Nutzer-Identifizierung per Videoident: Mit wie viel Restrisiko können wir leben?
Die Digitalisierungsbeauftragten, besonders im Gesundheitsbereich, sollten beim Videoident-Verfahren nicht in Panik verfallen, meint Professor Norbert Pohlmann.
(Bild: fran_kie / Shutterstock.com)
Mit dem zunehmend höheren Grad der Digitalisierung wird die Identitätsfeststellung von Nutzern immer wichtiger. Bei der Eröffnung eines Bankkontos, beim Abschluss eines Mobilfunkvertrages oder bei weiteren IT-Dienstleistungen ist die persönliche Identitätsverifikation eine notwendige Voraussetzung – meistens sogar gesetzlich geregelt. Die Identitätsverifikation wurde in der Vergangenheit durch die persönliche Vorlage des Personalausweises vor Ort umgesetzt. Heutzutage bieten das Videoident-Verfahren und die eID-Funktion des Personalausweises einer natürlichen Person und einem IT-Dienstanbieter die Möglichkeit, eine Identitätsverifikation schnell und ohne Ortswechsel beziehungsweise ohne Terminbindung durchzuführen, was auch durch die verteilten und neuen IT-Dienste zunehmend notwendiger wird.
Bei der persönlichen Vorlage des Personalausweises haben wir uns mit der Möglichkeit der Betrügerei abgefunden – da allgemein bekannt ist, dass die meisten Menschen es nicht gelernt haben, einen echten von einem gefälschten Personalausweis treffsicher zu unterscheiden. Daher können die Ergebnisse einer Identitätsverifikation niemals hundertprozentig perfekt beziehungsweise korrekt sein.
Gefahr liegt im Diebstahl des Personalausweises
Beim eID-Verfahren zielen die vorhandenen Angriffsvektoren auf den Schutz des Sicherheitschips im Personalausweis ab, in dem die kryptografischen Schlüssel gespeichert sind. Auch wenn das Sicherheitslevel beim eID-Verfahren schon sehr hoch ist, bietet er keine hundertprozentige Sicherheit in der Gesamtheit der möglichen Angriffe. Zum Beispiel ist der Diebstahl des Personalausweises zusammen mit der Aktivierungs-PIN ein Angriffsvektor, der real erfolgreich umgesetzt wird. Leider wird die eID-Funktion des Personalausweises von den Bürgern noch sehr wenig genutzt und von IT-Diensteanbietern auch selten angeboten – obwohl sie einige Sicherheitsvorteile zu den anderen Identifikationsverfahren aufweist.
Beim geplanten Smart-eID-Verfahren werden die Schlüssel in einer Wallet-App auf unserem Smartphone integriert, was die Nutzbarkeit sicherlich enorm steigern wird. Wie hoch hier der Sicherheitslevel sein kann, hängt auch davon ab, ob die Sicherheitsmodule der Smartphone-Hersteller für die Smart-eID verwendet werden können.
Angriffsweg des CCC nicht neu, Schutzverfahren nicht umgesetzt
Beim VideoIdent-Verfahren liegt die Sicherheit in der manipulationsfreien Übertragung des Videobildes eines Personalausweises via Smartphone sowie an der Ausbildung und Sorgfalt der Mitarbeiterinnen und Mitarbeiter, die für die Identitätsverifikation verantwortlich sind. Diese müssen für die Überprüfung umfassend geschult werden, um Angriffsversuche so gut wie möglich zu erkennen.
Lesen Sie auch
Chaos Computer Club hackt Videoident-Verfahren
Genau an dieser Stelle wurde kürzlich ein valider Angriff aufgezeigt, der jedoch im Prinzip schon seit 2017 in der Fachwelt bekannt ist. Angriffe dieser Art hingegen sind in den letzten fünf Jahren nicht bekannt geworden. Schutzverfahren, die den beschriebenen Angriffen entgegenwirken können, sind prinzipiell erforscht, müssten jetzt nur zügig umgesetzt werden.
Identifikationsverfahren werden nie zu 100 Prozent sicher sein
Kein Verfahren zur Identitätsfeststellung ist 100 Prozent sicher, auch nicht die Überprüfung des Personalausweises vor Ort. Aus meiner Sicht ist es in der Zukunft besonders wichtig, dass wir die verbleibenden Restrisiken von Identifikationsverfahren oder IT-Sicherheitssystemen allgemein kennen und lernen, damit angemessen und souverän umzugehen. Wir müssen Angriffe, die auf die Identitätsverifikation abzielen, so schnell und so gut wie möglich erkennen, um im Weiteren die potenziellen Schäden zu verhindern – etwa durch die Löschung der so entstandenen falschen Identitäten. Hier müssen zum Beispiel weitere und zuverlässige Erkennungsmechanismen von falschen Identitäten erforscht, entwickelt und umgesetzt werden.
Außerdem ist es wichtig, dass wir die Schäden, die dennoch auftreten können, über Versicherungen abdecken, damit nicht nur einige wenige Nutzer und IT-Dienstleistungsanbieter den Schaden tragen müssen, der durch die verbleibenden Restrisiken entsteht. Diese Vorgehensweise funktioniert im Straßenverkehr sehr erfolgreich. Obwohl wir immer noch viele Unfälle verzeichnen, hält das die wenigsten vom Autofahren ab. Zudem tut die Automobil-Branche auch sehr viel, um beispielsweise durch immer intelligentere Schutzmaßnahmen im und am Auto Schadensfälle zu verhindern beziehungsweise zu mindern. Mit verbleibenden Restrisiken der Mobilität haben wir gelernt umzugehen.
Aus diesem Grund sollten die für die Digitalisierung verantwortlichen Personen in den verschiedenen Bereichen und Branchen, etwa auch im Gesundheitswesen nicht in unnötige Panik verfallen. Sie sollten mit den Verantwortlichen alles tun, damit die Identifikationsverfahren nach jedem neuen erfolgreichen Angriff besser werden und die verbleibenden Restrisiken so klein wie nur möglich bleiben.
Was ist der nächste Schritt?
Da wir keine perfekten Systeme haben werden, ist es unsere gemeinsame Aufgabe, die verbleibenden Restrisiken in den Griff zu bekommen, sodass wir in der Lage sind – etwa durch moderne IT-Dienstleistungen im Gesundheitswesen – unsere Gesundheit und unser Wohlbefinden deutlich verbessern zu können.
Wir sollten alle gemeinsam deutlich mehr Energie in den Umgang mit den verbleibenden Restrisiken legen, um dadurch unsere digitale Zukunft souverän und vertrauenswürdig gestalten zu können.
(mack)