Elektronischer Personalausweis

BSI weist Sicherheitsbedenken des CCC zurück

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) weist die vom Chaos Computer Club geäußerten Sicherheitsbedenken zum elektronischen Personalausweis zurück.

Artikel veröffentlicht am 23. September 2010, 15:24 Uhr, Jens Ihlenfeld

Das BSI räumt ein, dass - wie vom Chaos Computer Club (CCC) geschildert - Schadsoftware wie Trojaner die PIN-Eingabe des neuen Personalausweises (nPA), wie der elektronische Personalausweis offiziell heißt, bei der Verwendung von Basislesegeräten mitschneiden kann. Während das aus Sicht der Hacker ein großes Sicherheitsrisiko darstellt, wiegelt das BSI ab.

Die Behörde argumentiert, dass im Gegensatz zum bisher üblichen Authentifizierungsverfahren mittels Benutzername und Passwort beim neuen Personalausweis die PIN nur in Kombination mit der Ausweiskarte selbst genutzt werden kann. Daher rät das BSI: "Der Ausweis sollte nur für die Dauer der tatsächlichen Nutzung auf das Lesegerät gelegt werden." Der CCC hatte zuvor darauf hingewiesen, dass ein Angreifer mit Kenntnis der PIN den Ausweis, so lange er auf dem Lesegerät liegt, missbrauchen und die fremde Identität nutzen kann. Das bestätigt das BSI damit weitgehend.

Allerdings weist das BSI darauf hin, dass dies nur für die Ausweisfunktion des nPA gelte, und nicht für dessen Signaturfunktion: So diene die Onlineausweisfunktion nur der gegenseitigen Authentifizierung von Dienstanbieter und Ausweisinhaber. Es handle sich nicht um eine rechtsverbindliche Unterschrift, der Dienstanbieter habe keinen Nachweis gegenüber Dritten über die Verwendung der Ausweisfunktion.