Altersverifikation EU: Die „Wallet“ erfordert Android oder iOS – eine politische Schiene getarnt als Spezifikation

In einfachen Worten. Die Diskussion #19 des Repos eu-digital-identity-wallet (14. Juli 2026) dokumentiert, dass die Spezifikation der europäischen Altersverifizierungs-"Wallet", auf die sich mehrere Mitgliedstaaten stützen werden, de facto ein offizielles mobiles Betriebssystem - Android oder iOS - erfordert. Es ist keine Kompatibilität mit einem alternativen Betriebssystem wie GrapheneOS oder einem Desktop vorgesehen.

Das Thema scheint technisch zu sein, es ist jedoch eminent politisch. Die Wallet, die als "neutrales Werkzeug" zur Anwendung der neuen Online-Altersregeln (einschließlich der EU-Ankündigung zu sozialen Netzwerken für Minderjährige) präsentiert wird, stützt sich auf Mechanismen zur materiellen Bescheinigung, die nur in zwei kommerziellen Betriebssystemen verfügbar sind. Die Autoren der Spezifikation nehmen den Trade-off in Kauf: Die kryptographische Sicherheit der Bescheinigung geht vor die Interoperabilität.

Das konkrete Ergebnis: Es ist unmöglich, das Alter online von einem Standardcomputer oder einem alternativen Smartphone aus zu überprüfen. Ein europäischer Bürger ohne Smartphone (ein nicht zu vernachlässigender Anteil, je nach Land, höher bei Senioren) wird de facto von den Diensten ausgeschlossen, die eine Altersverifizierung erfordern. Auch ein Nutzer von GrapheneOS oder einem Desktop-Linux wird ausgeschlossen.

Drei Interpretationen koexistieren. Eins - es ist eine technische Einschränkung, die mittelfristig lösbar ist (Erweiterung des Protokolls). Zwei - es ist eine implizite Wahl zugunsten der Betriebssystem-Duopole, die die Macht von Apple und Google stärkt, gerade in dem Moment, in dem der DMA sie ins Visier nimmt. Drei - es ist der Preis der starken Bescheinigung: Ohne ein zertifiziertes TEE kann nicht garantiert werden, dass ein Alters-Token nicht gefälscht wird.

Under the hood - Die Spezifikation stützt sich auf Primitive vom Typ Play Integrity API (Android) und App Attest (iOS). Diese Primitive bescheinigen, dass die App auf einem nicht modifizierten Betriebssystem läuft, auf Hardware, die von Google oder Apple validiert wurde. Ohne sie bricht das gesamte kryptographische Gebäude zusammen: Das Alters-Token kann gefälscht werden. Äquivalente hardwaregestützte Primitive existieren in FIDO2 erweitert, aber sie sind noch nicht standardisiert und in Europa nicht im Einsatz.

So what. Die Schlacht wird um den Namen eines technischen Standards ausgetragen, aber die Frage ist makro: Die europäische Identitätsinfrastruktur wird mit einem ausländischen Betriebssystem-Duopol als Abhängigkeit in Beton gegossen. Für die EU-Regulierer gibt es zwei Optionen: die Spezifikation erweitern (kostspielig, langer Zeitplan) oder die Abhängigkeit akzeptieren (politisch heikel im Zeitalter des DMA). Für Identitäts-Startups, die auf eine "hardware-agnostische" Wallet gesetzt haben, bedeutet dies 12-18 verlorene Monate. Zu beobachten: die Antwort der Kommission und die Positionen von Frankreich (das eine souveräne Stack über France Connect+ vorantreibt) und Deutschland.