ID Wallet: Bundesregierung wurde vorab durch das BSI vor Sicherheitslücken gewarnt
von André Westphal | 17 Kommentare
Quelle: BMVI
Wir haben bereits mehrfach über das ID Wallet berichtet: Der zuständige Minister Andreas Scheuer hoffte wohl, sich mit diesem Projekt noch ein bleibendes Denkmal zu setzen. Gelungen ist ihm dies, aber anders als intendiert: Ähnlich wie das Debakel um die PKW-Maut entwickelte sich auch das ID-Wallet rasch zum Fehlschlag. So wurde das ganze Projekt auf einer fragwürdigen Basis aufgebaut. Das kritisierte die Sicherheitsforscherin Lilith Wittmann ausgiebig. Wie nun herausgekommen ist, waren die Mängel der Bundesregierung aber ohnehin bekannt und wurden schlichtweg wider besseren Wissens ignoriert.
Eine Anfrage, dessen Antwort auch bei FragDenStaat einsehbar ist, zeigt, dass das Bundesamt für Sicherheit in der Informationstechnik (BSI) das Bundesinnenministerium vor genau den Mängeln warnte, die auch Wittman ansprach. Im Wesentlichen ist es für Nutzer nicht eindeutig feststellbar, wem gegenüber sie sich bei einem Check-in, etwa in einem Hotel, genau identifizieren. Das ermöglicht Täuschungen und daraus folgend Identitätsdiebstahl. Kritisiert wurde auch die Verwendung der Blockchain-Technik, deren konkreter Mehrwert in diesem Fall unklar bleibe, während die Komplexität unnötig erhöht werde.
Neuigkeiten zu #idwallet. Jemand hat Dokumente dazu per #IFG freibekommen, aus denen hervorgeht, das alle Probleme eigentlich bekannt waren.
Und außerdem noch eine Menge mehr Popcorn.
Ich hoffe das Thema ist nun endgültig gestorben. ?https://t.co/CY6rXYp0iU— Lilith Wittmann (@LilithWittmann) October 28, 2021
Die Bundesregierung hielt an dem Projekt fest und watscht bis heute Kritik am ID Wallet dadurch ab, dass es noch weiterentwickelt werde. Allerdings dürfte das Vertrauen vieler Menschen nun bereits so weit erschüttert sein, dass sie von einer Verwendung absehen würden – da schließe ich mich selbst ein. Denn wenn die eigenen Identitätsdaten einmal gestohlen worden sind, kann man ein Leben lang dadurch Probleme bekommen. Erschreckend also, dass man da seitens der Verantwortlichen aus der Politik nicht direkt bedachter vorgegangen ist.
Aktuell ist der Plan, das ID Wallet jedenfalls fortzuführen. Wittmann hingegen hofft, dass das Projekt in der bisherigen Form begraben werde. Wie sieht denn eure Meinung zu dem Thema aus?
![Samsung Galaxy A15 4GB+128GB [International Version] (Light Blue)](https://m.media-amazon.com/images/I/21KQfZzo5RL._SL160_.jpg)
Transparenz: In diesem Artikel sind Partnerlinks enthalten. Durch einen Klick darauf gelangt ihr direkt zum Anbieter. Solltet ihr euch dort für einen Kauf entscheiden, erhalten wir eine kleine Provision. Für euch ändert sich am Preis nichts. Partnerlinks haben keinerlei Einfluss auf unsere Berichterstattung.
Wird geladen ...
Kleiner Tippfehler: „Blockhain-Technik“
Danke, ist verbessert!
Hat der Kerl irgendwas nicht versaut in seiner Amtszeit? Unglaublich, dass so jemand nicht gefeuert wird oder gefeuert werden kann oder was auch immer.
Am Ende werden es Apple und Google wieder über ihre Wallet und Schnittstellen lösen und Deutschland hat wieder was aus der Hand gegeben, weil sie es nicht hinbekommen haben.
Milliarden oder Millionen werden vorher natürlich denoch darin versenkt. Warscheinlich wieder an befreundete Unternehmen. Da kriegt man nur noch das Kotzen!
Das ist die neue Realität. Solche „Sachen“ sitzt die neue Art von Politikern einfach aus. Und niemand kann etwas dagegen tun.
Ich hätte gerne eine digitale ID – aber so, das diese auch als solche genutzt werden kann. Also diese in 99% der Fällen der Karte gleichberechtigt ist.
Diese Umsatzung ist einfach für die Tonne! besonders wenn die Google/Apple in ihren Betriessystemen eine sicherere Schnittstelle liefern.
