Viele Ängste vor dem neuen Personalausweis, etwa der "Datenklau aus der Hosentasche" per RFID, sind zu einem großen Teil unbegründet. Dennoch ist die neue Identitätskarte nicht ohne Risiken. Dazu gehören etwa Keylogger, die die PIN-Eingabe an Cyberkriminelle übermitteln oder der Zertifikatsdiebstahl bei einer Behörde wie der Polizei. Letzterer führt dazu, dass unberechtigte Personen an Daten aus dem Personalausweis kommen können, beispielsweise das Lichtbild und die Fingerabdrücke.
Obwohl laut Innenminister Thomas de Maizière (CDU) ausschließlich Signatur- und Verschlüsselungsverfahren eingesetzt werden, die international anerkannt und etabliert sind, werden sich eventuelle Schwachstellen, die heute niemand ausschließen kann, erst nach der Einführung zeigen. Einen absoluten Schutz kann es nicht geben.
Solche Schwachstellen müssen nicht unbedingt im eingesetzten PACE-Protokoll liegen, sie können beispielsweise auch in der Hardware begründet sein. Alte Pay-TV-Hackermethoden, die durch Spannungsschwankungen Adressregister manipulieren, um Zugriff auf private Schlüssel zu erlangen, funktionieren natürlich nicht mehr. Doch die Kreativität von Hackern sollte man nicht unterschätzen.
Kritischer ist zu sehen, dass es sich zunächst um ein rein deutsches Projekt handelt. Auch wenn das PACE-Protokoll von der ICAO standardisiert wird, heißt das nicht, dass andere Staaten es adoptieren. Für die höheren Protokollebenen wie elektronische Identifizierung (eID) und qualifizierte elektronische Signatur (QES) gilt das erst recht.
Ob weltweite Anbieter wie Facebook oder Amazon sich darauf einlassen, eine technische Infrastruktur für Kunden aus einem Land aufzubauen, das auf der Weltkarte recht klein erscheint, bleibt mehr als fraglich.
Wer alle Funktionen nutzen möchte, muss zudem mit relativ hohen Kosten rechnen. Zu der Gebühr für den High-Tech-Ausweis in Höhe von 28,80 Euro kommen die Kosten für ein Komfort-Lesegerät, das mit etwa 60 Euro zu Buche schlägt. Welche Preise für ein Signaturzertifikat zu entrichten sind, ist noch nicht bekannt.
Mittel- bis langfristig werden sich sicherlich international einheitliche Standards für Identifizierung und Signatur durchsetzen. Dass es sich dabei um die Standards des deutschen Personalausweises handelt, muss als unwahrscheinlich angesehen werden. Es ist nicht einmal sicher, ob die behördliche Organisation eines Staates dabei eine führende Rolle spielen wird. Dann wird es wieder einen neuen Personalausweis, neue Lesegeräte und neue Zertifikate geben.
Lesermeinungen zum Artikel
Eine Sache, die mir sehr wichtig erscheint:
Da wird von "Cyberkriminellen" gesprochen - das fordert meine Kritik heraus. Es vermittelt das Gefühl, dass Schwachstellen des nPA nur aus dem Internet aus ausnutzbar wären, während sich die Missbrauchsgefahr nicht nur im Netzgebrauch sondern auch im Gebrauch innerhalb der physischen Welt besteht. Durch die Formulierung könnten viele Offliner denken "Ach ja gut, die Cyberkriminellen wieder.... ich bin ja eh nicht im Netz unterwegs, also bin ich von etwaigen Schwachstellen nicht betroffen". Das wäre ein riesiger Trugschluss, darauf muss hingewiesen werden!
Ach ja, und auf Seite 2 oder 3 ist die Rede von Computing-Cloud. Gemeint ist "Cluster". Mit Cloud hat das alles nichts zu tun.
Aber ansonsten super Artikel :-)
In dem Zusammenhang noch eine Leseempfehlung meinerseits. Kai Biermann schrieb Anfang dieser Woche auch zum nPA. In seinem Artikel macht er darauf aufmerksam, dass man bis 1. November noch einen neuen "alten Pass" beantragen kann - beispielsweise im Falle eines Diebstahls oder Verlustes des Persos: www.zeit.de/...
Viele Grüsse, Peter
twitter.com/...
Das geht auch gar nicht anders, weil die Lesegräte an den EU-Flughäfen außer BAC nichts unterstützen. Ohne BAC-Support könnte der nPA nicht als Reisedokument, sprich Passersatz, genutzt werden. Deswegen der Kompromiss, dass per BAC nur das Lichtbild und die MRZ-Daten auslesbar sind, nicht aber Anschrift, Fingerabdrücke, etc.
EAC habe ich nicht erwähnt, da das Protokoll weder im deutschen ePass noch im nPA verwendet wird.
Der nPA hat definitiv keine BAC
Geichtsbild und Finerabdruck lassen sich nur über PACE und nachfolgende Terminal-/Chipauthentication auslesen
Für den Abruf von Daten wie Lichtbild und MRZ-Datei ist die PIN, die nur der Besitzer kennt, nicht erforderlich. Das Sniffen in der Nähe eines Lesegerätes wird dadurch erschwert, dass mit einem kurzen Schlüssel wie der sechsstelligen CAN ein langer Schlüssel mittels DH-Keyexchange ausgetauscht wird, was die Sicherheit stark erhöht.
Um alle Daten inklusive Fingerabdrücke per Funk auszulesen, benötigt man ein gestohlenes Zertifikat von einer Behörde wie Polizei, Steuerfahndung oder Einwohnermeldeamt sowie die CAN oder MRZ (beides auf dem Ausweis aufgedruckt).
BAC kommt weiterhin zum Einsatz beim "elektronischen Aufenthaltstitel" (eAT), der in Deutschland lebenden Ausländern quasi als Ersatz für den Personalausweis ausgestellt wird.
Um auf Gesichtsbild und/oder Fingerabdruck zugreifen zu können benötigt man den zugehörigen geheimen Schlüssel. Dieser befindet sich aber in besonders geschützten hoheitlichen Lesegeräten (sog. Inspektionssystemen)
Das wird nicht allzulange dauern, bis sich da jemand dran zu schaffen macht.
die fingerabdruck-daten werden nach fertigstellung
und ausgabe des nPAs aus der datenbank gelöscht,
welche die daten hostet - bis sie auf den nPA
übertragen werden! ... das gehört sich auch so!!
mfg Jens
Jedoch hat auch jeder die Möglichkeit sich davor zu Schützen, zumindest mal vor dem möglichen Datenklau. Es gibt eine RFID Schutzhülle, die man sich kaufen kann. Diese schirmt die RFID Frequenz einfach ab und man kann die Karten nicht mehr auslesen, geschweige denn kopieren. Wir haben es getest und es ist eine sehr gute Lösung sich vor Datenklau zu schützen.
Was im Netz jedoch noch alles passieren kann ist noch fraglich.
Viele Grüße
Rebeca