Peinliches Datenschutzrisiko:
EU-App zur Altersprüfung schon geknackt

Teuer, fehlerhaft und schnell geknackt: Die geplante App der EU zur Altersprüfung erweist sich momentan als gigantisches Sicherheits­risiko. Durch simple Eingriffe in Konfigurationsdateien hebeln An­greifer den Datenschutz völlig mühelos aus.

EU-Altersprüfung in der Kritik

Die Europäische Kommission plant eine App zur Altersverifikation in sozialen Netzwerken. Kommissionspräsidentin Ursula von der Leyen stellte in Aussicht, dass die Anwendung in Kürze starten kann. Sie soll als digitales Ausweis­dokument dienen und auf dem Zero-Knowledge-Proof-Verfahren basieren. Plattformen erhalten dabei lediglich die Information, ob eine Alters­grenze erreicht ist, nicht aber die Identität der Nutzer.

Sicherheitsfachleute äußern jedoch erhebliche Zweifel. Sie kritisieren die Architektur der Open-Source-Anwendung und verweisen auf Sicherheitslücken.


Ein zentraler Punkt ist die lokale Speicherung sensibler Daten auf den Endgeräten. Ein übereilter Start könne das Vertrauen in künftige digitale Identitätsprojekte wie die EUDI-Brieftasche beschädigen.

Der IT-Sicherheitsberater Paul Moore zeigt in einem Beitrag bei X Cancel, dass sich das System schnell umgehen lässt. Bei der Einrichtung wird eine PIN vergeben. Diese wird zwar verschlüsselt gespeichert, ist jedoch nicht kryptografisch mit dem Datenspeicher für Identitätsinformationen verknüpft. Das gilt als erhebliches Datenschutzrisiko.

Durch das Entfernen bestimmter Werte in der Konfigurationsdatei kann die PIN nach einem Neustart neu gesetzt werden, während die verifizierten Ausweisdaten gültig bleiben. Weitere Schwachstellen betreffen die Ratenbegrenzung für PIN-Eingaben, die sich durch Zurücksetzen eines Zählers umgehen lässt. Auch die biometrische Authentifizierung kann durch Änderung eines einzelnen Wertes deaktiviert werden.

Nachbesserungen sind zwingend

Der offene Quellcode ermöglicht zwar eine schnelle Analyse durch unabhängige Experten. Die EU-Kommission verteidigt das rund vier Millionen Euro teure Projekt, das von Scytales und der Deutschen Telekom entwickelt wird. Identitätslösungen dieser Art erfordern komplexe kryptografische Verfahren, bei denen Fehler in der Umsetzung wiederholt zu Sicherheitsvorfällen geführt haben.

Nach Angaben der Kommission handelt es sich um eine noch nicht finale Version, die fortlaufend überarbeitet wird. Zero-Knowledge-Systeme gelten als besonders anspruchsvoll, da sie Rückschlüsse auf Originaldaten ausschließen sollen. Die nun bekannten Schwachstellen betreffen vor allem das Zusammenspiel von lokaler Speicherung und kryptografischer Prüfung. Kritiker bezweifeln zudem die Wirksamkeit technischer Alterskontrollen. Ländersperren lassen sich etwa über VPN umgehen.

Wie bewertet ihr die Pläne der EU für eine solche Altersprüfung? Teilt eure Meinung zu den Sicherheitsbedenken und dem generellen Ansatz gerne unten in den Kommentaren mit uns.


Siehe auch: