eID Hacker entdeckt Sicherheitslücke bei Online-Personalausweis

• Ein Hacker hat eine Sicherheitslücke beim Online-Personalausweis entdeckt.
• Dem Chaos Computer Club zufolge bietet die Sicherheitslücke ein Angriffsszenario.
• Das Bundesamt sieht keinen Anlass dafür, die Risikobewertung für die Ausweisfunktion zu ändern.

Ein Hacker hat nach einem Bericht des "Spiegel" eine Sicherheitslücke bei der Online-Nutzung des deutschen Personalausweises aufgedeckt. Ihm sei es mit einer eigenen App gelungen, Login-Daten für die sogenannte eID-Funktion abzugreifen, die digitale Behördengänge ermöglicht, schreibt das Nachrichtenmagazin.

Dem Bericht zufolge ist die eID-Funktion bei mehr als 50 Millionen Personalausweisbesitzerinnen und -besitzern aktiviert. Sie wird unter anderem auch zur Identifizierung bei Banken verwendet. Mit dem Trick sei es dem Hacker, der unter dem Pseudonym "CtrlAlt" auftritt, geglückt, unter fremden Namen ein Konto bei einer großen deutschen Bank zu eröffnen, schreibt der "Spiegel".

Ein Sprecher des Chaos Computer Clubs (CCC) bestätigte, dass der Hacker einen kritischen Punkt im eID-Verfahren auf mobilen Geräten aufgezeigt habe. "Das ist ein realistisches Angriffsszenario", sagt der Sprecher dem Nachrichtenmagazin. "Es muss verhindert werden, dass sich eine andere als die offiziell zugelassene AusweisApp im Handy für eID-Authentifizierungen registrieren und einklinken kann."

Der Hacker hat dem "Spiegel" zufolge bereits am 31. Dezember das zuständige Bundesamt für Sicherheit in der Informationstechnik (BSI) über seine Erkenntnisse informiert. Die Behörde sehe jedoch keinen Anlass für eine "Änderung der Risikobewertung beim Einsatz der eID", heißt es in dem Bericht. Es handele sich nicht um einen Angriff auf das eID-System, sondern auf die Endgeräte der Nutzerinnen und Nutzer. Man werde aber eine Anpassung prüfen.

dpa (jst)