Hamburg - Auch ein Dreivierteljahr nach der Einführung des elektronischen Personalausweises in Deutschland kann der chipbasierte Pass nicht als sicher gelten. Jan Schejbal, Mitglied der Piratenpartei, hat eine neue Sicherheitslücke entdeckt, die es Angreifern möglich macht, über Websites die Daten des E-Persos auslesen können.

Schejbal, der schon einmal Softwarefehler des neuen Persos offenbarte, beschreibt in seinem Blog , wie über einen Remote-Angriff auf den Ausweis und dessen Daten zugegriffen werden kann. Voraussetzung ist, dass "das Opfer" ein bestimmtes Lesegerät besitzt sowie das einst von der "ComputerBild" verteilte Ausweis-Starterset installiert hat. Die darin enthaltene Owok-Software macht den Angriff möglich.

Der von Schejbal beschriebene Angriff würde in mehreren Stufen ablaufen. Zunächst muss das Opfer ein gefälschtes Webangebot aufrufen, das eine Identifikation per E-Perso verlangt. Fällt das Opfer darauf herein, lädt der Angreifer eine Kopie der AusweisApp in JavaScript nach. Technisch versierte Nutzer könnten den Betrug erkennen, die Mehrheit jedoch dürften darauf hereinfallen, resümiert ZDNet . Heise hat den Exploit nachvollzogen und erklärt die Vorgehensweise .