Dieser Artikel ist mehr als 15 Jahre alt.
Die ARD-Sendung PlusMinus hat heute aufgedeckt darüber berichtet, dass die ePerso-Lesegeräte in der Sicherheit noch etwas optimierungsbedürftig sind: Inhalt von YouTube anzeigen In diesem Fenster soll ein YouTube-Video wiedergegeben werden. Hierbei fließen personenbezogene Daten von Dir an YouTube.
Die ARD-Sendung PlusMinus hat heute aufgedeckt darüber berichtet, dass die ePerso-Lesegeräte in der Sicherheit noch etwas optimierungsbedürftig sind:
Das war dann auch schon vorab in der Tagesschau zu sehen:
Passend dazu ist auch unser Interview mit Frank Rosengart vom CCC zum ePerso: “Kaufe nie die Version 1.0″.
Veröffentlicht
Kategorie
Schlagwörter
Wir freuen uns auf Deine Anmerkungen, Fragen, Korrekturen und inhaltlichen Ergänzungen zum Artikel. Bitte keine reinen Meinungsbeiträge. Unsere Regeln zur Veröffentlichung von Ergänzungen findest Du unter netzpolitik.org/kommentare. Deine E-Mail-Adresse wird nicht veröffentlicht.
,
Entschuldigung, vielleicht bin ich ja auch nicht bewandert genug, aber wenn ich einen Trojaner auf dem Rechner habe, ist so gut wie alles unsicher. Ich finde den e‑perso auch scheiße und werde ihn mir nicht zulegen, aber das Argument aus dem +- Beitrag kann ich nicht gelten lassen. Lange wird es dennoch nicht dauern bis man die Dinger im vorbeigehen auslesen kann.
,
srly?
,
Wer „Dosenravioli mit Fleisch“ oder „Dosenravioli vegetarisch“ im Schrank hat, kann Opfer eines Einbruchs werden! – Maggi lehnt jede Haftung ab.
Das ist in etwa die Essenz des Plusminus Beitrags.
Versteht mich nicht falsch, dieser Firlefanz hat auf einem Ausweisdokument natürlich nichts verloren, aber der Nährwert des ARD-Beitrags geht doch stark gegen Null. Der CCC ist halt auch einfach gerne im Fernsehen, oder?
,
de Maiziere hat wieder einmal nicht enttäuscht <3
die Software läuft doch eh nur unterm Bundestrojaner-Betriebssystem ~
Ist ja schon ein großer Grund dagegen :p
ansonsten: srsly, die ÖR? Hab ich was verpasst und die ÖR werden nicht mehr von der Politik für die eigene Berichterstattung missbraucht oder hat sich da nun jemand um seinen Job berichtet?
,
Ich find das immer wieder faszinierend, wie der Staat sehenden Auges daran arbeitet, dass ich ihn einfach nicht mehr ernst nehmen kann. Man kann doch keinen Perso rausgeben, mit dem sich so schwerwiegender Betrug verüben lässt, und dann auch noch jede Haftung für die bevorstehenden Debakel mit einer sonnenköniglichen Selbstverständlichkeit wegwischen.
,
Äh, was?
Also ist der einzige Kritikpunkt, dass die Geräte keine eigene Tastatur haben, uns selbst das wird noch nicht mal gesagt?
Aber schön, dass VNC jetzt schon als Spionageprogramm zählt. Da wird §202c ja gleich noch mal eine Spur interessanter.
Na wunderbar. Ein Bärendienst für die Gegner des ePerso.
,
Ja, ich wäre defintiv dafür, dass man Lesegeräte mit Tastenfeld ausgibt! Dadurch könnte das Abfangen der PIN durch einen Trojaner verhindert werden. Inwiefern der dann trotzdem übermittelte Daten abfangen kann ist eine andere Frage.
Aber das ist kein Problem, weswegen man den _Perso_ als sicherheitskritisch bezeichnen sollte. Denn die Methode über die die Daten ausgelesen werden ist das Problem. Nicht der Perso. Das ganze ist genauso sicher oder unsicher wie Online-Banking, bei dem man seine Zugangsdaten per Tastatur eingibt. Auch hier sind diejenigen besser dran, die HBCI über Chipkarte und Lesegerät mit Tastenfeld benutzen.
