Ein Sicherheitsforscher hat die Altersverifikations-App der Europäischen Union seit April zum dritten Mal geknackt, und diesmal ist die mit der Entdeckung verbundene Warnung noch beunruhigender als die beiden vorherigen. Laut einem Bericht von TechRadar sagt der für die wiederholten Tests verantwortliche Experte, dass es bei den Problemen der App nicht mehr nur darum geht, wie alt jemand ist. "Der nächste Schritt wird der Nachweis Ihrer Identität sein", warnte der Forscher – eine Aussage, die die gesamte Debatte um den Hack der EU-Altersverifikations-App von einer unangenehmen Fehler-Story zu einem echten Problem der Identitätssicherheit macht.

Was der Forscher dreimal hintereinander knackte

Die Altersverifikations-App der EU wurde entwickelt, damit Nutzer nachweisen können, dass sie eine Altersgrenze erreicht haben, ohne unnötige persönliche Daten an jede Website oder Plattform weiterzugeben, die danach fragt. Zumindest war das das Versprechen. Seit dem Start hat derselbe Sicherheitsforscher gleich drei Mal Wege gefunden, dieses Versprechen zu untergraben. Jedes Mal haben die Sicherheitslücken die Kernbehauptung ausgehöhlt, dass die App eine datenschutzfreundliche Alternative zum direkten Hochladen eines Pass-Scans oder Führerscheinfotos auf eine Website sei.

Die Details der einzelnen Schwachstellen sind weniger wichtig als das Muster, das sie bilden. Eine App, die als vertrauenswürdige, reibungslose Verifizierungsschicht für Hunderte Millionen EU-Bürger konzipiert und beworben wird, ist nun innerhalb weniger Monate drei Mal unabhängiger Überprüfung nicht standgehalten. Das ist kein einmaliger Implementierungsfehler. Es ist eine Bilanz.

Warum Altersverifikations-Apps ein größeres Identitätsziel sind, als sie scheinen

Es liegt nahe, eine Altersprüfung als risikoarme Software zu betrachten. Man weist weder seinen Kontostand noch seine Krankengeschichte nach, sondern nur, ob man über 18 ist. Doch diese Sichtweise übersieht, wie diese Systeme tatsächlich aufgebaut sind. Um das Alter zuverlässig zu verifizieren, muss eine App in der Regel an ein offizielles Ausweisdokument oder eine staatlich gestützte Datenquelle angebunden sein. Das bedeutet, dass die Infrastruktur hinter einer Alterskontrolle oft einen direkten Draht zu genau den Identitätsdaten hat, die Angreifer am meisten begehren.

Das ist der Kern der Warnung des Forschers. Wenn die Altersverifikation der Türöffner ist, der Bürger dazu bringt, eine mit dem Staat verbundene App auf ihrem Handy zu installieren, dann ist der nächste logische Schritt für Regulierer und Plattformen eine umfassendere Identitätsprüfung für andere Dienste. Lässt sich die Altersprüfungsschicht heute manipulieren oder umgehen, gibt es kaum Grund zu der Annahme, dass die darauffolgende Identitätsschicht von Haus aus sicherer ist. Ein System, das bei der einfacheren Aufgabe versagt, weckt kein Vertrauen für die schwierigere.

Diese Sorge ist nicht auf die EU beschränkt. Ähnliche Spannungen zeigen sich überall dort, wo Regierungen verpflichtende Alters- oder Identitätskontrollen vorantreiben – von Vorschlägen wie Kanadas Bill C-34, die eine Identitätsprüfung für soziale Medien vorschreiben, bis hin zum Flickwerk von Gesetzen zur Altersverifikation in den US-Bundesstaaten, die derzeit rechtlich in der Schwebe stecken. All diese Bestrebungen verlangen von den Nutzern, darauf zu vertrauen, dass eine unter politischem Druck schnell zusammengebaute Verifikationsschicht realen Angreifern standhält.

