Ratgeber Internet
Elektronischer Ausweis auf dem Prüfstand
Der neue Personalausweis soll endlich sichere Vertragsabschlüsse im Internet bringen. Doch von der Theorie bis zur Praxis ist es noch weit.
Nur noch scheckkartengroß ist der neue elektronische Personalausweis, enthält aber einen verschlüsselten RFID-Chip und ist mit einer sechsstelligen Geheimzahl geschützt. Er soll als praktische Servicekarte und Altersnachweis für Rechtsgeschäfte im Internet und an Automaten dienen. Auch Bankgeschäfte und Vertragsunterschriften über das Internet will der Gesetzgeber damit schneller, einfacher und sicherer machen.Die Unterschriftenfunktion setzt allerdings voraus, dass der Kunde eine so genannte qualifizierte elektronische Signatur (QES) freischaltet, indem er ein kostenpflichtiges Zertifikat auf den Ausweis lädt. Damit ein Unternehmen auf diese Daten zugreifen kann, ist wiederum ein spezielles Zertifikat erforderlich. Das erhalten die Unternehmen von einer Bundesbehörde im Auftrag des Innenministeriums.
Schon der Ausweis selbst wird teurer als bisher: 28,80 Euro zahlen alle ab 24 Jahren für den zehn Jahre gültigen „Perso“. Mit 22,80 werden die 16- bis 24-Jährigen für einen sechs Jahre gültigen Ausweis zur Kasse gebeten. Der Bürger hat keine Wahl zwischen der alten und der neuen Variante und zahlt so womöglich für Funktionen, die er gar nicht nutzen will. Profitieren vom neuen Ausweis werden Banken, Versicherungen und andere Unternehmen, die dadurch Kosten einsparen.
Viele Lesegeräte sind nicht ausreichend sicher
Die Verbindung mit dem Internet stellt ein RFID-Lesegerät her. Und hier wird die Sache problematisch: Die Bundesregierung wird in den kommenden Wochen über verschiedene Partner rund eine Million Lesegeräte für den PC verteilen. Das soll die Akzeptanz der Internetfunktionen erhöhen. Die dafür nötigen 24 Millionen Euro kommen aus Steuergeldern, werden also von der Allgemeinheit finanziert.
Die Verbindung mit dem Internet stellt ein RFID-Lesegerät her. Und hier wird die Sache problematisch: Die Bundesregierung wird in den kommenden Wochen über verschiedene Partner rund eine Million Lesegeräte für den PC verteilen. Das soll die Akzeptanz der Internetfunktionen erhöhen. Die dafür nötigen 24 Millionen Euro kommen aus Steuergeldern, werden also von der Allgemeinheit finanziert.
An sich eine gute Investition, hätte man auf Geräte mit eigener Tastatur gesetzt, so genannte „Komfortlesegeräte“. Doch es handelt sich nur um einfache Lesegeräte für den RFID-Chip. Das digitale Unterschreiben, die eigentlich interessante Funktion, wird damit nicht möglich sein. Das ist immerhin schlüssig, denn Experten hatten bereits im Vorfeld zu bedenken geben, dass die Eingabe der Geheimzahl nur über eine am Lesegerät befindliche Tastatur sicher wäre.
Zusätzlich sollte jeder PC-Nutzer, der mit dem Ausweis im Internet unterwegs ist, unbedingt eine aktuelle Sicherheits-Software auf dem PC installieren. Sonst ist Ärger zu erwarten, falls Betrüger mit Hilfe eines Keyloggers die Daten ausspionieren. Zumindest solange der Ausweis auf dem Lesegerät liegt, könnte sich ein Fremder als rechtmäßiger Ausweisbesitzer ausgeben.
Akzeptanz bei Unternehmen ist noch gering
Eine ganz andere Frage ist, ob das Geld für Ausweis und Lesegerät gut angelegt ist. PC-WELT-Nachfragen bei Banken, Versicherungen und Unternehmen ergaben: Kaum ein Unternehmen hat zum Start des neuen Ausweisdokuments nennenswerte Einsatzmöglichkeiten. Wie ein Sicherheitsexperte einer Bank berichtete, müsse zunächst geprüft werden, in welcher Form das neue Dokument mit bestehenden Sicherheitskonzepten wie FinTS oder mTAN kompatibel ist.
Eine ganz andere Frage ist, ob das Geld für Ausweis und Lesegerät gut angelegt ist. PC-WELT-Nachfragen bei Banken, Versicherungen und Unternehmen ergaben: Kaum ein Unternehmen hat zum Start des neuen Ausweisdokuments nennenswerte Einsatzmöglichkeiten. Wie ein Sicherheitsexperte einer Bank berichtete, müsse zunächst geprüft werden, in welcher Form das neue Dokument mit bestehenden Sicherheitskonzepten wie FinTS oder mTAN kompatibel ist.