Und wenn fiese Verbrecher kleine Kameras in der Wohnung installieren hilft auch das extra Tastenfeld nicht mehr. ;)
,
Warum ich den Perso trotzdem sofort beantragen werde?
1.) Endlich im ID‑1 Format. Der alte hat meine Portmanteaus regelmässig gekillt.
2.) Noch(!) ist kein Fingerabdruck verpflichtend und er ist 10 Jahre gültig. Keine zentrale Speicherung my ass!
3.) Die Sicherheitslücken sind IMHO harmlos wenn man es weiß und den Perso entsprechend (nicht) einsetzt.
,
Ich glaube die ersten 3 Kommentatoren 3 haben’s nicht verstanden, weil sie eigentlich schon sehr sehr viel verstanden haben.
Der CCC stellt nur fest das bestimmte Dinge nicht auf Computern basieren sollten. Wählen zum Beispiel. Und eben auch staatliche Identifikation.
Mit dem alten Personalausweis gibt es diese vorgeführten Probleme eben nicht. Das ist offensichtlich für euch, aber nicht für Hinz und Kunz im Bundestag und auf der Straße.
,
böses FF-Wörterbuch. Natürlich soll es »Portemonnaie« heißen
,
Kurz und bündig 2…
Hartz4 wird demnächst wohl ganz gestrichen, denn Deutschland (47,466 Milliarden US-Dollar) liegt bei seinen Rüstungsausgaben (Welt 1,335 Billionen Dollar) nur auf Platz sechs, zwar knapp vor Russland (37,875 Milliarden US-Dollar), aber noch w…
,
Super,und was nutzt das jetzt?
Wir wissen das DeMezier ziemlich arrogant ist,und der Sttat keine Haftung für das übernehemn will wozu er die Bürger zwingt.
Also eigentlich nix neues.
,
Für Fachleute eine Nullinformation aber:
Für den Laien wird hier eine Sicherheit vorgegaukelt, die es einfach nicht gibt. Die Leute sollen denken: Das ist der Personalausweis, also ist das sicher. Ehrlicher wäre es zu sagen: Das ist genauso sicher wie bisher, wenn man irgendwo seinen Benutzernamen und sein Passwort eingibt.
Dumm wenn nach einem Missbrauch argumentiert wird: Das lief über den Personalausweis. Also hat der Inhaber z.B. den Kauf/die Überweisung in jedem Fall getätigt und muss daher zahlen…
Fakt ist: hier soll einfach nur Geld verdient werden. 28 EUR von jedem Bundesbürger und dann noch das Geschäft mit den „Mehrwertdiensten“ drumherum. Ob das ganze wirklich nützlich ist oder ob es nicht schon längst günstigere und bessere Alternativen gibt, danach wird natürlich nicht gefragt.
Genau wie die DE-Mail. Die ist natürlich auch total sicher…
,
Ich stimme vielen der Kommentare hier zu, aber wenn ich mich durch Besitz & Wissen vor Identitätsdiebstahl schützen kann, ist das allemal besser, als nur Name & Passwort. Die aktuelle AusweisApp hat auch eine Bildschirmtastatur für die Pineingabe per Mausklick. Man muss ja auch nicht immer all seine Informationen preisgeben, es reicht z.B. das dienste- und kartenspezifische Kennzeichen (Pseudonym) für vieles aus. Wenn mir das Dingen irgenwann Behördengänge abnimmt, oder beim Online-Shopping Preisvorteile bringt, werde ich es auch da einsetzen. Der Preis ist natürlich nicht so toll, da will das Betreiberkonsortium halt auch Gewinn mit machen. Zum guten Schluss: Sollte wirklich der Perso selbst unsicher sein, hat der Datenschützer mit seinen platten Ausssagen trotzdem recht, wenn er sagt, dass sei der Super GAU!
,
Gähn. Das ist doch alles bekannt. Aus einem Artikel der c’t 2/2010:
[zitat]
Letztlich wird die Bundesregierung nur Empfehlungen für sichere Kartenlesegeräte herausgeben. Der Bürger muss dann auf eigenes Risiko entscheiden, ob er in ein sicheres Gerät mehr investieren möchte. Generell wird der Staat für etwaige Schäden keine Haftung übernehmen. Constanze Kurz: „Das ist ein Problem der Bürger. Sie müssen selbst das Security-Management verantworten.“ Die Signaturfunktion wird man im Unterschied zur eID jedenfalls nicht mit einem einfachen Kartenleser der Sicherheitsklasse 1 nutzen können, sondern nur mit einem teureren Klasse-3-Leser.
