Eigentlich sollten digitale Behördengänge nur mit der AusweisApp vom Bund möglich sein. Bildrechte: IMAGO / Rüdiger Wölk

eID Hacker entdeckt Sicherheitslücke bei Online-Personalausweis

16. Februar 2024, 16:17 Uhr

Ein Hacker hat offenbar eine Sicherheitslücke bei der Online-Nutzung des deutschen Personalausweises aufgedeckt. Wie der "Spiegel" berichtet, ist es dem Mann mit einer eigenen App gelungen, Login-Daten für die sogenannte eID-Funktion abzugreifen. Mit dem Trick habe er es geschafft, unter fremdem Namen ein Konto bei einer großen deutschen Bank zu eröffnen.

von MDR AKTUELL

• Ein Hacker hat eine Sicherheitslücke beim Online-Personalausweis entdeckt.
• Dem Chaos Computer Club zufolge bietet die Sicherheitslücke ein Angriffsszenario.
• Das Bundesamt sieht keinen Anlass dafür, die Risikobewertung für die Ausweisfunktion zu ändern.

Ein Hacker hat nach einem Bericht des "Spiegel" eine Sicherheitslücke bei der Online-Nutzung des deutschen Personalausweises aufgedeckt. Ihm sei es mit einer eigenen App gelungen, Login-Daten für die sogenannte eID-Funktion abzugreifen, die digitale Behördengänge ermöglicht, schreibt das Nachrichtenmagazin.

Dem Bericht zufolge ist die eID-Funktion bei mehr als 50 Millionen Personalausweisbesitzerinnen und -besitzern aktiviert. Sie wird unter anderem auch zur Identifizierung bei Banken verwendet. Mit dem Trick sei es dem Hacker, der unter dem Pseudonym "CtrlAlt" auftritt, geglückt, unter fremden Namen ein Konto bei einer großen deutschen Bank zu eröffnen, schreibt der "Spiegel".

Bundesamt prüft Anpassung

Ein Sprecher des Chaos Computer Clubs (CCC) bestätigte, dass der Hacker einen kritischen Punkt im eID-Verfahren auf mobilen Geräten aufgezeigt habe. "Das ist ein realistisches Angriffsszenario", sagt der Sprecher dem Nachrichtenmagazin. "Es muss verhindert werden, dass sich eine andere als die offiziell zugelassene AusweisApp im Handy für eID-Authentifizierungen registrieren und einklinken kann."

Der Hacker hat dem "Spiegel" zufolge bereits am 31. Dezember das zuständige Bundesamt für Sicherheit in der Informationstechnik (BSI) über seine Erkenntnisse informiert. Die Behörde sehe jedoch keinen Anlass für eine "Änderung der Risikobewertung beim Einsatz der eID", heißt es in dem Bericht. Es handele sich nicht um einen Angriff auf das eID-System, sondern auf die Endgeräte der Nutzerinnen und Nutzer. Man werde aber eine Anpassung prüfen.

dpa (jst)