Hacker enthüllt Sicherheitslücken in der Online-Ausweisfunktion des Personalausweises

TRD Pressedienst

vor 2 Jahren

Foto: Stock Adobe/TRD Pressedienst

Werbeanzeigen

(TRD/BNP) Ein dreiminütiges Video hat in der Redaktion des „Spiegel“ für Aufsehen gesorgt. Darin enthüllte ein Hacker Sicherheitslücken in der Online-Ausweisfunktion. Hier sind die Details:

Der Hacker, der unter dem Pseudonym „CtrlAlt“ auftritt, hat eine Schwachstelle im eID-Verfahren des deutschen Personalausweises aufgedeckt⁹ [^10^] ¹¹.
Mithilfe einer eigenen App gelang es ihm, Login-Daten für die sogenannte eID-Funktion abzugreifen. Diese Funktion ist bei mehr als 50 Millionen Personalausweisbesitzern aktiviert und dient als Grundlage für digitale Behördengänge sowie zur Identifizierung bei Banken⁹.
Der Hacker nutzte eine vom Bund empfohlene offizielle AusweisApp, deren Quellcode öffentlich zugänglich ist. Er passte den Code an seine Zwecke an und konnte so unter fremdem Namen ein Konto bei einer großen deutschen Bank eröffnen⁹.
Experten des Chaos Computer Clubs bestätigen, dass dies ein realistisches Angriffsszenario ist. Es muss verhindert werden, dass sich eine andere als die offiziell zugelassene AusweisApp im Handy für eID-Authentifizierungen registrieren und einklinken kann⁹.
Der Hacker informierte das Bundesamt für Sicherheit in der Informationstechnik (BSI) über seine Erkenntnisse, aber das BSI sieht keinen Anlass für eine Änderung der Risikobewertung beim Einsatz der eID. Es handele sich nicht um einen Angriff auf das eID-System, sondern auf die Endgeräte der Nutzerinnen und Nutzer⁹.

Es ist wichtig, dass solche Sicherheitslücken behoben werden, um die Integrität und Sicherheit der Online-Identifizierung zu gewährleisten.

Das Verwaltungsgericht Wiesbaden hatte den Fall eines deutschen Klägers vor den Europäischen Gerichtshof (EuGH) gebracht. Der Kläger beanstandete, dass ihm kein neuer Personalausweis ohne Fingerabdrücke ausgestellt wird. Die EU-Verordnung 2019/1175 verpflichtet über dreihundert Millionen EU-Bürger dazu, zwei Fingerabdrücke auf dem Ausweis in digitaler Form zu speichern. Das Verwaltungsgericht Wiesbaden hatte Zweifel daran, dass diese Vorschriften in der EU-Verordnung unionsrechtskonform sind.

Die Richter des EuGH bestätigten jedoch, dass die Speicherung von Fingerabdrücken im Personalausweis mit den Grundrechten auf Achtung des Privatlebens und auf Schutz personenbezogener Daten vereinbar ist. Obwohl die Grundrechte eingeschränkt werden, sei dies gerechtfertigt, um die Herstellung gefälschter Ausweise und Identitätsdiebstahl zu bekämpfen. Zudem erleichtert es EU-Bürgern, ihr **Recht auf Freizügigkeit in der EU auszuüben¹².

Allerdings stellte der EuGH fest, dass die Verpflichtung zur Aufnahme von Fingerabdrücken auf die falsche Rechtsgrundlage gestützt wurde. Diese wird jedoch nicht sofort für ungültig erklärt, sondern die EU-Gesetzgebung hat bis 2026 Zeit für die Änderung⁴. Somit bleibt die Fingerabdruckpflicht im Personalausweis bestehen, aber die Verordnung muss erneut überarbeitet werden.

Quelle: Unterhaltung mit Bing, 21.3.2024
(1) Zwangsweise Abgabe der Fingerabdrücke kommt vor den EuGH. https://netzpolitik.org/2022/personalausweis-zwangsweise-abgabe-der-fingerabdruecke-kommt-vor-den-eugh/.
(2) EuGH-Verhandlung: Braucht der Perso Fingerabdrücke? – netzpolitik.org. https://netzpolitik.org/2023/eugh-verhandlung-braucht-der-perso-fingerabdruecke/.
(3) EuGH-Urteil: Fingerabdrücke auf Personalausweis rechtmäßig. https://www.br.de/nachrichten/deutschland-welt/eugh-urteil-fingerabdruecke-auf-personalausweis-rechtmaessig,U7eDWDy.
(4) Fall für den EuGH: Gericht zweifelt Fingerabdruckpflicht im Ausweis …. https://www.heise.de/news/Fall-fuer-den-EuGH-Gericht-zweifelt-Fingerabdruckpflicht-im-Ausweis-massiv-an-6341309.html.
(5) Personalausweis: EU muss Abgabe von Fingerabdrücken erneut regeln. https://netzpolitik.org/2024/personalausweis-eu-muss-abgabe-von-fingerabdruecken-erneut-regeln/.
(6) EuGH: Fingerabdruckpflicht im Ausweis ist rechtens, Verordnung aber ungültig. https://www.msn.com/de-de/finanzen/top-stories/eugh-fingerabdruckpflicht-im-ausweis-ist-rechtens-verordnung-aber-ung%C3%BCltig/ar-BB1khfNT.
(7) EuGH erlaubt Fingerabdruck-Pflicht im Personalausweis trotz Bedenken. https://bing.com/search?q=Fingerabdruckzwang+Personalausweis+EuGH.
(8) EuGH erlaubt Speicherung von Fingerabdrücken in Personalausweis. https://www.epochtimes.de/?p=4639093.