Der elektronische Personalausweis sollte zum digitalen Prestigeprojekt des Innenministeriums werden. Doch kurz vor dem Start am 1. November hat der Chaos Computer Club (CCC) erneut Sicherheitslücken im Dokument aufgedeckt.
Das Problem liegt bei der elektronischen Unterschrift, mit der Bürger sich beispielsweise für Behördengänge im Netz identifizieren können. Dafür ist eine PIN-Nummer nötig, die auf dem Chip des Ausweises gespeichert wird.
Bei einem Testmodell des neuen Ausweises gelang es den Hackern des CCC, die PIN-Nummer zu stehlen. Dies ist beispielsweise möglich, wenn das Kartenlesegerät, das für die Verwendung der Online-Funktionen an den Computer angeschlossen werden muss, keine Nummerntastatur besitzt, und die Geheimzahl über die Computertastatur oder virtuelle Tastaturen auf der Weboberfläche eingegeben wird.
Dann, so warnt der CCC, können Schadprogramme wie Trojaner die PIN einfach auslesen. Pikant: Das Bundesinnenministerium verteilt im "Starterkit" für Besitzer des neuen Personalausweises genau solche Lesegeräte, die keine Tastatur besitzen. "Den Betroffenen wird damit eine potentielle Sicherheitslücke untergejubelt", klagt der CCC.
Diese Schwäche hatte der CCC bereits im August publik gemacht. Nun kommt aber eine neue hinzu: Wer einmal im Besitz der PIN ist, kann diese nutzen, um die Geheimzahl zu verändern - ohne das Wissen des Ausweisinhabers, der selbst dann keinen Zugang mehr zu seinen Daten hat. Prinzipiell können mit diesem Wissen rechtssichere Online-Geschäfte unter falscher Identität abgeschlossen werden - allerdings nur, solange das Dokument im Kartenleser steckt.
Standards fehlen
Auch die digitale Signierfunktion des neuen Personalausweises erhält vom CCC keine guten Noten. Beim ähnlich konstruierten Schweizer E-Ausweis, der SuisseID, gelang es Angreifern, mit einer fremden Identität Dokumente rechtskräftig zu unterschreiben. Eine weitere Schwäche: Weil es für Signierapplikationen keine festen Standards gibt, könnten Nutzern Dokumente unvollständig angezeigt werden - auch hier seien Manipulationen möglich, zum Beispiel das Unterschlagen bestimmter Klauseln in Verträgen.
Die Kritik am E-Personalausweis ist nicht neu. Bundesinnenminister Thomas De Maizière (CDU) hatte deshalb den elektronischen Personalausweis in einem Interview mit der Frankfurter Allgemeinen Sonntagszeitung Ende August verteidigt.
Es sei möglich, jedoch unwahrscheinlich, dass Hacker mit hoher krimineller Energie bei einfachen Lesegeräten den PIN-Code ausspähen würden, sagte er. "Damit ist aber das Rechtsgeschäft im Internet noch nicht gefährdet und die eigene Identität nicht missbrauchbar, denn der Angreifer benötigt immer noch den Ausweis selbst."
Am 1. November wird der elektronische Personalausweis in Deutschland eingeführt. Zu den gespeicherten Informationen gehören künftig ein biometrisches Passbild, die Abgabe von Fingerabdrücken erfolgt auf freiwilliger Basis.