Wenn die Tokens keine identifizierbaren Informationen enthalten sollen, dann muss die Tokengenerierung für alle Leute gleich sein. Dann kann die Generierung reverse-engineered werden, was nur dazu führt, dass Schüler auf dem Pausenhof jetzt Tokrngeneratoren tauschen.

Nicht korrekt. Die Tokens sind durch den IdP signiert. Niemand ausser des IdP kann eine solche Signatur erstellen.

https://en.m.wikipedia.org/wiki/Elliptic_Curve_Digital_Signature_Algorithm

Es geht weiter mit dem IdP. Wo sitzt der denn? Sitzt der beim Staat? Dann muss der Staat eine Datenbank vorhalten, mit denen er deine Anmeldedaten abgleichen kann. Diese Datenbank wird bestimmt auch überhaupt nicht gehackt oder geleaked.

Auch nicht. Es reicht, dass dir ein Zertifikat ausgestellt wird, mit welchem du dich beim IdP anmeldest. Das enthält eine Zufallsnummer, die dich mit deinen Daten verbindet. Knackt jemand den IdP, bekommt er nur Nummern in Verbindung mit Geburtstagen.

Die Verifizierung ist der nächste Knackpunkt. Wie will man denn jedwede Website, Software und App dazu bekommen, die deutschen Token vernünftig verarbeiten zu können? Die großen Spieler werden das vielleicht machen können, aber viele kleinere werden das nicht, und wenn die nicht in der EU sitzen, dann wollen die das vielleicht auch einfach nicht.

Gesetze müssen befolgt werden. Auf technischer Ebene könnte man OIDC und JWT oder PASETO nehmen, dafür gibts fix fertige Libraries, das ist trivial und bereits heute weit verbreitet.

Und überhaupt, mit deinem Vorschlag nimmt man immer noch 83% der Bevölkerung in Bürgehaft zu beweisen, dass sie volljährig sind, um 17% der Bevölkerung zu schützen.

Ich mache keine Aussagen darüber ob es eine gute Idee ist, nur dass es leicht zu implementieren ist ohne dass du einem Pornhub Mitarbeiter deinen Ausweis zeigen musst.