Ab 01. November ist der elektronische Personalausweis (Marketingsprech: neuer Personalausweis) da. Pro-Tip: Bis Freitag kann man noch den alten Personalausweis zum vergünstigten Tarif ohne Abgabe von biometrischen Daten beantragen. Wir haben mal die den zehn wichtigsten Punkte zusammengefasst:
1.Der ePA mit seinem kleinen funkenden Chip unterscheidet zwei Hauptbereiche: hoheitliche Daten, sowie die elektronische Identifikation (eID) und die Signaturfunktion. Hoheitliche Daten sind zum Beispiel das digitale Lichtbild oder auch – aber die muss man nicht auf der Karte speichern lassen! – Fingerabdrücke. Darauf sollen nur amtliche Stellen zugreifen dürfen und es ist mindestens fraglich, dass die tatsächlich alle schon passende Lesegeräte zum Start haben.
2.Die zweite Rubrik sind die anderen Daten, die für „Internetfunktionen“ da sind. Das ist einmal die Ausweisfunktion (ich bin echt, ich bin der und der, ich bin so und so alt, ich bin dann und dann geboren, ich wohne da und dort). Die andere ist die sogenannte qualifizierte digitale Signatur. Mit der kann man theoretisch Dokumente unterschreiben, die Signaturzertifikate kommen aber nicht vom Bürgeramt, Bundesverwaltungsamt oder der Bundesdruckerei, sondern von anderen Anbietern.
3.Kosten? Der Ausweis kostet 28,80. Wenn man die Online-Ausweisfunktion nachträglich anschalten lässt, kostet das 6 Euro, gleicher Betrag wird beim Vergessen der sechsstelligen PIN fällig (dafür muss man zum Bürgeramt gehen).
4.Wozu? Mit dem ePA kann man sich gegenüber Anbietern ausweisen, die eine entsprechende Gegenstelle bilden – sprich: ein vom Bundesverwaltungsamt vergebenes Zertifikat mitbringen. Achtung: dass eine Seite ein solches Zertifikat besitzt, sagt nichts darüber aus, dass es sich dabei nicht um einen Abzocker handeln kann. Es handelt sich dabei nur um ein „auf Echtheit geprüftes Gegenüber“.
5.Lesegerät? Man benötigt ein entsprechendes Kartenlesegerät. Die billigen Lesegeräte (ca. 40 Euro) können nur die Ausweisfunktionen nutzen. Der Chaos Computer Club sagt außerdem, dass diese billigen Kartenleser potenziell unsicher sind. Will man jedoch – warum auch immer – auch die Signaturfunktion der Karte nutzen, braucht man ein teureres Gerät (Neusprech: Komfortlesegerät). Die Fingerabdrücke können nicht von privaten Lesegeräten ausgelesen werden und bieten keine zusätzliche Sicherheit. (Stand heute)
6.Software? Die notwendige Software zum Einsatz im Netz gibt es für Ubuntu, Debian, OpenSuse, MacOS am 10.4 und WindowsXP, Vista oder 7. Sie soll einem auch sagen, welche Informationen abgerufen werden und wer der zuständige betriebliche und wer der zuständige behördliche (in der Regel Landesbeauftragte) Datenschützer ist, bei dem man sich im Fall der Fälle beschweren kann.
7.Sind meine Daten denn nun mit dem Ding sicher? Die Daten, die über die Internetausweisfunktion bereitgestellt werden, sind so sicher wie alle anderen Daten, die man ins Netz pustet – nur staatlich geprüft echt. Für die hoheitlichen Daten: lassen wir uns mal überraschen.
8.Was mache ich, wenn ich das Ding verliere? Karte sperren lassen (0180-1-333333, wie auch immer man da die Identität für prüft), wenn man die qualifizierte elektronische Signatur nutzt auch beim Zertifikatanbieter anrufen und sperren lassen.
9.Was passiert, wenn ich umziehe? Dann kriegt die kleine Scheckkarte einen genau so tollen Aufkleber wie der bisherige Personalausweis. Die Daten auf der Karte werden digital geändert. Ob ich dafür ins Einwohnermeldeamt/Bürgeramt rennen muss, hängt derzeit vom Bundesland ab.
10.Was passiert, wenn ich den Ausweis aus Versehen mit dem Mittagessen in die Mikrowelle lege? Er bleibt gültig, wenn er nicht gerade ein großer Plastikklumpen geworden ist. Nur die elektronischen Funktionen und der Funkchip könnten etwas unter den kurzwelligen Einwirkungen leiden. Aber bitte nicht vorsätzlich machen, das Ding gehört ja schließlich nicht Euch, sondern bleibt Eigentum der Bundesrepublik Deutschland.
