Innenministerium legt sich ein Ei (Update)

Mit dem einfachen Lesegerät für den elektronischen Personalausweis – oder wie er jetzt seit einiger Zeit auf Neusprech heißt: für den neuen Personalausweis – hat sich das Bundesinnenministerium keinen Gefallen getan. Der Perso soll nämlich mit einer Million Starterkits, die solche einfachen Lesegeräte enthalten, an den Bürger gebracht werden. Doch die über Mittel aus dem Konjunkturpaket finanzierten Lesegeräte sind alles andere als sicher.

Für den CCC ist dieses Lesegerät natürlich ein gefundenes Fressen, lässt sich über das Gerät, als – neben dem vielleicht unzureichend geschützten PC des Anwenders –  dem schwächsten Glied des geplanten Systems “neuer Perso” doch einiges anstellen:

Wie der CCC gestern Nacht berichtete, kann “jedermann” den Perso “mit einfachen Mitteln” ferngesteuert nutzen. Und dabei natürlich auch die PIN ändern.  Der Besitz der Karte ist dafür gar nicht notwendig, wenn diese einfach nur auf einem Lesegerät liegt. Die Änderung der PIN sollte eigentlich staatlichen Behörden vorbehalten bleiben.

Damit dürften auch die heheren Lobesworte von Innenminister de Maizière Makulatur sein:

Der Staat “kann mit geeigneten Mitteln Vertrauensstifter sein, weil die Menschen ihm oft mehr vertrauen als Privaten. Der Personalausweis ist ein solches Mittel. ” … “Niemand braucht Angst vor einem Missbrauch seiner Rechts-Identität oder einen Eingriff in seine soziale Identität zu haben, wenn er den neuen Personalausweis online nutzt. Und niemand muss ihn online nutzen.”

Der Nachsatz “niemand muss ihn online nutzen” ist natürlich eine Art Rückversicherung, die jedoch die vorher getroffenen Aussagen entwertet.

Richtig happig wird es nämlich, glaubt man dem CCC, in punkto digitale Signatur. Die ist zwar nicht mit den einfachen Lesegeräten möglich. Doch der Angriff bzw. die Kompromittierung erfolgt auf anderem Wege, wie der  CCC für die bauähnliche SuisseID zeigte:

So war es möglich, innerhalb des Programms “SwissSigner” eine PDF-Datei mit aktiven JavaScript-Inhalten zu signieren, ohne daß die Applikation selber dieses Dokument korrekt darstellen kann. Innerhalb einer anderen Applikation, beispielsweise dem weitverbreiteten Acrobat Reader der Firma Adobe, sieht das Dokument anders aus. Unter gewissen Bedingungen wird gar die rechtsgültige Unterschrift weiter als qualifiziert und intakt dargestellt.

Das dürfte jetzt doch einige Leute im Ministerium, im BSI und bei Fraunhofer zum Schwitzen bringen. Stellungnahmen waren natürlich bislang nicht zu erhalten. Hier wird sich noch zeigen müssen, wie brisant das wirklich ist.

Update: Gar nicht. Gilt nur für die Schweiz. Die Schweizer sollen laut BSI in der Tat ein klein wenig geschlampt haben. Die entsprechende PDF-Sicherung wurde hier nicht vorgenommen, obwohl diese Art der Kompromittierung schon lange bekannt ist (z.B. weißer Text auf weißem Hintergrund bleibt beim Signieren unerkannt – beim signierten Dokument erscheint dann alles in schwarz ). Auch soll die Schweiz bei den Berechtigungszertifikaten geschlampert haben, sagt CCC-Sprecher Frank Rosengart. Da gebe es keine Kontrolle, ob die Unternehmen tatsächlich nur die Daten abfragen, die sie tatsächlich brauchen.

Die einfachen Lesegeräte dürften jedoch Geschichte sein: Bislang dachte der Staat, dass man die Entscheidung für ein Gerät einfach dem Bürger überlassen könne. Der müsse auf eigenes Risiko entscheiden, ob er in ein sicheres Gerät mehr investieren möchte.