Blockchain war meiner Ansicht nur Buzzword gewi****e.
AS war wirklich einer der unwürdigsten Minister der Bundesrepublik.
Früher sind Politiker z.B wegen einer nicht richtig angemeldeten Putzfrau zurück getreten, das war längst nicht so Teuer wie vom Scheuer. Aber ist ja auch nicht sein Geld
Sensible Daten sollten nicht digitalisiert werden. Man hat das doch schon bei Unterhaltungsmedien gesehen, während vor den CD Brennern und MP3 und Internet nur eine analoge, erkennbare Kopie möglich war, kann man heutzutage exakte Kopien erstellen, ohne finanziellen oder zeitlichen Aufwand.
Einen Plastikkartenausweis kann man zwar auch fälschen, aber nicht jeder und auch nicht mal eben so. Zudem gibt es Widersprüche, wenn physischer Ausweis und Daten im Melderegister nicht zusammenpassen.
Beim digitalen Ausweis änder man die Daten beliebig, niemand kann da noch nachvollziehen, welcher Ausweis echt ist und welcher nicht.
Digital sollte in existenziellen Bereichen keine Rolle spielen, dass hat noch nie funktioniert.
Na das sagt mal den Bitcoin-Inhabern. Sensible Daten werden schon lange digitalisiert. Oder was glaubst du, wie eine Überweisung zu deinem Lieblingshändler seit Jahren abläuft.
Besser wäre, dass gerade bei sensiblen Daten sowohl der GAU als auch der DAU (wobei das „D“ als nicht selbst verschuldet gemeint ist) anzunehmen sind und entsprechend bei der Entwicklung berücksichtigt wird.
Übrigens war ein „Fälschen“ des Plastik-PA bis vor kurzem so gut wie kein Problem. Und der wurde sogar im Bürgerbüro dann auch noch ausgeteilt (Stichwort: Face-Morphing-Angriff).
Ob sensible Daten digitalisiert werden sollen oder nicht ist Ansichtssache, deshalb will ich Dir da nicht widersprechen.
Dass digitale Ausweise beliebig kopiert oder gar verändert werden können dagegen ist schlicht falsch. Ein digitaler Ausweis ist kein JPEG-Foto eines echten an das man dann per Photoshop geht und auch keine Textdatei in die man schreiben kann was man will.
Triviales Beispiel wie das laufen kann:
* Ich bin die Bundesdruckerei
* Du bist Ausweisinhaber
* Wir ziehen das ganze in einer PKI auf.
* Ich besitze ein Schlüsselpaar. Der öffentliche Teil ist öffentlich.
* Du besitzt ein Schlüsselpaar. Das kriegst Du nicht von mir sondern baust es Dir selbst.
* Du kommst bei mir vorbei, dann signiere ich Dir Deinen öffentlichen Schlüssel.
Wenn jemand wissen will wer Du bist schicken die Dir eine Anfrage die einen Zufall enthält. Du signierst die Anfrage mit deinem privaten Schlüssel und händigst das Ergebnis zusammen mit deinem öffentlichen Schlüssel sowie der Signatur die Du von mir (er Bundesdruckerei) bekommen hast aus.
Daraus lässt sich ableiten dass Du der Besitzer des privaten Schlüssels bist. Wer genau Du bist steht lesbar in deinem öffentlichen Schlüssel und dass die Daten korrekt sind habe ich bereits bestätigt.
Das kriegst Du nicht manipuliert. Jedenfalls nicht mit weniger Aufwand als es ist die Plastikkarte zu fälschen. Tendenziell eher viel viel mehr.
Gegen das Kopiere hilft, dass die eSIM eines Handys, genauso wie ein TPM, geschrieben werden kann aber nicht gelesen. Sie kann dann lediglich mit den geschriebenen Daten rechnen. Heißt: Den privaten Schlüssel auf das Handy laden ist möglich, ihn wieder auslesen nicht.
Ein TPM kann sogar direkt ein Schlüsselpaar erzeugen damit der private Schlüssel nie außerhalb des TPM existiert. Die Daten sind also untrennbar mit der Hardware verbunden. Ob das eine eSIM auch kann weiß ich nicht, es wäre aber natürlich sinnvoll.
Alle Angriffe dagegen sind deutlich aufwändiger als es heute ist, persönlich im Bürgerbüro vorbei zu laufen und einen neuen Ausweis mit potenziell gefälschten Personendaten zu beantragen.