[zitat-ende]
aber schön, dass die Problematik mal aufgegriffen wird.
,
Fakt ist, es gibt immer wieder Trojaner, die spät entdeckt werden. Sollten also Privatpersonen den Ausweis zur Legitimation nutzen, ist entgegen der Online-Banking Haftung, beim „ePerso“ keine „Anbieterhaftung“ enthalten.
Ich kann beim Online-Banking Maximalbeträge festlegen etc. und habe in der Regel nur 1 Gegenüber (meine Bank). Beim „ePerso“ soll Verifikation in vielerlei Hinsicht möglich werden, somit ist der Schaden exponentiell. Staatliche Sicherheit wird zudem suggeriert, was beim Online Banking keiner tut.
Das ist die Kritik am ePerso bezüglich Sicherheit im Hausgebrauch zur Legitimation im Internet. Was die Datensicherheit angeht, kommen noch zusätzliche Lücken dazu. Mein Eisverkäufer weiß mein Geburtsdatum zum Beispiel nicht und schickt mir daher keine Spam EMAIL’s zum Geburtstag. Die Daten die nun abrufbar sind, ist manchmal mehr, als für manchen Einkauf erforderlich sind.
,
Fortsetzung in anderer Hinsicht…
/sarcasm on
Künftig spare ich mir Türsteher an der Diskothek, die Ausweise einsammeln. Ich lass die „Kiddies“ sich legitimieren mit dem „ePerso“ und spare mir gar die Getränke-Zahlkarte. So weiß ich künftig auch, das Maria Mustermann mit 16 Jahren jeden Samstag 6 Gläser Pils trinkt. Mit 18 bekommt Sie daher pro Besuch 2 Gläser Pils als Rabatt, ist das nicht geil???
/sarcasm off
Jetzt mal ehrlich, die Möglichkeit die Legitimation für „jeden Firlefanz“ nahezu zu erzwingen, ist doch durch diesen Ausweis Tür und Tor geöffnet. Oder glaubt einer, dass ein 16 jähriges Kiddie aus Datenschutzgründen „nicht“ die angesagteste Location im Umkreis aufsucht?
,
@14+15: Das ist so nicht richtig, die Online-Ausweisfunktion entspricht dem Vorzeigen des Ausweises. Weitere Rechtsfolgen ergeben sich ersteinmal nicht daraus. Die Nutzung der Funktion für Anbieter ist auch noch mit mind. einer hoheitlichen Genehmigung verbunden und Kosten entstehen pro Jahr im mind. hohen 4stelligen Bereich. Das BMI sollte endlich mal klarstellen, wie Haftungsübergänge u.ä. geregelt sind. Weiterhin ist die Nutzung einer falschen Identität, auch online, mit einem Bußgeld bewehrt.
,
@Lars: Uii, also wenn ich die Daten als Hacker spaßeshalber nutze um bei 300 verschiedenen Anbietern für den „Geschädigten“ 300 Päckchen zu bestellen, muss ich Busgeld zahlen? Da hab ich jetzt aber viel Angst. Und ich kann das bei meiner „Disco“ nicht einführen in 2 Jahren mit „ePerso“, weil ich keinen 4 stelligen Betrag habe um mir künftig zu ersparen, dass ich am Eingang Ausweise einsammle? Ich muss als Diskothekenbesitzer gewährleisten, keinen Alkohol an Minderjährige auszuschenken etc. ist das kein Grund für eine Genehmigung?
,
Wie gut, dass ich am Donnerstag erst auf meiner Gemeinde war und einen neuen Perso beantragt habe. Für die 8€ habe ich jetzt erstmal 10 Jahre Ruhe, dann sieht das Ganze vielleicht ja schon ganz anders aus.
Die 8€, das Passbild und ein bisschen Zeitaufwand ist mir das definitiv wert.
Also, nicht vergessen: bis Ende Oktober kann m.W. noch der alte Perso beantragt werden.
,
Es leben viele Ausländer in Deutschland, die keine deutsche Staatsangehörigkeit besitzen.
