Der Generalschlüssel

Es begann mit einem Zettel.

Nicht mit einer App. Nicht mit einem Barcode. Mit einem Zettel auf einem Restauranttresen, auf dem Gäste handschriftlich ihren Namen, ihre Adresse und ihre Telefonnummer eintrugen — sichtbar für jeden Nachfolger, ohne technische Sicherung, ohne wirksame Kontrolle.

Das war 2020. Was seitdem passiert ist, folgt einer Logik, die man erst erkennt, wenn man die Schritte nebeneinanderlegt.

Schritt 1: Der Zettel (2020)

Die Kontaktdatenpflicht entstand aus einer politischen Entscheidung, nicht aus einem epidemiologischen Nachweis. Sie legte Gastronomen und Veranstaltern eine Pflicht auf — ohne Infrastruktur, ohne Datenschutz, ohne Wirkungsbeleg.

Was sie schuf: die Gewohnheit. Wer essen, trinken oder ausgehen wollte, meldete seine Identität. Das war neu. Nicht als Gesetz — als Praxis. Als Selbstverständlichkeit.

Und bereits diese Zettel nutzte die Polizei für eigene Ermittlungen — in mehreren Fällen, ohne gesetzliche Grundlage. Der Datenmissbrauch begann, bevor es eine einzige App gab.

Schritt 2: Der QR-Code (2021)

Dann kam die Luca-App. Derselbe Vorgang, digitalisiert. Name, Adresse, Telefonnummer — nicht mehr auf Papier, sondern auf Servern eines privaten Unternehmens. Smartphone raus. QR-Code scannen. Eingecheckt.

13 von 16 Bundesländern kauften Lizenzen, ohne reguläre Ausschreibung, für zusammen mehr als 30 Millionen Euro. Was dabei nebenbei normalisiert wurde: der Barcode am Eingang. Der Scan als Eintrittsbedingung. Nicht als Ausnahme — als Routine.

Und dann, im Dezember 2021 in Mainz, das, was technisch immer möglich gewesen war: Die Polizei fragte beim Gesundheitsamt die Luca-Daten einer Kneipe ab. Das Gesundheitsamt lieferte. Das Gesetz verbot es ausdrücklich. Es passierte trotzdem.

Die Staatsanwaltschaft räumte ein: illegal. Die Infrastruktur hatte es ermöglicht.

Schritt 3: Der Schlaf (2022–2024)

Die Kündigungswelle rollte. Die App wurde eingestellt. Die Debatte verstummte.

Aber die Infrastruktur schlief nur.

Die Betreiber hatten die Marke „Luca" bereits früh für Zutrittskontrolle, Besuchermanagement, Ticketing und politische Veranstaltungen eintragen lassen. Steuergelder hatten die Nutzerbasis aufgebaut. Das Netz aus Gesundheitsämtern, Lokalbetreibern und App-Servern existierte — wartend.

Parallel lief die Corona-Warn-App in den „Ruhemodus". Der bayerische Gesundheitsminister wollte sie „nicht einfach auslaufen lassen". SAP und Telekom, beide am Betrieb beteiligt, sprachen öffentlich von einer Weiterentwicklung zur allgemeinen Gesundheits-App. Konkrete Pläne: keine. Die Begehrlichkeiten: dokumentiert.

Schritt 4: Die Wallet (ab 2026)

Während Luca schläft, baut Europa etwas Neues. Die European Digital Identity Wallet — EUDI-Wallet — soll ab 2026 in allen EU-Mitgliedsstaaten verfügbar sein.

Das Bundesdigitalministerium beschreibt sie so: Personalausweis, Führerschein, Zeugnisse, Bankdaten — alles in einer staatlich anerkannten App. Einmal ausweisen, Verträge unterschreiben, Nachweise vorlegen, Dienste nutzen. Online wie offline.

Das klingt nach Vereinfachung. Es ist auch etwas anderes: eine Infrastruktur, in der Identität, Bewegung und Transaktion an einem einzigen digitalen Punkt zusammenlaufen — staatlich getragen, europaweit gültig, auf dem Smartphone.

Der Referentenentwurf des zuständigen Ministeriums wurde im Frühjahr 2026 vorgelegt. Wer ihn liest, findet dort den Satz: Es geht um „nicht weniger als den digitalen Generalschlüssel für unser Leben."

Das schrieb nicht ein Kritiker. Das schrieb das Ministerium selbst.

Was die vier Schritte gemeinsam haben

Zettel. QR-Code. Schlaf. Wallet.

Kein Schritt war für sich genommen eine Revolution. Jeder einzelne ließ sich erklären — mit Dringlichkeit, mit Vereinfachung, mit Modernisierung. Und jeder Schritt hinterließ etwas, das der nächste Schritt voraussetzte:

Der Zettel normalisierte die Identifikationspflicht beim Betreten öffentlicher Räume. Der QR-Code digitalisierte sie und zentralisierte die Daten. Der Polizeizugriff zeigte, was mit zentralisierten Daten geschieht, wenn niemand technisch verhindert, dass sie zweckentfremdet werden. Die Wallet fasst alles zusammen — in einem System, das europaweit gilt.

Keine Verschwörung. Kein böser Plan. Nur Infrastruktur.

Die entscheidende Frage

Infrastrukturen sind nicht neutral. Sie entscheiden, was möglich ist — nicht was passiert, aber was passieren kann.

Die Zettel machten Polizeizugriffe möglich. Die Luca-App machte sie einfacher. Die EUDI-Wallet schafft eine Infrastruktur, in der Identität, Bewegung, Gesundheitsdaten und Transaktionen verknüpft werden können — und in der die Frage, wer unter welchen Bedingungen auf was zugreifen darf, von Gesetzen abhängt, die sich ändern lassen.

Das Infektionsschutzgesetz hatte den Polizeizugriff auf Luca-Daten ausdrücklich verboten. Er passierte trotzdem.

Das ist keine Prognose für das, was mit der EUDI-Wallet geschehen wird. Es ist eine Erinnerung daran, was mit der Luca-App geschehen ist.

Wer Infrastrukturen baut, baut Möglichkeiten. Was mit diesen Möglichkeiten gemacht wird, entscheiden Menschen — in Behörden, in Ausnahmesituationen, unter Druck.

Die Geschichte der letzten fünf Jahre gibt Hinweise darauf, wie diese Entscheidungen in der Praxis fallen.

Was das bedeutet

Nichts davon bedeutet, dass digitale Identitäten grundsätzlich falsch sind. Dezentrale, datenschutzkonforme Lösungen existieren — technisch sind sie möglich, wie die Corona-Warn-App gezeigt hat.

Die Frage ist nicht Ja oder Nein zur Digitalisierung. Die Frage ist: Welche Architektur? Zentral oder dezentral? Mit oder ohne technische Sperren gegen Zweckentfremdung? Mit oder ohne unabhängige Kontrolle?

Diese Fragen werden gerade entschieden — in Referentenentwürfen, in Ausschüssen, in Prozessen, die die meisten Menschen nicht verfolgen.

Der Zettel von 2020 und die Wallet von 2026 liegen fünf Jahre auseinander. Die Logik, die sie verbindet, ist dieselbe geblieben.

Dies ist der dritte Teil einer Serie. Teil 1: 220 Millionen. Keine Daten. Kriegen wir hin. — Teil 2: Die Luca-App