BSI veröffentlicht überarbeitete Version der AusweisApp

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat heute eine überarbeitete Version der AusweisApp zum Download freigegeben. Kurz nach Vorstellung der Software im November 2010 musste sie wegen gravierender Sicherheitsmängel vom Markt genommen werden.

Jan Schejbal, Mitglied der Piratenpartei Deutschland, hatte damals zwei Sicherheitslücken in der Update-Funktion entdeckt, mit der ein Angreifer ein beliebiges Zertifikat von einer beliebigen URL der AusweisApp unterschieben konnte. Die nun vorgestellte Version 1.02 soll diese Lücken nicht mehr aufweisen.

Ungewöhnlich ist allerdings, dass das Zertifikat für die Software (ausgestellt von Verisign und gültig bis zum 27.5.2012), welches die Echtheit der Software garantieren soll, auf die schweizer Firma OpenLimit SignCubes, die die App zusammen Siemens IT Solutions and Services entwickelt hat, ausgestellt ist. Viele Bundesbürger dürften die AusweisApp eher dem BSI zuordnen als einer Schweizer Firma.

Wenig vertrauenserweckend ist auch die Angabe zur Downloadgröße der Software. Am frühen Nachmittag wurde sie mit 69 MByte angegeben, tatsächlich sind es aber nur 49 MByte. Diesen Fehler hat das BSI inzwischen korrigiert. Während des Betriebs der AusweisApp treten weitere Ungereimtheiten auf. Nach der Installation kommt es bei zwei Rechnern zu einer Fehlermeldung, dass das Programm nicht gestartet werden könne. Tatsächlich ist der Programmstart allerdings erfolgreich und die AusweisApp arbeitet problemlos. Bei einem dritten PC führt die Update-Funktion zu einer Fehlermeldung. Lediglich auf zwei Test-PCs verlaufen Installation und Betrieb der Software problemlos.

Problematisch ist auch die Arbeitsgeschwindigkeit der App: Nach dem Doppelklick auf das Programm-Icon vergeht soviel Zeit, dass der Anwender glaubt, er habe die Anwendung noch gar nicht gestartet. Zudem belegt die AusweisApp über 130 MByte Arbeitsspeicher und belastet die CPU auch im Leerlaufbetrieb.