Super-GAU in Belgien zeigt die Gefahr der digitalen ID: Was passiert erst, wenn sie zum Alltagsschlüssel wird?

Wartet erst einmal, bis die digitale Identität zum zentralen Schlüssel für immer mehr Bereiche unseres Lebens wird. Was Sicherheitsforscher jetzt in Belgien aufgedeckt haben, sollte für ganz Europa ein Warnsignal sein.

Mehr als zwei Millionen Menschen, acht der zehn größten belgischen Banken und über 60 staatliche Stellen nutzten die „Connective Signing Extension“ von Nitro Software Belgium. Die Software verbindet Webseiten mit der belgischen elektronischen Identitätskarte und ermöglicht unter anderem rechtsverbindliche digitale Unterschriften.

Nun stellten Sicherheitsforscher auf der DEF CON gravierende Schwachstellen vor.

Das zentrale Problem war geradezu erschreckend: Die Software überprüfte nicht ausreichend, welche Webseite überhaupt mit der eID-Anwendung auf dem Computer kommunizieren durfte. Dadurch konnte laut den Forschern grundsätzlich auch eine bösartige Webseite oder ein eingebettetes Element auf sensible Funktionen zugreifen.

Die möglichen Folgen hatten es in sich: Namen, Adressen, nationale Registernummern und Fotos konnten ausgelesen werden. Angreifer konnten Nutzer zur Eingabe ihrer eID-PIN verleiten und unter bestimmten Voraussetzungen sogar Schadcode auf dem Computer ausführen.

Doch noch brisanter ist ein anderer Punkt.

Die Forscher erklärten, dass mit kompromittierten PIN-Informationen nicht autorisierte digitale Signaturen möglich gewesen wären, solange die physische eID-Karte im Lesegerät steckte. Dabei geht es um qualifizierte eIDAS-Signaturen – also elektronische Unterschriften, die rechtlich grundsätzlich die gleiche Wirkung wie eine handschriftliche Unterschrift haben.

Damit wird aus einem gewöhnlichen Softwarefehler ein grundsätzliches Problem digitaler Identität.

Denn das Versprechen solcher Systeme lautet: Die digitale Identität soll besonders sicher beweisen, wer man ist und wer eine bestimmte Handlung tatsächlich vorgenommen hat.

Doch was passiert, wenn ausgerechnet die Software zwischen Bürger, Identitätskarte und Dienst kompromittiert werden kann? Dann wird der vermeintliche Sicherheitsschlüssel selbst zum Angriffspunkt.

Besonders pikant: Die Schwachstellen berührten indirekt auch Belgiens weit verbreitete digitale Identitätsplattform Itsme. Die Forscher demonstrierten sogar die Übernahme eines CSAM.be-Kontos über das fehlerhafte Connective-System. Sie betonten allerdings ausdrücklich, dass die Ursache dabei nicht bei Itsme selbst, sondern bei Connective/Nitro lag.

Die Sicherheitslücken wurden inzwischen geschlossen. Nach Angaben der Forscher dauerte es jedoch 146 Tage, bis sämtliche von ihnen gemeldeten Probleme vollständig behoben waren. Ein erster Patch beseitigte nicht alle Schwachstellen; die entscheidenden Herkunftsprüfungen wurden schließlich am 22. Juli durchgesetzt. Einen Beleg dafür, dass die Sicherheitslücken tatsächlich massenhaft ausgenutzt wurden, gibt es bislang nicht.

Und genau deshalb sollte man aus Belgien lernen, bevor digitale Identität immer tiefer in den europäischen Alltag eingebaut wird.

Je mehr Behördenzugänge, Bankgeschäfte, Verträge und andere Dienstleistungen von einer digitalen Identität abhängen, desto größer wird die Macht – und das Schadenspotenzial – der dahinterliegenden technischen Infrastruktur.

Früher musste ein Angreifer vielleicht ein einzelnes Konto knacken. In einer vollständig digitalisierten Identitätswelt kann eine Schwachstelle im zentralen Vertrauenssystem plötzlich zum Generalschlüssel werden.

Belgien sollte deshalb nicht als Randnotiz behandelt werden.

Es ist eine Warnung.

Denn wenn die digitale ID erst zum Schlüssel für immer mehr Bereiche unseres Lebens geworden ist, reicht möglicherweise eine einzige schlecht abgesicherte Komponente, um aus dem versprochenen Sicherheitsgewinn ein Sicherheitsrisiko von völlig neuer Dimension zu machen.