BSIMögliche Schwachstelle im eID-System?

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) bestätigt, dass es von einem nicht näher genannten IT-Sicherheitsforscher auf eine vermeintliche Schwachstelle im eID-System hingewiesen worden sei. Das BSI habe den Hinweis ernst genommen und entsprechende Analysen durchgeführt. Im Ergebnis betont das BSI, dass es sich bei dem beschriebenen Szenario nicht um einen Angriff auf das eID-System selbst oder eine Schwachstelle in den zugehörigen Sicherheitsfunktionen handle. Das BSI sieht demnach weiterhin keine Änderung in der Risikobewertung bei der Nutzung der Online-Ausweisfunktion. Aus Sicht des BSI ist die Online-Ausweisfunktion weiterhin die sicherste Möglichkeit für Bürgerinnen und Bürger, sich digital auszuweisen.

Missbrauch nicht vollkommen ausgeschlossen

Um die Online-Ausweisfunktion des Personalausweises missbräuchlich verwenden zu können, ist laut BSI ein mehrstufiger Cyber-Angriff auf ein mobiles Endgerät der Anwenderinnen und Anwender erforderlich. Dazu muss das Gerät entweder vollständig kompromittiert oder eine manipulierte App installiert werden. Zudem ist es bei jedem einzelnen Angriffsvorgang notwendig, den Ausweis physisch an der NFC-Schnittstelle zu platzieren, so das BSI. Ein vergleichbarer Angriff wäre auch bei zahlreichen weiteren Online-Diensten denkbar. Aus Sicht des BSI sind grundlegende Sicherheitsmaßnahmen der Anwenderinnen und Anwender ausreichend, um einen erfolgreichen Angriff zu verhindern. Dazu zählen die Verwendung aktueller Soft- und Firmware sowie legitimer Apps aus vertrauenswürdigen Quellen, etwa die AusweisApp des Bundes.
Das BSI will prüfen, mit welchen zusätzlichen Maßnahmen die Nutzung der Online-Ausweisfunktion noch sicherer gestaltet werden kann. Dabei sei zu berücksichtigen, dass die Architektur des eID-Systems offen gestaltet wurde, um ein breites Angebot von Anwendungsmöglichkeiten für die Online-Ausweisfunktion zu erlauben.