Elektronischer Personalausweis

Muster vom neuen Personalausweis

Diese Seite beschäftigt sich mit dem elektronischen Personalausweis (ePA), auch genannt "neuer Personalausweis" (nPA). Die Nutzung der Online-Ausweisfunktion (eID) soll dabei im Mittelpunkt stehen, wobei ich mich auf Linux in Form von openSUSE als Betriebssystem beschränke.

Bewertung des ePA

Der ePA ist aus meiner Sicht und aus Expertensicht aus folgenden Gründen umstritten:

• Er kann über RFID (Funkschnittstelle) ausgelesen werden, was potentiell (bei entsprechenden bisher unbekannten Sicherheitslücken) das Auslesen erlaubt, ohne dass ich es merke.
• Er speichert neben einem biometrischen Passfoto zusätzlich, jedoch freiwillig, auch die Fingerabdrücke des Bürgers. Die biometrische Erfassung der Bürger bringt jedoch keine Sicherheit, eher im Gegenteil, da biometrische Eigenschaften kopiert werden können und daher digitale Identitäten vorgetäuscht werden können. Die Beweislast liegt dann eher beim Bürger (analog zu den Anfängen bei der "sicheren" EC-Karte).
• Man hat die hoheitliche Ausweisfunktion (Identifizierung einer Person) mit den Online-Funktionen vermischt. Eine separate Bürgerkarte für die Online-Funktionen wäre m.E. besser gewesen.
• Daher besteht auch online die potentielle Gefahr, dass die eigene "digitale Identität" in falsche Hände gerät (Identitätsdiebstahl).
• Die Gefahren der Online-Nutzung werden vor allem durch die zulässige Nutzung von Basis-Lesegeräten begründet, bei denen die Eingabe der PIN nicht am Lesegerät, sondern am PC stattfindet.
• Die Quellen der offizielle AusweisApp sind immer noch nicht offen gelegt, so dass man als Bürger dem Ausgeber voll vertrauen muss - in der Hoffnung, sich keinen Bundestrojaner einzufangen. Die Software ist 100 MB groß und enthält erwiesenermaßen unsichere und veraltete Software (Java). Das ist besonders unter Windows eine Gefahr, auf dem 99% aller PC-Schädlinge beheimatet sind.
• Politik und Behörden reden bewusst die "Sicherheit" und Notwendigkeit des ePA schön.

Man muss jedoch zugeben, dass bisher abgesehen von den Sicherheitslücken bei Basis-Lesegeräten und der potentiellen Unsicherheit der AusweisApp keine echten Sicherheitslücken beim eigentlichen ePA bekannt sind. Allerdings ist Sicherheit immer Ende-zu-Ende zu sehen, also einschließlich der zur Nutzung nötigen Hard- und Software, die beim Bürger eingesetzt wird. Das schließt das Betriebssystem der PCs mit ein.

Nichtsdestotrotz war ich auf die Funktionsweise und Nutzung der eID gespannt, zumal ich als Linux-Anwender und IT-Kenner weniger Gefahren bei der Nutzung ausgesetzt bin bzw. die Gefahren besser einschätzen und minimieren kann. Warum also nicht wenigstens ausprobieren, damit man weiß, wovon man spricht?

Beantragung

Der ePA ist schnell beantragt. Man muss lediglich zur zuständigen Personalausweisbehörde (Bürgerbüro) gehen und seinen alten Ausweis mitbringen. Das obligatorische Passbild kann man - zumindest hier in Mettmann - recht preiswert direkt im Bürgerbüro anfertigen lassen , wobei vier Stück ausgedruckt werden. Eins davon wird zur Bundesdruckerei geschickt, man bekommt es aber bei der Aushändigung des ePA zurück.

Ich empfehle dringend, die Erfassung und Speicherung von biometrischen Fingerabdrücken auf dem ePA NICHT vornehmen zu lassen. Das ist freiwillig! Die eID wird übrigens erst bei der Ausgabe gemäß Wunsch des Bürgers ein- oder ausgeschaltet.

Die Anfertigung des ePA dauert etwa zwei Wochen und wird postalisch angekündigt. Man bekommt einen Brief mit der temporären Transport-PIN, der PUK und einem Sperrkennwort für die telefonische Sperrung der Online-Ausweisfunktion. Diese Angaben bekommt man also auch, wenn man die eID bei der Ausgabe deaktivieren möchte, da Aktivieren und Deaktivieren der Online-Ausweisfunktion jederzeit (beliebig oft?) reversibel möglich sind.

Ich empfehle übrigens, die Transport-PIN nicht in der Ausweisbehörde zu ändern. Zumindest in Mettmann kann man das nur an den PCs der Mitarbeiter machen, die allesamt unter Windows XP zu laufen schienen. Die Beantragung ist damit schon ein Risiko, aber die Änderung meiner PIN möchte ich dann doch lieber in einer sicheren Umgebung machen.

Online-Ausweisfunktion

Die Online-Ausweisfunktion (eID) kann im Internet genutzt werden, um sich gegenüber einem Dritten auszuweisen (Name, Anschrift, Geburtsdatum). Dabei sind auch Auskünfte wie "ich bin mindestens 18 Jahre alt" möglich. Funktionsweise und Möglichkeiten sind in der Broschüre beschrieben, die man im Bürgerbüro bei der Beantragung ausgehändigt bekommt. Diese Broschüre ist auch online verfügbar.

Aktivierung

Die Online-Ausweisfunktion wird standardmäßig bei der Ausgabe des ePA aktiviert, es sei denn, man entscheidet sich bewusst dagegen. Nach einer Sperrung (s.u.) kann die erneute Aktivierung (nur) in der Personalausweisbehörde erfolgen.

Sperrung

Eine Sperrung der eID - nach Verlust des ePA oder wenn man die Online-Ausweisfunktion nicht mehr nutzen möchte - kann in der Personalausweisbehörde oder telefonisch erfolgen.

Telefonischer Sperrnotruf:

• 116116 (kostenfrei)
• +49116116 (gebührenpflichtig aus dem Ausland)
• +49-30-40504050

Zumindest telefonisch ist zwingend das im Brief genannte Sperrkennwort (das ist NICHT die PUK!) nötig.

PUK

Die PUK ist zum Entsperren der PIN des ePA nötig, wenn man die PIN drei Mal falsch eingegeben hat. Sie kann insgesamt zehn Mal verwendet werden. Die PUK dient NICHT zum Sperren der Online-Ausweisfunktion.

Kartenleser

In der Broschüre findet man eine Übersicht verschiedener Arten von Kartenlesegeräten. Ich empfehle dringend, mindestens einen Standardleser zu verwenden. Basisleser sind in der Gesamtbetrachtung unsicher.

Ich habe mich für den cyberJack® RFID komfort von REINER SCT entschieden, da er eine gute Linux-Unterstützung bietet und gegenüber dem Standardleser vom gleichen Hersteller auch die qualifizierte digitale Signatur unterstützt, welche freilich derzeit mangels Anbieter brach liegt.

Treiber installieren

Die Treiber des cyberJack® RFID komfort sind in allen gängigen Linux-Distributionen enthalten. Unter openSUSE 13.1 musste ich folgende Pakete installieren:

pcsc-cyberjack-3.99.5final.SP03
pcsc-lite-1.8.8
libpcsclite1-1.8.8

Nach den Einstecken des USB-Kabels am PC wird das Display erleuchtet. Der Linux-Kernel meldet dann folgendes:

usb 5-1: new full-speed USB device number 4 using ohci-pci
usb 5-1: New USB device found, idVendor=0c4b, idProduct=0501
usb 5-1: New USB device strings: Mfr=1, Product=2, SerialNumber=3
usb 5-1: Product: cyberJack RFID komfort
usb 5-1: Manufacturer: REINER SCT
usb 5-1: SerialNumber: xxxx
Starting Smart Card.
Reached target Smart Card.

Prüfen der Funktionalität:

cyberjack

Ausgabe:

EGIN: ermittle Distribution (0/5)
END  : ermittle Distribution (1/5) [OK]
BEGIN: ermittle Systeminformationen (1/5)
END  : ermittle Systeminformationen (2/5) [OK]
BEGIN: ermittle Gruppeninformation (2/5)
END  : ermittle Gruppeninformation (3/5) [ERROR]
BEGIN: ermittle laufende Dienste (3/5)
END  : ermittle laufende Dienste (4/5) [OK]
BEGIN: ermittle und teste angeschlossene Leser (4/5)
END  : ermittle und teste angeschlossene Leser (5/5) [OK]

Hinweise:

• Bei eingesteckter Karte sollte die grüne (Karten mit elektr. Kontakten) oder blaue (RFID-Karten) LED (kurz) leuchten oder blinken.
• Der Fehler bei der Gruppeninformation kann unter openSUSE vernachlässigt werden.

Zum automatischen Start beim Booten sollte der PCSC-Lite Deamon aktiviert werden:

systemctl enable pcscd

Support

• REINER SCT Forum

Software

Ich beschränke mich auf die Nutzung des ePA mit dem cyberJack® RFID komfort Kartenleser unter openSUSE. Meines Erachtens muss man von der Nutzung der Online-Ausweisfunktion unter Windows abraten, es sei denn, man weiß genau, wie man ein halbwegs "sicheres" Windows hinbekommt.

AusweisApp

Version 1

Die AusweisApp ist ein Software-Monstrum, vor dem man warnen muss (siehe oben). Außerdem wird nur eine sehr alte Firefox-Version unterstützt. Totaler Mist also. Leider bietet die AusweisApp meines Wissens derzeit die einzige Möglichkeit, die PIN zu ändern, so dass man sie zumindest einmalig zum Ändern der Transport-PIN installieren und nutzen muss.

Die Installation unter openSUSE verlief problemlos. Man muss allerdings zuvor (auch) die 32Bit-Version der pcsc-Bibliotheken installieren (libpcsclite1-32bit).

Starten der AusweisApp:

/opt/olsc/AusweisApp/bc.sh -splash

Version 2

Leider bietet Version 2 der AusweisApp keine Linux-Unterstützung mehr.

Siehe:

• Neuer Personalausweis: Ausweisapp2 - weg vom Browser, weg von Linux

Open eCard

Als brauchbare und bevorzugte Alternative zur AusweisApp steht eine App von Open eCard zur Verfügung, welche schlank ist, im Quellcode offen liegt, mit jedem gängigen Browser läuft und keine eigene Java-Umgebung mitbringt . Zur Installation muss man einfach die jar-Datei herunterladen, die man anschließend jeweils vor der Nutzung der eID-Webapplikation starten muss:

java -jar /opt/OpeneCardApp/OpeneCardApp-1.1.0-rc.jar

Die App horcht unter http://127.0.0.1:24727 auf eingehende Anfragen. Unter KDE erscheint ein Icon in der Systemleiste.

Logdateien und Konfiguration:

~/.openecard

Digitale Signatur

• Sign-me

Nutzungsmöglichkeiten

Siehe

• Anwendungen

Was schon funktionierte:

• Eine Anmeldung bei der Allianz hat tadellos funktioniert mit Hilfe der Open eCard App.

Weblinks

• Der neue Personalausweis (personalausweisportal.de)
• Bundesdruckerei
• Wikipedia

• cyberJack-Kartenleser und Anwendungen (shredzone.de)
• Common-eID-Projekt