Vielen Dank für 10., lange nicht mehr so gelacht! =)
Natürlich lege ich aus Versehen meinen Ausweiß in die Mikrowelle und vergesse ihn dort für ein paar sek ;)
Aber zum Glück hab ich mir schon vor Wochen den alten geholt^^
Bei 10. entsteht wohl eine böse Stichflamme. Das Mittagessen ist dann ruiniert. Vermutlich auch die Mikrowelle.
Ich merke mir die Punkte mal für das Jahr 2020, wenn ich dann nicht vergesse, mir nen neuen Ausweis zu besorgen ;)
Uebrigens: In Holland hat ein Gericht die Gebuehr fuer den Personalausweis gekippt, da das Interesse des Staates hoeher lieg, dass seine Buerger des Ding haben als bei seinen Buergern.
…
Dumm nur, dass im Grunde *wir* der Staat sind. :-S
Endlich mal wieder ein ordentlicher Beitrag zum Thema.
Die Piraten sind ja völlig in Panik….
Vielleicht solltest du noch auf die Art des Chips hinweisen, Reichweite der Auslesbarkeit. Was die Zertifikate angeht, klar ist es nur eine Echtheitszertifizierung, aber man sollte darauf hinweisen, dass er vom Ausweis dann nur die Daten abrufen darf, die das Zertifikat erlaubt. Bei einer Onlinevideothek kann dann z.B. überprüft werden, ist der jenige der den Film XXX haben will, wirklich 18? Der ePerso fragt dann den Antragsteller, darf das gegenüber wissen, dass du über 18 bist, man selber stimmt dem zu und die Videothek bekommt nur ein „ja” und nicht einmal ein Geburtsdatum zurück. Das nenne ich Datensparsamkeit. Dass die Onlinevideothek gleichzeitig dabei z.B. ein Monatsabo zum Preis von 2000 € anbietet, darüber sagt das Zertifikat natürlich garnix. Aber zumindest wäre man dann in Zukunft z.B. vor Phishing geschützt. Eine falsche Bank wird sich bei der Funktion kaum als die echte ausweisen können, der eperso würde es merken.
Was die hoheitlichen Zertifikate angeht, die können ja, außer die biometrischen Daten, alles andere auf dem Ausweis sowieso lesen…. Da man den Ausweis aber nur aus 10 cm Entfernung auslesen kann, in der Brieftasche wirds noch weniger, müssten Behörden einen sowieso nach dem Ausweis fragen. Automatisches auslesen ist so garnicht möglich. Damit sparen sich Zoll, usw. nur Schreibarbeit, müssen alles nicht mehr abtippen, sondern lesen es kurz aus, gleichen es mit Datenbanken ab und löschen die Daten wieder, zumindest sind sie gesetzlich dazu verpflichtet.
Da die Daten von manchen Behörden sowieso bei den Meldebehörden abgefragt wersen dürfen, sollten gerade Piraten vielleicht darauf ihr Augenmerk legen…. Gerade Geheimdienste dürfen die Daten abfragen, während Meldebehörden nach ende des nächsten Jahres, die Notiz, welche Daten abgerufen wurden, wieder löschen müssen. Geheimdienste horten diese Daten sicherlich weiterhin….
Naja, Piraten hören das Wort RFID und schon sind sie dagegen und blind vor den wirklichen Gefahren….
Klar, vielleicht gibt es in Zukunft einen Zwang zur Onlineauthentifizierung, aber dann muss man darauf hinweisen und nicht mit Halnwarheiten oder gar Lügen den Perso selber schlecht machen.
Hier haben der Gesetzgeber und die beteiligten Unternehmen, etc. echt mal Kompetenz bewiesen, mal abgesehen von dem Konjunkturpaket, womit die schlechten! Kartenleser unterstützt werden…. Auch sollte dafür gesorgt werden, dass der Ausweis nach jeder Transaktion wieder runter genommen werden muss um weitere Transaktionen zu starten, aber vielleicht kommt das ja noch.
Bis dann
Yacine Ghoggal
YoungSocialist
Was mich interessiert: Auf welcher Entfernung kann er ausgelesen werden? Sind Bewegungsprofile theoretisch möglich?
Achja, was natürlich auch ne Gefahr darstellt ist der Zwang, ein biometrisches Foto abzugeben. Mit diesen Daten kann ein Geheimdienst in Zukunft sicher gut etwas anfangen -> Indect….
