{"id":42572,"date":"2018-11-26T12:15:48","date_gmt":"2018-11-26T11:15:48","guid":{"rendered":"https:\/\/www.pcspezialist.de\/blog\/?p=42572"},"modified":"2024-11-06T11:26:21","modified_gmt":"2024-11-06T10:26:21","slug":"online-ausweisfunktion-identitaetsdiebstahl","status":"publish","type":"post","link":"https:\/\/pcspezialist.de\/blog\/2018\/11\/26\/online-ausweisfunktion-identitaetsdiebstahl\/","title":{"rendered":"Online-Ausweisfunktion unsicher? ## Droht bei der Online-Ausweisfunktion Identit\u00e4tsdiebstahl?"},"content":{"rendered":"

Seit 2010 bietet der neue Personalausweis die M\u00f6glichkeit, sich im Netz per Online-Ausweisfunktion zu identifizieren. Doch Vorsicht: In manchen F\u00e4llen droht dabei Identit\u00e4tsdiebstahl.<\/strong><\/p>\n

Woran das liegt und worauf ihr bei der Nutzung der Online-Ausweisfunktion achten solltet, erfahrt ihr bei uns.<\/p>\n

<\/p>\n

Online-Ausweisfunktion: So funktioniert sie<\/h3>\n

Jeder mit deutscher Staatsb\u00fcrgerschaft \u00fcber 16 hat ihn: den Personalausweis. Seit dem 1. Januar 2010 gibt es nur noch den sogenannten neuen Personalausweis im Scheckkartenformat. Er verf\u00fcgt \u00fcber einen RFID-Chip, mit dem ihr euch nicht nur pers\u00f6nlich sondern auch im Internet ausweisen k\u00f6nnt.<\/p>\n

Daf\u00fcr m\u00fcssen allerdings einige Voraussetzungen erf\u00fcllt sein. Einerseits m\u00fcsst ihr die Online-Ausweisfunktion bei der Beantragung des neuen Personalausweis freischalten lassen. Andererseits ben\u00f6tigt ihr f\u00fcr die Online-Identifikation ein Kartenleseger\u00e4t sowie eine passende Software (den sogenannten eID-Client) wie etwa die AusweisApp 2<\/a>.<\/p>\n

Wollt ihr euch bei einer Webanwendung, zum Beispiel der elektronischen Steuererkl\u00e4rung ELSTER, identifizieren, sendet die Webanwendung eine Anfrage an den eID-Client. Dar\u00fcber wird dann die restliche Authentifizierung gesteuert. Ihr m\u00fcsst euch dabei erst mit einer PIN identifizieren und anschlie\u00dfend den RFID-Chip eures Personalausweises auslesen lassen. Die Webanwendung, der eID-Client und ein Authentifizierungsserver pr\u00fcfen dann eure Identit\u00e4t<\/a>.<\/p>\n

\"Dank<\/a>

Dank einer Schwachstelle in der Online-Ausweisfunktion droht im schlimmsten Fall Identit\u00e4tsdiebstahl. (Bild: pixabay.com\/mohamed_hassan)<\/p><\/div>\n

Schwachstelle macht Online-Ausweisfunktion angreifbar<\/h3>\n

Damit eure pers\u00f6nlichen Daten sicher sind, sind spezielle Sicherheitsvorkehrungen beim Authentifizierungsserver n\u00f6tig. Trotzdem ist die Online-Ausweisfunktion nicht komplett sicher, wie ein Bericht einiger Sicherheitsforscher von Sec Consultant zeigt<\/a>.<\/p>\n

Damit die Authentifizierung mit dem neuen Personalausweis funktioniert, setzen Webanwendungen auf das Software-Entwicklungskit Governikus Autent SDK. Allerdings k\u00f6nnen Angreifer relativ einfach eine Schwachstelle im Governikus Autent SDK ausnutzen und sich mit falschem Namen identifizieren.<\/p>\n

Angreifer k\u00f6nnen sich mit falschem Namen anmelden<\/h4>\n

Die Schwachstelle sorgt n\u00e4mlich daf\u00fcr, dass Angreifer neben einer korrekt signierten Anfrage noch eine weitere, manipulierte Anfrage mitschicken k\u00f6nnen. Das SDK erkennt nur die signierte Anfrage und gibt sie frei. Die manipulierte Anfrage wird allerdings nicht weiter gepr\u00fcft, sondern ebenfalls weitergegeben.<\/p>\n

Angreifer k\u00f6nnen sich so bei einer Webanwendung, die die Authentifizierung mit dem neuen Personalausweis erm\u00f6glicht, anmelden. Au\u00dferdem k\u00f6nnen sie so Identit\u00e4tsdiebstahl begehen und wahllos Aktionen im Namen einer anderen Person ausf\u00fchren.<\/p>\n

Identit\u00e4tsdiebstahl ist keine Seltenheit<\/h3>\n

Die gute Nachricht ist, dass die Schwachstelle bereits geschlossen ist. Die Sicherheitsforscher haben die Sicherheitsl\u00fccke bereits im Juli 2018 an das Notfall-Team des\u00a0CERT Bund des Bundesamt f\u00fcr Sicherheit in der Informationstechnik (BSI). Dieses hat die betroffenen Anbieter von Webanwendungen kontaktiert und zur Aktualisierung des SDKs aufgerufen.<\/p>\n

Tipps zum Schutz gegen Identit\u00e4tsdiebstahl<\/h4>\n

Identit\u00e4tsdiebstahl im Internet ist leider keine Seltenheit mehr. Wir haben in der Vergangenheit zum Beispiel \u00fcber Identit\u00e4tsdiebstahl in Fake-Onlineshops, bei Facebook<\/a> oder bei der Nutzung von Freemail-Adressen<\/a> berichtet. Auch wenn ihr euch bei der Nutzung der Online-Ausweisfunktion darauf verlassen m\u00fcsst, dass die Web-Admins ihre Webanwendungen entsprechend absichern, k\u00f6nnt ihr euch im Internet mit einigen Tipps vor Identit\u00e4tsdiebstahl sch\u00fctzen.<\/p>\n