AusweisApp

Die AusweisApp (bis Juli 2010 Bürgerclient) ist eine kostenlose Anwendungssoftware für den PC, um die elektronische Authentisierung über das Internet mithilfe des neuen deutschen Personalausweises und des elektronischen Aufenthaltstitels nutzen zu können. Die AusweisApp steht für die Betriebssysteme Microsoft Windows, Linux und Mac OS zur Verfügung. Entwickelt wurde die Software von der OpenLimit SignCubes AG im Auftrag der Siemens IT Solutions and Services GmbH und finanziert durch das Bundesministerium des Innern (BMI).

AusweisApp
Ein Datenfeld der AusweisApp
Basisdaten
Maintainer	BSI
Entwickler	OpenLimit SignCubes AG
Betriebssystem	Windows, Linux bis Version 1.13 (Debian, Ubuntu, openSUSE), Mac, Android, iOS
Programmiersprache	Java
Kategorie	eID-Client
Lizenz	Proprietär (Freeware)
deutschsprachig	ja
www.ausweisapp.bund.de

Bei der AusweisApp handelt es sich nicht um quelloffene Software, welche von unabhängigen Sicherheitsexperten überprüft werden könnte. Dies ist insbesondere vor dem Hintergrund von Sicherheitslücken oder der zunehmenden staatlichen Überwachung (zum Beispiel dem sogenannten „Bundestrojaner“) bedeutsam.

Am 1. November 2014 wurde die AusweisApp durch die AusweisApp2 abgelöst.

Einführung

Die Software stellt eine verschlüsselte Verbindung zwischen dem neuen Personalausweis oder dem elektronischen Aufenthaltstitel und dem eID-Server auf der Gegenseite her. Die AusweisApp dient dazu, das Verfahren der Zertifikats- und Authentizitätsprüfungen sicher vorzunehmen, dem Bürger eine Oberfläche zur Nutzung des neuen Personalausweises oder des elektronischen Aufenthaltstitels anzubieten. Mit Hilfe des Programmes, das sich Ausweisinhaber auf ihrem PC zuvor installieren müssen, können sich Bürger im Internet ausweisen und Dokumente elektronisch unterschreiben. Vor Einführung des neuen Personalausweises am 1. November 2010 prüften etwa 200 Unternehmen und Behörden die Software im Rahmen eines Anwendertests.

Das Programm wurde zunächst vom 8. bis 10. November 2010 vom Bundesamt für Sicherheit in der Informationstechnik (BSI) zum kostenlosen Herunterladen zur Verfügung gestellt, aber dann wegen zweier Sicherheitslücken zurückgezogen. Am 3. Januar 2011 stand eine neue, korrigierte Version des Programmes zur Verfügung.

Entwicklung

Das Bundesministerium des Innern beauftragte den Generalunternehmer Siemens IT Solutions and Services sowie die Bundesdruckerei und OpenLimit SignCubes AG Anfang November 2009, die Anwendersoftware für den neuen Personalausweis zu erstellen. Die drei Unternehmen hatten sich bei der Ausschreibung gegen ein Konsortium aus IBM und bremen online services durchgesetzt. Das Auftragsvolumen betrug rund vier Millionen Euro.

Zertifizierung

OpenLimit hat die AusweisApp zur Zertifizierung entsprechend den Common-Criteria-Richtlinien EAL4+ angemeldet. Außerdem wurde beim BSI die Bestätigung des Programmes nach dem Signaturgesetz beantragt. Laut heise online ist die Zertifizierung noch nicht abgeschlossen.