Die Datenschutzversprechen der EU im Vergleich zu den realen Sicherheitslücken dieser App

Als die App eingeführt wurde, stellten die Verantwortlichen sie als technisch ausgereifte Lösung dar, mit der Nutzer ihr Alter nachweisen könnten, ohne Ausweisdokumente an Dritte weiterzugeben. Die wiederholten Hacks trüben dieses Bild erheblich. Datenschutz-Aktivisten haben bereits strukturelle Bedenken geäußert, wie gut Datenschutzbehauptungen bei Altersverifikation einer Überprüfung standhalten. Wie aus der Analyse eines EDRi-Beraters hervorgeht, warum die Datenschutzversprechen der Altersverifikation nicht aufgehen, war die Kluft zwischen dem, was diese Systeme versprechen, und dem, was sie tatsächlich garantieren können, schon lange vor diesem jüngsten Hack ein wiederkehrendes Thema.

Diese Skepsis hat sich in politisches Handeln übersetzt. EU-Bürger haben, unterstützt von der Piratenpartei, eine formelle Initiative vorangetrieben, um Datenschutz bei der Altersverifikation rechtlich bindend zu machen statt bloß erstrebenswert – ein Schritt, über den im Bericht über den Vorstoß von EU-Bürgern, Datenschutz bei Altersverifikation verbindlich zu machen, berichtet wurde. Die Existenz dieser Kampagne unterstreicht einen einfachen Punkt: Derzeit sind die Datenschutzgarantien dieser App politische Zusagen, keine durchsetzbaren technischen Tatsachen, und drei separate Hacks innerhalb weniger Monate machen diesen Unterschied schwer zu ignorieren.

Was das für Sie bedeutet

Wenn Sie EU-Bürger sind und die Altersverifikations-App installiert haben oder dies erwägen, bedeutet dies nicht, dass Ihre Daten mit Sicherheit offengelegt wurden. Es bedeutet jedoch, dass die Sicherheitszusicherungen der App externen Tests nicht durchgängig standgehalten haben, und das sollten Sie berücksichtigen, wenn Sie entscheiden, wie stark Sie sich derzeit darauf verlassen.

Praktisch heißt das: Gehen Sie vorsichtig damit um, welche persönlichen Daten Sie mit der App verknüpfen, die über das absolut Notwendige hinausgehen, halten Sie die App und Ihre Gerätesoftware auf dem neuesten Stand und achten Sie auf offizielle EU-Mitteilungen zu Patches oder Fehlerbehebungen im Zusammenhang mit den jeweils offengelegten Schwachstellen. Es bedeutet auch, den Vorstoß für verbindliche, durchsetzbare Datenschutzregeln zu unterstützen, anstatt sich auf freiwillige Selbstverpflichtungen zu verlassen, denn dieser Druck ist oft das, was aus einem vielversprechenden Entwurf eine wirklich vertrauenswürdige Anwendung macht.

Die übergeordnete Lektion reicht über diese eine App hinaus. Während immer mehr Regierungen mit verpflichtender Alters- und Identitätsverifikation experimentieren, wird die Erfahrung der EU zu einer nützlichen Fallstudie darüber, was schiefgehen kann, wenn die Geschwindigkeit der Markteinführung die Sicherheitstests überholt.

Umsetzbare Erkenntnisse:

  • Beschränken Sie die persönlichen Daten, die Sie mit einer Altersverifikations-App verknüpfen, auf das gesetzlich erforderliche Minimum.
  • Achten Sie auf offizielle Patch-Ankündigungen und aktualisieren Sie die App umgehend, wenn Fehlerbehebungen veröffentlicht werden.
  • Folgen Sie unabhängiger Sicherheitsforschung, statt sich ausschließlich auf offizielle Behauptungen der „technischen Einsatzbereitschaft“ zu verlassen.
  • Unterstützen Sie Forderungen nach rechtlich bindenden Datenschutzbestimmungen für Altersverifikationssysteme, nicht nur nach freiwilligen Versprechen.
  • Behandeln Sie jede App, die mit Identitäts- oder Altersdaten umgeht, mit derselben Vorsicht wie Finanz- oder Gesundheits-Apps.