BSI

Missbrauch der elektronischen Ausweisfunktion nicht möglich

Um die elektronische Ausweisfunktion zu missbrauchen, müssten Angreifer nicht nur die PIN per Keylogger erobern, sie müssten auch den neuen Personalausweis stehlen, weist das BSI die Kritik des Chaos Computer Clubs zurück.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat Sicherheitsbedenken bei der Verwendung des neuen elektronischen Personalausweises zurückgewiesen. Tests des Chaos Computer Clubs und des ARD-Magazins Plusminus hatten ergeben, dass die Basislesegeräte ohne eigene Tastatur, die die Bundesregierung ausgeben will, keinen Schutz bieten, wenn der Computer des Anwenders durch einen Keylogger verseucht ist. Die Tastatureingabe der sechsstelligen PIN, die zur Onlineauthentifizierung mit dem neuen Personalausweis notwendig ist, kann so mitgelesen werden.

"Angriffe mit Schadsoftware wie einem Trojanischen Pferd sind bei der Nutzung des Internets grundsätzlich möglich", argumentierte das BSI. Doch im Vergleich zur üblichen Ein-Faktor-Authentifizierung mittels Benutzername und Passwort biete der neue Ausweis auch in Verbindung mit einem Basislesegerät "einen erheblichen Sicherheitsgewinn".

Durch das Mitlesen der PIN sei auch ein Missbrauch des Ausweises nicht möglich, denn zur Nutzung der elektronischen Ausweisfunktion sei die Zwei-Faktor-Authentifizierung notwendig. "Neben der Kenntnis der PIN muss der Angreifer dafür auch Zugriff auf den Ausweis selbst haben", erklärte die Behörde. Durch eine Gesetzesänderung dürfen beispielsweise Hotels oder Campingplätze mit der Einführung des E-Personalausweises nicht länger verlangen, dass ein Gast seinen Ausweis hinterlegt, weil dieser wichtige ID-Funktionen hat.

Gegen Trojanerangriffe sollten sich Anwender durch eine Firewall und einen leistungsfähigen Virenscanner schützen und ihre Anwendungen durch regelmäßige Sicherheitsupdates auf dem aktuellen Stand halten, rät das BSI.

Wolfgang Wieland, Grünen-Sprecher für innere Sicherheit, kritisierte, dass die Bundesregierung mit den kostenlos verteilten, einfachen Lesegeräten neue Sicherheitslücken öffne. Den Schaden würden vor allem technisch wenig versierte Nutzer haben, die mit dem neuen Ausweis zwangsbeglückt würden.

Bundesinnenminister Thomas de Maizière (CDU) signalisierte im Gespräch mit Plusminus jedoch ein mögliches Entgegenkommen: "Wir arbeiten gerne an besseren Lesegeräten. Die können gerne auch noch ein bisschen teurer und sicherer werden."

Nachtrag vom 25. August 2010, 15:07 Uhr

Nach Ansicht der FDP kann der neue elektronische Personalausweis nicht wie geplant zum 1. November 2010 eingeführt werden, wenn sich die derzeit diskutierten Sicherheitsbedenken bestätigen. "Sollten die Sicherheitsprobleme nicht zuverlässig ausgeschlossen werden können, muss die Ausgabe der elektronischen Ausweise verschoben werden", sagte FDP-Fraktionsvizechefin Gisela Piltz der Rheinischen Post. Die Probleme müssten "sehr ernst" genommen werden, sagte Piltz. Deshalb gehöre die Ausgabe der einfachen Lesegeräte auf den Prüfstand. "Der Bundesinnenminister muss die Vorwürfe gründlich und unvoreingenommen prüfen und schnellstmöglich dem Innenausschuss des Bundestages hierüber einen Bericht erstatten", so die Liberale.