Startschwierigkeiten

Die Pannenserie begann schon einen Tag nach der ersten Veröffentlichung der AusweisApp, als Jan Schejbal eine Sicherheitslücke in der Update-Funktion entdeckte. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) musste die Software überarbeiten lassen. Nach einigen Wochen erschien zunächst nur eine Version für das Windows-Betriebssystem. Die Linux-Version erschien erst deutlich später und Mac-Nutzer mussten gar bis Februar 2012, also über ein Jahr, warten, bis eine Mac-Version der AusweisApp veröffentlicht wurde.

Problem: Firefox-Updates

Ein weiteres Problem, mit dem die AusweisApp zu kämpfen hat, sind Firefox-Updates. Jedes Firefox-AddOn muss Angaben machen, zu welchen Versionen des Browsers es kompatibel ist. Nach jedem Firefox-Update werden automatisch alle AddOns deaktiviert, die nicht explizit auch zur neuen Version kompatibel sind. Die AusweisApp wird auch als AddOn im Firefox verankert, aber in letzter Zeit hat das BSI Schwierigkeiten, mit den häufigen Firefox-Updates Schritt zu halten. So kam es vor, dass z.B. nach dem Update von Firefox 14 auf Firefox 15 das Online Ausweisen nicht mehr funktionierte, bis das BSI ein Update der AusweisApp nachreichte.

Bei anderen Firefox-AddOns kann der Nutzer diese Kompatibilitätsprüfung mit ein paar Handgriffen umgehen. Dazu ist nur eine kleine Anpassung einer Textdatei notwendig. Im Falle der AusweisApp ist dies nicht möglich, weil das AddOn vom BSI signiert ist und ein Veränderung unweigerlich die Signatur ungültig macht. Daher ist die AusweisApp zur Zeit (Mai 2013) nur mit Mozilla Firefox 17 ESR nutzbar. Die aktuellste Version wäre eigentlich Firefox 20. Das BSI hat allerdings angekündigt, die AusweisApp zu überarbeiten und Firefox anders anzubinden, sodass sich dieses Problem erledigt.

Die Konkurrenz-Software

Ein weiteres Problem der AusweisApp ist ihre schiere Aufgeblähtheit. Je nach Betriebssystem haben die Downloads zur Zeit eine Dateigröße von 60 bis 93 Megabyte. Daher präsentierte die Firma AGETO bereits im Juli 2011 eine Konkurrenzsoftware mit einer Dateigröße von nur 700 Kilobyte (wir berichteten). Zur CeBIT 2013 hat das Projekt Open eCard ebenfalls eine Konkurrenzsoftware namens BürgerApp vorgestellt, dessen Installationsdatei mit etwa 5 Megabyte zwar größer als die AGETO-Software, aber dennoch deutlich schlanker als die AusweisApp des BSI ist. Im Gegensatz zur AusweisApp läuft die BürgerApp außerdem unabhängig vom Browser.

Rüge des Bundesrechnungshofes

Laut Personalausweisverordnung ist eine Software zur Nutzung des elektronischen Identitätsnachweises, die durch das Bundesamt für Sicherheit in der Informationstechnik zertifiziert worden ist Voraussetzung für die Nutzung der Online-Ausweis-Funktion.

Der Bundesrechnungshof hat nun moniert, dass die AusweisApp zwar seit zweieinhalb Jahren vom BSI zum Download angeboten wird, aber bisher immer noch nicht zertifiziert wurde. Damit verletzt sie die gesetzlichen Voraussetzungen, was zu Haftungsrisiken bei den Ausweisinhabern führen kann.

Sicherheit und Java

Alle drei oben erwähnten Software-Lösungen für die Online-Ausweis-Funktion sind in Java geschrieben, also sowohl die AusweisApp als auch die BürgerApp und die Software von AGETO. Allerdings stellt Java zur Zeit ein massives Sicherheitsrisiko dar. Es werden laufen neue Sicherheitslücken in Java gemeldet. Updates lassen meist lange auf sich warten und schließen häufig nicht alle bekannten Lücken.

Aus diesem Grund rückt die Finanzverwaltung des Bundes nun von Java ab. Für die elektronische Steuererklärung ELSTER suche man derzeit nach Lösungen, die ohne Java auskommen. Anlass sind die erwähnten Sicherheitsprobleme.