Natürlich kann man das auch falsch machen. Und offensichtlich wurde hier ja vieles falsch gemacht. Das Konzept hat Edgecases die man bedenken muss, man kann in der Umsetzung Fehler machen und der größte bemängelte Kritikpunkt, nämlich ein unverständliches UI, hab ich gar nicht angesprochen. Trotzdem ist es schlicht falsch zu glauben dass man schon per se Daten immer nach Belieben kopieren und verfälschen kann.
Ich würde auch lieber ein bestehendes Standard der Betriebssysteme bevorzugen. Oder eine optionale Integration in diese, damit ich nicht viele verschieden Apps habe. Eine zentrale App in der alles drin ist, ist die eleganteste Lösung.
Die EU will einheitliche Ladekabel durchsetzen, aber dann für jeden Nutzen eine komplett andere App?!
Eine Frage bleibt offen: Im Vergleich zu digitalen Kredit-/Debit- oder Girokarten, bietet die digitale ID (Ausweis/Führerschein) keinen Umsatz auf Provisionsbasis. Daher wäre die Frage, welcher der Platzhirsche es als goodwill anbietet. Google oder Apple? Ich denke, dass bei so einem sensiblen Thema keiner der beiden es sich erlauben kann Quatsch zu machen.
Ich hätte da mal eine Verschwörungsteorie:
Die Zahlung an Digital Enabling war an die Bedingung gebunden die App müsse gelauncht werden, sonst Vertragsstrafe oder kein Erfolgsbonus. Also musste umbedingt die App freigegeben werden, damit die Bezahlung gerechtfertigt ist
sehr schön abgeleitet aus den Fakten der PKW Maut. 🙂
Dieses Land ist ein Bananenstaat geworden. Jeder macht sich so, wie es ihm gefällt, hauptsache die eigenen Taschen füllen sich.
Wo bleiben die verdammten 6 Billionen Steuereinnahmen pro Jahr in Deutschland??
Leider wieder ein Beispiel, welches die berechtigte Skepsis in digitale Lösungen des deutschen Staates befeuert. Man denke nur an das Trauerspiel mit der digitalen Gesundheitsakte. Dass bei derlei Projekten die Sicherheit an oberster Stelle zu stehen hat, ist scheinbar nach wie vor nicht in den Ministerien angekommen. Bedeutet auch: Finger weg, bis sich die Kultur ändert.
…erinnert mich an Sozialismus.
Er lebte in jeder bisherigen Ausprägung von Ausbeutung und Unterdrückung, aber die Anhänger sagen „Das war gar kein richtiger Sozialismus, /diesmal/ machen wir es aber richtig!!1!“ 🙂
So ist das Mn auch mit der Digitalisierung in DE. „Ja, da sind dumme Fehler passiert, aber /diesmal/ können Sie uns vertrauen!!1!“
Fefe schrieb letzten Do¹:
„Wenn ihr euch mal über Blockchain + SSI informieren wollt: Mein geschätzter Kollege Christian Kahlo hat da mal einen Artikel geschrieben².
Ein bisschen lang für die Zielgruppe, die so einen Text am dringensten braucht, aber die Technikinteressierten unter euch können das für bestimmt gut für eine freiwillige Fortbildung brauchen. Aber seit gewarnt: Ein Grundverständnis an Crypto-Grundlagen wird vorausgesetzt.
Falls ihr gar nicht wisst, was SSI ist, und wieso euch das interessieren sollte: Google-Stichwort ID Wallet-App der Bundesregierung. Das waren nicht die mit den 5 Blockchains. Das war die andere völlig gescheiterte App. Hier könnt ihr euch erklären lassen, warum schon die Konzepte dahinter für den Fuß sind.“
Ich fand den Artikel sehr lesenswert (lassen Sie sich nicht von „Grundverständnis an Crypto-Grundlagen wird vorausgesetzt“ abschrecken, da können Sie notfalls ‚drüberscrollen) und empfehle ihn deshalb gern weiter.
¹ http://blog.fefe.de/?ts=9f8477b1
² https://medium.com/@ckahlo/blockchain-ssi-id-d7e51d98d050
Man mag mich für einen Träumer halten, aber würde es nicht mehr Sinn machen zuerst das Backend (Behörden,Ämter,Polizei, usw.) durchweg zu digitalisieren, bevor man den Bürgern etwas in die Hand (bzw. auf’s Smartphone) drückt, was darauf aufsetzt?
Nur mal so ein Gedanke…
Scheuer ist beteiligt —> Projekt begraben 😉