Einem Hacker ist es einem Bericht zufolge gelungen, ein Konto unter fremden Namen zu eröffnen.

«Spiegel»: Schwachstelle bei Online-Personalausweis entdeckt. Eine bestimmte Funktion des Online-Personalausweis soll nicht sicher sein.

Ein Hacker hat laut einem Bericht des «Spiegels» eine Sicherheitslücke bei der Online-Nutzung des deutschen Personalausweises aufgedeckt. Ihm sei es gelungen, mit Hilfe einer eigenen App anstelle der offiziell vorgesehen «AusweisApp» Login-Daten für die sogenannte eID-Funktion des Personalausweises abzugreifen.

Dem Bericht zufolge ist diese bei mehr als 50 Millionen Personalausweisbesitzern aktiviert und dient als Grundlage für digitale Behördengänge. Sie wird unter anderem auch zur Identifizierung bei Banken verwendet. Mit dem Trick sei es dem Hacker, der unter dem Pseudonym «CtrlAlt» auftritt, geglückt, unter fremden Namen ein Konto bei einer großen deutschen Bank zu eröffnen.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) sei auf eine vermeintliche Schwachstelle hingewiesen worden, bestätigte eine Sprecherin des Bundesinnenministeriums in Berlin. Der Sachverhalt werde «intensiv untersucht».

Ein Sprecher des Chaos Computer Clubs (CCC) bestätigte dem «Spiegel», dass der Hacker einen kritischen Punkt im eID-Verfahren auf mobilen Geräten aufgezeigt habe. «Das ist ein realistisches Angriffsszenario», sagt der Sprecher dem Nachrichtenmagazin. «Es muss verhindert werden, dass sich eine andere als die offiziell zugelassene AusweisApp im Handy für eID-Authentifizierungen registrieren und einklinken kann».

Das Bundesamt teilte dem «Spiegel» mit, dass man keinen Anlass für eine «Änderung der Risikobewertung beim Einsatz der eID» sehe, heißt es in dem Bericht. Es handele sich demnach nicht um einen Angriff auf das eID-System, sondern auf die Endgeräte der Nutzerinnen und Nutzer. Man werde aber eine Anpassung prüfen.

Mit anderen Worten: Voraussetzung für einen erfolgreichen Angriff ist, dass der Hacker sein Opfer dazu bringt, eine manipulierte App herunterzuladen und zu installieren. Erst dadurch würde der Zugriff möglich.