Wer ein Bankkonto eröffnen, bestimmte Verträge abschließen oder ausgewählte Bestellungen tätigen möchte, muss nicht notwendigerweise persönlich bei einem Unternehmen auftauchen: Dank des Videoident-Verfahrens reicht eine stabile Internetverbindung sowie ein Endgerät, das mit einer Kamera ausgestattet ist – und natürlich ein Personalausweis oder Reisepass. In der Regel werden Nutzer durch den Prozess geleitet und mehrfach ihren Ausweis zeigen. Auf diese Weise gilt die Identität des Kunden als bestätigt. Allerdings weist das Verfahren einige Schwachstellen auf, wie der Chaos Computer Club (CCC) zeigt.


Zugriff auf sensible medizinische Daten
Experten des CCC und der Sicherheitsforscher Martin Tschirsch gelang es, die Echtheitsprüfung physischer Ausweisdokumente im Rahmen des Videoident-Verfahrens zu überlisten. Die Vorgangsweise legt der CCC in einem umfassenden Bericht dar: Tschirsch verschaffte sich Zugriff auf die elektronische Patientenakte einer eingeweihten Testperson. Dabei handelt es sich um äußerst sensible Daten wie medizinische Diagnosen, Arbeitsunfähigkeitsbescheinigungen, eingelöste Rezepte sowie Behandlungsunterlagen. Laut CCC sei der Angriff „von einem interessierten Hobbyisten und erst recht von motivierten Kriminellen in kurzer Zeit und mit geringem Aufwand ausführbar“. Allzu einfach geht der Schwindel jedoch nicht vonstatten: Tschirsch musste den Ausweis aus mehreren Blickwinkeln fotografieren um ein gefälschtes Dokument zu erstellen. Während des Videoanrufs blendete der CCC das zuvor manipulierte Material ein.

Krankenkassen beenden Einsatz von Videoident
Der Coup hat Folgen: Die zuständige Gematik GmbH reagierte auf die Erkenntnisse des CCC und untersagt nun den Krankenkassen den Einsatz von Videoident. Laut Tschirsch konnten sechs nationale wie internationale Anbieter überlistet werden. Er fordert weitere Konsequenzen: Es sei fahrlässig, das Verfahren in solchen Bereichen einzusetzen, in denen Missbrauch mit einem hohen Schaden für die Betroffenen einhergeht.