Wie garantiert Herr de Maizer diesen Bürgern ein „sicheres“ Navigieren/Einkaufen im Internet?
Da werden sich die Fachkräfte im Ausland zweimal überlegen nach Deutschland zu ziehen!
:-)
,
@17: Es gibt keinen „alle Daten oder gar keine“-Zugriff für Dritte. Als Beispiel wird in der Presse genannt, dass etwa Zigarettenautomaten auf eine Funktion zugreifen können, die lediglich zurück liefert, ob der Ausweisinhaber mindestens 18 Jahre alt ist. Das würde m.E. auch auf das Disco-Szenario zutreffen. Wenn Du also eine Genehmigung beantragst, würde ich Dir nur diese Funktion genehmigen, denn mehr Daten brauchst Du in diesem Fall nicht.
,
Mich würde auch mal interessieren, für welche Betriebssysteme es die Software geben wird. Windows? Mac? Linux? Vielleicht schon als fertige .rpms oder .debs? Andere Unixe? Und was ist mit mobilen Betriebssystemen (Android, …)?
Soweit ich das gelesen habe, ist diese Software auch durchaus sicherheitsrelevant. Stellt sich noch die Frage, ob die Software selbst sicher ist, bzw. wie sie geschützt ist.
Wenn einfach irgendein Trojaner/Wurm/whatever unbemerkt die .exe-Datei (oder was auch immer) überschreiben/ersetzen kann (oder auch nur die Verknüpfungen im Startmenü/Desktop/Schnellstartleiste umbiegen), dann ist das Ausspähen+Fremdverwenden von Daten noch das geringste Problem.
,
Das wird so laufen wie bei der EC/Giro-Card. Der Kunde muß beweisen, daß er die Transaktion nicht getätigt hat, denn natürlich ist „die PIN ist 100 Prozent sicher und nicht knackbar“.
Wenn also mit dem neuen Perso Schindluder getrieben wird, ist dessen Besitzer der Dumme.
,
Mal sehen, wieviele Leute jetzt noch schnell und ganz plötzlich ihren Perso verlieren ;-)
Denn bei Verlust kann man sofort einen neuen bzw. „alten“ Perso beantragen. Kostet auch nur 8 EUR.
,
Mit derartigen Programmen wie vorgeführt kann man genausogut jetzt schon Daten vom Bildschirm auslesen, also ohne ePerso. Das ist daher am Thema vorbei!
Das Argument, dass man mit der Anschrift des Inhabers dann zu ihm geht und seinen Perso klaut ist in Anbetracht der Online-Situation ja nun auch etwas weit hergeholt, oder?
Der Clou soll ja sein, dass der Anbieter über Perso und PIN feststellt dass der Kunde wirklich der ist, der er vorgibt.
Spannender wäre ob direkt die Schnittstelle zum Lesegerät angreifbar ist, erst dann kann doch der Perso – während auf dem Lesegerät liegt – missbraucht werden.
Eine andere Frage wäre, ob – wie bei EC-Karten – ein Anfertigung einer Kopie möglich ist. Aber dazu braucht man sehr wahrscheinlich auch wieder offline-Zugriff auf den Ausweis. Und den kriegt man beim ePerso genauso schwer wie beim alten.
,
@20 OOTS
Welche Betriebsysteme in Zukunft (offiziell) unterstützt werden, würde mich auch sehr interessieren…
wenn es aus Ignoranz/Faulheit des Staates auf eine verdeckte Förderung von WinOS herausläuft, falls keine anderen OSse unterstützt werden, wäre ich ja für eine Klage vor dem Eu Gerichtshof wegen verdeckter Subventionierung o.ä. ;)
,
Erstens: Der Beitrag war unterirdisch, weil viel zu oberflächlich und stark vereinfachend.
Zweitens: Die Kombination kompromittierter Rechner + einfacher Kartenleser ist gefährlich und kann durch einen Kartenleser mit eigenem Pin-Feld wesentlich sicherer gemacht werden. Bei solch besseren Lesegeräten erfolgt Pin-Eingabe und Verschlüsselung nicht im häufig kompromittierten PC.
Drittens: Selbst Spiele-Hersteller Blizzard setzt dieses Prinzip, extra Hardware zu benutzen, bereits als Gegenmaßnahme zu Key-Loggern ein. Warum sollte mich die Gefahr des Missbrauchs meiner offiziellen Authentifizierungs-Dokumente weniger bedrohen?
