Aktuelle Seite:  Aufbau / Neuer Personalausweis

Neuer Personalausweis - Verifizierung von Nutzerdaten

Der elektronische Personalausweis und die AusweisApp

Seit dem 1. November 2010 gibt es den neuen Personalausweis (nPA), der durch einen integrierten RFID-Chip auch als elektronischer Personalausweis eingesetzt werden kann. Auf dem Chip befinden sich ähnliche personenbezogene Daten wie auf dem Ausweis selbst, die elektronisch ausgelesen werden können. Der Ausweisinhaber kann diese funktion aktivieren lassen und erhält eine PIN, ähnlich wie zur Benutzung einer EC-Karte

Für das Auslesen dieses Chips werden bestimmte Kartenlesegeräte benötigt, die es in unterschiedlichen Ausführungen gibt (mit oder ohne PIN Eingabefeld, eventuell zur elektronischen Signatur geeignet). Weiterhin muss auf dem Computer die AusweisApp installiert sein, in der die abgerufenen Daten angezeigt werden und bestätigt werden müssen. Bei den Kartenlesern ohne PIN Eingabefeld übernimmt die AusweisApp diese Aufgabe ebenfalls.

Der elektronische Personalausweis kann somit von Zuhause aus im Internet eingesetzt werden um sich auszuweisen. Allerdings sind die Funktionen von nicht-staatlichen Einrichtungen eingeschränkt, auf welche personenbezogenen Daten zugegriffen werden darf.

eID-Service

Um auf die Funktionen des neuen Personalausweises zugreifen zu können, müssen Webseiten einen eID-Service in Anspruch nehmen, der die entsprechenden eID Funktionen bereitstellt. Diese Dienste übernehmen dann sämtliche Kommunikation mit der AusweisApp bzw. dem nPA und überprüfen die Gültigkeit der entsprechenden Zertifikate und liefern schließlich die entsprechenden Daten an die Webseite.

Die zurückgegebenen Daten sind eindeutig verifizierbar mit Hilfe von Verifikationsschlüsseln, die von den entsprechenden staatlichen Institutionen veröffentlicht werden. Neben den eigentlichen Daten enthalten diese ebenfalls den Zeitpunkt der Anfrage und einen Zeitraum, für den diese Daten gültig sind.

Sicherheit

Es gibt unterschiedliche Meinungen zur Sicherheit des nPA, bzw. des eID-Service:

  • Einerseits sind die zugrunde liegenden Protokolle zur Verschlüsselung und gegenseitigen Authentifizierung auf dem aktuellen Stand der Technik und kryptographisch nachweisbar sicher.

  • Andererseits hat der Chaos Computer Club bereits bei der Einführung des nPA gezeigt, dass mit spezieller Malware Angriffe auf das Verfahren, bzw. die AusweisApp möglich sind, insbesondere wenn Kartenleser ohne eigene PIN Eingabe eingesetzt werden. Allerdings ist das benötigte Szenario für diesen Angriff sehr speziell und nach einem erfolgreichen Angriff sind die Möglichkeiten sehr beschränkt.

  • Da der Angriff des CCC auf Malware beruht, können die üblichen Sicherheitsmaßnahmen wie Virenscanner und Firewalls einen gewissen Schutz liefern. Es sei aber angemerkt, dass diese nie vollkommene Sicherheit bieten können.