Bis dann
Yacine Ghoggal
YoungSocialst
Na, daß mit der qulifizierten Signatur (QES) wird aber erstmal auf sich warten lassen. Die QES muß ja bei einem Zertifizierungsdiensteanbieter (ZDA beantrag werden. Die haben aber zur Zeit gar keine Schnittstelle um Zertifikate auf den nPA zu daddeln. Online funktioniert das ganze schon mal garnicht, da die eID nicht den Ansprüchen an die Archivierbarkeit genügt, die vom SigG (Signauturgesetz) gefordert ist. Es muß also immer noch ein anderes Identifizierungsverfahren wie z. B. PostIdent verwendet werden.
Darüber hinaus müssen bestimmte Sicherheitsanforderungen an die PIN-Eingabe erfüllt sein. Aber wer hat schon einen Leser mit PIN-Pad? Dazu noch einen, der gemäß SigG bestätigt ist?
Na, wir werden das Ganze weiter beobachten :)
Punkt 7 stimmt so nicht.
Wie kürzlich mit Firesheep so eindrucksvoll gezeigt wurde, werden viel zu oft Daten unverschlüsselt ins Netz gepustet. Die ePA-Daten werden jedoch verschlüsselt – und das mit starken Algorithmen. Wenn die Daten also Mal ins Netz gepustet wurden, dann sind die ePA-Daten bedeutend sicherer als der sonstige Traffic.
Richtiger wäre zum Beispiel die Formulierung: „sind so sicher wie alle anderen Daten, die man auf dem eigenen Rechner hat“. Denn durch die Entscheidung Basisleser zuzulassen hat die Bundesregierung die Schranke zwischen Computer und Ausweis durchlöchert.
Zu 10.: Habe irgendwo gelesen, dass das evtl. strafbar sein kann gem. §303 StGB. Was ist da dran? Merci!
Wer unbedingt den Chip grillen möchte, sollte lieber 8 € in einen Einwegfotoapparat und etwas Zeit in dessen Umbau zum RFID-Flasher investieren. Die Mikrowellennummer hinterlässt, wie schon im Kommentarbereich erwähnt wurde, sichtbare Spuren an der Hülle. Davon abgesehen: Wer sich gegen solche Dinge zur Wehr setzen möchte, sollte sich in der Öffentlichkeit äußern, statt sich hinter seiner Mikrowelle und einem RFID-Flasher zu verstecken. Die beiden Geräte sind – wieder einmal – reine Symptombekämpfung. Ursachen bekämpft man in Demokratien (noch leben wir in einer) anders.
„3.Kosten? Der Ausweis kostet 28,80.“
„Aber bitte nicht vorsätzlich machen, das Ding gehört ja schließlich nicht Euch, sondern bleibt Eigentum der Bundesrepublik Deutschland.“
Wofür muss ich dann die 30€ zahlen, wenn der Perso mir nicht gehört?
Soll das eine „Bearbeitungsgebühr“ sein?
Grüße
Achtung!
Viele Ämter werden morgen (Freitag, 29. Oktober 2010) KEINE Anträge für alte Personalausweise entgegennehmen können, da an diesem Freitag die Software für den neuen Perso eingerichtet wird!
Also entweder nachfragen oder aber heute erledigen.
Nur mal zu den gröbsten Fehlern:
zu 4) Falsch, es muss der Geschäftszweck des Diensteanbieters bei der Beantragung mit angegeben werden, wenn der sich nicht dran hält, wird das Zertifikat kassiert.
zu 6) Die Anzeige u.a. des Datenschützers ist Bestandteil des Berechtigungszertifikats und nicht der Software.
zu 8) Sperren beim Bürgeramt ist auch möglich, beim telefonischen Sperren gibst du Vorname, Nachname, Geburtsdatum und Sperrkennwort (erhält man mit dem PIN-Brief) an, daraus wird der Sperr-Hash berechnet.
Zu 9) Rennen zum BA ist immer und überall Pflicht, da nur die Änderungsterminals dort über die entsprechenden Zertifikate verfügen, um auf den Chip zu schreiben.
Zur Diskussion um die Basisleser: Der CCC hält diese für bedenklich, da die PIN ausgespäht werden kann. Wird die PIN ausgespäht, ist aber natürlich sämtliche Kommunikation über das Internet kompromitiert, also alle Logins mit Name und Passwort, Kreditkartennummern, Bankdaten etc. Ist nicht wirklich ein Argument gegen Basisleser, sondern eher für mehr persönlicher Sicherheit auf meinem PC.
