Sicherheitslücke

Estland widerruft Zertifikate von ID-Karten

(Bild: AFP)

Estland hat auf das vor zwei Monaten bekannt gewordene mögliche Sicherheitsrisiko beim elektronischen Personalausweis reagiert. Die Regierung in Tallinn beschloss am Donnerstagabend, die Sicherheitszertifikate der betroffenen 760.000 ID-Karten für ungültig zu erklären. Damit folgte das Kabinett von Regierungschef Jüri Ratas Empfehlungen der Polizei- und Grenzschutzbehörde und des staatlichen Amtes für Informationsdienste, wie die Staatskanzlei mitteilte.

Estland hatte Anfang September ein mögliches Sicherheitsrisiko bei allen seit Oktober 2014 ausgestellten ID-Karten einräumen müssen. Bei ihnen könne der öffentliche Schlüssel der digitalen Identität "theoretisch" auch ohne die Karte und die PIN ermittelt werden, wie Sicherheitsforscher herausfanden. Darunter sind auch ID-Karten, die als sogenannte "E-Residency" an Ausländer ausgegeben wurden.

Bisher gebe es keine Hinweise darauf, dass es zu einem Diebstahl von irgendeiner digitalen Identität gekommen sei, sagte nun Ratas. Das Risiko werde aber dadurch "stark erhöht", dass die Schwachstelle sich nicht nur auf die estnische ID-Karte beschränke. Auch andere Karten- und Computersysteme weltweit verwendeten den gleichen Chip des Herstellers, hieß es in der Mitteilung.

(Bild: AFP)

Nach Angaben von Taimar Peterkop, Leiter des staatlichen Amtes für Informationsdienste, kursierten bereits angebliche Schadprogramme. Auch habe eine neue Studie ergeben, dass die Sicherheitslücke im Datenchip leichter als bisher angenommen ausgenutzt werden könnte.

Nahezu alle der gut 1,3 Millionen Esten besitzen eine computerlesbare ID-Karte mit einem speziellen Datenchip, die als Personalausweis dient und im Internet die Feststellung der Identität ermöglicht. Damit können online Geschäfte abgewickelt, digitale Unterschriften geleistet und auch elektronisch gewählt werden. Die Zertifikate sollen den Angaben zufolge in der Nacht auf Samstag ihre Gültigkeit verlieren. Als analoger Personalausweis und Reisedokument könne die ID-Karte aber weiter verwendet werden.