Opposition: "E-Personalausweis nach AusweisApp-Hack sofort stoppen"
Der Innenexperte der Linken, Jan Korte, forderte nach dem Hack der AusweisApp heute das Bundesinnenministerium und das Bundesamt für Sicherheit in der Informationstechnik (BSI) auf, "die Ausgabe der neuen Ausweise umgehend zu stoppen" .
Wer noch gültige Ausweisdokumente habe, sollte aus Sicherheitsgründen von der Beantragung des "Pfusch-Persos" absehen. "Durch das gefährliche Experiment einer Kombination von Pflichtdokumenten mit unsicheren Identitätsschlüsseln für Internet und E-Government werden alle Bürger zu Versuchskaninchen" , sagte Korte.
Die AusweisApp, zuvor Bürgerclient genannt, ist die Anwendungssoftware für den Ausweis, die eine verschlüsselte Verbindung zwischen dem neuen Personalausweis und dem eID-Server herstellt und die Zertifikats- und Authentizitätsprüfung vornimmt. Die AusweisApp muss auf dem Computer installiert werden, wenn der Anwender den E-Ausweis online nutzen will. Die AusweisApp, die das Bundesinnenministerium seit kurzem für den neuen E-Personalausweis zum Download anbietet, hatte eine Sicherheitslücke . Die AusweisApp holt sich ihre Updates von einem per SSL gesicherten Server und überprüft, ob ein gültiges SSL-Zertifikat vorliegt, aber nicht, ob dieses auch zum Server passt. Um das auszunutzen, müsste ein Angreifer den Client auf einen anderen Server lenken, beispielsweise über einen manipulierten DNS-Server. Der Fehler ist für die Entwickler der AusweisApp jedoch leicht zu korrigieren. "Die beteiligten Firmen Openlimit, Signcubes und Siemens IT Solutions and Services werden in Kürze eine neue Version der Software bereitstellen, die die Schwachstelle beseitigt" , hatte das BSI mitgeteilt. FDP-Fraktionssprecher Marc Jungnickel hatte erklärt, die Auslieferung der wenigen ersten Ausweise beginne "erst dieser Tage, so dass bislang kein Schaden entstehen konnte" .
Doch das reicht für Korte nicht aus: "Da die Technik ganz offensichtlich nicht ausgereift ist, ist die übereilte Einführung des elektronischen Personalausweises fahrlässig und geht auf die Kappe des Bundesinnenministers." Erst hätten sich die bislang verfügbaren Lesegeräte als unsicher erwiesen und jetzt auch die nötige Onlinesoftware. Tests des Chaos Computer Clubs und des ARD-Magazins Plusminus hatten ergeben, dass die Basislesegeräte ohne eigene Tastatur, die die Bundesregierung ausgeben wird, keinen Schutz bieten, wenn der Computer des Anwenders durch einen Keylogger verseucht ist.