Was jedoch die Ausweis-Software angeht, sind derzeit keine Planungen bekannt, eine Lösung ohne Java zu entwerfen. Hier wird wohl weiterhin auf diese unsichere Basis gesetzt.

Während Schejbal Identifikationsfunktionen im Internet prinzipiell für sinnvoll hält, steht er der Online-Ausweis-Funktion des neuen Personalausweises kritisch gegenüber. Insbesondere hält er die vielfach verwendeten Basis-Kartenleser für unsicher und befürchtet, dass sich mit neuen Anwendungsszenarien auch weitere Gefahren und Angriffspunkte auf das System auftun.

Die Befürchtungen, der Ausweis könne drahtlos aus einiger Entfernung ausgelesen werden, teilt Jan Schejbal jedoch nicht. Seiner Meinung nach ist es schon allein aufgrund des Stromverbrauchs des Chips nicht möglich, die Daten auf dem Personalausweis aus einer Entfernung von zehn Zentimetern auszulesen.

Allerdings hält Schejbal es weiterhin für sinnvoller, die Online-Ausweis-Funktion nicht mithilfe des Personalausweises, sondern mithilfe separater kontaktbehafteter Signaturkarten anzubieten.

Die QES-Infrastruktur ist bereits teilweise vorhanden, und da sie auf bewährte Standards setzt, ist die Technik auch für Betreiber leicht einzurichten. Entsprechende signaturfähige Lesegeräte (Sicherheitsklasse 3) für kontaktbehaftete Signaturkarten sind für knapp 36 EUR inkl. Versand zu bekommen, die vergleichbaren Komfortleser beim ePerso kosten ab rund 100 EUR aufwärts.

Allerdings akzeptieren nicht alle Länder den Kinderreisepass. Bei einer Einreise beispielsweise in die USA benötigen auch Säuglinge einen biometrischen Pass mit Chip.

Weiter Informationen:
derWesten.de
br.de

Kleiner Basiskartenleser für den neuen Personalausweis

Kobil hat einen besonders kompakten Basiskartenleser für den neuen Personalausweis vorgestellt, der die Bauform eines USB-Sticks hat und beispielsweise am Schlüsselbund mitgeführt werden kann.

SignaturApp

Die Firma OpenLimit hat die Software “SignaturApp” für Windows veröffentlicht, mit deren Hilfe man Dokumente mit dem elektronischen Personalausweis signieren kann.

Wie Gregor Honsel auf Telepolis erläutert, ist es aber fraglich, ob sich diese Signatur durchsetzen kann, denn die Bundesdruckerei hat vor einiger Zeit sogenannte Ad Hoc Signaturen vorgestellt. Im Gegensatz zu der qualifizierten elektronischen Signatur, wie sie die SignaturApp unterstützt, ist die Ad Hoc Signatur für den Anwender kostenlos.

Bankgeschäfte mit dem neuen Personalausweis

Die XCOM AG führte gemeinsam mit der Bundesdruckerei und der biw AG vor, wie man zukünftig mit dem neuen Personalausweis verschiedene Bankgeschäfte erledigen kann. Neben verschiedenen Online-Anwendungen wie beispielsweise Online-Kontoeröffnung und Online-Banking wurden auch Geldautomaten demonstriert, an denen man mit dem neuen Personalausweis Geld abheben kann.

Elektronisches BAföG-Verfahren

Studenten dürften sich für das eBAföG-Verfahren interessieren. Es läuft derzeit als Pilotprojekt in Baden-Württemberg und soll zukünftig deutschlandweit zur Verfügung stehen. Das BAföG-Antragsverfahren soll damit vollständig elektronisch abgebildet werden.

Ebenso wie die Online-Ausweis-Funktion wurde auch die Signaturfunktion des neuen Personalausweises bereits vor dessen Einführung beworben. Der Ausweisbesitzer sollte die Möglichkeit erhalten, ein Signaturzertifikat auf den Chip im Ausweis aufzuspielen und mit Hilfe eines geeigneten Lesegerätes und einer speziellen Software seine elektronischen Dokumente und Verträge zu signieren. Wenn man dazu eine sogenannte qualifizierte elektronische Signatur (QES) verwendet, dann kann die elektronische Signatur auch die handschriftliche Unterschrift rechtsgültig ersetzen.