Auch bei Versicherungen werden zunächst nur unkritische Serviceanfragen mit dem Ausweis erleichtert. Die Allianz etwa startet mit dem Auslesen der Postleitzahl zum Ermitteln der nächsten Geschäftsstelle und der Abfrage der eigenen Vertragsdaten nach Voranmeldung. Vertragsabschlüsse direkt übers Internet mit elektronischer Signatur sind bislang bei keinem der von PC WELT befragten Unternehmen möglich.
01.11.10
Jetzt werden also massenhaft Lesegeräte ohne integrierte Tastatur für Lau an die Bevölkerung verteilt, Natürlich reißen sich die Leute darum, da es ja angeblich nichts kostet. Das kann sich aber rächen. Die mangelnde Sicherheit kann man wieder ausgleichen, indem Linux benutzt wird.
Also, bitte liebe Regierung, lege noch eine bootfähige CD oder USB-Stick hinzu, auf dem Linux installiert und vorkonfiguriert ist.
Dabei kann man noch andere nützliche Software hinzu packen. ;)
Antwort schreiben
01.11.10
Wer in unsrerer Regierung soll denn dazu in der Lage sein?
Antwort schreiben
01.11.10
Augenzwinkernd oder wie gemeint?
Du meinst es im Ernst? Wer soll das denn nun wieder finanzieren? wenn nicht über das Steuersäckel oder den Nikolausstiefel? ;)
Ein Hinweis auf Linux würde doch für die meisten genügen, wenn man nicht gerade zur DAU-Fraktion zählt.
Imo mit virtueller Tastatur machbar und sicher.
Antwort schreiben
01.11.10
die virtuelle tastatur bringt aber genau garnichts ;)
Antwort schreiben
01.11.10
Die Lesegeräte wird man nicht einstampfen. Der Schmach will sich keiner der verantwortlichen aussetzen.
Antwort schreiben
01.11.10
der super Witz ist, dass in den Meldeämtern die notwendige Software nur unter Windows läuft. Wollte München nicht schon vor 5 Jahren auf Linux umstellen?
Wie es auch sei, der Euro sollte die fälschungssicherste Währung der Welt werden, er ist heute die am häufigsten gefälschte Währung der Welt. Ich habe noch eine alten PA geordert, Vorteile: Kostet nur 1/3 und es ist kein RFID Chip drinnen, wo ich nicht weis was der BRD Geheimdienst zur "Terrorabwehr" da alles damit anstellen kann.
Uwe
Antwort schreiben
01.11.10
...für Elster gibt es bis heute keine offizielle non-Windows Software, warum sollte das für den Perso jemals anders sein? Ich geh einfach mal davon aus, dass ein Haufen Kohle in den Regierenden nahestehende Berater und befreundete IT-Firmen geflossen ist, was man nur damit rechtfertigen kann, dass hinterher irgendwas für alle sichtbar raus kommt. Wenn es dann auch noch kostenlos (in dem Falle auch noch absolut umsonst) ist, fragt der Pöbel nicht weiter nach...
Antwort schreiben
01.11.10
> [SIZE=2]Anti-Keylogger-Trick 3: Virtuelle Tastatur nutzen...
Allerdings weiß man nun wirklich nicht, was noch richtig ist:
Ein gestandener IT-Experte:
[/SIZE][SIZE=2].
[/SIZE]Da sieht man gleich, wie populär doch der uro ist! Pfeif' auf Greenbacks und Pounds.
Antwort schreiben
01.11.10
muss er aber auch nicht, weil er genausogut die globale message queue verwenden kann - da kommen die tastendrücke (egal ob real oder von der bildschirmtastatur) inf form von wm_KeyDown bzw wm_Char messages vorbei.
windows machts möglich ;)
Antwort schreiben
01.11.10
Typisch unsere Regierung..
Absolut unfähig
Antwort schreiben
01.11.10
...nö, man muss nur mal schauen wer wen in die Tasche wirtschaftet - imo sind sie darin sehr kreativ und erfolgreich.
Antwort schreiben
01.11.10
Antwort schreiben
01.11.10
...doch - von den entsprechenden Interessengruppen. Wenn du die Diäten meinst, die laufen nur unter "Nebeneinkünfte".
Antwort schreiben
01.11.10
Ich Dummerchen - wie konnte ich die Haupteinnahmequellen vergessen ... .
Für's Wahlvolk läuft es aber irgendwie anders herum.
Antwort schreiben
02.11.10
Antwort schreiben
02.11.10
Genau genommen darf man weder das eine, noch das andere Konzept anwenden.
Jedoch selbst PCWelt, Chip und Co. haben immer wieder in diversen Artikeln darauf hingewiesen.
Und bei Klasse2-Cardreadern(HBCI) mit Tastatur sollen Tastaturkodes angeblich nicht abfangbar sein. Ersatzweise sollte auf virt. T. zurückgegriffen werden, bieten diese dummerweise auch noch zum Download an, obwohl dies bei Windows mit onboard ist!