Umbenennung von Bürgerclient zu AusweisApp

Ursprünglich hieß die AusweisApp Bürgerclient. Der Name wurde im Juli 2010 aufgrund eines Vorschlages der Design-Spezialisten vom Hasso-Plattner-Institut in Potsdam zu AusweisApp geändert. Diese hatten den Begriff in einem vom BMI beauftragten Gutachten zur Akzeptanz und Nutzung des Ausweises benutzt. Laut BMI habe sich die Bezeichnung Bürgerclient als zu sperrig und schwer verständlich für die Bürger herausgestellt. So sei vielen die Bedeutung des Begriffes „Client“ nicht klar, und der Umlaut „ü“ in „Bürger“ erschwere die Verwendung in Internet-Domains. Zudem dürfte der vermeintlich männliche Begriff „Bürger“ nicht ohne die weibliche Form „Bürgerin“ verwendet werden.

Verfahren

In der technischen Definition ist die AusweisApp eine Middleware gemäß eCard API Framework TR-03112 des Bundesamtes für Sicherheit in der Informationstechnik (BSI), die die Kommunikation zu Kartenlesegerät, Chipkarte und der Serverkomponente eID-Server herstellt. Die Nutzer können sich somit zukünftig gegenüber Portalen und Plattformen, beim Online Banking und im elektronischen Handel ausweisen. Zuvor wird die „Echtheit“ des Internetanbieters ermittelt. Auf Antrag des Diensteanbieters erhält dieser nach Überprüfung seiner Identität ein Berechtigungszertifikat von einer staatlichen Stelle, dem Bundesverwaltungsamt. Meldet sich ein Bürger in einem Online-Portal an, wird ihm dieses Zertifikat automatisch übermittelt, bevor der Nutzer seine Daten freigibt. Das Berechtigungszertifikat ist also eine „Bescheinigung“ für den Ausweisinhaber. Sie bestätigt die Echtheit des Anbieters und soll vor ungewollten Manipulationen (z. B. Phishing) schützen. Die Gültigkeit des Zertifikats ist auf zwei Tage beschränkt. Diese kurze Gültigkeitsfrist soll vermeiden, dass Listen mit gesperrten Zertifikaten geführt oder Rückrufaktionen durchgeführt werden müssen.

Im nächsten Schritt beweist der Bürger seine Identität gegenüber dem Diensteanbieter. Die AusweisApp liest die Daten des Nutzers von dessen Ausweis über das Kartenlesegerät aus und sichert die Kommunikation zu einem eID-Server. Der eID-Server soll mit einer Public-Key-Infrastruktur sicherstellen, dass nur Befugte die Ausweisdaten lesen und Bürger den gewünschten Onlinedienst nutzen können. Nach dem Auslesen der Daten entscheidet der Bürger, ob er dem Online-Portal die für diesen Vorgang erforderlichen Daten übermittelt und welche optionalen Daten er zusätzlich versendet. Durch eine persönlich festgelegte (sechsstellige) PIN gibt er die Daten dem Online-Diensteanbieter frei. Die Echtheit der PIN wird dem Chip durch das Sicherheitsprotokoll Password Authenticated Connection Establishment (PACE) bestätigt. Die verschlüsselte Übertragung der ausgewählten Daten bildet den Abschluss des Anmeldeverfahrens.

Mit der AusweisApp ist es möglich, sich über Pseudonyme im Internet zu bewegen. Ist für einen bestimmten Internetdienst nur eine Altersverifikation notwendig (beispielsweise bei Onlinespielen oder Filmportalen), brauchen keine personenbezogenen Daten vom Nutzer freigegeben zu werden. Selbst das Alter wird nicht übermittelt, sondern lediglich die Information, ob der Ausweisinhaber über oder unter dem erforderten Mindestalter ist. Das Pseudonym generiert sich aus einer Zeichenfolge. Diese setzt sich aus der Kennung des Ausweises und einer Kennung zusammen, die der Online-Diensteanbieter liefert. Sie wird dem Diensteanbieter an Stelle des Namens übermittelt, insofern der reale Name keine Relevanz für die Funktionen, z. B. einer webbasierten Plattform, hat. Das Pseudonym garantiert dem Anbieter, dass sich dahinter ein realer Mensch verbirgt, da er seine Identität mit dem Ausweisantrag bereits hinterlegt hat. Es ist durch die Zeichenabfolge so aufgebaut, dass es mathematisch nicht möglich ist, auf die reale Person zurückzurechnen. Jedes Portal generiert automatisch ein neues Pseudonym für einen Nutzer. Die Zusammenführung von Nutzerprofilen mehrerer Websites (Tracking), beispielsweise zur Ermittlung des Kaufverhaltens des Nutzers, soll somit verhindert werden. Nach Aussagen der Befürworter der AusweisApp soll pseudonymisiertes Surfen mit Hilfe der AusweisApp und des neuen Personalausweises oder des elektronischen Aufenthaltstitels ein höheres Maß an Datenschutz bieten.

