Unabhängige Prüfungen sollen Risiken vor dem Start aufdecken
Berlin. Die staatliche EUDI-Wallet d-you soll vor ihrem geplanten Start am 2. Januar 2027 auch durch unabhängige Sicherheitsforschung auf Schwachstellen geprüft werden. Dazu läuft seit Mitte September 2026 ein öffentliches Bug-Bounty-Programm. Nach Angaben des Bundesministeriums für Digitales und Staatsmodernisierung (BMDS) können Fachleute Sicherheitslücken über die Plattform HackerOne melden und für bestätigte Funde Prämien erhalten.
Im Mittelpunkt stehen mögliche Identitätsvortäuschungen, die unbefugte Offenlegung von Identitätsdaten oder Nachweisen und die gefälschte Ausstellung digitaler Nachweise. Die Vergütung richtet sich nach Schwere und Auswirkung der bestätigten Schwachstelle. Für außergewöhnlich schwerwiegende Sicherheitslücken sind derzeit zwischen 15.000 und 40.000 US-Dollar vorgesehen.
Prüfumfang wird schrittweise erweitert
Zunächst finden die Prüfungen in einer Testumgebung mit virtuellen Testidentitäten statt. Der aktuelle Prüfumfang umfasst zentrale Komponenten der d-you-App für Android und iOS sowie das zugehörige Backend.
In den kommenden Wochen soll das Programm auf alle Komponenten des EUDI-Wallet-Ökosystems ausgeweitet werden. Später hinzukommen sollen unter anderem der PID-Provider, der EUDI Hub DE, die EUDI Check DE App und die Wallet Revocation Website. Maßgeblich für zulässige Prüfungen ist der jeweils auf HackerOne veröffentlichte Umfang, den das nationale EUDI-Wallet-Projekt fortlaufend aktualisiert.
Auch Sicherheitslücken in der Produktivumgebung sollen über das Programm gemeldet werden können. Diese Umgebung wird nach Angaben des Ministeriums mit dem Start von d-you bereitgestellt.
Meldungen werden technisch geprüft und bewertet
HackerOne übernimmt die Entgegennahme der Hinweise, eine erste technische Prüfung und die Kommunikation mit den Sicherheitsforschenden. Auch die Auszahlung der Prämien wird über die Plattform abgewickelt. Common Codes bewertet die gemeldeten Lücken abschließend, bestimmt die Prämienhöhe und koordiniert ihre Behebung.
Dr. Markus Richter, Staatssekretär im Bundesministerium für Digitales und Staatsmodernisierung, erklärt: „Sicherheit ist eine Voraussetzung für Vertrauen in digitale Identitäten und Nachweise. Deshalb öffnen wir die staatliche EUDI-Wallet d-you und das EUDI-Wallet-Ökosystem zusätzlich aktiv für die unabhängige Sicherheitsforschung. Mit dem öffentlichen Bug-Bounty-Programm schaffen wir einen strukturierten Weg, um potenzielle Schwachstellen frühzeitig zu erkennen, verantwortungsvoll zu melden und vor dem geplanten Start von d-you gemeinsam zu beheben.“
Das Programm ergänzt die internen Prüfungen und die bestehenden Sicherheitsmaßnahmen. Das Ministerium will damit zusätzliche unabhängige Expertise einbeziehen und mögliche Risiken frühzeitig erkennen lassen.
Informationen zu Teilnahmebedingungen, freigegebenen Komponenten, Meldeverfahren und Prämien stehen auf der Programmseite bei HackerOne.
Text mit KI-Unterstützung erstellt und redaktionell geprüft.
