Neue Ausweisfunktionen sind sinnvoll

Kein Schutzmechanismus bietet absolute Sicherheit. Sicherheit ist eine Frage des technisch Machbaren. Der Neue Personalausweis setzt neue Maßstäbe. Ob sich die Sicherheitsmechanismen bewähren, wird sich zeigen.

Unter Computerfachleuten sagt man sich: "Meistens sitzt das Problem vor dem Computer." So ist es schon vorgekommen, dass Bankkunden die PIN zu ihrer EC-Karte herausgaben. Eine Lösung muss also auch den Nutzer einer Anwendung berücksichtigen. Der Neue Personalausweises ermöglicht einen einfachen und sicheren Zahlungsverkehr im Internet.

Funkschlüssel fürs Auto, drahtlose Computernetzwerke, Mobilfunk. Wer hat sich mit der Einführung der Funktechnik schon Gedanken über die Sicherheit gemacht? Wie lange hat es gedauert, bis sich auf heimischen PCs grundlegende Sicherheitskonzepte etablierten? Ist Ihr Passwort kompliziert genug, und auch nicht zu alt?
Sicherheit kann lästig sein. Zum Beispiel, wenn man beim Zigarettenkauf an der Kasse immer noch nach dem Ausweis gefragt wird.

E-Mails, bei denen sich der Absender mittels einer elektronischen Signatur ausweist, haben sich bisher nicht durchgesetzt. Die Überprüfung von Nutzerangaben im Internet sind sehr unterschiedlich. Im Streitfall muss heute der Online-Händler nachweisen, dass der Kunde einen Vertrag geschlossen hat.
Der Neue Personalausweis kann in Zukunft zu mehr Rechtssicherheit im Internet beitragen.

Die Vereinheitlichung verschiedener Anwendungen mit der Karte wie automatisch Formulare auszufüllen, das Alter zu bestätigen oder online Verträge zu unterzeichnen, erhöht die Gefahr eines Missbrauchs.
Mit der Einführung des Neuen Personalausweises muss daher auch das Personalausweisgesetz geändert. Der Ausweis soll nicht länger hinterlegt werden dürfen. [6]

Das Online-Banking mit HBCI-fähiger Software, HBCI-Chipkarte und Lesegerät kann als Vorläufer des Neuen Personalausweises angesehen werden [12]: Chipkarten-Lesegeräte der Sicherheitsklasse 2 besitzen eine eigene Tastatur. Das Lesegerät verschlüsselt die zu übermittelnden Transaktionen. Bei manchen HCBI-Karten findet die Verschlüsselung sogar direkt auf der Chipkarte statt. Eingegebene PIN und der sich auf der HBCI-Karte befindende Schlüssel können am Computer nicht ausgelesen werden.
Dieses Verfahren ist prinzipiell recht sicher und zudem komfortabel, hat sich jedoch leider nicht durchgesetzt. Stattdessen nötigen die meisten Banken immer noch die Kunden von Online-Konten, ihre Kontoauszüge regelmäßig im Browser abzurufen.
Internet-Browser sind sich ständig weiterentwickelnde Alleskönner, weshalb Sicherheitslücken nicht auszuschließen sind. Für ein Höchstmaß an Sicherheit haben die Banken verschiedenste Mechanismen zur Erzeugung von Einmalpasswörtern, den Transaktionsnummern (TANs), entwickelt.
Der Neue Personalausweis kann das Online-Banking wieder vereinfachen.

Wer seine PIN auf einer Tastatur eingibt, muss sicher sein, dass er nicht beobachtet wird oder das Lesegerät nicht manipuliert wurde. Das demonstrierten nun Informatiker des Chaos Computer Clubs. [12] Die bessere Alternative sind zertifizierte Lesegeräte mit Tastatur (Cat-S oder Cat-K). Das Magazin für Computertechnik schreibt in einer aktuellen Meldung:
"In der entsprechenden technischen Richtlinie des Bundesamts für Sicherheit in der Informationstechnik (BSI) steht deshalb die Warnung zum elektronischen Personalausweis (ePA): »In diesem Zusammenhang können nur Cat-S und Cat-K Leser die Geheimhaltung der PIN des ePAs garantieren. Weiterführend kann nur der Cat-K Leser die authentische Anzeige von Berechtigtem und Berechtigungen bei der eID-Funktion übernehmen.« [...] Jens Bender vom BSI wies die Kritik an der Sicherheit der neuen Personalausweise zurück: »Ein Basisleser sei für die Online-Authentifizierung in Ordnung.«" [7]
Laut Hotline zum Neuen Personalausweis ist die PIN für alle elektronischen Dienste erforderlich. So auch für die Altersverifikation am Zigarettenautomaten und Zutrittskontrollen. Entsprechende Geräte müssen eine Zertifizierung durchlaufen. Wie bei den Geldautomaten bleibt die Eingabe der PIN trotzdem kritisch.

