auch wenn ich euren Ansatz bzgl. der positiven „Errungenschaften“ der deutschen Digitalisierung durchaus begrüße, sollte auch hier die Kritik nicht zu kurz kommen. Deshalb hier einmal ein Blogbeitrag eines meiner Arbeitskollegen (IT-Security-Beratung) zur neuen i-KFZ-App. Es gibt unserer Meinung durchaus noch Potenzial, gerade was Security angeht: Die neue i-Kfz-App für den digitalen Fahrzeugschein - cirosec
Tldr. Fälschungssicherheit nicht gut gelöst, keine public-key-krypto, unnötige Auth obwohl es bereits eine bestehende Ausweisapp gibt.
Das wiederum empfand ich als Nutzer als sinnvoll. Warum soll ich immer über die Ausweis-App gehen? Das heißt, ich muss noch mehr Apps installieren und gerade auf dem Telefon ist das Wechseln von Apps in einer Transaktion eher nervig. Sinnvoller ist es, wenn man am Rechner arbeitet und dann etwas auf dem zweiten Gerät (Telefon) freigibt.
Bei meiner Bank-App ist das so. Da muss ich eine Transaktion am Telefon in derselben App an anderer Stelle verifizieren. Das ist gefühlt wenig sinnvoll und extrem unhandlich.
Ich denke an der Stelle ist das tldr. eine Verkürzung die ein bisschen die eigentliche Kritik undurchsichtig macht. Ich kopiere dir mal den passenden Teil aus dem Blog, dann wird es klarer worauf wir hinaus wollen:
„Statt der Authentifizierung über die Ausweis-App fordert die i-Kfz-App – ähnlich wie die POSTIDENT-App – den Benutzer direkt zur Eingabe der eID-PIN auf, anstatt an die Ausweis-App zu übergeben. Den Bürgern wird hier antrainiert, dass man diese PIN in beliebigen Apps eingeben darf. Das Phishing wird hierdurch deutlich erleichtert, da die Bürger keine Möglichkeit haben festzustellen, ob die Anfrage legitim ist. Auch der Hinweis, auf welche Daten der eID die App zugreifen wird, ist völlig hinfällig, denn mit der PIN hat die App ohnehin vollen Zugriff.“
Finde ich jedoch wenig schlüssig. Hier überwiegt dann doch der Komfort der abstrakten Gefahr: „Das Bürgern antrainiert, dass man diese PIN in beliebigen Apps eingeben darf.”
Vor Jahren gab es die Kritik der Kage, dass die Ausweis-Funktion nirgends eingebaut ist. Hier erfolgt es nun. Finde ich soweit OK.
Ich bin Security-Experte, ich sehe das nicht als „Abstrakte Gefahr“ und ich sehe auch nicht, wieso das ein komfort-downgrade sein soll. Wenn die App ordnungsgemäß weiterleitet und dich nach Auth zurück bringt ist es für den Nutzer kein zusätzlicher Aufwand. Außerdem ist diese Auth auch nur beim erstmaligen Ablegen des Dokuments nötig.
Als ich die Lage hörte, dachte ich “Ulf und Philip sind genauso alte Knacker, wie ich”, denn anscheinend bekommen sie, genau wie ich, die seit 20 Jahren veraltete Bezeichnung “Fahrzeugschein” nicht aus ihrem Sprachgebrauch. Denn bereits 2005 (!) wurden die Begriffe “Fahrzeugschein” und “Fahrzeugbrief” durch “Zulassung Teil I” bzw. “Teil II” ersetzt. Umso überraschter war ich, dass auch in der i-kfz App tatsächlich wieder vom Fahrzeugschein gesprochen wird und der lediglich (sinnvollerweise) in der Lage übernommen wurde. Gen-X und älter versteht das auch sofort. Aber für Menschen unter 30 dürfte das verwirrend sein. Gibt es eine Erklärung für diesen Begriffs-Kuddelmuddel?