Mit der AusweisApp bzw. dem Bürgerclient sollen also die bisherigen Nutzungsarten des Personalausweises und des elektronischen Aufenthaltstitels über die des Sichtausweises hinaus hin zu einem umfassenden digitalen Identitätsmanagement im Internet erweitert werden.

Technische Rahmenbedingungen

Mit der am 13. Mai 2011 veröffentlichten Version 1.1 und der am 14. Juni 2011 veröffentlichten neuen Version 1.2 werden die Betriebssysteme Windows XP, Vista und Windows 7 unterstützt. Seit dem 16. Juni 2011 unterstützt die AusweisApp Linux für die Distributionen Debian und Ubuntu. Die Linux-Distribution openSUSE wird seit dem 16. August 2011 von der AusweisApp unterstützt. Mit der Version 1.4, die am 16. September 2011 veröffentlicht wurde, unterstützt die AusweisApp auch den elektronischen Aufenthaltstitel, der seit Anfang September 2011 ausgegeben wird. Ab der Version 1.10 wird auch Windows 8 unterstützt.

Am 27. Februar 2012 wurde die Version für Mac OS X 10.6 und 10.7 bereitgestellt. Die Unterstützung für 10.8 wurde ursprünglich zum Oktober 2012 angekündigt, später auf November verschoben und ist am 3. Dezember 2012 noch nicht verfügbar. Die AusweisApp unterstützt lediglich Firefox als Browser, nicht jedoch Safari.

Geeignete Internet-Browser zur Nutzung der Online-Ausweisfunktion sind unter Windows der Internet Explorer ab Version 6 (32-Bit), Mozilla Firefox Version 17 (seit Dezember 13 nicht mehr von Mozilla unterstützt) sowie der Iceweasel Browser ab Version 3 (unter Debian Linux). Das BSI weist in seiner FAQ darauf hin, dass derzeit nur die Version 24 des Mozilla Firefox unterstützt wird. Alternativ wird vom Bundesamt für Sicherheit in der Informationstechnik (BSI) für Unternehmen, Behörden, Universitäten sowie Anwender, die auf die rasche Einführung von Neuerungen verzichten können, die ESR-Version von Firefox zur sicheren Nutzung empfohlen. Diese soll auch langfristig von der AusweisApp unterstützt werden. Der Einsatz von Firefox in anderen Versionen wird vom BSI derzeit nicht thematisiert. Nach § 27 Absatz 3 Personalausweisgesetz (PAuswG) hat dies eigentlich zur Konsequenz, dass diese Versionen selbst wenn die AusweisApp funktionieren würde nicht genutzt werden dürften: „Der Personalausweisinhaber soll durch technische und organisatorische Maßnahmen gewährleisten, dass der elektronische Identitätsnachweis gemäß § 18 PAuswG nur in einer Umgebung eingesetzt wird, die nach dem jeweiligen Stand der Technik als sicher anzusehen ist. Dabei soll er insbesondere solche technischen Systeme und Bestandteile einsetzen, die vom Bundesamt für Sicherheit in der Informationstechnik als für diesen Einsatzzweck sicher bewertet werden.“ Eine Sicherheitsbewertung des BSI für Firefox ab Version 11 ist nicht veröffentlicht worden. Eine dauerhafte Nutzungsmöglichkeit des neuen Personalausweises ist derzeit mit aktuellen Firefox-Versionen nicht sichergestellt.