Wenn noch Fragen sind, immer her damit.
@Lars: und was hilft mir das, wenn im nachhinein ein zertifikat zurückgerufen wird?
@Timo
das mit den Kosten verstehe ich auch nie. Ich persönlich möchte keinen neuen Perso, meiner läuft aber irgendwann ab und ich soll, bzw. muss einen neuen beantragen und dafür muss ich dann auch noch Geld zahlen. ???? Mir fehlt da absolut das Verständnis.
In Mainz ist es leider schon zu Spät für den alten Perso. War um 11:15 Uhr im Amt und wollte einen beantragen. Bekam die Auskunft, dass Anträge nur noch bis heute, 11 Uhr angenommen wurden….
Nochwas:
Die Daten, die der RFID-Chip abgibt, sind verschlüsselt. Die kann der Grenzbeamte dann mit dem 6-stelligen Code auf der Vorderseite des Chips entschlüsseln. Man muss also den Ausweis vorzeigen. So stehts zumindest in der c’t.
Was mich am Elektronikkram im Perso eigentlich stört: Der Perso hat eine Gültigkeit von 10 Jahren. Ob das Ding in 10 Jahren noch sicher ist?
Was die Sicherheit des eigenen Rechners angeht: Ich denke, dass ist ein wesentliches Problem. Ich zumindest traue meinem eigenen Rechner nicht absolut und würde deshalb den nPA nicht im Netz benutzen.
Also ich habe gerade eben einen neuen alten Personalausweis beantragt. Da waren ziemlich viele Leute auf dem Einwohnermeldeamt. Ich musste jedenfalls 25 Minuten warten. Keine Ahnung, ob das normal ist. Bei zwei Leuten habe ich mitbekommen, dass sie auch einen neuen alten Personalausweis haben wollten.
Ich: Meine Augenfarbe ist eigentlich grün.
Einwohnermeldeamt: Ich schreib da rein, was immer Sie wollen.
Ich: Ich würde mir gerne meinen Künstlernamen eintragen lassen.
Einwohnermeldeamt: Dann brauchen Sie eine Bescheinigung von der Gema.
Ich: (Lach) Von der Gema?!
Einwohnermeldeamt: Oder von einer anderen Künstlervereinigung.
Ich: (Etwas beruhigt.)
Einwohnermeldeamt: In den neuen [den elektronischen] können Sie sich den Künstlernamen aber auch ohne Vorlage einer Bescheinigung eintragen lassen.
Ich: (Verwirrt und ohne Bescheinigung und mit dem Wunsch, einen neuen alten Personalausweis zu bekommen) Na, dann lassen wir das mal mit dem Künstlernamen. (Völlig absurd, dass man sich seinen Künstlernamen von irgendjemandem bescheinigen lassen muss.)
Schade, das schaffe ich nicht mehr. Hättet ihr das nicht schon vor ner Woche ankündigen können?
Also 30€ investieren, um mir so ein nutzloses potentiell unsicheres Ding mit Verbrecherfoto zu holen.
Hach ja, das sind die Momente in denen ich unseren Staat so richtig doll lieb hab.
@Falk: Es bringt in sofern etwas, dass ein Berechtigungszertifikat keine Momentaufnahme a la TÜV-Zertifizierung ist, sondern auch den Fortlauf der Prozesse im Auge hat. Treibt jemand Schindluder, wird das Zertifikat entzogen und der Anbieter kann die eID nicht mehr nutzen. Dass er deine Daten über die eID bekommen hat, kann er sowieso nicht nachweisen, da hier genauso wie beim Vorzeigen des klassischen Ausweises keine Dokumentation oder Kennzichnung (z.B. signierte Daten) vorgenommen wird.
Lustige Geschichte:
Ich hatte darüber nachgedacht, meinen Perso „zu verlieren“ um nochmal vor November einen neuen zu beantragen. Dann nochmal drüber nachgedacht und eigtl. ist es nicht solange her, seitdem ich den alten habe. Will also nochmal nachsehen, wann er abläuft und ob es sich überhaupt lohnt.
Also, Geldbörse aufgemacht und: Wo ist er denn?
Seitdem suche ich schon seit 2 Tagen und habe ihn nicht gefunden. Er hat sich einfach selbst verloren.
:)
Also ich persönlich lege ja häufiger mal Sachen in der Mikrowelle, wegen der Bakterien und so. Gerade der ePA ist ja so ein elektronisches Dingsda und da könnten Viren drauf sein -> lieber vorsichtshalber mal 5 Minuten bei 200 Watt sterilisieren. Sicher ist sicher.
