Neue Sicherheitslücken beim elektronischen Personalausweis
Der Chaos Computer Club hat heute wieder über eine neue Möglichkeit aufgeklärt, die Sicherheit des neuen ePersos in Frage zu stellen: Praktische Demonstration erheblicher Sicherheitsprobleme bei Schweizer SuisseID und deutschem elektronischen Personalausweis.
“Es geht hier nicht um theoretische Schwachstellen, es geht um praxisrelevantes systemisches Versagen”, kommentiert CCC-Sprecher Dirk Engling. “Gerade die Sicherheit gegen Alltagsrisiken, wie Schadsoftware auf dem heimischen PC, muß bei so massenhaft eingesetzten Systemen wie der SuisseID und dem ePA im Vordergrund stehen. “[...] “Das bisher hohe Niveau bei der Fälschungssicherheit des deutschen Personalausweises wird durch die übereilte Einführung eines sowohl konzeptionell schwachen als auch technisch fragwürdigen Großprojekts ohne Not unterminiert. Mit dem ePA ist der Diebstahl des zukünftig wichtigsten Dokuments eines jeden Bürgers vom Kinderzimmer-Computer aus möglich”, sagt CCC-Sprecher Dirk Engling. Die Angriffsflächen, die sich durch die Einführung und Verwendung der digitalen Identitäten bieten, sind weitaus umfangreicher als bislang öffentlich thematisiert. “Wir wollen vor allem darauf hinwirken, daß die zum Teil absurde Augenwischerei der Verantwortlichen bezüglich der realen Risiken für den Benutzer ein Ende findet”, sagt Sicherheitsforscher Thorsten Schröder.
Unser Bundesinnenminister Thomas de Maiziere konnte dann auch noch zu den neuen Sicherheitsbedenken Stellung nehmen. Davon gibt es praktischerweise eine Videoaufnahme:
Irgendwelche Hacker mögen immer irgendwas hacken können, aber, ähm, die Zuverlässigkeit und Sicherheit des neuen Personalausweises steht nicht in Frage.
Fefe verweist noch auf die neue Kommunikationsstrategie der ePerso-Befürworter:
BSI-Experte Jens Bender nahm Stellung zur Kritik des CCC. Er räumte ein, wenn ein Benutzer “den großen Fehler” mache, den elektronischen Personalausweis länger als nötig in einem Lesegerät zu lassen, könne sich ein Angreifer im Besitz der PIN tatsächlich für ihn ausgeben, zum Beispiel bei Altersverifizierungsdiensten.
Dann warten wir mal auf eine Extra-Aufklärungs-Kampagne der Regierung, damit der unbedarfte Bürger mal lernt, auch ganz schnell den ePerso wieder aus dem Lesegerät zu ziehen. Sonst scheint ja alles in Ordnung zu sein, oder?
Immer noch aktuell ist unser Interview mit Frank Rosengart vom CCC zum Thema elektronischer Personalausweis: “Kaufe nie die Version 1.0″.
