Sicherheitsforscher prüfen d-you und EUDI-Wallet-Ökosystem auf Schwachstellen

Öffentliches Bug-Bounty-Programm ermöglicht erstmalig unabhängige Sicherheitsprüfungen

Im Rahmen eines öffentlichen Bug-Bounty-Programms können unabhängige Sicherheitsforscherinnen und -forscher die d-you für Android und iOS und weitere Komponenten des EUDI-Wallet-Ökosystems auf relevante Schwachstellen prüfen. Hinweise lassen sich strukturiert über die Plattform HackerOne melden. Ziel ist es, potenzielle Sicherheitsrisiken gemeinsam und frühzeitig zu erkennen und vor dem geplanten Start der staatlichen Wallet am 2. Januar 2027 zu beheben.

Dr. Markus Richter, Staatssekretär im Bundesministerium für Digitales und Staatsmodernisierung:

„Sicherheit ist eine Voraussetzung für Vertrauen in digitale Identitäten und Nachweise. Deshalb öffnen wir die staatliche EUDI-Wallet d-you und das EUDI-Wallet-Ökosystem zusätzlich aktiv für die unabhängige Sicherheitsforschung. Mit dem öffentlichen Bug-Bounty-Programm schaffen wir einen strukturierten Weg, um potenzielle Schwachstellen frühzeitig zu erkennen, verantwortungsvoll zu melden und vor dem geplanten Start von d-you gemeinsam zu beheben.“

Die Prüfungen im Rahmen des Mitte September 2026 angelaufenen Programms starten in der Testumgebung des Ökosystems mit virtuellen Testidentitäten. Das Programm wird in den kommenden Wochen ausgeweitet auf alle Komponenten des Ökosystems. Auch Fehler in der Produktivumgebung, die mit dem Start von d-you bereitgestellt wird, können im Rahmen des Programms gemeldet werden.

Im Fokus stehen insbesondere mögliche Risiken durch Identitätsvortäuschung, die unbefugte Offenlegung von Identitätsdaten oder Nachweisen sowie die gefälschte Ausstellung digitaler Nachweise. Für bestätigte Sicherheitslücken werden, abhängig von ihrer Schwere und Auswirkung, Prämien vergeben. Für außergewöhnlich schwerwiegende Schwachstellen liegt die Prämienhöhe derzeit zwischen 15.000 und 40.000 US-Dollar.