Eine Reihe von Kartenlesegeräten wurde auf ihre Funktionstüchtigkeit im Zusammenhang mit dem neuen Personalausweis und der AusweisApp getestet. Diese Liste der von der AusweisApp unterstützten Kartenlesegeräte ist auf dem offiziellen AusweisApp-Portal einsehbar.

Des Weiteren werden Bildschirmleseprogramme (Screenreader) wie JAWS und NVDA unterstützt, um mehr Barrierefreiheit zu erreichen.

Sicherheitslücken

Am 9. November 2010 stellte sich heraus, dass bei der Version 1.0.1 der AusweisApp aufgrund zweier Fehler in der Auto-Update-Funktion theoretisch durch einen Angreifer Schadsoftware auf den Computer des Nutzers geladen werden kann. Das Bundesamt für Sicherheit in der Informationstechnik kündigte daraufhin eine neue Version der AusweisApp an. Das Herunterladen wurde bis Anfang Januar 2011 deaktiviert, bis die neue Version des Programmes zur Verfügung stand. Am 18. Januar 2011 wurde bereits die Version 1.7 für Windows veröffentlicht.

Weblinks

• Offizielles AusweisApp-Portal – Herausgeber: Bundesamt für Sicherheit in der Informationstechnik
• Versionshistorie AusweisApp für Windows
• Versionshistorie AusweisApp für Debian Linux
• Artikel des BSI: „Der neue Personalausweis“
• Freie Alternative zur AusweisApp

