Der Chaos Computer Club hat heute wieder über eine neue Möglichkeit aufgeklärt, die Sicherheit des neuen ePersos in Frage zu stellen: Praktische Demonstration erheblicher Sicherheitsprobleme bei Schweizer SuisseID und deutschem elektronischen Personalausweis.
„Es geht hier nicht um theoretische Schwachstellen, es geht um praxisrelevantes systemisches Versagen“, kommentiert CCC-Sprecher Dirk Engling. „Gerade die Sicherheit gegen Alltagsrisiken, wie Schadsoftware auf dem heimischen PC, muß bei so massenhaft eingesetzten Systemen wie der SuisseID und dem ePA im Vordergrund stehen. „[…] „Das bisher hohe Niveau bei der Fälschungssicherheit des deutschen Personalausweises wird durch die übereilte Einführung eines sowohl konzeptionell schwachen als auch technisch fragwürdigen Großprojekts ohne Not unterminiert. Mit dem ePA ist der Diebstahl des zukünftig wichtigsten Dokuments eines jeden Bürgers vom Kinderzimmer-Computer aus möglich“, sagt CCC-Sprecher Dirk Engling. Die Angriffsflächen, die sich durch die Einführung und Verwendung der digitalen Identitäten bieten, sind weitaus umfangreicher als bislang öffentlich thematisiert. „Wir wollen vor allem darauf hinwirken, daß die zum Teil absurde Augenwischerei der Verantwortlichen bezüglich der realen Risiken für den Benutzer ein Ende findet“, sagt Sicherheitsforscher Thorsten Schröder.
Unser Bundesinnenminister Thomas de Maiziere konnte dann auch noch zu den neuen Sicherheitsbedenken Stellung nehmen. Davon gibt es praktischerweise eine Videoaufnahme:
Irgendwelche Hacker mögen immer irgendwas hacken können, aber, ähm, die Zuverlässigkeit und Sicherheit des neuen Personalausweises steht nicht in Frage.
noch auf die neue Kommunikationsstrategie der ePerso-Befürworter:
BSI-Experte Jens Bender nahm Stellung zur Kritik des CCC. Er räumte ein, wenn ein Benutzer „den großen Fehler“ mache, den elektronischen Personalausweis länger als nötig in einem Lesegerät zu lassen, könne sich ein Angreifer im Besitz der PIN tatsächlich für ihn ausgeben, zum Beispiel bei Altersverifizierungsdiensten.
Dann warten wir mal auf eine Extra-Aufklärungs-Kampagne der Regierung, damit der unbedarfte Bürger mal lernt, auch ganz schnell den ePerso wieder aus dem Lesegerät zu ziehen. Sonst scheint ja alles in Ordnung zu sein, oder?
Immer noch aktuell ist unser Interview mit Frank Rosengart vom CCC zum Thema elektronischer Personalausweis: “Kaufe nie die Version 1.0″.
Update: Christiane Schultzki-Haddouti weist bei Kooptech noch auf ein interessantes Detail hin:
im Sinne des Prozessjournalismus sei noch der Link zu dem heute entstandenen Artikel für “Die Welt” nachgereicht. Er verweist im letzten Absatz auf ein rechtliches Problem: So ist es aufgrund eines Konflikts mit einer Technischen Richtlinie der Bundesnetzagentur, die im Nachgang zum Signaturgesetz erstellt wurde, im Moment noch gar nicht möglich qualifizierte digitale Signaturen zu erstellen (und damit die eigentlich doch intendierten rechtskräftigen Online-Unterschriften – bitte nicht verwechseln mit der einfachen digitalen Signatur (ohne Rechtsfolgen). Die ist natürlich schon möglich.). Die Lösung: Entweder muss die sicherheitstechnische Vorgabe umgeschrieben werden oder der Pass mit einem Kontaktchip versehen werden. Mal sehen, was schneller geht.
Und hier ist der 20 Uhr Tagesschau-Beitrag dazu: