchem Zweck sie verwendet werden.
Vor einer Freigabe sollten Nutzer prüfen:
| Frage | Warum sie relevant ist |
|---|---|
| Wer fordert die Daten an? | Verhindert die Weitergabe an unbekannte oder imitierte Dienste |
| Welche Attribute werden verlangt? | Zeigt, ob die Datenmenge zum Zweck passt |
| Wofür werden sie benötigt? | Erlaubt eine sachliche Prüfung der Anfrage |
| Ist die Anfrage zeitlich begrenzt? | Reduziert dauerhafte oder wiederverwendbare Zugriffe |
| Kann die Freigabe abgebrochen werden? | Sichert die Kontrolle vor der Übermittlung |
| Wird eine Historie angezeigt? | Hilft, ungewöhnliche Zugriffe später zu erkennen |
| Ist der Empfänger registriert? | Erleichtert den Abgleich mit vertrauenswürdigen Stellen |
Die EUDI-Regeln sehen außerdem die Registrierung sogenannter vertrauender Parteien vor. Das sind Behörden, Unternehmen oder andere Dienste, die Nachweise aus der Wallet anfordern. Nationale Register sollen dafür sorgen, dass solche Stellen nicht anonym oder ohne festgelegten Verwendungszweck auftreten.
Was Nutzer nach der Installation einer falschen App tun sollten
Wer eine mutmaßlich gefälschte EUDI-Wallet installiert hat, sollte die Anwendung nicht nur löschen. Zuerst muss geklärt werden, welche Berechtigungen erteilt und welche Daten eingegeben wurden.
Das Smartphone sollte möglichst über ein anderes, vertrauenswürdiges Gerät abgesichert werden. Wurden E-Mail-Passwörter, Bankdaten oder Zugangsdaten übertragen, müssen die betroffenen Konten unmittelbar geschützt werden.
Sofortmaßnahmen in sinnvoller Reihenfolge
- Flugmodus aktivieren, wenn die App noch läuft oder Daten überträgt.
- Screenshots von App-Name, Entwickler, Downloadseite und Nachrichten sichern.
- Erteilte Berechtigungen dokumentieren.
- App deinstallieren und unbekannte Geräteadministratoren entfernen.
- Bedienungshilfen, VPN-Profile und Konfigurationsprofile prüfen.
- Smartphone mit den integrierten Sicherheitsfunktionen kontrollieren.
- Betriebssystem und Sicherheitsupdates installieren.
- Passwörter über ein sauberes Gerät ändern.
- Aktive Sitzungen bei E-Mail, Bank und Cloud-Diensten beenden.
- Bank oder Zahlungsdienst bei übermittelten Finanzdaten informieren.
- Personalausweis-PIN ändern beziehungsweise sperren lassen, wenn sie offengelegt wurde.
- Strafanzeige erstatten, wenn Identitätsdaten oder Geld betroffen sind.
- Gefälschte App beim App-Store und bei der zuständigen Behörde melden.
- Kredit- und Vertragsaktivitäten in den folgenden Wochen kontrollieren.
Bei einem kompromittierten Haupt-E-Mail-Konto reicht die Änderung eines einzelnen Passworts nicht. Angreifer können über das Postfach weitere Konten zurücksetzen, Sicherheitswarnungen löschen oder neue Weiterleitungsregeln einrichten.
Auch das Smartphone selbst muss geprüft werden. Eine Anleitung zum kontrollierten Umgang mit verdächtigen Android-Anwendungen bietet der Beitrag darüber, warum inoffizielle APK-Dateien nach der Abschaltung eines Dienstes gefährlich sein können.
Häufige Fragen zur echten und gefälschten EUDI-Wallet
Gibt es die deutsche EUDI-Wallet bereits zum regulären Download?
Nach dem öffentlich genannten Zeitplan soll die deutsche staatliche Wallet im Januar 2027 einsatzbereit sein. Angebote, die schon vorher eine vollständig freigeschaltete deutsche EUDI-Wallet versprechen, sollten mit den offiziellen Angaben des Bundes abgeglichen werden.
Reicht das EU-Logo aus, um eine echte Wallet zu erkennen?
Nein. Logos und grafische Vertrauenszeichen können kopiert werden. Maßgeblich ist, ob der Zertifizierungsstatus der konkreten Wallet über die vorgesehene offizielle EU-Funktion und die Liste zertifizierter Lösungen überprüft werden kann.
Wird die deutsche EUDI-Wallet kostenpflichtig?
Die staatliche deutsche App soll kostenlos und freiwillig nutzbar sein. Forderungen nach einer Aktivierungs-, Registrierungs- oder Jahresgebühr wären deshalb ein erhebliches Warnsignal.
Darf eine echte Wallet nach der Personalausweis-PIN fragen?
Für die Nutzung der Online-Ausweisfunktion kann eine PIN-Eingabe technisch erforderlich sein. Sie darf jedoch nicht per E-Mail, Chat, Telefon oder Supportformular abgefragt werden. Nutzer sollten die PIN ausschließlich innerhalb des nachvollziehbaren offiziellen Identifizierungsvorgangs eingeben.
Kann es mehrere echte EUDI-Wallets geben?
Ja. Die europäische Regelung ermöglicht zertifizierte Wallet-Lösungen verschiedener Anbieter. Deutschland plant zunächst eine staatliche Wallet; alternative Anbieter sollen nach aktueller Planung ungefähr zwölf Monate später eine Zertifizierung und offizielle Anerkennung beantragen können.
Was ist der sicherste Downloadweg?
Der sicherste Weg führt von einer offiziellen Seite des Bundes oder der Europäischen Union direkt zur App-Store-Seite. Suchmaschinenanzeigen, QR-Codes aus Briefen, Messenger-Links und externe APK-Portale sollten nicht als Ausgangspunkt verwendet werden.
Sie können dies und weitere nützliche Informationen auf unserer Website nachlesen. Wir empfehlen Ihnen außerdem die Lektüre folgender Artikel: Android-Handy wechselt ständig zwischen WLAN und mobilen Daten: Diese Einstellung ist der Grund