Für die Signaturfunktion wird jedenfalls nicht ein Gerät der Sicherheitsklasse 1 wie für die E-Identitätsfunktion empfohlen werden, sondern ein teureres der Klasse 3. Der Staat will für etwaige Schäden auch keine Haftung übernehmen – gleichwohl aber über die Starterkits die unsicheren Geräte indirekt bewerben. Benachteiligt sind damit wohl vor allem finanzschwache Bevölkerungsteile.

Die einzig korrekte Reaktion wäre es jetzt, die von Anfang an fragwürdige Lesegeräte-Aktion abzublasen – und die bereits produzierten Geräte einfach zu verschrotten.

Update: Die Starterkit-Aktion enthält nicht wie von mir angenommen nur Basis-Lesegeräte, sondern Lesegeräte aller Typen. Der mündige Bürger muss also selbst entscheiden, welche Sicherheit er für angemessen hält. Es ist letztlich die Frage: Wie kompetent sind die Bürger in Fragen der IT-Sicherheit? Haben sie Virenscanner und Firewall installiert, um Fernsteuerungen zu vermeiden? Aktualisieren sie die Software regelmäßig? Der Perso ist insofern ein mutiges Medienkompetenz-Projekt für die Bundesrepublik. Anders ist das in der Schweiz: Hier werden in einem Starterkit tatsächlich nur Basisleser ausgegeben (grusel).

Update Nr. 2: im Sinne des Prozessjournalismus sei noch der Link zu dem heute entstandenen Artikel für “Die Welt” nachgereicht. Er verweist im letzten Absatz auf ein rechtliches Problem: So ist es aufgrund eines Konflikts mit einer Technischen Richtlinie der Bundesnetzagentur, die im Nachgang zum Signaturgesetz erstellt wurde, im Moment noch gar nicht möglich qualifizierte digitale Signaturen zu erstellen (und damit die eigentlich doch intendierten rechtskräftigen Online-Unterschriften – bitte nicht verwechseln mit der einfachen digitalen Signatur (ohne Rechtsfolgen). Die ist natürlich schon möglich.). Die Lösung: Entweder muss die sicherheitstechnische Vorgabe umgeschrieben werden oder der Pass mit einem Kontaktchip versehen werden. Mal sehen, was schneller geht.

Update 23.9.: Jetzt wird es ein wenig verwirrend: Die Bundesnetzagentur besteht auf ihrer Aussage und sagt, dass noch keine einzige Anwendung mit qualifizierter digitaler Signatur akzeptiert wurde. Fefe deutete in seinem Post ähnliches an in Bezug auf den Kartenleser. Diese Klasse-3-Leser für den nPerso müssen nicht nur ein Pinpad, sondern auch ein Display beinhalten.

Das Bundesinnenministerium verweist darauf, dass mit §22 Personalausweisgesetz der Perso als sichere Signaturerstellungseinheit gilt im Sinne des Signaturgesetzes (so einfach geht das mit den Sicherheitsstandards).  Das BSI hat die entsprechenden Technischen Richtlinien verfasst. Aber offenbar hat die alte Technische Richtlinie zum SigG, auf die sich die Bundesnetzagentur berief, immer noch Bestand (ich hatte ausdrücklich nach einer etwaigen Änderung gefragt). Das Innenministerium jedenfalls meint, dass vor dem 1.11. auf jeden Fall noch Anwendungen für die qual. dig. Signatur den Prüfprozess bestehen werden, und die Kartenleser wohl auch. Mal abwarten. Was da noch so alles kommt.

Sachdienliche Hinweise werden gerne entgegengenommen – einfach Mail an c.schulzki.haddouti@googlemail.com

About Christiane Schulzki-Haddouti

Freie IT- und Medienjournalistin. Hat dieses Blog 2007 im Rahmen der KoopTech-Analyse eingerichtet. Seit Beendigung des Projekts führt sie es als Multi-Autorenblog weiter. Sie führt ein persönliches Blog auf ihrer Homepage.
This entry was posted in Beobachtungen and tagged , . Bookmark the permalink.

2 Responses to Innenministerium legt sich ein Ei (Update)

  1. Mela says:

    Und das nachdem sie vor kurzem noch den Bürger am liebsten technisch entmündigt hätten. Ich sage nur: Zwangsvirenscanner/Zwangsfirewall

  2. Naja, ganz ehrlich: Fühle mich auch ohne das Engagement des Innenministers schon lange gezwungen, so was einzusetzen :(

Comments are closed.