Super-GAU in Belgien zeigt die Gefahr der digitalen ID: Was passiert erst, wenn sie zum Alltagsschlüssel wird?
Das zentrale Problem war geradezu erschreckend: Die Software überprüfte nicht ausreichend, welche Webseite überhaupt mit der eID-Anwendung auf dem Computer kommunizieren durfte. Dadurch konnte laut den Forschern grundsätzlich auch eine bösartige Webseite oder ein eingebettetes Element auf sensible Funktionen zugreifen.
Die möglichen Folgen hatten es in sich: Namen, Adressen, nationale Registernummern und Fotos konnten ausgelesen werden. Angreifer konnten Nutzer zur Eingabe ihrer eID-PIN verleiten und unter bestimmten Voraussetzungen sogar Schadcode auf dem Computer ausführen.
Doch noch brisanter ist ein anderer Punkt.
Die Forscher erklärten, dass mit kompromittierten PIN-Informationen nicht autorisierte digitale Signaturen möglich gewesen wären, solange die physische eID-Karte im Lesegerät steckte. Dabei geht es um qualifizierte eIDAS-Signaturen – also elektronische Unterschriften, die rechtlich grundsätzlich die gleiche Wirkung wie eine handschriftliche Unterschrift haben.