Neuer Perso auf dem Weg

23.07.2008

Das Bundeskabinett hat den neuen Personalausweis beschlossen – damit muss er jetzt noch durch das übliche Gesetzgebungsverfahren. Aus der Mitteilung der Bundesregierung:

Der neue elektronische Personalausweis ist kleiner, handlicher und macht das Leben leichter

Ganz so einfach möchte ich es mir nicht machen und gebe kurz ein paar Hinweise.

Wie sieht es nun aus?

Der neue Personalausweis kommt noch lange nicht – er muss erst durch das normale Gesetzgebungsverfahren, angepeilt ist der November 2010 zur Einführung. Die bisherigen Infos sind eher Butterweich, fest steht für mich:

1. Es wird wie bisher das Foto gespeichert, neu ist, dass es auch “elektronisch” auf einem “Chip” gespeichert wird,
2. ob es sich um einen RFID Chip handelt wird nicht ausdrücklich gesagt, ist aber anzunehmen, da auch ständig betont wird, der ePass wäre das Vorbild, zudem weist das BMI in seiner FAQ darauf hin, dass man zum Auslesen ein “Kartenlesegerät für kontaktlose Chipkarten” benötigt,
3. wer möchte, kann seine Fingerabdrücke ebenfalls hinterlegen, eine Pflicht gibt es nicht
4. das Teil hat (endlich) neue Abmessungen,
5. es ist mit einer “Internetfunktion” versehen, einer eID, die zur direkten Identifikation im Internet dienen soll, auch hier hat man (scheinbar!) die Wahl ob man es nutzt.

Erste Probleme

Die ersten Probleme ergeben sich, wenn man in die FAQ des BMI sieht, dort ist nämlich zur Internetfunktion zu lesen:

Der elektronische Identitätsnachweis kann jederzeit aus- und auch wieder eingeschaltet werden. Das Aus- und Einschalten dieser Funktion kann nur über eine Personalausweisbehörde erfolgen, da hierfür ein spezielles Berechtigungszertifikat erforderlich ist.

Wer sich also dagegen entscheidet, muss dennoch damit leben, dass es jederzeit aktiviert werden kann. Es spielt keine Rolle, wie dieser Vorgang gesichert ist – nur Politiker werden einem erklären, dass so etwas “absolut sicher” ist. Ein Praktiker weiss, dass es so etwas nicht gibt. Der obige Satz ist daher eher so richtig:

Das Aus- und Einschalten dieser Funktion kann nur über eine Personalausweisbehörde jeden erfolgen, da hierfür der ein spezielles Berechtigungszertifikat erforderlich ist hat.

Man kann Zertifikate nämlich nicht nur stehlen, sondern es gibt auch schwache und starke Zertifikate – und ein heute starkes Zertifikat ist mit zunehmender Zeit auch ein zunehmend schwaches. Es wäre besser, dem Bürger gleich ganz die Wahl zu lassen, ob er diese Missbrauchsmöglichkeit überhaupt eröffnen will oder nicht.

Eine Trennung von eID und digitaler Signatur ist übrigens nicht möglich – entweder man nimmt das gesamte Paket “Internetfunktionen” oder gar nicht.

Weiter: RFID

Ich halte nichts von Funkchips und werde auch kein Freund davon sein: Fakt ist, dass jeder Funkzugang die Möglichkeit vergrössert und vereinfacht, von aussen leichter Zugriff auf die enthaltenen Daten zu nehmen. Der Identitätsdiebstahl wird nur erleichtert und das angebliche “mehr an Komfort” wird es ohnehin nicht bringen. Wer nochmal liest, warum unsere Regierung kein Problem mit RFID hat, der ist hoffentlich ebenfalls skeptisch. Es bleibt abzuwarten, wann erste Abschirm-Hüllen für den ePerso auf den Markt kommen.

Die an Naivität grenzende Sorglosigkeit offenbart sich besonders beim Lesen der Pressemitteilung des BMI:

Und obwohl sich immer mehr Lebensbereiche in das Internet verlagern, gibt es einen vergleichbaren Standard-Identitätsnachweis für die Online-Welt bislang nicht: Bei jedem Diensteanbieter müssen eigene Anmeldeverfahren durchlaufen und separate Passwörter oder PINs angelegt und gemerkt werden.

Eben, und mit dem ePerso soll das anders sein – besonders komfortabel, wenn der dann einmal gestohlen wurde und der Dieb überall Zugriff hat. Natürlich schützt eine PIN den Zugriff, so wie bei EC-Karten. Und bei denen gibt es ja auch keinen Missbrauch – oder doch? Der ePerso offenbarht hier sogar erste Lücken, denn die PIN kann nicht nur geändert werden, sondern sogar von Dritten, man lese und staune in der FAQ:

Die Bürgerin / der Bürger kann sich jedoch jederzeit (zu Hause) eine neue PIN setzen, wenn er die aktuelle PIN noch weiß: […] Hat ein Bürger jedoch seine PIN vergessen, kann er eine neue PIN ausschließlich in der Personlausweisbehörde setzen lassen. Die Berechtigung erfolgt über ein entsprechendes Zertifikat.

Meine Argumentation dazu (siehe oben) ist ja nun bekannt: Was einer machen kann, kann auch irgendwann ein anderer. Sicherheit sieht anders aus.

Was tun?

EIne Wahl haben wir ja nur teilweise, ich sehe folgende einfache Tipps:

1. Lassen Sie die Fingerabdrücke weg. Wenn die erfasst werden, werden die auch via Funk auslesbar sein,
2. Über das Thema wird weiter berichtet – sobald alles beschlossen ist und das genau Datum feststeht, haben sie die Möglichkeit, noch kurz vor dem Stichtag einen alten Perso neu zu ordern. Damit haben sie eine möglichst lange Übergangszeit.
3. Denken Sie an meine frühere Warnung: Es steht zu erwarten, dass die eID als faktische Pflicht über die Wirtschaft eingeführt wird – wenn so gut wie keiner mitspielt, geht das nach hinten los. Ich bezweifle aber, dass es sich wirklich verhindern lässt.