Einzelnachweise

1. Artikel von OpenLimit – Neues Bürgerclient-Update an BMI übergeben
2. Detlef Borchers: AusweisApp für Linux ist da. heise.de, abgerufen am 20. Juni 2011. 
3. OpenLimit: AusweisApp. Abgerufen am 28. Februar 2012
4. OpenLimit: (Memento vom 13. November 2010 im Internet Archive)
5. AusweisApp-Portal: (Memento des Originals vom 18. Juli 2011 im Internet Archive)  Info: Der Archivlink wurde automatisch eingesetzt und noch nicht geprüft. Bitte prüfe Original- und Archivlink gemäß Anleitung und entferne dann diesen Hinweis.@1@2Vorlage:Webachiv/IABot/www.ausweisapp.bund.de – Stand: 18. August 2011
6. Sebastian Weßling et al.: Offline - BSI sperrt Download der Personalausweis-App. Spiegel Online, 10. November 2010. Abgerufen am 12. November 2010.
7. BSI: (Memento des Originals vom 4. März 2016 im Internet Archive)  Info: Der Archivlink wurde automatisch eingesetzt und noch nicht geprüft. Bitte prüfe Original- und Archivlink gemäß Anleitung und entferne dann diesen Hinweis.@1@2Vorlage:Webachiv/IABot/www.bsi.bund.de. Abgerufen am 3. Dezember 2010.
8. behoerden-spiegel.de: (Memento vom 2. Dezember 2010 im Internet Archive)
9. Elektronischer Personalausweis: Bürger-Client auf dem Weg zum Nutzer bei www.heise.de
10. Montega AG - Equity Research: Montega OpenLimit Studie, 23. April 2010 S. 11. (pdf). Abgerufen am 12. November 2010.
11. OpenLimit: Halbjahresbericht 2010 (PDF; 2,4 MB). Abgerufen am 12. November 2010.
12. Bundesamt für Sicherheit in der Informationstechnik: (Memento vom 29. Mai 2015 im Internet Archive)
13. Detlef Borchers: Elektronischer Personalausweis: Neue AusweisApp kommt in Kürze. In: heise online. 10. November 2010, abgerufen am 12. November 2010. 
14. heise security: AusweisApp zum neuen Personalausweis ausgeliefert. Abgerufen am 12. November 2010.
15. personalausweisportal.de, 18. Oktober 2010, archiviert vom Original am 25. Dezember 2015; abgerufen am 14. Juli 2021. 
16. Behörden Spiegel: (Memento vom 8. Oktober 2010 im Internet Archive)
17. (Nicht mehr online verfügbar.) Bundesamt für Sicherheit in der Informationstechnik, archiviert vom Original am 1. Mai 2015; abgerufen am 9. Januar 2010.  Info: Der Archivlink wurde automatisch eingesetzt und noch nicht geprüft. Bitte prüfe Original- und Archivlink gemäß Anleitung und entferne dann diesen Hinweis.@1@2Vorlage:Webachiv/IABot/www.bsi.bund.de 
18. Andreas Reisen: In: Innovative Verwaltung, 3/2009. S. 2, archiviert vom Original am 1. April 2010; abgerufen am 21. Juni 2013. 
19. Neuer Personalausweis fit für Linux – Artikel bei OpenLimit, vom 16. Juni 2011
20. Artikel von OpenLimit – AusweisApp 1.4 unterstützt elektronischen Aufenthaltstitel
21. Versionshistorie AusweisApp für Windows@1@2Vorlage:Toter Link/www.ausweisapp.bund.de (Seite nicht mehr abrufbar, festgestellt im März 2023. Suche in Webarchiven.)  Info: Der Link wurde automatisch als defekt markiert. Bitte prüfe den Link gemäß Anleitung und entferne dann diesen Hinweis.
22. AusweisApp-Portal, archiviert vom Original am 17. Januar 2014; abgerufen am 21. Juni 2013.  Info: Der Archivlink wurde automatisch eingesetzt und noch nicht geprüft. Bitte prüfe Original- und Archivlink gemäß Anleitung und entferne dann diesen Hinweis.@1@2Vorlage:Webachiv/IABot/www.ausweisapp.bund.de 
23. Mozilla Firefox ESR-Übersicht – Stand: 13. Januar 2014
24. (Memento des Originals vom 4. November 2012 im Internet Archive)  Info: Der Archivlink wurde automatisch eingesetzt und noch nicht geprüft. Bitte prüfe Original- und Archivlink gemäß Anleitung und entferne dann diesen Hinweis.@1@2Vorlage:Webachiv/IABot/www.ausweisapp.bund.de – Stand: 5. Mai 2012
25. AusweisApp-Portal, archiviert vom Original am 16. Januar 2014; abgerufen am 21. Juni 2013.  Info: Der Archivlink wurde automatisch eingesetzt und noch nicht geprüft. Bitte prüfe Original- und Archivlink gemäß Anleitung und entferne dann diesen Hinweis.@1@2Vorlage:Webachiv/IABot/www.ausweisapp.bund.de , Bezugsquelle: ESR-Firefox
26. AusweisApp-Portal: (Memento des Originals vom 22. Juli 2011 im Internet Archive)  Info: Der Archivlink wurde automatisch eingesetzt und noch nicht geprüft. Bitte prüfe Original- und Archivlink gemäß Anleitung und entferne dann diesen Hinweis.@1@2Vorlage:Webachiv/IABot/www.ausweisapp.bund.de – Stand: 18. August 2011
27. Neue Version der AusweisApp erschienen – Artikel bei Heise online, vom 13. Mai 2011
28. Jan Schejbal: AusweisApp gehackt (Malware über Autoupdate)
29. Pressemitteilung BSI: (Memento des Originals vom 26. November 2014 im Internet Archive)  Info: Der Archivlink wurde automatisch eingesetzt und noch nicht geprüft. Bitte prüfe Original- und Archivlink gemäß Anleitung und entferne dann diesen Hinweis.@1@2Vorlage:Webachiv/IABot/www.bsi.bund.de, 10. November 2010. Abgerufen 10. November 2010.
30. heise online: Elektronischer Personalausweis: AusweisApp für Windows ist da