Sicherheitslücke beim neuen Personalausweis
Berlin · Seine Identität im Internet und an Automaten sicher und zweifelsfrei belegen: So warb das Bundesministerium für den neuen elektronischen Personalausweis. Doch die Rechnungsprüfer warnen vor Missbrauch: Dritte könnten durch Datenklau die Identität der Ausweisinhaber nutzen.
Berlin. Der Bundesrechnungshof warnt vor Datendiebstahl und Datenmissbrauch: Mehr als zweieinhalb Jahre nach Einführung des neuen Personalausweises ist eine gravierende Sicherheitslücke bei der Online-Funktion des Ausweises offenbar noch nicht geschlossen.
Das geht aus einer Unterrichtung der Behörde an den Deutschen Bundestag hervor, die unserer Zeitung vorliegt. Demnach sei nach wie vor unklar, inwieweit die für die Internetnutzung benötigte Software ohne Risiken verwendet werden könne, bemängeln die Prüfer.
Rheinland-Pfalz führend
Seit dem 1. November 2010 haben die Bundesbürger die Möglichkeit, den neuen Personalausweis mit einem elektronischen Identitätsnachweis (eID) zu beantragen. Dadurch können sie sich online ausweisen. Laut Bundesinnenministerium haben sich bislang sechs Millionen Bürger bei der Abholung ihres Ausweises für die Freischaltung dieser Funktion entschieden.
Insgesamt wurden in den vergangenen zweieinhalb Jahren an die 18 Millionen neue Personalpapiere im Scheckkartenformat beantragt. 130 kommerzielle und behördliche Internet-Dienste bieten derzeit die Möglichkeit an, sich online mit dem eigenen Ausweis zu identifizieren und sich so den Behördengang oder Papierkram zu sparen. Darunter die Bundesagentur für Arbeit, die Deutsche Rentenversicherung oder das Kraftfahrtbundesamt. Bei den Ländern ist nach Angaben des Innenministeriums Rheinland-Pfalz führend.
80 Prozent der Meldebehörden und Standesämter im Land würden inzwischen ihren Bürgern Online-Dienstleistungen mit der eID-Funktion ermöglichen. In großen Städten wie Hamburg, Köln, Aachen und Münster gebe es zudem ebenfalls ein solches Angebot, weitere Kommunen würden folgen.
4,2 Millionen Euro für Software
Um den elektronischen Identitätsnachweis allerdings nutzen zu können, müssen die Ausweisinhaber auf ihren Computern eine sogenannte "AusweisApp" installieren und ein Kartenlesegerät besitzen.
Absatzzahlen für die Geräte liegen dem Innenministerium und dem zuständigen Bundesamt für Sicherheit in der Informationstechnik nicht vor. Nach Angaben des Rechnungshofes ist die Software für die App das Problem: Das Bundesamt lasse die Bürger seit zweieinhalb Jahren im Unklaren, "ob sie die hierfür benötigte Software ohne Risiken nutzen können". Der Nachweis dafür sei durch die notwendige Zertifizierung des Programms nach wie vor nicht erbracht.
Die Rechnungsprüfer warnen deshalb vor Missbrauch. Dritte könnten durch Datenklau die Identität der Ausweisinhaber nutzen, die dann "für die Folgen haften müssten".
Nach Ansicht des Rechnungshofes darf es aber keine "Restzweifel" an der Sicherheit der App gegeben. Für die Entwicklung der Software seien 4,2 Millionen Euro ausgegeben worden, das Innenministerium habe zudem errechnet, dass die Unternehmen durch den elektronischen Identitätsnachweis 130 Millionen Euro pro Jahr sparen könnten. Ohne Vertrauen der Nutzer in die neue Technik des elektronischen Personalausweises sei jedoch "der Erfolg des Projekts sowie der Nutzen der bereits eingesetzten Haushaltsmittel gefährdet", heißt es in der Unterrichtung. Die Zertifizierung müsse daher rasch nachgeholt werden.
Das Innenministerium betonte auf Nachfrage, das Bundesamt für Sicherheit und Informationstechnik habe "umfangreiche Maßnahmen" getroffen, die die Sicherheit gewährleistet.
So werde die Software fortlaufend überprüft. Dadurch sei sichergestellt, "dass auftretende Schwachstellen frühzeitig erkannt und zeitnah behoben werden können", sagte ein Sprecher.
