Elektronischer Personalausweis: BSI weist Sicherheitsbedenken des CCC zurück
Das BSI räumt ein, dass - wie vom Chaos Computer Club (CCC) geschildert - Schadsoftware wie Trojaner die PIN-Eingabe des neuen Personalausweises (nPA), wie der elektronische Personalausweis offiziell heißt, bei der Verwendung von Basislesegeräten mitschneiden kann. Während das aus Sicht der Hacker ein großes Sicherheitsrisiko darstellt, wiegelt das BSI ab.
Die Behörde argumentiert, dass im Gegensatz zum bisher üblichen Authentifizierungsverfahren mittels Benutzername und Passwort beim neuen Personalausweis die PIN nur in Kombination mit der Ausweiskarte selbst genutzt werden kann. Daher rät das BSI: "Der Ausweis sollte nur für die Dauer der tatsächlichen Nutzung auf das Lesegerät gelegt werden." Der CCC hatte zuvor darauf hingewiesen, dass ein Angreifer mit Kenntnis der PIN den Ausweis, so lange er auf dem Lesegerät liegt, missbrauchen und die fremde Identität nutzen kann. Das bestätigt das BSI damit weitgehend.
Allerdings weist das BSI darauf hin, dass dies nur für die Ausweisfunktion des nPA gelte, und nicht für dessen Signaturfunktion: So diene die Onlineausweisfunktion nur der gegenseitigen Authentifizierung von Dienstanbieter und Ausweisinhaber. Es handle sich nicht um eine rechtsverbindliche Unterschrift, der Dienstanbieter habe keinen Nachweis gegenüber Dritten über die Verwendung der Ausweisfunktion.
Signaturfunktion des nPA nur mit Komfortlesegerät
Die optional nutzbare rechtsverbindliche Signaturfunktion könne hingegen ausschließlich mit einem Komfortlesegerät mit integriertem PIN-Pad und Display verwendet werden.
Auch die Bedenken der Hacker, Angreifer könnten so die Ausweis-PIN ändern, bestätigt das BSI. Doch auch hier gehen die Bewertungen auseinander: "Eine Änderung der Ausweis-PIN durch den Angreifer wäre nach Erspähen der alten PIN und Zugriff auf die Karte zwar grundsätzlich möglich, würde aber zu einer wahrscheinlichen Entdeckung des Angriffs durch den Inhaber führen, da dessen PIN nicht mehr funktioniert" , heißt es in einer offiziellen Stellungnahme.
So kommt das BSI zu dem Schluss: Die vom CCC beschriebenen Szenarien seien auszuschließen, so lange die Ausweisinhaber die vom Bundesministerium des Innern und vom BSI empfohlenen grundlegenden Sicherheitsmaßnahmen im Umgang mit dem neuen Personalausweis befolgen. Dazu zählen die Verwendung einer Personal Firewall und eines leistungsfähigen, stets aktualisierten Virenscanners und regelmäßige Sicherheitsupdates für Betriebssystem und Browser. Zudem sollte der Ausweis nur für die Dauer der tatsächlichen Nutzung auf das Lesegerät gelegt werden. Wer das Gefühl hat, seine PIN sei ausspioniert oder manipuliert worden, sollte diese an einem nicht infizierten PC oder in der Personalausweisbehörde ändern oder den Ausweis sperren lassen, was auch über eine telefonische Hotline möglich sei.
Den Vergleich zwischen nPA und SuisseID weist das BSI ebenfalls zurück: Die Funktionen des deutschen Personalausweises und der Schweizer SuisseID seien technisch grundlegend verschieden gestaltet und nicht miteinander vergleichbar. Aussagen über die SuisseID ließen sich nicht auf das deutsche System übertragen, heißt es weiter in Richtung CCC.