Klipper on Security

Wie mir gerade von einem Teilnehmer der Veranstaltung Public IT-Security (PITS) berichtet wird bleibt das BMI bei der Darstellung, dass zum Missbrauch des ePA dessen Besitz notwendig sei. Andreas Reisen, Leiter des Referats “Pass- und Ausweiswesen, Identifizierungssysteme” im Bundesministerium des Innern, habe sich auf der Veranstaltung diesbezüglich geäußert.

Ich hatte am 03.10. hier im Blog auf die Pressemitteilung des Chaos Computer Clubs hingewiesen, in der sich das alles etwas anders anhört: Thorsten Schröder äußert dort den folgenden Wunsch:

“Wir wollen vor allem darauf hinwirken, daß die zum Teil absurde Augenwischerei der Verantwortlichen bezüglich der realen Risiken für den Benutzer ein Ende findet.”

Das hat ja dann offensichtlich nicht geklappt. Weiter heißt es in der Pressemitteilung des CCC:

“Das Bundesinnenministerium hat im Rahmen des Großprojektes die einfachen Basis-Lesegeräte erworben, die per Schadsoftware abgeschnüffelt werden können. Eine Million dieser Geräte sollen in einem “Starterkit” an Ausweisbesitzer vergeben werden. Den Betroffenen wird damit eine potentielle Sicherheitslücke untergejubelt. Auch sozial schwache “Kunden” des ePA sind besonders betroffen. Diese werden sich die sicherere Variante der Lesegeräte nur schwerlich leisten können und werden zudem über die potentiellen Risiken gar nicht aufgeklärt. (…)

Auch wenn die Marketing-Abteilungen der profitierenden Unternehmen sowohl in der Schweiz als auch in Deutschland unisono die Sicherheit der Identitätskarten betonen, so beweisen die nun gezeigten Angriffe, daß man nicht einmal im physikalischen Besitz der SuisseID oder des elektronischen Personalausweises sein muß, um Schindluder zu treiben. Die offensichtlich falschen Vertrauensbilder sollten nicht noch von Ministern weiterverbreitet werden.

Das Ministerium und seine nachgeordneten Behörden sehen das ePA-Projekt naturgemäß anders: “Der Spagat zwischen Datenschutz und Bedienungskomfort ist gelungen”, schreibt das Bundesamt für Sicherheit in der Informationstechnik (BSI) über den elektronischen Personalausweis in seinem aktuellen Jahresbericht.

“Was die da rauchen, hätten wir auch gern mal”, kommentierte CCC-Sprecher Engling.

Wenig hilfreich antwortete Amtssprecher Matthias Gärtner:

“dass in Gebäuden der Bundesverwaltung – und somit auch im BSI – Rauchverbot besteht, so dass wir dem (…) Wunsch des Chaos Computer Clubs nicht entsprechen können.”

Und bei Ausweisen der Bundesverwaltung besteht ein Missbrauchsverbot, möchte man hinzufügen. Innenminister de Maiziére stellte in der “Tagesschau” fest:

“Irgendwelche Hacker mögen immer irgendwas hacken können, aber die Zuverlässigkeit und Sicherheit des neuen Personalausweises steht nicht in Frage.”

Das System kann gehackt werden, aber die Sicherheit des Systems steht außer Frage?!? De Maiziére streitet bar jeglicher Argumentationsgrundlage ab und das BSI hat noch Zeit für Witzchen. Als ich mir in Zürich den Vortrag von Max Moser und Thorsten Schröder angehört habe, fand ich das eigentlich nicht so lustig.