Thread by @HonkHase

S0ifz 🙄

#IDwallet: Sind ja nur die Ausweisdaten

"Der digitale Führerschein und das System dahinter entpuppten sich als Reinfall. Ausgerechnet beim sensiblen Thema Onlineidentität droht das nächste Digitalfiasko." /1
zeit.de/digital/2021-1…

"Bei vielen Nutzerinnen streikte die App. Hinzu kam massive Kritik von IT-Sicherheitsforscherinnen an der Infrastruktur dahinter." /2

"Die App und das Ökosystem dahinter hatte Sicherheitsexperten zufolge konzeptionelle Probleme, von denen die zuständigen Ministerien schon seit Monaten wussten. Und trotz derer sie die App trotzdem veröffentlichten." /3

"Man könnte auch sagen: Viel unsouveräner kann eine App kaum starten. Noch dazu eine, die digitale Identitäten, genauer gesagt: #Ausweisdaten, verwaltet – also einen Bereich, bei dem man nicht lange begründen muss, warum er besonders schützenswert ist." /4

"Wie die App und das Ökosystem dahinter überhaupt noch gerettet werden können und sollen, darüber rätseln erste Medien bereits. Wie es aussieht, kündigt sich da gerade das nächste deutsche Digitalfiasko an..." /5

"Um die Verwirrung allerdings komplett zu machen, arbeitet Deutschland derzeit nicht an einem, sondern an drei unterschiedlichen Wegen, um digitale Ausweisvarianten aufs Smartphone zu bringen." /6

"Das Konzept dahinter heißt Self-Sovereign-Identity-Technologie, kurz SSI. Diese allerdings bezeichnete gegenüber dem Tagesspiegelselbst ein Fachmann aus einem beteiligten Ministerium als "noch nicht hinreichend ausgereift, um vertrauenswürdig zu sein"." /7

"Die gesamte #IDwallet und das Ökosystem dahinter stecken aber noch in einer Art Experimentierstadium..." /8

"Schon vor dem Flop...Abgesichert durch die Blockchain."

Brrrrrhhh /9

"Gerade dieses Pilotprojekt offenbart nun jedoch, wie lange die Probleme des Ökosystems hinter der #IDwallet bereits bekannt sind." /10

"...hat das @BSI_Bund das gesamte Check-in-Pilotprojekt glatt durchfallen lassen: Es erfülle EU-Vorgaben für das Sicherheitsniveau derartiger Verfahren nicht. Auch "wenig versierten Angreifern" sei das Kopieren und Nutzen von Daten möglich."

#IDwallet in a Nutshell... /11

"Das Amt bemängelte außerdem, dass bei einem solchen Vorhaben überhaupt #Blockchain-Technologie eingesetzt wird: Das erhöhe die Komplexität und berge damit eine "grundsätzliche Anfälligkeit für #Sicherheitslücken des gesamten Systems bei unklarem Nutzen"..." /12

"Und riet von einer Verwendung des vorgelegten Piloten in seinem damaligen Zustand über eine Testphase hinaus ab." /13

"Ein weiterer heikler Punkt: Das @BSI_Bund warnte schon zu diesem Zeitpunkt, dass für Nutzerinnen der App gar nicht ersichtlich sei, wem gegenüber sie sich überhaupt identifizieren." /14

"Das ist bemerkenswert, denn genau dieses Problem fanden die IT-Fachleute @LilithWittmann und @fluepke nach der Präsentation des digitalen Führerscheins und der App #IDwallet im September immer noch im System..." /15

"Zwar werden die Angaben der Nutzerin, die sich über die App ausweisen möchte, verifiziert – anders herum aber fehle ein Mechanismus, der überprüft, ob es sich bei der abfragenden Stelle tatsächlich um die Institution handelt, der gegenüber sich die Nutzerin ausweisen möchte" /16

"Vereinfacht gesagt: Gelingt es Angreifern, die Nutzerin zum Scannen eines eingeschleusten QR-Codes zu bewegen, könnte es zum #Identitätsdiebstahl kommen." /17

"Ein Problem unter mehreren, die die Sicherheitsforscher aufzählten: @LilithWittmann und ihre Mitstreiter bemängelten...auch, dass Angreifer Subdomains der #IDwallet-Betreiberfirma hätten übernehmen können – ein Hinweis auf nicht besonders sorgfältige Systemadministration" /18

"Digitalstaatsministerin @DoroBaer, die die Initiative im Kanzleramt verantwortet...Sie bezeichnet das vom @BSI_Bund beschriebene Angriffsszenario auch als "nicht einschlägig"."

Digitale Arroganz und Überheblichkeit 🤦‍♀️ /19

"@LilithWittmann weist..darauf hin, dass das Problem eines Identitätsdiebstahl..besonders gravierend sein könnte, weil die persönlichen Daten signiert in einer #Blockchain abgelegt seien..dass sie als echt angesehen werden und sich nachträglich nicht herauslöschen lassen." /20

"Sie sagte weiter, sie sehe keine sinnvolle Begründung, ein solches Projekt mit Blockchain-Technologie umzusetzen. Kritik an deren Einsatz hatten auch andere Sicherheitsexperten geäußert, darunter der IT-Sicherheitsexperte @HonkHase..." /21
sueddeutsche.de/wirtschaft/fue…

"und Linus Neumann, Sprecher des Chaos Computer Clubs." /22
logbuch-netzpolitik.de/lnp411-anfaell…

"Eher trotzig hatte Tobias Platte, Leiter des Referats Digitaler Staat im Kanzleramt, noch im September per Tweet auf Kritik reagiert: Man setze halt auf agile Softwareentwicklung und das Prinzip #FailFastFailOften." /23

"Auch Nochdigitalstaatsministerin @DoroBaer zeigt sich allgemein wenig nachdenklich, wenn es um Kritik an dem gesamten #IDwallet-Konzept mit der neuen #SSI-Technologie geht. "Zweifel am Reifegrad der Technik teile ich nicht", sagte die @CSU-Politikerin..." /24

"...unter Berufung auf Unternehmerkreise, dass die Arbeiten an einer #IDWallet für das Ökosystem digitale Identitäten weiterlaufen, aber auch, dass "Technologie und Dienstleister nicht tragbar" seien." /25

"Ob das bedeutet, dass man ohne Beteiligung der bisher in die Entwicklung involvierten Firmen Esatus, Mutterunternehmen der Digital Enabling GmbH, und #IBM neu ansetzen möchte und ob auch weiterhin #Blockchain-Infrastruktur verwendet werden soll, ist bislang nicht bekannt." /26

"Dass die Digitalpolitikerinnen der Union ausgerechnet bei der Entwicklung eines hochsensiblen Produkts wie der digitalen Identität und bei der Absicherung von personenbezogenen Ausweisdaten nicht auf die hauseigenen Experten hören..." /27

"sondern Buzzwords wie #Blockchain hinterherlaufen und Konzepte verwenden, deren Ausgereiftheit von Experten infrage gestellt wird, gilt unter Beobachterinnen zwar nur als Bestätigung eines lang gehegten Vorurteils." /28

Lest den ganzen Artikel von @mlaaff via @zeitonline, sehr gut zusammengefasst. 👌 /29
zeit.de/digital/2021-1…