Krankenkassen, Banken und Mobilfunk-Anbieter: Viele Dienstleister in Deutschland nutzen das videobasierte Online-Identifikationsverfahren (kurz Video-Ident), mit dem man auf personenbezogene Daten Zugriff bekommt. Das System galt als besonders sicher. Doch nun hat die Nationale Agentur für Digitale Medizin, Gematik, den Krankenkassen die Nutzung des Verfahrens bei der Anmeldung untersagt und damit auf einen Sicherheitsbericht der größten europäischen Hackervereinigung Chaos Computer Club (CCC) reagiert.

Im CCC-Bericht vom 8. August demonstrieren die IT-Experten Schwachstellen der videobasierten Echtheitsprüfung der Ausweisdokumente und zeigen, wie Angriffe auf das Verfahren praktisch stattfinden können. Selbst Laien könnten unter falscher Identität auf elektronische Patientenakten zugreifen und qualifizierte elektronische Signaturen erzeugen, kritisiert der Bericht, um so Zugang zu elektronischen Patientenakten zu erhalten. Dabei müssen offenbar nicht einmal alle Daten auf dem Personalausweis stimmen, wie etwa das Foto der betroffenen Person. Die Angriffe bleiben zudem unerkannt. Der Chaos Computer Club rät deswegen vom weiteren Einsatz des Video-Ident-Verfahrens dringend ab.

Bafin: Eventuelle Maßnahmen derzeit noch nicht möglich

Nun müssen die Krankenkassen das Video-Ident-Verfahren also aussetzen. Das Verbot sei „aufgrund einer der Gematik zugänglich gemachten sicherheitstechnischen Schwachstelle in diesem Verfahren“ notwendig, heißt es. Banken und Finanzdienstleister benutzen es allerdings weiter. „Grundsätzlich nehmen wir Hinweise auf Sicherheitslücken sehr ernst und prüfen derzeit die gestellten Vorwürfe“, sagte eine Sprecherin der Bundesanstalt für Finanzdienstleistungsaufsicht (Bafin) der Berliner Zeitung. Einzelheiten seien jedoch noch nicht bekannt. „Daher ist eine abschließende Bewertung der beschriebenen Angriffsszenarien und Entscheidung über eventuelle Maßnahmen derzeit noch nicht möglich.“

IT-Sicherheitsexperte Kalweit: Reform des Verfahrens notwendig

Für den IT-Sicherheitsexperten Philipp Kalweit sind die Erkenntnisse der Hackervereinigung CCC nicht neu. Der Bundesdatenschutzbeauftragte und das Bundesamt für Sicherheit in der Informationstechnik (BSI) hätten auf die Anfälligkeit von Video-Ident für Manipulationen schon vor Jahren hingewiesen, sagt er im Gespräch mit der Berliner Zeitung. „Der CCC hat nun nachgewiesen, dass diese theoretischen Bedenken auch in der Praxis tatsächlich vorliegen.“

Kalweit ist einer der gefragtesten „ethischen“ Hacker Deutschlands. Mit diesem Begriff bezeichnet man Hacker, die im Auftrag von Firmen Sicherheitslücken aufspüren. Der 22-Jährige leitet eine eigene Cyber-Security-Firma.

Corona

Laut CovPassCheck-App: Lauterbach zuletzt vor 271 Tagen geimpft

Was bedeutet ein Angriff auf das Video-Ident-Verfahren für die betroffene Person? Wie viele Sorgen müssen sich Nutzer nun machen?

Das Risiko, dass es Leute gebe, die mit solchen Angriffen die Daten eines Otto Normalbürger stehlen würden, sei gering, sagt Kalweit. Viel wahrscheinlicher sei es, dass Personen versuchen würden, fremde Identitäten anzunehmen und damit unautorisiert illegale Handlungen, etwa für den organisierten Drogenhandel, zu begehen. Für den Erwerb einer Prepaid-SIM-Karten müsste der Personalausweis inzwischen zwar registriert werden. Trotzdem hält es Kalweit für unwahrscheinlich, dass Kriminelle in diesem Fall eine fremde Identität nutzen und diese im Video-Ident-Verfahren legitimieren. Wahrscheinlich sei die gezielte Spionage, der exponierte Personen wie Bundespolitiker und Vorstände in Aktiengesellschaften zu Opfer fallen könnten. „Wir als Normalbürger sollten uns auch schützen, und es muss auf Bundesebene Lösungen geben“, sagt Kalweit.

Kriminalität

Cyberattacke auf IHK? Computer-Systeme heruntergefahren

Gibt es keine besseren Alternativen zum Video-Ident? „Kriminalität findet grundsätzlich unabhängig von Anlass statt“, erklärt Kalweit. „Es gibt kriminelle Energie, und sie sucht ihre Wege. Durch ein bestimmtes Verfahren werden nicht neue Energien geschürt, sondern bereits bestehende kriminelle Energie fokussiert sich darauf, und deswegen hat jedes Verfahren seine Risiken und Vorteile.“

Deswegen möchte Kalweit nicht bewerten, ob der Beschluss der Behörden, dieses Verfahren einzuführen, richtig oder falsch gewesen sei. Er hält jedoch nun eine Reform des Verfahrens für zwingend notwendig.

Doch der Bürger kann sich auch selbst schützen. Viel mehr Risiken als das Video-Ident-Verfahren würde die Bereitstellung des eigenen Personalausweis in Hotels, beim Anmieten eines Autos oder bei der Wohnungssuche bergen, erinnert Kalweit. Beim klassischen Einscannen an diesen Orten. Betrüger, die sich als Vermieter ausgeben und eine Bewerbungsmappe mit dem Personalausweis zugeschickt bekommen wollen, seien für den Otto Normalbürger ebenso potenziell viel gefährlicher. Kalweits Rat: Nicht zu viel Angst vor Video-Ident haben – und den Personalausweis im Zweifelsfall besser nicht aus der Hand geben.