Sicherheitslücke im eAusweis erfordert sofortige PIN Änderung
- Februar 2024: Ein Sicherheitsforscher mit dem Pseudonym CtrlAlt berichtet auf Medium eine kritische Sicherheitslücke im eAusweis gefunden zu haben, die sofortiges Handeln von Usern erfordert. Es handelt es sich dabei um die Sicherheitslücke CVE-2024-23674, die speziell den deutschen elektronischen Ausweis (eAusweis) betrifft. Diese Lücke ermöglicht den Diebstahl der Authentifizierung durch EID per Deeplink. Betroffen sind alle Personen, die einen solchen eAusweis besitzen.
Da es vonseiten der Nutzer keine direkte Möglichkeit gibt, diese Sicherheitslücke zu schließen, sind die empfohlenen Maßnahmen präventiver Natur. Dazu gehören das Ändern der PIN in eine längere und komplexere Kombination, die Nutzung des eAusweises nur in sicheren Umgebungen und die Aufmerksamkeit für ungewöhnliche Aktivitäten, die auf einen Missbrauch hindeuten könnten. Diese Empfehlungen zielen darauf ab, das Risiko eines erfolgreichen Angriffs zu minimieren, während die verantwortlichen Stellen an einer Behebung der Schwachstelle arbeiten. Fraglich ist jedoch, ob diese vor einem Angriff schützen. Denn der von CtrlAlt skizzierte Angriff erfolgt über andere Apps, die mit bösartigen Code infiziert wurden und die eAusweis Funktion missbrauchen. Man sollte daher vorsichtig sein, und nur vertrauenswürdigen Apps das Login per eAusweis erlauben.