»Schon in naher Zukunft wird es Missbrauch von RFID geben«

Herr Stijn Bijnens, Radio Frequency Identification – RFID – ist ja hauptsächlich für den Einsatz in der Logistik bestimmt, etwa wenn es darum geht, Warenplatten zu etikettieren und ihren Verlauf im Lager zu verfolgen und zu dokumentieren. Inwiefern kann RFID überhaupt für den Einsatz etwa bei Ausweisen interessant sein?
Beim E-Pass werden die persönlichen Angaben – etwa Name, Adresse Staatsangehörigkeit und Geburtsdatum – auf dem Chip gespeichert. Die Daten können nicht verändert werden, da sie durch eine digitale Signatur geschützt werden, erzeugt von der Regierungsbehörde, welche die Ausweise ausstellt. Die Daten lassen sich jedoch leicht auslesen und damit auf einem anderen Chip speichern. Dieses Verfahren wurde auf der Black Hat-Sicherheitstechnik-Konferenz im August dieses Jahres vorgeführt.

Wie funktioniert RFID beim Einsatz auf Ausweisen, Pässen, oder Gesundheitskarten genau?
RFID verwendet Hochfrequenzsignale – Radio Frequency – um die auf dem Chip befindlichen Daten zu übertragen. Der Chip ist in das Papier des Ausweises integriert und die Daten können mit einem RFID-Empfänger ausgelesen werden. Anders als bei Chipkarten ist dazu kein physischer Kontakt mit einem Kartenleser erforderlich.

Wurde der Einsatz von RFID auf Ausweisen in Deutschland wirklich ernsthaft diskutiert? Soweit ich weiß, war ­etwa bei der Gesundheitskarte in Deutsch­land nie von RFID, sondern immer von digitalen Zertifikaten die Rede.
Tatsächlich wird bei den meisten Projekten RFID nicht als Lösung in Betracht gezogen, und die Behörden entscheiden sich für die PKI-basierten Chipkarten, da diese nicht kopiert werden können. RFID hat den Vorteil, dass es die billigere Lösung ist. Außerdem ermöglicht die berührungslose Technologie eine schnellere Verarbeitung. Eine berührungslose Lösung weckt jedoch Sicherheitsbedenken, da jeder – zumindest jeder, der das Funksignal empfangen kann – die Daten lesen kann. Bei einer PKI-Chipkarte muss der Besitzer seine Karte explizit in das Lesegerät stecken, und niemand sonst kann die Daten lesen.

Falls RFID über den bisherigen Einsatzzweck hinaus verwendet werden sollte: Worin besteht das Sicherheitsproblem?
Das eigentliche Risiko besteht darin, dass jemand die Daten kopieren und sich einen neuen Chip herstellen kann. Daher kann jeder, der den physischen Ausweis kopieren kann, auch den Chip kopieren. Mit anderen Worten: Der zusätzliche Chip macht es nicht schwieriger, die Ausweise zu kopieren und trägt nicht zu einer höheren Sicherheit bei.

Distanziert sich Cybertrust generell von RFID?
Nein, RFID ist eine großartige Technologie für die Indentifizierung und Verfolgung von Waren in großen Stückzahlen und mit geringen Kosten, wenn der Sicherheitsaspekt nicht vorrangig ist.

Ist RFID für Cybertrust eher ein – technisches – Sicherheitsproblem oder ein Problem aus Datenschutzsicht?
RFID ist keine Sicherheitslösung, sondern eine Lösung zum Nachverfolgen von Objekten. RFID ist nicht das Problem, sondern das Problem ist die Anwendung von RFID in Lösungen, für die RFID nicht ausgelegt ist.

Gibt es Beispiele für Sicherheitsprobleme, Fälle aus der bisherigen Praxis?
Wir kennen keine Fälle von tatsächlichem Missbrauch in der Praxis. Jedoch hat die Ausgabe der RFID-Ausweise gerade erst begonnen. Wir gehen davon aus, dass es in naher Zukunft Missbrauch geben wird.

Was müsste sich ändern, sollte RFID breiteren Einsatz finden?
RFID wird in hohem Maße für die Anwendungen eingesetzt werden, für die es entwickelt wurde. Wir erwarten, dass die Regierungen, die RFID für elektronische Ausweise eingeführt haben, später zur PKI-Technologie wechseln werden.

Welche Rolle spielt die Politik, wenn es um den Einsatz von Sicherheitsverfahren, etwa auf Ausweisen oder Gesundheitskarten geht?
Die Politik muss den Kompromiss zwischen geringerer Sicherheit zu geringeren Kosten oder höherer Sicherheit zu höheren Kosten vorgeben. Es um das Risikomanagement. Wenn man eine niedrigere Sicherheitsstufe akzeptiert, muss man die höheren Risiken in Kauf nehmen.

Sieht Cybertrust in Zukunft eine Zunahme von Sicherheitsproblemen bei RFID? Oder werden die Probleme bald gelöst sein?
Es werden mehr Probleme auftreten, einfach weil die Technologie häufiger eingesetzt wird. Zu einem gewissen Zeitpunkt wird das Risiko etwa durch betrügerische Handlungen kostspieliger sein als eine bessere Sicherheitslösung. An diesem Punkt werden die Menschen die Technologie wechseln.

Welche Alternativen sieht Cybertrust zu RFID?
Wir sind fest davon überzeugt, dass PKI die Schlüsseltechnologie der Zukunft für die persönliche Identifikation ist.