„Digitale Brieftasche“ der Bundesregierung: Scheitern mit Ansage?

Nicht einmal eine Woche nach dem Start wurde der digitale Führerschein aufgrund massiver technischer Probleme wieder gestoppt. Die dazugehörige ID Wallet App wurde aus den App-Stores genommen. Bei zahlreichen Nutzern hatte die App nicht funktioniert und verschiedene Fehlermeldungen erzeugt. In den App-Stores gab es dutzende Beschwerden und schlechte Bewertungen. 

App sollte digitale Brieftasche der Bundesregierung sein

Die ID Wallet ist ein zentrales Projekt der Bundesregierung. In der „digitalen Brieftasche“ sollen Nutzer neben dem Führerschein zahlreiche Nachweise hinterlegen, Grundlage dafür ist die so genannte Basis-ID, basierend auf der Online-Ausweisfunktion des Personalausweises. Dies könne man nutzen, „um seine Identität für so genannte nicht-hoheitliche Anwendungen online nachzuweisen“, erklärt die Bundesdruckerei, die die Basis-ID zur Verfügung stellt. Erster Anwendungsfall war ein Hotel-Check-in, aber auch für die Eröffnung von Bankkonten oder Kundenkonten bei Onlinehändlern soll die ID Wallet künftig genutzt werden können.

„Durch die sehr hohe Nachfrage nach der ID Wallet App allgemein und damit verbundene hohe Last auf dem System haben sich unerwartete Lastspitzen ergeben, die temporär die Nutzung der ID Wallet App beeinträchtigt haben“, erklärt die Entwicklerfirma, die Digital Enabling GmbH aus Langen in Hessen. Am Dienstag war wegen der Probleme zunächst die Ausstellung weiterer digitaler Führerscheine ausgesetzt worden. Dies sollte „sehr zeitnah“ mit der App Version 1.7 behoben werden. Nun ist von „einige Wochen“ die Rede, als Grund werden auch eine Reihe von „Sicherheitshinweisen“ genannt, denen nachgegangen wird.

Mitglieder des Chaos Computer Clubs wie Lilith Wittmann, Fabian Lüpke und Manuel Atug hatten auf Twitter mehrfach auf technische Probleme aufmerksam gemacht. Atug bezeichnete das Projekt als „digitalen Totalschaden“. Lüpke schrieb, man habe Grund zur Annahme, dass nicht nur Infrastruktur, sondern auch die der ID Wallet zugrunde liegende Blockchain-Technologie für digitale Identitäten konzeptionell fehlerhaft und angreifbar sein könnte.

CCC warnt: Angreifer könnten Ausweisdaten abfangen

Lüpke und Wittmann sehen insbesondere die Gefahr von Identitätsdiebstählen durch so genannte Man-in-the- Middle-Attacken. Wenn jemand sich mit der ID Wallet identifizieren möchte, scannt er einen QR-Code. Gelingt es Angreifern, diesen auszutauschen, könnten sie unbemerkt Ausweisdaten abfangen. „Für Missbrauch bieten sich diese verifizierten Daten dann natürlich hervorragend an“, schreiben Sie in einem Beitrag, über die Schwachstellen der ID Wallet. Zudem wäre die Kontrolle über diese Daten dann unwiederbringlich verloren.

Verhindern könnte man das, wenn sich alle, die auf die digitalen Ausweisdaten zugreifen wollen, selbst verifizieren müssten. Allerdings sei dies nicht vorgesehen und solche Art von Angriffen zudem bei einem für die Wallet genutzten, zentralen Protokoll ein bekanntes Problem, für das es noch keine Lösung gebe.

Technologie nicht ausgereift?