@Lars: Und genau das ist der Punkt, warum die eID NICHT das PostIdent-Verfahren ersetzen kann. Die Identifizierung ist im Nachhinein nicht mehr nachvollziehbar. Deswegen wird man auch Online keine QES nachladen können… ganz zu schweigen davon, daß die Verwendug eines Basislesers die potentielle Erstellung einer QES mit dem nPA sowies konterkariert.
@Toomuch: Signatur geht nur mit Comfort-Leser (>150€, also nichts für die breite Masse oder klarer: es ist und bleibt eine Totgeburt). Die Banken und Versicherungen haben da noch was zu klären, aber Behörden können handeln, wenn kein Schriftformerfordernis besteht. Wer möchte sich nicht den ein oder anderen Gang ins Rathaus sparen? Das ganze Kindergeld aufs Paypal-Konto Geschwafel geht mir allerdings auch schwer auf den Sender, dass ist an der Praxis vorbei und dann kann man ja gleich Facebook ein Berechtigungszertifikat für alle Datengruppen ausstellen. ;)
Indem man nach dem Sperrpaßwort fragt, das wohl „besonders leicht zu merken“ sein soll. Ich kann die Artikelreihe in der aktuellen c’t auch nur empfehlen.
Stellt euch mal vor in der Zukunft kann man sich nur noch mit dem elektronischen Personalausweis im Internet anmelden?
Somit kann nachgewiesen werden wer, wann, wo und wohin online gegangen ist.
Alles nur „Science-Fiction“ oder gar das Ziel?
Ich denke mit „einkaufen“ hat das Teil auf weite Sicht nicht viel zu tun…
Biometriefrei? Nein! – oder doch?
Ich habe mir damals bei Einführung des neuen Reisepasses am 1. Nov. 2005 schnell noch einen Tag vorher einen „neuen alten“ Reisepass ausstellen lassen.
Grund dafür nach meiner Erinnerung:
Die damals neuen Biometrie-Richtlinien für das Photo zur autom. Gesichtserkennung per Kamera [beide Ohren sichtbar, nicht lachen (Pursche!) :-) , Gesicht parallel zur Aufnahmeebene, ect.]. Das würde ich nicht als biometriefrei bezeichnen! Und ich gehe davon aus, daß diese Richtlinien auch für den neuen PA gelten.
Verwechsel ich da was? Könnte das jemand erläutern?
Die Photos werden beim Meldeamt gespeichert; die Polizei u.a. haben jederzeit per DFÜ Zugriff auf dieses Photo.
Ganz dickes Lob für netzpolitik.org übrigens!
Grüße
1 Bernd
@Bernd: Die Fotos sind nicht dauerhaft bei den Personalausweisbehörden gespeichert. Sie sind nach Erhalt des produzierten Ausweises zu löschen. Der Datenschutz achtet sehr genau darauf, dass dies eingehalten wird. Die Polizei kann über Lesegeräte mit hoheitlichen Berechtigungen den Chip auslesen und das Foto anzeigen. Die Biometrie des Ausweis-Fotos ist sowieso eine Lachnummer, solange der Fotograf im Photoshop das Foto zurechtzuppelt, bis es für den Ausweis passt.
@Lars
Ich beziehe mich auf das Personalausweisgesetz: http://bundesrecht.juris.de/persauswg/__2c.html
„§ 2c Datenübertragung und automatisierter Abruf von Lichtbildern“ Wenn ich richtig interpretiere (IANAL) kann die Polizei (z.B. bei Fahrerflucht am Wochende) ein Photo des mutmaßlichen Täters (Halter) zu Ermittlungszwecken abrufen.
Die Meldebehörden können das Photo sofort nach Ausgabe des Ausweises löschen, müssen dies aber erst spätestens fünf Jahre nach Ablauf des Ausweises:
http://bundesrecht.juris.de/persauswg/__2a.html
„§ 2a (3) Personalausweisregister“
Und jetzt? Ich bin mir nicht sicher, was stimmt.
Wir haben uns dem neuen PA eher philosophisch angenähert: http://www.fischfresse.de/2010/10/der-neue-elektronische-personalausweis-kommt/
@Lars:
Könnte es vielleicht sein, daß man so peu-a-peu Druck macht, um von der Schriftformerfordernis weg… Aber nein, wir sind hier in Deutschland. Das würde doch im Zweifel eher mehr werden…