Voraussetzungen zur Nutzung der Signaturfunktion

Um die Signaturfunktion nutzen zu können, benötigt man neben dem elektronischen Personalausweis ein spezielles Lesegerät, ein Signaturzertifikat und eine Software, die die Signaturfunktion unterstützt. Die SignaturApp ist derzeit die einzige solche Software. Allerdings ist sie derzeit nur für Windows XP, Vista, 7 und Windows Server 2008 verfügbar. Benutzer anderer Betriebssysteme wie Linux und Mac bleiben außen vor. Elektronisches Signieren funktioniert darüber hinaus nur mit sogenannten Komfort-Kartenlesegeräten. Die günstigeren Basis- und Standardkartenleser unterstützen zwar die Online-Ausweis-Funktion, nicht jedoch die Signaturfunktion.

Qualifizierte elektronische Signatur vorerst noch nicht nutzbar

Die Signaturzertifikate, die man zur Erstellung einer qualifizierten elektronischen Signatur benötigt, sind kostenpflichtig und müssen bei einem Zertifizierungsdiensteanbieter erworben werden. Eine Liste der Anbieter findet sich auf der Website der Bundesnetzagentur. Aktuell bietet jedoch noch keiner von ihnen ein Signaturzertifikat zur Nutzung mit dem elektronischen Personalausweis an, weshalb das Signieren mit einer qualifizierten elektronischen Signatur mit Hilfe des neuen Personalausweises derzeit noch nicht möglich ist.

Laut heise online können allerdings bereits jetzt sogenannte fortgeschrittene elektronische Signaturen mit Hilfe der SignaturApp verwendet werden, die aber rechtlich kein Ersatz für die Schriftform sind.

Die AusweisApp wird benötigt, um die Online-Ausweis-Funktion des neuen Personalausweises nutzen zu können. Die erste Version der AusweisApp für Windows, die keine bekannten Sicherheitslücken in der Update-Funktion enthält, wurde im Januar 2011 veröffentlicht, die Linux-Version wurde im Juni 2011 nachgereicht. Die Veröffentlichung einer Version für das Apple-Betriebssystem war für Dezember 2011 angekündigt, wurde jedoch wegen technischer Probleme im Zusammenspiel mit Kartenlesegeräten einerseits sowie der AusweisApp andererseits verschoben.

Die AusweisApp für Mac ist ab Mac OS 10.6 (Snow Leopard) lauffähig. Der einzige unterstützte Browser ist derzeit Mozilla Firefox. Den Mac-Standardbrowser Safari könne man laut BSI nicht verwenden, da Safari Sandboxing nutzt. Wer die AusweisApp für Mac nutzen möchte, muss zunächst das Grundprogramm und anschließend ein AddOn für Firefox installieren.

Die AusweisApp wird benötigt, wenn man die Online-Ausweis-Funktion des neuen Personalausweises nutzen möchte. Die erste Version der AusweisApp erschien bereits kurz nach dem Start des neuen Personalausweises, musste jedoch einen Tag nach Veröffentlichung zurückgezogen werden, da der Informatiker Jan Schejbal Sicherheitslücken in der Update-Funktion aufgedeckt hatte. Erst mit einiger Verzögerung wurde zunächst eine Version für Windows, später auch für Linux bereitgestellt.

AusweisApp für Windows verfügbar

Aktuell steht die AusweisApp in der Version 1.7.0 für Windows XP, Vista und 7 sowohl als 32-Bit- als auch als 64-Bit-Version zum kostenlosen Download zur Verfügung. Unterstützte Browser sind Internet Explorer (32 Bit) ab Version 6 sowie Mozilla Firefox in Version 3 bis 9.

