Mobile-Menu

Digitale Identität Sicherheitslücke: Schwachstelle bei eID entdeckt

Von Johannes Kapfer 2 min Lesedauer

Anbieter zum Thema

Governikus GmbH & Co. KG
secunet Security Networks AG
mgm technology partners GmbH

Die eID hat keinen leichten Stand in Deutschland. Nachdem kürzlich die kostenfreie Rücksetzmöglichkeit des PINs – aus Kostengründen – gestrichen wurde, wurde nun eine gravierende Sicherheitslücke in der Kommunikation zwischen Endgerät und Zertifikatsserver aufgedeckt.

Am 2. August 2021 wurde der Personalausweis geltenden EU-Standards angepasst.(© mhp – stock.adobe.com)
Am 2. August 2021 wurde der Personalausweis geltenden EU-Standards angepasst.
(© mhp – stock.adobe.com)

Ein kürzlich veröffentlichter Blog-Artikel des Hackers ‚CtrlAlt’ hat eine schwerwiegende Sicherheitslücke im deutschen eID-System aufgedeckt, die die Integrität der Online-Identitäten von Millionen von Bürgern in Frage stellt. Die Schwachstelle, die von Sicherheitsexperten als „Spoofing Password Authenticated Connection Establishment“ (sPACE)-Angriff bezeichnet wird, ermöglicht es Angreifern, die Sicherheitshardware des deutschen Personalausweises – vor allem die offizielle Anwendung AusweisApp2 scheint betroffen zu sein – zu kompromittieren. Dabei könnten laut CtrlAlt gekaperte Online-Identitäten ohne spezielle Berechtigungen für kriminelle Zwecke missbraucht werden und beispielsweise Bankkonten im Namen Fremder eröffnet werden.

Die Sicherheitslücke ist wohl nur sehr schwer zu schließen

Die eID-Funktion soll Bürgerinnen und Bürgern sichere Online-Authentifizierungsprozesse und die Erstellung digitaler Signaturen für verschiedene Online-Dienste ermöglichen, einschließlich derer der Öffentlichen Verwaltung, diverser Gesundheitsplattformen und des Bankenwesens.

Die Schwachstelle CVE-2024-23674, die als grundlegender Designfehler identifiziert wurde, liegt – nach Aussagen CtrlAlts – in der „unzureichenden Entkopplung zweier Authentifizierungsfaktoren“ sowie der „Abwesenheit von Mechanismen zur Validierung der Endpunkte“ zwischen den eID-Servern und den eID-Clients der Anwender. Dies ermöglicht es Angreifern, sich als legitime Benutzer auszugeben und unbemerkt auf deren sensible Daten zuzugreifen.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat die Existenz der Schwachstelle bestätigt, betont jedoch, dass die Sicherheit der Client-Geräte in der Verantwortung der Benutzer liege. Dieser Standpunkt wird weitreichend von Sicherheitsexperten kritisiert, da viele Anwenderinnen und Anwender keine ausreichenden Schutzmechanismen auf ihren digitalen Endgeräten installiert haben. Zudem bleibe die Schwachstelle selbst dann aktiv, wenn die aktuell empfohlenen Sicherheitsmaßnahmen des BSI befolgt werden, heißt es aus Expertenkreisen.

Die entdeckte Schwachstelle gilt als äußerst schwerwiegend. Auf der Skala des Common Vulnerability Scoring System (CVSS) erreicht nsPACE 9,7 von 10 Punkten. Damit rangiert die Sicherheitslücke der eID in der selben Liga wie etwa Computerviren der Größenordnung von Stuxnet und WannaCry.

(ID:49916894)

Jetzt Newsletter abonnieren

Wöchentlich die wichtigsten Infos zur Digitalisierung in der Verwaltung

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte