E-Personalausweis: Regierung "schiebt Verantwortlichkeit auf den Bürger ab"

Virenschutz und Firewall machen den elektronischen Personalausweis nicht sicher, sagen die Hacker vom Chaos Computer Club. Sicherheitssoftware nennen sie Snake-Oil, die moderne Schadsoftware oft nicht erkennt.

Artikel veröffentlicht am ,
E-Personalausweis: Regierung "schiebt Verantwortlichkeit auf den Bürger ab"
(Bild: Sean Gallup/Getty Images)

Der Chaos Computer Club kritisiert, dass das Bundesinnenministerium die Verantwortung für die Sicherheit des elektronischen Personalausweises auf die Nutzer abschiebt. So behauptet die Behörde, dass sich der Bürger "durch regelmäßige Aktualisierung des Betriebssystems, ein aktuelles Virenschutzprogramm sowie eine Firewall schützen" könne.

Stellenmarkt
  1. IT-Netzwerkspezialistin/IT-N- etzwerkspezialist (w/m/d)
    Universitätsklinikum Tübingen, Tübingen
  2. Transition Manager (m/w/d)
    Diehl Metall Stiftung & Co. KG, Röthenbach a. d. Pegnitz / Metropolregion Nürnberg
Detailsuche

Experten des Chaos Computer Clubs war es im August 2013 erneut gelungen, einen Computer mit einem Trojaner zu infizieren, um die PIN einer Ausweisnutzerin auszulesen und so ihren Rentenversicherungsverlauf und damit Informationen über ihre Berufstätigkeit auszulesen. Der Angreifer konnte auch ein Bankkonto unter der Identität der Nutzerin eröffnen. Nach Angaben der Hacker handelte es sich um die alte Sicherheitslücke von 2010, die aber immer noch besteht. Aber auch die neue Version der Ausweis-App bringe Software mit Exploits auf den PC.

Dazu erklärte der Chaos Computer Club: "Moderne Schadsoftware wird oft nicht von Antivirenprogrammen und anderem Snake-Oil erkannt. Und wie eine Firewall gegen einen Keylogger helfen soll, möge das Bundesinnenministerium bitte erst einmal erklären. Dass es aber möglich ist, unentdeckbare Spionagesoftware - beispielsweise auf dem Rechner eines Beschuldigten, der mit einem Staatstrojaner ausspioniert werden soll - zu verankern, sollte das Ministerium mittlerweile wissen. Immerhin nimmt es sich selber vor, das 'Risiko einer Entdeckung [des Staatstrojaners] durch geeignete technische Maßnahmen so gering wie möglich' zu halten."

Zudem erklärt das Ministerium, der Ausweis könne "bei Kenntnis der PIN nur missbraucht werden, wenn er selber zur Verfügung stünde - zum Beispiel gestohlen wird - und die eID noch nicht im Sperrregister gesperrt wurde." Zwar ist derzeit noch kein Verfahren publiziert, wie ein ePA-Chip zerstörungsfrei geklont werden kann, doch ein Angreifer könne den kompletten Kartenleser zusammen mit darauf liegendem elektronischem Personalausweis aus der Ferne übernehmen. Allerdings seien die Voraussetzungen für einen erfolgreichen breiten Angriff nur eingeschränkt vorhanden, räumen die Hacker ein.

Golem Akademie
  1. Penetration Testing Fundamentals
    23.-24. September 2021, online
  2. IT-Sicherheit für Webentwickler
    5.-6. Juli 2021, online
Weitere IT-Trainings

Das Innenministerium behauptet zudem, es gebe seit der Einführung des Ausweises "keinerlei Vorfälle, die Zweifel an der Sicherheit des Chips und der in ihm gespeicherten Daten hervorrufen".

Dass bisher keine Fälle bekanntgeworden seien, ist laut den Hackern kein Beweis dafür, dass der im Ausweis verwendete Chip nicht bereits "geöffnet, reverse engineered und geklont" sei. Dass der im E-Ausweis verwendete Chip gebrochen wird, sei nur eine Frage der Zeit.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Bitcoin
Bitmain stoppt Verkauf von Krypto-Minern

Aufgrund des chinesischen Vorgehens gegen Kryptomining gibt es viele gebrauchte Bitcoin-Rigs auf dem Markt - deren größter Hersteller zieht Konsequenzen.

Bitcoin: Bitmain stoppt Verkauf von Krypto-Minern
Artikel
  1. DeskMini Max: Asrocks Ryzen-10-Liter-PC nutzt Wasserkühlung
    DeskMini Max
    Asrocks Ryzen-10-Liter-PC nutzt Wasserkühlung

    Trotz seiner Maße nimmt der DeskMini Max eine Dualslot-Grafikkarte und einen Ryzen auf, zudem bleibt Platz für drei SSDs und RAM-Slots.

  2. Lenovo L32p-30 und L27m-30: USB-C-Monitore mit Webcam passen ins Homeoffice
    Lenovo L32p-30 und L27m-30
    USB-C-Monitore mit Webcam passen ins Homeoffice

    Lenovo stellt gleich mehrere neue Monitore vor. Die L32p-30 und L27m-30 lassen sich etwa per USB-C mit 75 Watt Power Delivery anschließen.

  3. Schwert und Schild: Leaker müssen 300.000 US-Dollar an Pokémon-Studio zahlen
    Schwert und Schild
    Leaker müssen 300.000 US-Dollar an Pokémon-Studio zahlen

    Die zum Teil zu Nintendo gehörende The Pokémon Company hat sich im Rechtsstreit gegen zwei Leaker von Schwert und Schild durchgesetzt.

IT.Gnom 18. Sep 2013

Jo, woher weiß Du das ? Ich würde den Wa(h)l-O-Mat hier gerne bei der nächsten...

ein... 17. Sep 2013

Na und? Es gibt keinen wirklichen Unterschied zwischen: Schwarz pur Rot pur Schwarz...

vol1 17. Sep 2013

Die PIN lässt sich eben immer irgendwie abgreifen, v.a. wenn man das Eingabegerät...

Augenwurst 16. Sep 2013

Der Ausweis ist aus meiner Sicht (und ich habe in das Thema einen guten Einblick) so...

Sharra 16. Sep 2013

Ist auch weiterhin so. Es reicht bei deutschen Gesetzen eben nicht, nur einen Teil zu...


Folgen Sie uns
       


  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Schnäppchen • Dualsense Midnight Black + Ratchet & Clank Rift Apart 99,99€ • 6 Blu-rays für 30€ • Landwirtschafts-Simulator 22 jetzt vorbestellbar ab 39,99€ • MSI Optix MAG272CQR Curved WQHD 165Hz 309€ [Werbung]
    •  /