Neuer Personalausweis: Lücke im Chip

Was hatte die Regierung für hohe Ansprüche. „Sicher und komfortabel“ könne sich der Bürger „in der Offline- und Online-Welt bewegen“, wenn erst einmal der neue Personalausweis da sei. So schwärmte Innenminister Thomas de Maizière (CDU) bei der Vorstellung des Dokuments im Scheckkarten-Format, das vom 1. November an ausgegeben wird.

Neu daran ist ein Chip, der – zunächst freiwillig – die Speicherung biometrischer Daten und eine einfache Identifizierung übers Internet ermöglicht. So soll man online sicher bezahlen oder sich Behördengänge ersparen können. Nötig sei dafür nur ein Lesegerät, das künftig jeder im Handel kaufen könne. So hatte es die große Koalition beschlossen, so setzt es Schwarz-Gelb nun um. Zum Start werden mehr als eine Million Lesegeräte über Computer-Zeitschriften und Banken in „Starter Kits“ verschenkt, finanziert mit Geld aus dem Konjunkturpaket II.

Doch nun kommen, zwei Monate vor dem Start, Zweifel an der Sicherheit des Personalausweises auf. Informatikern des Chaos Computer Clubs (CCC) gelang es, die sechsstellige Geheimnummer auf dem Chip zu knacken, mit der der Bürger sich identifizieren soll. Laut ARD-Magazin „Plusminus“, das den Test in Auftrag gab, ist es so problemlos möglich, sensible Daten vom Ausweis auszulesen.

„Die einfachen Lesegeräte, die kostenlos verteilt werden, haben keine eigene Tastatur“, erklärte die Sprecherin des CCC, Constanze Kurz, der Frankfurter Rundschau. Zur Identifizierung müsse man die PIN über die PC-Tastatur eingeben. „So können Betrüger sie mit Spionage-Software mitlesen. Das schaffen schon Informatikstudenten höherer Semester.“

Bundesinnenminister Thomas de Maizière (CDU) sieht dennoch keinen Handlungsbedarf. „Die Technik ist eine der sichersten, die derzeit verfügbar ist“, sagte ein Ministeriumssprecher der FR. Die Lücke entstehe nur, wenn User ihre PCs nicht gegen Spionagesoftware schützen. Zudem reiche die PIN nur in Verbindung mit dem Ausweis zur Identifizierung.

Darauf verwies auch das zuständige Bundesamt für Sicherheit in der Informationstechnik (BSI). Die Verbindung von Chip und PIN sei „ein deutlicher Sicherheitsgewinn gegenüber dem heute üblichen Verfahren von Username und Passwort“. Die Daten würden verschlüsselt übertragen. Angreifer kämen nicht an sie heran.

Datenschützer Schaar warnt

Der Bundesbeauftragte für den Datenschutz, Peter Schaar, rät dennoch zur Vorsicht. „Die Basis-Lesegeräte scheinen mir ungeeignet für sicherheitssensible Daten“, sagte er der FR. Das Innenministerium sollte auf den Einsatz der leichter angreifbaren Geräte verzichten, zumal auch Ministeriums-Experten betonen, dass Lesegeräte mit integriertem Pinpad zur Zifferneingabe sicherer seien. Sie seien zwar auch teurer, so Schaar, aber: „Finanzielle Aspekte dürfen nicht wichtiger sein als die Sicherheit persönlicher Daten.“

Der CCC findet „besonders ärgerlich, dass die Sicherheitsmängel lange bekannt sind“, so Sprecherin Kurz. Im Juni warnte eine Studie für das Innenministerium vor Lesegeräten ohne Pinpad. Auch die vom BSI genannte Software zum Schutz des PCs könne von moderner Spionagesoftware „leicht umgangen werden“.

FDP-Rechtsexperte Christian Ahrendt forderte vom Innenministerium eine schnelle Klärung der Vorwürfe. „Der neue Personalausweis ist uns als sicheres Dokument versprochen worden“, sagte er der FR. „Die Lücke muss vor Einführung der Technik geschlossen werden.“ SPD-Innenpolitiker Michael Hartmann erklärte: „Sollte es nur geringste begründete Zweifel geben, muss der Start verschoben werden.“ Seite 13