Es wurde bereits viel über den elektronischen Personalausweis diskutiert, der ab dem 01. November im Scheckkartenformat eingeführt werden soll. Die Bundesregierung verspricht, dass dieser sicherer als der bisherige Personalausweis sei und Bürgern die sichere Abwicklung von Geschäften im Internet ermöglichen werde. Doch bereits vor der Einführung zeigen sich erhebliche Sicherheitslücken.
Zur Identifizierung im Internet benötigt man neben einer sechsstelligen PIN, die man von der Ausweisbehörde erhält auch ein Lesegerät, dass später in drei Varianten (Basis, Standard, Komfort) zu erwerben ist. Mehr als eine Million der Basisgeräte werden in sogenannten IT-Sicherheitskits Anfang November kostenlos verteilt. Und genau hier setzt die Kritik von Datenschützern und IT-Experten an, denn
„die einfachen Lesegeräte, die kostenlos verteilt werden, haben keine eigene Tastatur“, so Constanze Kurz vom Chaos Computer Club in der Frankfurter Rundschau. Zur Identifizierung müsse man die PIN über die PC-Tastatur eingeben. „So können Betrüger sie mit Spionage-Software mitlesen. Das schaffen schon Informatikstudenten höherer Semester.“
Über die PIN kann in einem solchen Fall auf auch personenbezogene Daten wie Anschrift oder Geburtsdatum sowie besonders sensible biometrische Daten (z.B. den Fingerabdruck) zugegriffen und vom Ausweis ausgelesen werden.
Bei Kartenlesegeräten mit integrierter Tastatur zur Eingabe der PIN besteht dieses Problem indes nicht. Wieso die Bundesregierung trotz vorliegender Alternativen, massenhaft unsichere Geräte verteilt, ist nicht nachzuvollziehen. Hier werden personenbezogene Daten aus Kostengründen einem Risiko ausgesetzt, das problemlos vermieden werden kann. Denn bei hochwertigeren Geräten mit eigener Tastatur kann die PIN nicht durch sogenannte „Trojaner“ ausgelesen werden.
Selbst der Bundesbeauftragte für den Datenschutz ist skeptisch und rät laut open-report.de zur Vorsicht:
„Die Basis-Lesegeräte scheinen mir ungeeignet für sicherheitssensible Daten.“
Auf den Einsatz der Basisgeräte solle verzichtet werden und alternativ auf sicherere Lesegeräte mit eigener Tastatur zurückgegriffen werden. Das Bundesinnenministerium sieht dennoch keinen Handlungsbedarf, da die Technik eine der sichersten sei, die derzeit verfügbar sei. Der Bürger könne sich ausreichend gegen Spionagesoftware schützen und so das Risiko minimieren. Darüber hinaus reiche die PIN nur in Verbindung mit dem Ausweis zur Identifizierung.
Zu diesen Sicherheitsdefiziten kommt ein weiteres Problem hinzu: Beim Einsatz der Basisgeräte muss der Betroffene bei einem Missbrauch den Beweis dafür erbringen, dass der eigene Computer ausreichend geschützt ist und etwa eine Überweisung nicht getätigt oder ein Auktionsangebot nicht abgegeben wurde – unabhängig davon ob man technischer Laie ist oder nicht.
Die kostenlose Verteilung von Basisgeräten zeigt, dass für die Bundesregierung finanzielle Aspekte wichtiger zu sein scheinen als die Gewährleistung eines angemessenen Datenschutzniveaus… zumindest bis zum nächsten Datenschutzskandal…
„Über die PIN kann in einem solchen Fall auf auch personenbezogene Daten wie Anschrift oder Geburtsdatum sowie besonders sensible biometrische Daten (z.B. den Fingerabdruck) zugegriffen und vom Ausweis ausgelesen werden.“
Wie kommen Sie denn darauf? Für das Auslesen braucht man ein Berechtigungszertifikat, für die biometrischen Daten gar ein hoheitliches. Da reicht die PIN alleine nicht aus.
Durch Kenntnis der sechsstelligen PIN kann der Personalausweis durch Unbefugte zur Identifizierung und zum Auslesen der darauf gespeicherten Daten eingesetzt werden. Und genau dies steht hier in der Kritik.
Zum Identifizieren im Netz kann er dann verwendet werden, ja (gegenüber berechtigten Stellen). Für das Auslesen der biometrischen Daten wird aber nicht die Benutzer-PIN verwendet; das geht nur gegenüber einem hoheitlichen, durch entsprechendes Zertifikat ausgewiesenen Lesegerät unter Verwendung einer anderen Nummer (die schlicht und einfach aufgedruckt ist).