Noch Probleme bei Linux

Für die Linux-Distributionen Ubuntu, Debian und openSUSE wird die AusweisApp in der Version 1.6.0 zum Download angeboten. Allerdings unterstützt diese den Mozilla Firefox nur bis zur Version 8. Außerdem ist die Software nicht mit der Ubuntu-Desktopoberfläche Unity kompatibel. Wer die Standard-Desktopumgebung nutzt, muss zunächst einen anderen Desktop installieren und vor dem Start der AusweisApp immer zu diesem Desktop umschalten. Darüber hinaus gibt es derzeit keine native 64-Bit-Version der AusweisApp. Das Bundesinnenministerium hat uns gegenüber auf Anfrage erklärt, die Unterstützung von 64-Bit-Plattformen sei für das Jahr 2012 geplant, ein genauer Zeitpunkt könne jedoch noch nicht genannt werden.

Mac-Version steht noch aus

Die Mac-Version sollte im Dezember 2011 erscheinen. Allerdings wurde die Veröffentlichung verschoben. Auf der Downloadseite der AusweisApp erklärt das Bundesinnenministerium:

Entgegen der vorherigen Ankündigung konnte das BSI die von den Herstellerfirmen im Dezember vorgelegte Software AusweisApp für Mac OS leider nicht zur Veröffentlichung freigeben. Hauptgrund für diese Entscheidung ist eine Beeinträchtigung bei der Nutzung der Software, die aufgrund der technischen Rahmenbedingungen des Betriebssystems Mac OS im Zusammenspiel mit Kartenlesegeräten einerseits sowie der AusweisApp andererseits entsteht.
Die Herstellerfirmen arbeiten derzeit mit Hochdruck an einer Lösung, die baldmöglichst zum Download zur Verfügung gestellt wird. Wir bitten um Ihre Geduld und Ihr Verständnis.

Signaturfunktion noch nicht unterstützt

Die Signaturfunktion des elektronischen Personalausweises wird derzeit von der AusweisApp nicht unterstützt. Allerdings hat die Herstellerfirma OpenLimit kürzlich eine neue Software, die sogenannte SignaturApp vorgestellt, die diese Aufgabe übernehmen und parallel zur AusweisApp installierbar sein soll. Geplanter Erscheinungstermin ist Anfang März.

Bisher kann diese Funktion jedoch nicht genutzt werden. Zunächst fehlte es lange Zeit an sogenannten Komfort-Lesegeräten, die ein Display und eine eigene PIN-Tastatur besitzen. Die Nutzung der Signaturfunktion ist nur mit einem solchen Kartenlesegerät möglich, nicht jedoch mit den günstigeren Basis- oder Standardkartenlesern.

Obwohl mittlerweile Komfort-Kartenleser auf dem Markt sind, können weiterhin keine Dokumente und Verträge mit dem neuen Personalausweis signiert werden, denn die Anwendersoftware für den neuen Personalausweis, die sogenannte AusweisApp, unterstützt die Signaturfunktion bis dato nicht.

Nun hat die Firma OpenLimit, die an der Entwicklung der AusweisApp beteiligt war, eine neue Software namens SignaturApp vorgestellt. Die SignaturApp soll nun das Signieren von Dokumenten mit einer qualifizierten elektronischen Signatur unterstützen.

Die SignaturApp soll ab 6. März 2012 kostenlos zum Download angeboten werden und voll kompatibel zur AusweisApp sein. Beide Funktionen können parallel genutzt werden.

Ob sich die Signaturfunktion durchsetzen wird, ist fraglich. Während in den vergangenen Jahren digitale Rechnungen mit einer qualifizierten elektronischen Signatur signiert werden mussten, hat der Bundesrat im September 2009 ein Steuervereinfachungsgesetz beschlossen, durch das auch die Pflicht zur QES wegfällt.

Laut heise online zweifeln auch Industrievertreter an der Rolle der qualifizierten elektronischen Signatur. Manche sind gar der Meinung, die Technik sei für Verbraucher [...] weiterhin weder praktikabel noch gebe es sinnvolle Anwendungsfälle.

Heise online zitierte den IT-Direktor des Bundesinnenministeriums, Martin Schallbruch sowie den Bundesinnenminister Hans Peter Friedrich. Schallbruch zufolge komme der Ausweis bei den Bürgern sehr gut an und habe sich nach überwundenen Anfangsschwierigkeiten als universelles Werkzeug für verlässliche Identifikation im Netz bewährt. Friedrich lobte vor allem, dass der neue Ausweis die Sicherheit der Bürgerinnen und Bürger im Internet erhöhe und die gesamte Infrastruktur um den elektronischen Identitätsnachweis die hohen nationalen und europäischen Anforderungen an Sicherheit und Datenschutz erfülle.

