Warum es nur beim Notar sicher ist: Chaos Computer Club hackt Video-Ident-Verfahren

Als Anfang August 2022 die Online-Beurkundung bei deutschen Notaren und Notarinnen eingeführt wurde, gab es aus der sehr technikaffinen Community manchen Spot: Zu spät, zu umständlich und ohnehin überflüssig - denn es gebe ja längst etablierte Verfahren zur Online-Identifikation. Das Video-Ident-Verfahren zum Beispiel, welches von Banken genutzt wird, von Mobilfunkanbietern oder im Bereich der digitalen Patientenakte. Einziges Problem: Es ist eben nicht sicher vor Missbrauch, wie der Chaos Computer Club jetzt festgestellt hat.

Sicherheit ist im Internet fast immer relativ. Und was gehackt werden kann, wird auch gehackt werden. Der CCC kommt zu folgendem Schluss:

Besonders bitter ist die jetzige Situation mit Blick auf die vergangenen Jahre: Zuerst wird der teure elektronische Personalausweis mit dem Versprechen eingeführt, einen besseren Schutz vor Identitätsdiebstahl im Internet zu schaffen. Das Projekt erwies sich als Rohrkrepierer. Kaum jemand nutzt auch nach zehn Jahren die sichere Online-Identifizierung, die der Personalausweis beinhaltet und die jeder einzelne Besitzer auch mit einem vervielfachten Preis bezahlt hat.

Stattdessen kam ein nun nachgewiesen unsicheres Video-Ident-Verfahren mit eklatanten Lücken zum Einsatz, gegen das auch grundsätzliche Bedenken bestehen: Im Rahmen der Identitätsüberprüfung fallen bei den Dienstleistern beispielsweise biometrische Informationen an. Ein selektives Offenbaren nur der für den Identifikationsvorgang notwendigen Informationen, welches im elektronischen Personalausweis von Anfang an eingebaut wurde, ist hier nicht einmal vorgesehen. Denn mit dem Personalausweis kam zwar auch eine zwangsweise Erfassung biometrischer Daten, zum Identitätsnachweis im Geschäftsverkehr werden sie aber gerade nicht transferiert.

Im notariellen Online-Verfahren wird genau aus diesen Gründen der Personalausweis für die Identifikation der Urkundsbeteiligten genutzt und tatsächlich muss das Foto durch gesonderte Freigabe für den Notar sichtbar gemacht werden. Da fast jedes moderne Smartphone den Ausweis auslesen kann und die Notar-App für die Verbindung zum Notar sorgt, ist ein Hacken hier nach aktuellem Stand der Technik ausgeschlossen.

Vorerst wird die Online-Beurkundung für die Gründung von GmbHs und UGs eingesetzt und für die Beglaubigung von Handels- und weiteren Registeranmeldungen. In einem Jahr folgt das Vereinsregister. Dann kann der Chaos Computer Club ja einmal ausprobieren, ob es klappt. Und ob das System gehackt werden kann.