D

ie Hacker-Attacke der Bonner Informatiker klappte erstaunlich schnell. Ein paar Versuche, dann hatte das Team von Professor Armin Cremers sein so genanntes Trojanisches Pferd platziert. Das Virenprogramm der Universität Bonn übertölpelte die als unangreifbar geltende Software der Deutschen Post AG und fing die PIN des Benutzers ab. Eines der angeblich sichersten Computerprogramme der Republik war damit geknackt.

Ein Datenklau als Daten-GAU: Denn die Software eTRUST Mail 1.01 der Posttochter Signtrust ist wie ein ähnliches Produkt des Telekom-Ablegers Telesec das wichtigste Instrument der so genannten digitalen Signatur, die den Computer für den Internet-Verkehr geschäftsfähig machen soll.

Erst im Mai trat dafür das neue Signaturgesetz in Kraft ­ ein Prestigeprojekt von Rot-Grün. Die digitale Signaturkarte, so wollen es Wirtschaft und Politik, soll der zweite Personalausweis der Bürger werden, so dokumentenecht und verbindlich wie die persönliche Unterschrift.

Das aber setzt voraus, dass die Signatur fälschungssicher ist. Dazu erhält der Nutzer ein Signaturpaket von einer Zertifizierungsstelle. Acht solcher Einrichtungen wurden bisher genehmigt, auch die Töchter von Post und Telekom gehören dazu. Das Paket wird für den Kunden von Telesec und Signtrust individuell gepackt: Auf einer Chipkarte liegt der persönliche Code, die private PIN wird mit dem Programm für den Heimcomputer mitgeliefert. Nur wenn der Code, den ein Kartenlesegerät erkennt, und die PIN zusammenpassen, kann die Signatur abgeschickt werden.

Aus Sorge, dass Daten schon an der Quelle ausgespäht werden könnten, achten Telekom und Post in ihren Hochsicherheitstrakten in Darmstadt und Siegen auf höchste Geheimhaltung. Nur handverlesenes Personal darf die hermetisch abgeriegelten Gebäude betreten; Wände und Spezialtüren schirmen gegen Strahlung ab.

Der Aufwand wurde belohnt. Das Programm, das künftig den unverwechselbaren Namenszug per Mausklick ermöglicht, bestand nicht nur vor den strengen Prüfern des TÜViT, des Spezial-TÜV für Computertechnik. Auch die Bonner Regulierungsbehörde für Telekommunikation und Post (RegTP) gab ihren Segen. Ganz im Sinne des Kanzlers.

Der Regierungschef erwartet sich von der digitalen Signatur nicht nur einen enormen Schub fürs E-Commerce. Auch der Behördengang soll bald via Internet in jedem Wohnzimmer der Republik erledigt werden können. Anträge für den Reisepass oder den Hausbau erreichen dann das Rathaus online. Und der Kanzler hat weitere ehrgeizige Pläne: Das Projekt "BundOnline 2005" sieht vor, dass die Regierung ihre Dienstleistungen auch im Netz anbietet ­ sogar von zukünftigen Online-Wahlen ist die Rede. Da ist der Glaube an die sichere Software unverzichtbar.

Umso schlechter passt es deshalb ins Bild, dass der digitale Fingerabdruck derzeit offenbar noch ein erhebliches Risiko birgt. Seit Cremers' Team sich ins Programm gehackt hat, wird dementiert und abgebügelt. Dabei warnten die Wissenschaftler pflichtgemäß die Behörden. Bereits seit Februar ist das Bundeswirtschaftsministerium über die Software-Lecks informiert, seitdem beraten die Experten, was zu tun ist. Auch Staatssekretär Alfred Tacke ist eingeschaltet, das Bundesamt für Sicherheit in der Informationstechnik (BSI) alarmierte Schilys Innenministerium.

Nur zum Eingreifen konnten sich die Beamten im Wirtschaftsministerium bis heute nicht durchringen: Zu groß war die Sorge, die Nachricht von der unsicheren Software könnte dem Prestigeobjekt in der Öffentlichkeit schaden, mehr noch: die Idee des digitalen Signierens an sich in Verruf bringen. Schließlich ist Großes geplant. Künftig wollen die Sparkassen mehr als 20 Millionen Kunden die Möglichkeit eröffnen, ihre EC-Karte mit einem Chip für die Online-Unterschrift aufzurüsten.

In Berlin heißt es deshalb zu der kapitalen Panne derzeit nur lapidar, die Regulierungsbehörde RegTP prüfe momentan den Vorgang. Ein Abgesandter des BSI versuchte unterdessen offenbar, so wird an der Bonner Universität kolportiert, das Schlimmste zu verhindern. Bevor die Informatiker bei einem BSI-Kongress im vergangenen Monat ihre Entdeckung präsentierten, habe er gebeten, doch auf den Hinweis zu verzichten, dass es sich bei der bemängelten Software um ein Produkt der Post handele.

Die Wissenschaftler aber sprachen offen über ihre Bedenken und verwiesen auf die "ernsten rechtlichen Konsequenzen" für Anwender, die Opfer betrügerischer Eingriffe in das Online-Geschäft werden könnten. Unbemerkt vom Nutzer ließen sich nämlich falsche Zahlen oder Paragrafen in einen Vertrag hineinmogeln. Wenn es hart auf hart komme, müsse der Besitzer der gehackten Software beweisen, dass seine ursprünglichen Daten manipuliert worden seien.

Das dürfte schwer fallen. Den Anbietern der Software warfen die Informatiker deshalb vor, sie zeichneten sich durch "konsequente Nichtbeachtung der Gefahr aus". Doch die bestreiten das. Sowohl Telesec als auch Signtrust halten ihre Programme für absolut sicher. Das Produkt sei "auf Herz und Nieren geprüft", erklärten beide, man habe die Bestätigung erhalten, dass die PIN nicht auslesbar sei.

Die Hersteller verlagern das Problem lieber auf den Internet-Nutzer. Das Risiko, ließ Signtrust mitteilen, sei wohl eher beim privaten Anwender zu orten. Denn der verfüge zu Hause nicht über die in Firmen übliche Abschottungstechnik gegen Hackerangriffe und Viren.

Ähnlich reagierte die Regulierungsbehörde. Nachdem die Bonner Informatiker das Leck enthüllt hatten, stellte die RegTP "aus gegebenem Anlass" einen Sicherheitshinweis für die digitale Signatur auf ihre Homepage.

Die Anwenderkomponenten, heißt es dort, sollten "nur auf vertrauenswürdigen IT-Systemen" betrieben werden. "Und solche existieren nicht", entgegnet Adrian Spalka, Mitarbeiter in Cremers' Forschungsgruppe. "Das würde im übertragenen Sinne bedeuten, dass kugelsichere Westen nur dort sicher sind, wo nicht geschossen wird." "Für ein im Massenmarkt einzusetzendes Produkt ist das nicht akzeptabel", urteilte Cremers' Mannschaft über die Signatur-Software.