In Br\u00fcssel steht die Reform der eIDAS-Verordnung kurz vor der Abstimmung durch das EU-Parlament. Im Kern geht es dabei um digitale Identit\u00e4ten und ein technisches System, mit dem sich B\u00fcrger in Europa digital ausweisen k\u00f6nnen. Ganz nebenbei haben es auch Abs\u00e4tze in die Reform geschafft, die tief in die Sicherheit von Internetbrowsern eingreifen, schlimmstenfalls staatliche \u00dcberwachung erm\u00f6glichen und die Handschrift von wenigen kommerziellen Anbietern tragen. Das zeigen Recherchen des Computermagazins c’t.<\/b><\/p>\n
Wer Computer, Software und das Internet nutzt, muss st\u00e4ndig anderen vertrauen. Den Herstellern von Hardware, den Herstellern des Betriebssystems und von Software wie dem Internetbrowser. Schlie\u00dflich k\u00f6nnten all diese Hintert\u00fcren eingebaut haben, um ihre Nutzer zu \u00fcberwachen. Im Internet kommt eine weitere Ebene des Vertrauens hinzu:\u00a0Sobald man eine Internetseite \u00f6ffnet, sendet der Server des Anbieters ein digitales Zertifikat, mit dem er sich ausweist.\u00a0<\/b>Der Browser kann das pr\u00fcfen und sicherstellen, dass niemand die\u00a0Verbindung abh\u00f6rt\u00a0<\/b>und niemand den\u00a0Verkehr manipuliert\u00a0<\/b>hat.<\/p>\n
Das ist keine hypothetische Gefahr, totalit\u00e4re Regimes und Geheimdienste weltweit haben gro\u00dfes Interesse, den Verkehr ihrer eigenen oder von ausl\u00e4ndischen B\u00fcrgern abzuh\u00f6ren.\u00a0Die Pr\u00fcfung des Zertifikats hat aber eine Grenze:<\/b>\u00a0Jedes Zertifikat, das ein Serverbetreiber hinterlegt, ist von einer\u00a0Zertifizierungsstelle<\/b>\u00a0signiert, deren Zertifikat wiederum von einer Zertifizierungsstelle signiert wurde. Die Kette endet bei einer Stammzertifizierungsstelle, der man schlicht vertrauen muss. Aktuell k\u00fcmmern sich die gro\u00dfen Browserhersteller wie Google, Mozilla, Microsoft und Apple gemeinsam darum, Standards aufzustellen, wie seri\u00f6se Zertifizierungsstellen ausgew\u00e4hlt werden. Dazu holen sie vor allem das\u00a0Wissen von Sicherheitsforschern<\/b>\u00a0weltweit ein und arbeiten m\u00f6glichst transparent.<\/p>\n
Dieses Verfahren wollen die Verhandler in Br\u00fcssel, die den\u00a0aktuellen Entwurf f\u00fcr die eIDAS-Verordnung<\/b>\u00a0erarbeitet haben, aufbrechen.\u00a0K\u00fcnftig sollen Browserhersteller in Europa per Gesetz verpflichtet werden, Stammzertifikaten von europ\u00e4ischen Zertifizierungsstellen zu vertrauen, die von staatlichen Stellen der Mitgliedsstaaten \u00fcberwacht werden.<\/b>\u00a0Die neuen EU-Zertifikate hei\u00dfen\u00a0QWACs<\/b>\u00a0und sollen optisch im Browser zus\u00e4tzlich hervorgehoben werden.\u00a0F\u00fcr die europ\u00e4ischen Zertifizierungsstellen steht dahinter ein neues Gesch\u00e4ftsmodel<\/b>l – denn Zertifizierungsstellen lassen sich das Pr\u00fcfen der Identit\u00e4t einer Person oder eines Unternehmens bezahlen – ein QWAC k\u00f6nnte mehrere Hundert Euro im Jahr kosten.\u00a0Aktuell nutzen sehr viele Serverbetreiber eine kostenlose Zertifizierungsstelle, die von einer Nichtregierungsorganisation betrieben wird.<\/b><\/p>\n
Verhandelt wurde diese\u00a0Gesetzes\u00e4nderung<\/b>\u00a0hinter verschlossenen T\u00fcren im sogenannten Trilogverfahren. Nachdem die Einigung im November durchgesickert war, regte sich heftiger Widerstand. Die Redaktion der c’t hat diese Entwicklungen intensiv verfolgt und die Interessenlinien nachvollzogen. „Aktuell gibt es in Br\u00fcssel einen Kampf um die Deutungshoheit zwischen Nichtregierungsorganisationen und Sicherheitsforschern auf der einen und den kommerziellen Zertifizierungsstellen auf der anderen Seite“, fasst Jan Mahn vom Computermagazin c’t die Lage zusammen.<\/b><\/p>\n
Kern der Kritik aus Reihen der Sicherheitsforscher:\u00a0<\/b>Die Politiker beleben mit den QWACs Sicherheitskonzepte wieder, die sich in zahlreichen Studien und den Lehren aus den vergangenen Jahrzehnten als nicht wirksam erwiesen h\u00e4tten. Vor einigen Jahren gab es bereits spezielle Zertifikate, die im Browser mit einem gr\u00fcnen Schloss dargestellt wurden und nicht mehr Sicherheit schafften.\u00a0Ganz nebenbei, so die Kritik, schaffe man eine Gelegenheit f\u00fcr staatliche Hintert\u00fcren, weil die Pflicht-Zertifizierungsstellen nur von ihrem jeweiligen Staat zur Rechenschaft gezogen werden k\u00f6nnen<\/b>. Das Schreckensszenario, das technisch nicht ausgeschlossen w\u00e4re:\u00a0Die staatliche Zertifizierungsstelle von L\u00e4ndern wie Ungarn k\u00f6nnte falsche Zertifikate f\u00fcr alle Websites ausstellen und der Geheimdienst des Landes k\u00f6nnte den Verkehr mitlesen.<\/b>\u00a0Technisch gibt es keinen Mechanismus, dass ungarische Zertifikate nur dort gelten – das Szenario tr\u00e4fe damit alle Europ\u00e4er.<\/p>\n
In Br\u00fcssel stehen aktuell die\u00a0Europawahlen 2024<\/b>\u00a0vor der T\u00fcr, daher sollen gerade neben eIDAS unter Zeitdruck auch viele weitere Gesetzgebungsverfahren zu Digitalthemen abgeschlossen werden.<\/p>\n","protected":false},"excerpt":{"rendered":"
In Br\u00fcssel steht die Reform der eIDAS-Verordnung kurz vor der Abstimmung durch das EU-Parlament. Im Kern geht es dabei um digitale Identit\u00e4ten und ein technisches System, mit dem sich B\u00fcrger in Europa digital ausweisen k\u00f6nnen. Ganz nebenbei haben es auch…<\/p>\n","protected":false},"author":1095,"featured_media":1789964,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[9168,9145,9169],"tags":[65906,118889,12030,118890],"class_list":["post-1789962","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-politik","category-pressemitteilungen","category-wissenschaft-und-technologie","tag-digitalisierung","tag-eldas","tag-uberwachung","tag-zertifikat"],"yoast_head":"\n