Unsichere Videoidentifizierung: Was Verbraucher jetzt wissen sollten

Computerexperten haben festgestellt: Dienste, bei denen die Identität mit der Handykamera geprüft wird, sind nicht sicher. Was bedeutet das für Verbraucher?

Die Idee bei Videoident ist simpel: Auch per Smartphone oder vom Computer aus sollen Menschen sich ausweisen können. Dazu halten sie ein amtliches Ausweisdokument vor die Endgerät-Kamera, kippen dieses etwas an, damit die Sicherheitsmerkmale sichtbar werden. Zudem müssen sich die Nutzer dabei vor der Kamera zeigen und bewegen. Auf der anderen Seite erfasst ein Mensch oder – bei manchen Anbietern – eine Erkennungssoftware die nötigen Angaben und gleicht diese mit jenen ab, die bereits eingereicht wurden.

Doch genau hierin liegt auch das Problem: Vor einer Kamera lassen sich mit gefälschten Ausweispapieren und etwas Videobearbeitung Sicherheitsmerkmale fälschen, die vom Anbieter geprüft werden können. Das hat der CCC nun eindrucksvoll bewiesen, nachdem es schon seit Jahren Kritik an der angeblichen Identifizierung per Video gegeben hatte. Selbst das Bundesamt für Sicherheit in der Informationstechnik hatte das Verfahren schon vor Jahren als heikel eingestuft. Doch zuletzt war es, auch durch die Corona-Pandemie, populär geworden.

Die Funktion wurde dabei vor allem in zwei Bereichen genutzt. Die eine ist die, die nun vorerst abgeschaltet wurde: Krankenkassen ließen bislang über Videoident einige Online-Dienstleistungen und Nutzungsmöglichkeiten freischalten.

Der zweite Bereich ist das Bankwesen: Hier wird Videoident vor allem für Kontoeröffnungen verwendet.

Öfter zur Post

Für die Bürger könnte das jetzt vorerst einen Komfortverlust bedeuten. Denn als Alternative zum Videoident-Verfahren stehen vor allem zwei Möglichkeiten zur Auswahl: Die eine ist das sogenannte Postident-Verfahren. Dabei prüft entweder der Briefträger zu Hause die Identität oder man geht mit seinem Ausweisdokument in eine Postfiliale und lässt von den Mitarbeitern dort bestätigen, dass es sich dabei tatsächlich um die eigene Person handelt.

Technisch etwas aufwändiger: Die zweite Möglichkeit ist die Nutzung der Zusatzfunktionen des elektronischen Personalausweises. Mit dem Personalausweis und einem Handy sowie der AusweisApp2 ist eine sichere Identifikation möglich. Allerdings unterstützt längst nicht jeder Anbieter diese Identifikationsmöglichkeit. Außerdem muss diese Funktion aktiviert sein und der Nutzer eine sechsstellige PIN dafür vergeben haben.

Da es bislang nicht viele Einsatzmöglichkeiten für den elektronischen Personalausweis gab, haben nur wenige Bürger diese Funktionen bislang genutzt. Die notwendige PIN kann, wer die Onlinefunktion grundsätzlich aktiviert hat, zurücksetzen lassen. Unter "pin-ruecksetzbrief-bestellen.de" kann man eine neue Sicherheitsnummer beantragen, muss allerdings den Brief dazu dann wieder per Postident empfangen, damit dieser nicht in falsche Hände gerät.

Wer nur die elektronische Patientenakte nutzen will, kann dafür oft auch eine Geschäftsstelle seiner Krankenversicherung aufsuchen und dort seine Identität bestätigen lassen. Hierfür ist ebenfalls ein Personalausweis oder ein ähnliches Dokument nötig.

Banken halten Videoident weiter für sicher

Anders als die Krankenkassen sagen die Banken derzeit, dass bei ihnen weiter Videoident möglich sein soll. Die zuständige Aufsichtsbehörde Bafin habe noch im Mai geprüft, ob Videoident sicher genug sei, sagt der Bankenverband. Dabei sei sie zu dem Schluss gekommen, dass Videoident und weitere Sicherungsmaßnahmen der Banken einen ausreichenden Sicherheitsstandard böten. So würden etwa neu eröffnete Konten sechs bis zwölf Monate lang geprüft.

Dass die Online-Bankenidentifizierung insgesamt sicherer ist, bezweifeln die Hacker vom CCC. Die Banken wollen nun ihre Sicherheitsmechanismen erneut prüfen. Auch die Bafin hat eine erneute Prüfung angekündigt: Man nehme die derzeitigen Vorwürfe "sehr ernst", so ein Sprecher auf Anfrage von t-online.de.