Behörden können jederzeit die PIN ändern oder löschen. Es wäre nicht auszudenken, wenn Betrüger sich in diese Lage versetzten.

Bei HBCI ist es Hackern gelungen, den Server des Anbieters, immerhin ein Finanzinstitut, zu manipulieren. [12]
Viel wichtiger ist jedoch die Vertrauenswürdigkeit der Anbieter. Ihnen obliegt die Einhaltung der Vorschriften zum Datenschutz. Bei einem Datenmissbrauch können die Datenschutzbeauftragten das Berechtigungszertifikat des Anbieters kurzfristig widerrufen. [5]

Bei der Nutzung am eigenen PC ist der Bürger verpflichtet, den Computer auf den jeweiligen Stand der Sicherheit zu bringen, wie er aktuell vom Bundesamt für Sicherheit in der Informationstechnik definiert wird. [6] Vor allem das Ausspähen von Tastatureingaben muss verhindert werden.
Der auf dem PC installierte Bürger-Client ("AusweisApp") übernimmt die verschlüsselte Kommunikation zwischen Kartenlesegerät, Personalausweis und eID-Server. Der Bürgerclient liest die Daten des Nutzers von dessen Ausweis über das Kartenlesegerät aus. Beim Online-Ausweisen im Internet entscheidet der Anwender per Mausklick, welche Angaben übermitteln werden. [1]
"Claudia Eckert, die Direktorin des Fraunhofer-Instituts Sichere Informationstechnologie SIT, meint: »Die Herausforderung für die Entwickler besteht darin, die Software so vom System abzuschotten, dass sie nicht unbemerkt manipuliert werden kann. Hier muss noch etwas getan werden.« Weil die Bundesregierung diese Bedenken kennt, will sie auch eine Version der Software mit offenem Quellcode zur Verfügung stellen." [5]
Über die Funktionsweise des Bürger-Clients soll noch vor Einführung der Neuen Personalausweise aufgeklärt werden.

Der RF-Chip wird per Funk ausgelesen. Das Abhören der ausgetauschten Daten wäre unauffällig. "Damit nur diejenigen die Daten auslesen können, die daran ein berechtigtes Interesse haben, sind die Daten auf der Karte verschlüsselt, und auch die Übertragung findet verschlüsselt statt. [...] Die Daten werden nur dann übertragen, wenn die Gegenstelle der Karte sich authentifiziert hat." [5]

Für die Unterschriftenfunktion ist ein kostenpflichtiges Signaturzertifikat und eine spezielle Signatur-PIN notwendig. Je nach Anbieter fallen unterschiedliche Kosten an. Die Bundesnetzagentur beschränkt sich auf die Akkreditierung der Signaturanbieter. Beim Verlust des Ausweises muss darum zusätzlich unverzüglich der Signaturanbieter informiert werden. Sobald die Signaturfunktion breite Anwendung findet, sollte dieses Verfahren vereinfacht werden.

Das Bundesministerium des Innern stellt auf dem Webportal www.personalausweisportal.de den Neuen Personalausweis vor.

Links und Referenzen:

Bundesministerium des Innern
[0] Neuer Personalausweis: http://www.bmi.bund.de/DE/Themen/Sicherheit/Paesse...
[1] Der neue Personalausweis: http://www.personalausweisportal.de

Bundesministerium für Sicherheit in der Informationstechnik
[2] Brennpunkt Der neue Personalausweis: https://www.bsi-fuer-buerger.de/cln_174/ContentBSI...
[3] Der neue Personalausweis: https://www.bsi.bund.de/cln_174/DE/Themen/Elektron...
[4] Sicerheitsmechanismen: https://www.bsi.bund.de/cln_174/ContentBSI/Themen/...

Magazin für Computertechnik c't
[5] Digitaler Identitätsnachweis: http://www.heise.de/ct/artikel/Digitaler-Identitae...
[6] Wissens- oder Sicherheitsdefizite: http://www.heise.de/newsticker/meldung/Elektronisc...
[7] Sicherheitsdefizite bei Lesegeräten: http://www.heise.de/newsticker/meldung/Elektronisc...
[8] Bürger-Client auf dem Weg zum Nutzer: http://www.heise.de/newsticker/meldung/Elektronisc...

Erstes Deutsches Fernsehen (ARD)
[9] Plusminus Rückschau zur Sendung vom 24.08.10: http://www.daserste.de/plusminus/beitrag_dyn~uid,xc29d2302gsn4gde~cm.asp

Wikipedia
[10] Personalausweis: http://de.wikipedia.org/wiki/Personalausweis_(Deutschland)
[11] Bürgerclient: http://de.wikipedia.org/wiki/Bürgerclient
[12] HBCI: http://de.wikipedia.org/wiki/Homebanking_Computer_...