Viertens: Die Anfälligkeit der Klasse 1- Lesegeräte ist lange bekannt. Sie werden trotzdem eingesetzt, weil es billiger ist und der Bürger das Risiko trägt.
Fazit: Da sich an der Anzahl der kompromittierten Rechner wohl kaum etwas ändern wird, erschafft man hier ein gigantisches Betrugspotential. Mich würde nicht wundern, wenn dies bald im großen Stil genutzt wird.
,
Es wird die sog. AusweisApp für Windows XP SP3 und neuer, Linux (habe selbst Ubuntu im Test) und Mac unterstützt. Desweiteren war Bestandteil der Ausschreibung, dass Teile als OpenSource ab 1.11. zur Verfügung stehen sollen. Man kann in der Tat Abfragen ala „älter als 18“, „Jünger als 55“, also gegen jedes beliebige Datum (aber immer nur ein Check) machen. Gar kein Problem.
,
Der PlusMinus-Beitrag war gewohnt dümmlich und irreführend. Schade, dass sich der CCC an diesem Schmierentheater beteiligt hat.
Und besonders schade ist, dass der Beitrag am Thema vorbei geht. Das problematische am ePerso ist nicht die Sicherheit (denn die ist vergleichsweise hoch), sondern die Möglichkeit zur permanenten Überwachung (weil früher oder später die „elektronische Ausweispflicht“ kommen wird, weil der RFID unbemerkt ausgelesen werden kann, usw.)
,
„sie bekommen ein Angbot, das sie nützen, dann müssen sie das auch bezahlen.“ Angebot… Ich dachte immer das wäre eine Vorschrift. Oder mit anderen worten:
„Wir machen ihm ein angebot, dass er nicht ablehnen kann!“
Selten hat sich ein Politiker so deutlich der Sprache des kriminellen Milleus bedient – danke Don deMaizière!
,
„Der Staat kann selbstverständlich nicht haftbar gemacht werden!“ Nein… wieso auch. Er zwingt uns, sich den ePass ins Haus zu holen, gleichzeitig wiegt er uns in den Schlaf mit „Alles ist gut, alles ist völlig sicher, keinerlei Risiko“ – aber verantworlich, wenn dann was schief geht. Und dürfen auf glorreiche „Kulanzreglungen“ der Unternehmen hoffen sicher. Ganz klar.
Kniefall vor der Wirtschaft bei vollständiger Ahnungslosigkeit was sie da eigentlich veranstalten. Unsere Bundesregierung, meine Damen und Herren!
,
[…] PlusMinus erklärt den ePerso (netzpolitik.org) […]
,
[…] CCC deckt Sicherheitslücken beim neuen Personalausweis auf | Nachrichten – Der Nachrichten Channel PlusMinus erklärt den ePerso : netzpolitik.org Und zu guter Letzt: heise online – De Maizière hält Personalausweis für sicher By the way: […]
,
[…] e‑Perso Neben den biometrischen Daten seiner Besitzer, enthält der e‑Perso auch einen unsicheren Funkchip. Und wenn der ePerso mal da ist, dann kann er ja auch gleich zum Einloggen ins Internet benutzt […]
,
[…] PlusMinus erklärt den ePerso und Personalausweis: Schüler löschen Chip mit einfachsten […]
,
[…] Anschließend wurde die vom CCC aufgedeckte Sicherheitslücke mit dem Bildschirmleser bei schwachen Lesegeräten nochmal gezeigt, was schon vor einiger Zeit im ARD-Magazin “plusminus” und gekürzt in der Tagesschau ausgestrahlt wurde. […]
,
Gibt es konkretere Angaben, bis wann man den alten Personalausweis noch beantragen kann, als Ende Oktober?
,
Aus der interfraktionellen Strategiegruppe E‑Government…
Zusammen mit Markus ging es heute Nachmittag in die Sitzung der interfraktionellen Strategiegruppe E‑Government der Stadt Münster und das war wohl auch die erste Sitzung der Gruppe mit Piraten-Beteiligung. Auf der Tagesordnung standen neben dem ePerso …
Dieser Artikel ist älter als 15 Jahre, daher sind die Ergänzungen geschlossen.