Mögliche Probleme der für die ID Wallet genutzten Technologie von Self-Sovereign-Identities (SSI) waren im Vorfeld bekannt. Und auch innerhalb des Projekts Digitale Identitäten wurde diskutiert, ob die Basis-ID schon heute die nötigen Sicherheitsanforderungen erfüllt. „Die SSI-Technologie ist derzeit noch nicht hinreichend ausgereift, um vertrauenswürdig zu sein“, sagte beispielsweise Arno Fiedler. Er leitet den Bereich Technik und Standards in der Begleitforschung zu dem Projekt des Bundeswirtschaftsministeriums (BMWi) „Schaufenster Sichere Digitale Identitäten“. Ein anderer Beteiligter aus dem Kreis der im Projekt vertretenen Unternehmen bezeichnete die Technologie als eher für ein Forschungsprojekt geeignet. „Um jetzt eine sichere digitale Identität zu schaffen, die zeitnah nutzbar sein soll, sind SSI nicht praktikabel.“ Noch seien zu viele rechtliche und technische Fragen ungeklärt. „Ich finde es richtig, dass wir mutig sind, auch nochmal einen Schritt nach vorne zu gehen“, verteidigte Bundes-CIO Markus Richter am Mittwoch bei einem Kongress den SSI-Ansatz. Zwar müsse man dabei manche Lernschleife abarbeiten, doch diese Kultur wolle er in den Behörden implementieren. Auch Digitalstaatsministerin Dorothee Bär hatte den Ansatz verteidigt. „Die Zweifel am Reifegrad der Technik teile ich nicht“, sagte Bär dem Tagesspiegel. Sie sei froh, wenn wir bei einer Innovation „mal vor die Welle kommen“. „Es ist schon ein seltsamer Vorwurf, dass man nun ,zu innovativ’ sei“, so Bär.

Zum Start des digitalen Führerscheins hatte die CSU-Staatsministerin von einem „wichtigen Meilenstein im Aufbau unseres Ökosystems digitaler Identitäten“ gesprochen. Bei einer Wahlkampfveranstaltung der CDU Anfang September hatte auch die Kanzlerin die hohe Priorität betont, die die Entwicklung der digitalen Identitäten aus ihrer Sicht genießt. Man wolle „bis zum letzten Tag vor der Bundestagswahl“ daran arbeiten, so Angela Merkel, Start des digitalen Führerscheins war tatsächlich am 23. September. Andreas Scheuer, Bundesminister für Verkehr und digitale Infrastruktur, hatte erklärt: „So sieht die digitale Zukunft aus: smart, bürgerfreundlich und sicher.“ 

Union streitet über Verantwortung

Kritik an der Umsetzung gibt es nun auch innerhalb der Union. Er verstehe nicht, warum bei der Entwicklung solcher Dienste der Chaos Computer Club nicht eingebunden werde, schrieb Thomas Jarzombek, Beauftragter für die Digitalwirtschaft im BMWi auf Twitter. „Hier wiederholt sich doch immer wieder das gleiche Problemmuster.“

Und Scheuer (CSU) zeigte sich laut Ministeriumskreisen „stocksauer“, dass die App vorerst gestoppt werden musste. Es gehe ihm „auf den Zeiger“, dass sein Ministerium funktionierende Projekte abliefere und es an zersplitterten Zuständigkeiten „wieder einmal hake“. Das Kanzleramt habe darauf bestanden, dass der digitale Führerschein in der App „ID Wallet“ zur Verfügung stehe.

„Es gab über Wochen umfangreiche Tests, die zu mehreren Iterationen am Produkt geführt haben“, erklärt ein Regierungssprecher auf Anfrage. „Diese wiederum hatten zuletzt dazu geführt, dass die Tests vor dem Go live erfolgreich waren.“ Inwieweit auch die Sicherheit geprüft wurde, ob das Bundesamt für die Sicherheit in der Informationstechnik (BSI) involviert war und wie man die beschriebenen Angriffsoptionen bewertet, beantworteten Bundesregierung und BSI nicht. Tobias Plate, Leiter des Referats Digitaler Staat im Kanzleramt, hatte erklärt, man habe bewusst ein noch nicht hundertprozentig fertiges Produkt veröffentlicht, um schnell zu sein und es agil und iterativ verbessern zu können. Bei so zentralen Identitätsdaten sollte eine neue Version aber die etablierten Standards der IT-Security erfüllen, fordern die CCC-Mitglieder.