Seit Anfang der Woche (8. November 2010) ist die für die vollständige Nutzung (bspw. die Identifizierung über das Internet) des neuen Personalausweises benötigte Software, die so genannte AusweisApp, erhältlich. Nur einen Tag später, nämlich am gestrigen Dienstag machten erste Meldungen über diverse Schwachstellen der App die Runde. Nun reagierte das Bundesamt für Sicherheit in der Informationstechnik (BSI) und sperrte vorerst die Möglichkeit, die besagte AusweisApp herunterladen zu können.

Kurz gesagt handelt es sich um Fehler in der Update-Funktion der AusweisApp, die letztlich das Einschleusen von Malware^W oder beliebigem Code ermöglichen. Wer es genauer wissen möchte, dem kann ich nur den Blogpost von Jan Schejbal – dem Entdecker der Mängel – wärmstens empfehlen. Er schildert das Vorgehen auch für eher weniger technisch versierte Nutzer eindrucksvoll, könnte fast ein Auszug aus einem Hackerroman sein.

In einer heute veröffentlichten Pressemitteilung des BSI bestätigte man Existenz der aufgezeigten Mängel, und betonte alsbald eine neue und um die Fehler bereinigte AusweisApp anbieten zu wollen. Gleichzeitig verwies man allerdings auch wie so oft darauf:

“Bei dem Angriff wird die AusweisApp selbst weder angegriffen noch verfälscht. Auch beeinflusst dies nicht die Sicherheit des neuen Personalausweises. Das Szenario führt auch nicht dazu, dass personenbezogene Daten von einem Angreifer aus dem Ausweis ausgelesen werden können.”

Also alles halb so wild. Als Empfehlung für Menschen, die bereits die AusweisApp heruntergeladen haben und später auf die neue, Fehlerbereinigte Version Updaten wollen, gibt das BSI den Nutzern mit auf den Weg, hierfür nicht die Update-Funktion der Software zu verwenden, sondern sich diese komplett neu herunter zu laden und zu installieren.

Ich bin ja kein Hacker, Computerspezialist o.ä. interessant finde ich die Sache dennoch. Vorallem stellt sich mir als Laie die Frage ob es mit der besagten Schadsoftware nicht auch wieder möglich wäre die im Vorfeld schon angesprochene Sicherheitslücke auszunutzen, die es Hackern erlaubt die PIN-Nummer des Ausweises, auf einem mit Schadsoftware befallenen Computer auszulesen und somit quasi Zugang zu den auf dem Ausweis gespeicherten Daten zu erhalten. In diesem Fall könnte man die zitierte Passage der Pressemitteilung durchaus als fragwürdig bezeichnen. Zwar ist es nur zu verständlich, das man von staatlicher Seite besonderen Wert darauf legt den Ausweis an den Mann zu bringen und dabei vorwiegend die Vorteile hervorhebt, allerdings sollte man dabei auch voraussetzen können nicht über Tisch gezogen zu werden. Danach sieht es jedoch aus. Ohne lange Ausschweife bleibt die Regierung damit jedoch nur ihrer Linie treu.

Schlussendliche Empfehlung wird wieder mal sein, das jeder eine aktuelles Virenprogramm, sowie eine Firewall installiert haben sollte. Damit ist man durch und der Rest das Problem des Nutzers.