[Metalab] e-Bürgerkarte - Überlegungen

[Wolfgang Trexler]

Am 2013-11-28 09:12, schrieb red667:
> Hi,
>
> ich wuerd mal vorschlagen, dass du dir dein mobiltelefon freischlaten
> laesst. dann hast du tel nr + passwort und sms code als 2-faktor auth
> statt der buergerkare und kannst dir die schwindelige java-software und
> den kartenleser sparen.
>
> freischalten koennen das z.b. die diversen it-abteilungen der
> bundeslaender. oder wenn du schon ne buergerkarte hast kannst du das
> selber machen.

Hi,

auf den ersten Blick klingt die "Handy-Signatur" verlockend, ich w�rde 
die aber, aus folgenden Gr�nden, niemals nehmen:

.) Du legst Deine Unterschrift die der "Eigenh�ndigen" gesetzlich gleich 
gestellt ist (mit Ausnahme Erbschaft & Grundst�ckskauf) in die H�nde 
eines "Dritten"!
.) Du �bergibst die Kontrolle �ber Sicherheitsma�nahmen, etc. an diesen 
"Dritten". Auch wenn die dort in einem HSM liegt und Du dem Betreiber zu 
100% vertraust, gibt es gewisse Risken wie ein kompromittiertes Handy.
.) Deine Unterschrift ist _nur_ �ber ein SMS abgesichert, mit allen 
Angriffsm�glichkeit gegen SMS/Mobiltelefon.
.) die Haftung ist im Signaturgesetz geregelt und recht strikt, viel 
Spa� beim Beweis, dass Dein Handy gehakt wurde, etc.
.) die Signatur steht 24x7 "in der Cloud", Du hast keine einfache 
M�glichkeit das Ding vor�bergehend au�er Betrieb zu nehmen um z.B. das 
Risiko zu minimieren.
.) MTM Attacken sind auf einem kompromittieren PC gegen die Digitale 
Signatur m�glich, speziell wenn "nur" ein Web-Viewer zum Einsatz kommt, 
da es kein unabh�ngiges Leseger�t gibt auf dem Du pr�fen kannst was Du 
eigentlich tats�chlich unterschreibst. Das ist ein generelles Problem 
und tritt auch mit Karte/Leseger�t auf, der (angeblich) "sichere 
Viewer", macht es aber zumindest ein kleinwenig schwieriger.

Mein Konklusio: Die Signatur auf der Karte mit Kartenleser ist super 
m�hsam, aber man beh�lt wenigstens die Kontrolle dar�ber wann/wo die 
Karte zum Einsatz kommt. Und wenn man die Karte aus dem Leser zieht ist 
wenigstens sicher, dass sie nicht zum Einsatz kommen kann.

Ich hatte eine Zeitlang eine Signaturkarte mit Leser (beruflich 
begr�ndet), f�r mich hat sich aber Aufwand/Nutzen/Risiko nicht gerechnet 
und ich habe es daher ganz bleiben lassen. Wenn Du mehrere/viele 
Beh�rdenwege hast die Dig.sig. unterst�tzen mag es aber den Aufwand wert 
sein. Ich empfehle Dir Dich zu erkundigen ob die Services die Du im Auge 
hast auch tats�chlich mit Dig.Sig. funktionieren, zumindest bis vor ein 
paar Jahren gab es au�er Finanz-Online nicht viel.

LG
Wolfgang