> http://www.itseccity.de/?url=/content/produkte/onlinebanking/070307_pro_onl_scm.html
*EOD*
Antwort schreiben
02.11.10
Grundsätzlich ist alles, was digital ist, manipulierbar, die Virtualität grundsätzlich vorspiegelbar, da anders, als auf Papier oder vis-a-vis, die Augenscheinlichkeit fehlt und wir an das, was über Bildschirm oder sonstigem Medium übertragen wird, einfach - trotz hoher Verschlüsselung - geglaubt werden muss.
Antwort schreiben
02.11.10
Antwort schreiben
02.11.10
Ich finde den neuen Perso toll. Wenn er mal flächendeckend eingeführt ist stelle ich mir meinen Alltag so vor:
Um ins Internet zu kommen, muss ich natürlich erstmal meinen Perso auf das Lesegerät legen. Damit fängt die Polizei dann Terroristen. Weil ich kein Terrorist bin, ist mir das aber egal. Ich surfe ein bisschen auf Seiten über Italien herum, weil ich Infos für meinen Job brauche.
So eine Internet-Sitzung ist ein Zeitfresser, ich bekomme Hunger und hole mir im Supermarkt eine Tiefkühlpizza. Ich bezahle ganz bequem mit meinem Perso, der den Betrag von meinem Konto abbucht.
2 Tage später habe ich ganz spannende Sonderangebote über Reisen nach Neapel im Briefkasten, weil mein Perso natürlich schlau ist und sich so über mein Surfen und meine Pizza seine Gedanken macht.
Blöderweise habe ich mit dem Pizzakauf mein Konto überzogen. Also klingelt das Handy und die dumme Gans von der Bank teilt mir mit, dass der Perso so lange gesperrt ist, bis ich das Konto wieder ausgeglichen habe. Jetzt komme ich nicht mehr ins Internet. Aber das ist schnell repariert, war ja nur ne Pizza.
Nach diesem Schreck beschließe ich, spontan in Urlaub zu fahren. Nach Mecklenburg-Vorpommern. Da ich natürlich mit dem Perso gezahlt habe und der Perso von meinem Handy weiß, wann ich losfahre, werde ich im Hotel mit einem Brief begrüßt. Von einem Reisebüro. Da steht drin:
Lieber Herr Nillo, Sie wollten doch nach Italien! Haben Sie sich verfahren?
Antwort schreiben
02.11.10
Die kriminelle Energie kommt erst noch, wenn der Vorschlag, Linux als BS für Banksoftware (sei es auf Rechner installiert oder Live-CD) zu verwenden, realisiert wird und eben durch diesen Vorschlag die Verbreitung größer wird - quasi sowas ähnliches wie selbsterfüllende Prophezeiung... ;)
Aber worum geht es denn wirklich? Ein PA, der letztendlich nichts anderes als einen Speicher oder gar schon Rechner beinhaltet, kann manipuliert werden, ohne dass man es merkt. Was passiert, wenn die virtuelle Persönlichkeit auf dem PA einfach ausgetauscht wird - ja, sowas ist dank RFID-Funk auch möglich...Irgendwann bekommt jeder so einen Chip hinter die Stirn implantiert, dann brauchen wir auch kein PA mehr...
Antwort schreiben
02.11.10
Bei Hunden schon üblich, gechipt und entwurmt.
Ob Internetbenutzer, Handybenutzer oder Kreditkartenzahler, ich hinterlasse doch überall eine Spur.
Jetzt bekomme ich einen Ausweis, der mir die Sache sogar erleichtert.
Voraussetzung ist natürlich ein Konto (Onlinegeführt) und Geld drauf.
Antwort schreiben
02.11.10
Nicht hinter die Stirn: Das erledigt der Zahnarzt mit dem nächsten Implantat oder Krone.
Antwort schreiben
02.11.10
Antwort schreiben
02.11.10
http://www.heise.de/ct/artikel/ePerso-Alltag-Von-Ausweisen-ausserhalb-kriegerischer-Zeiten-1129027.html
Antwort schreiben
02.11.10
im blödesten fall hat beim fall 1 jemand zusätzlicher deinen namen, dein alter und ein foto von dir (was eh keine sonderliche neuigkeit sein sollte wenn dein pc ohnehin verwanzt ist).
im 2. fall allerdings viel spass...
Antwort schreiben
03.11.10
...naja, wenn die PIN mit abgegriffen wird, kann man im Namen eines Anderes rechts-sichere Geschäfte machen. Im Gegensatz zur Bankkarte, werden die Gerichte hier aber "angehalten" sein, eher gegen den Bürger zu entscheiden, schließlich kann man die Sicherheit des Ausweises nicht in Frage stellen. Da man nicht um den Ausweis herum kommt, bleibt wohl nur ihn zu hause zu lassen (bzw. in irgendwas zu verpacken, dass den RFID-Chip abschirmt) und tunlichst diese PIN-Funktion nie zu benutzen.
Antwort schreiben