Die europäische digitale Identitäts-Wallet soll die Zahl der im Umlauf befindlichen Dokumentenkopien verringern. Doch mehrere Nachweise auf dem Smartphone zu speichern, wirft auch Sicherheitsfragen auf. Hacking, Phishing, Tracking: Welche Schutzmaßnahmen sind geplant und welche Schwachstellen bleiben?

Mehrere Nachweise auf einem Smartphone vereint

Personalausweis, Führerschein, Diplome: Die europäische Wallet soll es ermöglichen, diese Nachweise über das Smartphone vorzuzeigen und dabei die geteilten Informationen zu begrenzen. Doch ihre Zusammenführung gibt Anlass zur Sorge vor Hacking-Angriffen.

Die Verordnung eIDAS 2 verpflichtet jeden Mitgliedstaat, bis Ende 2026 eine Wallet anzubieten. In Frankreich wird sie auf Basis von France Identité entwickelt, auch wenn die Interministerielle Digitaldirektion (DINUM) von einer Verfügbarkeit „irgendwann im Jahr 2027“ spricht.

Das System sieht keine Einrichtung einer einzigen europäischen Datenbank mit den Nachweisen aller Bürger vor. Die Bescheinigungen werden in der Wallet des Nutzers gespeichert, ohne die Verwaltungsdatenbanken zu löschen, aus denen sie stammen.

Weniger Kopien, die Sicherheitsverletzungen ausgesetzt sind

Wer heute ein Konto eröffnet oder ein Fahrzeug mietet, muss oft eine Ausweiskopie einsenden. Jede Organisation, die sie aufbewahrt, ist ein weiteres Angriffsziel, und die Daten können für Betrug genutzt werden.

📰 Unsicherheit, Kryptoangriffe, beeinträchtigte öffentliche Dienste: Werden die Franzosen Steuern ablehnen?

Im Februar machte die DGFiP einen betrügerischen Zugriff auf FICOBA bekannt, von dem möglicherweise Bankverbindungen, Identitätsdaten und Adressen von Inhabern von rund 1,2 Millionen Konten betroffen waren. Die Wallet würde diese Datenbank nicht beseitigen und hätte diesen Zugriff daher für sich genommen nicht verhindert.

Ihr Vorteil liegt vielmehr darin, dass nur die erforderlichen Informationen geteilt werden können. Um nachzuweisen, dass eine Person volljährig ist, könnte sie eine Bescheinigung vorlegen, aus der hervorgeht, dass sie über 18 ist, ohne ihr vollständiges Geburtsdatum preiszugeben. Bei einer Sicherheitsverletzung beim Empfänger wären dann weniger Daten offengelegt als bei einer vollständigen Kopie der Dokumente.

Hacking und Phishing: Bedrohungen, die bestehen bleiben

Die Sicherheit der Bescheinigungen wird entscheidend, wenn sie zusammengeführt werden. Gelingt es einem Angreifer, die Schutzmaßnahmen der Wallet zu umgehen und auf die Informationen zuzugreifen, könnte deren Zusammenführung Identitätsdiebstahl oder gezielte Betrugsversuche erleichtern. Das bedeutet jedoch nicht, dass Daten zwangsläufig stärker offengelegt werden als heute.

Der Zugriff muss durch Authentifizierungsmechanismen geschützt werden. Kryptografische Schlüssel müssen auf einem zertifizierten sicheren Gerät gespeichert werden, das entweder in das Smartphone integriert ist oder auf eine externe Infrastruktur zurückgreift.

Auch Phishing bleibt eine Bedrohung, wenn ein Betrüger den Nutzer dazu bringt, Informationen außerhalb des sicheren Verfahrens weiterzugeben. Dienste, die die Wallet nutzen, müssen sich registrieren und die von ihnen angeforderten Daten angeben. Nutzer wiederum müssen den Empfänger erkennen können, bevor sie die Weitergabe genehmigen.

Schließlich könnten bestimmte Kennungen oder Signaturen dazu verwendet werden, mehrere Vorzeigen miteinander zu verknüpfen und die Nutzung nachzuverfolgen. Der Schutz hängt daher ebenso von der Widerstandsfähigkeit gegen Angriffe ab wie von den offengelegten Informationen und der Möglichkeit, sie miteinander abzugleichen.

Quellen: The Blockchain for Good Association, Impots.gouv