EU-Altersprüfung gescheitert: Anonymität als Sicherheitslücke

Kritische Fragen zur Originalquelle

• Welche spezifische technische Schwachstelle nutzt der Sicherheitsforscher Paul Moore aus, um die Altersverifikation zu umgehen?
  Moore nutzt eine Browser-Erweiterung, die in die Kommunikation eingreift und die EU-Wallet-App im Browser simuliert. Da die Einmalverwendung der Bescheinigung nur clientseitig kontrolliert wird und dem Server keine Informationen fehlen, akzeptiert das System die gefälschte Altersbescheinigung als gültig.
• Warum bezeichnet der Forscher den Fehler als 'Designfehler' und nicht als 'Bug'?
  Es handelt sich um ein grundlegendes Konstruktionsproblem der Architektur: Das System ist so aufgebaut, dass es echte Anonymität und technische Sicherheit nicht gleichzeitig gewährleisten kann. Eine Behebung würde wahrscheinlich eine stärkere Identifikation der Nutzer erfordern, was dem Ziel der Anonymität widerspricht.
• Welche Rolle spielt die Hardware-Verifikation in der aktuellen Kritik an der EU-App?
  Die aktuelle Lösung verzichtet auf hardwaregesicherte Identitätsprüfungen wie Biometrie oder Ausweisscan. Stattdessen wird eine softwarebasierte Simulation im Browser akzeptiert, was es ermöglicht, Altersnachweise beliebig oft zu wiederholen und das System trivial zu manipulieren.
• Welches zentrale Dilemma entsteht laut der Analyse zwischen Anonymität und Sicherheit?
  Das Dilemma besteht darin, dass die versprochene Anonymität (keine Weitergabe von Namen oder Geburtsdatum an den Server) technisch unmöglich mit einer sicheren Altersverifikation kombiniert werden kann. Ohne serverseitige Validierungsmöglichkeiten bleibt Missbrauch unentdeckt, was die Glaubwürdigkeit des gesamten EU-Plans untergräbt.