Allerdings stehen laut einer Bitkom-Umfrage nur etwa 45 Prozent der Bundesbürger dem elektronischen Personalausweis positiv gegenüber. Mit 44 Prozent lehnen etwa genau so viele Befragte die Karte ab. Ganze 28 Prozent gaben an, Angst vor Datenklau zu haben, was vermutlich auch auf die von Jan Schejbal aufgedeckten Sicherheitslücken in der AusweisApp sowie die Kritik des Chaos Computer Clubs zurückzuführen ist.

Benutzer von Apple-Rechnern können die neuen Funktionen derzeit überhaupt nicht nutzen, da eine Mac-Version der AusweisApp erst Ende des Jahres erscheinen wird. Unter Linux ist die AusweisApp nicht mit allen Desktopumgebungen kompatibel. Elektronische Signaturen werden werden frühestens Ende des ersten Quartals 2012 unterstützt werden.

Die Online-Ausgabe des Handelsblatts kritisiert, dass es nur wenige Zusatzangebote beim neuen Personalausweis gebe, während golem.de berichtet, dass es für die Online-Ausweis-Funktion derzeit praktisch keine Nutzer gebe.

Ein deutlich positiveres Bild zeichnet beispielsweise cio.de. Gute Konzepte setzen sich durch – Das zeigt sich auch beim neuen Personalausweis, wird Christian Mohser, Senior Manager Public Services bei Steria Mummert Consulting, dort zitiert. Der Artikel hebt vor allem das Potential des neuen Personalausweises in der Verwaltungsmodernisierung sowie im Bereich Open Government und Bürgerbeteiligung hervor.

egovernment-computing.de erwähnt auch die 12% Umsatzsteigerung, die der neue Personalausweis der Bundesdruckerei mit beschert hat. Das Unternehmen war maßgeblich an der Entwicklung von Lösungen rund um das neue Ausweisdokument beteiligt und stellt 50.000 Ausweise pro Tag in einer eigens entwickelten Fertigungsstrecke her.

Im Januar 2010 hatte Jan Schejbal eine Website entworfen, die einen Online-Ausweisvorgang simulierte und dabei die PIN des Benutzers ausspähte. Der Angriff wurde kritisiert, da es so zwar gelingt, an die PIN des Benutzers zu kommen, sofern dieser nicht vorsichtig genug ist. Allerdings kann man mit der PIN alleine den Ausweis nicht missbrauchen. Man benötigt entweder den Ausweis oder einen Trojaner, mit dem man auf den PC des Opfers zugreifen und den Ausweis aus der Ferne nutzen kann. Ein solcher Angriff wurde vom Chaos Computer Club demonstriert.

Der neue von Jan Schejbal beschriebene Angriff funktioniert in mehreren Stufen: Am Anfang steht das Ausspähen der PIN wie bei oben erwähntem Angriffsszenario vom Januar 2011. Im zweiten Schritt wird die Möglichkeit des OWOK-Plugins genutzt, über JavaScript mit der Chipkarte zu kommunizieren. So kann der Angreifer direkt Nachrichten (sogenannte APDSUs) an den Personalausweis schicken und die Antworten empfangen. Insbesondere ist es so möglich, dass der Angreifer einen Ausweisvorgang auf seinem eigenen Computer startet und die entsprechenden Anfragen nicht an seinen Ausweis, sondern an den Ausweis des Opfers weiterleitet. Das einzige, was der Betrüger nun noch benötigt, ist die PIN, die er bereits im ersten Schritt ausgespäht hat.

Zwar erscheint beim Opfer noch eine Sicherheitsabfrage, ob die Website (Seitenname) auf die Chipkarte zugreifen darf. Allerdings wird diese Abfrage bei bestimmten Seiten nicht angezeigt und Schejbal hat auf einer dieser Webseiten eine Sicherheitslücke (XSS-Lücke) entdeckt, durch die man den Angriff im Kontext dieser Seite ausführen kann. Somit unterbleibt auch die Sicherheitsabfrage.

Siehe auch: heise security über den Angriff