Digitale Identitäten: Sicherheitslücken erschüttern globale Pläne

Sicherheitsforscher knacken EU-Altersnachweis-App, Cisco patcht kritische Lücken und KI-gesteuerter Identitätsbetrug erreicht historische Höchststände.

Innerhalb weniger Tage offenbaren sich schwere Sicherheitslücken in europäischen Prototypen und Unternehmenslösungen – just zum Höhepunkt einer historischen Welle KI-generierter Identitätsbetrugsfälle.

EU-Altersnachweis-App binnen Minuten geknackt

Ein zentraler Pfeiler der europäischen Digitalstrategie steht auf wackligen Füßen. Eine neue, als transparent und privat gepriesene Altersverifikations-App der EU erwies sich diese Woche als leicht zu umgehen. Sicherheitsforscher Paul Moore demonstrierte, wie sich die Zugangskontrollen in weniger als zwei Minuten aushebeln lassen.

Anzeige

Angesichts solch unsicherer Identitätssysteme wird der Schutz des eigenen Endgeräts immer wichtiger, da Hacker lokal gespeicherte Daten gezielt ausnutzen. Dieser kostenlose Ratgeber zeigt Ihnen 5 einfache Schritt-für-Schritt-Maßnahmen, um Ihr Android-Smartphone effektiv vor Zugriffen und Datenmissbrauch zu schützen. 5 sofort umsetzbare Schutzmaßnahmen entdecken

Der fatale Fehler: Die App speichert eine verschlüsselte PIN lokal auf dem Gerät, ohne sie sicher mit dem eigentlichen Identitätsspeicher zu verknüpfen. Ein Angreifer kann so gezielt Konfigurationsdateien manipulieren, die Software neu starten und eine neue PIN setzen – behält aber vollen Zugriff auf die hinterlegten Identitätsdaten eines vorherigen Nutzers. Selbst der Schutz gegen wiederholte Login-Versuche lässt sich laut Experten durch simples Editieren eines Zählers in derselben Datei deaktivieren.

„Die Abhängigkeit von der Sicherheit des lokalen Geräts, statt hardwarebasierter Trusted Enclaves zu nutzen, ist ein grundlegendes Design-Problem“, kritisieren Sicherheitsexperten. Die EU-Behörden hatten die App zuvor als Meilenstein für Privatsphäre und Open Source gefeiert.

Cisco schließt kritische Lücken in Unternehmens-Identitätsdiensten

Während die öffentliche Hand kämpft, gerät auch die Unternehmenswelt unter Druck. Am gestrigen Donnerstag veröffentlichte Cisco dringende Patches für vier kritische Sicherheitslücken in seiner Identity Services Engine (ISE) und den Webex-Plattformen. Die schwerwiegendste Schwachstelle (CVE-2026-20184) erhielt den nahezu maximalen CVSS-Score von 9,9.

Diese Lücke in der Zertifikatsvalidierung von Single-Sign-On-Systemen (SSO) ermöglicht es Angreifern, Authentifizierungsprotokolle zu umgehen und sich als autorisierte Mitarbeiter auszugeben. Weitere gefundene Fehler erlauben es berechtigten Nutzern mit niedrigen Rechten, ihre Privilegien bis auf Root-Level zu eskalieren und so die vollständige Kontrolle über das System zu übernehmen.

Cybersicherheitsanalysten beobachten einen strategischen Wechsel der Angreifer: Statt einzelne Passwörter zu knacken, zielen sie zunehmend auf die Steuerungsebenen ab, die Identitäten in ganzen Organisationen verwalten. Wer hier angreift, kann Vertrauensentscheidungen an der Quelle manipulieren – und macht nachgelagerte Schutzmaßnahmen wie die Zwei-Faktor-Authentifizierung (2FA) wirkungslos.

KI-gesteuerter Identitätsbetrug erreicht historische Höchststände

Die technischen Schwachstellen treffen auf eine explosionsartig wachsende Betrugsindustrie. Laut dem LexisNexis Cybercrime Report vom 9. April hat sich der synthetische Identitätsbetrug im vergangenen Jahr verachtfacht. Kriminelle kombinieren dabei echte und erfundene Daten zu komplett neuen Persönlichkeiten – massiv befeuert durch generative KI-Tools.

Anzeige

Während Identitätsdiebstahl durch KI rasant zunimmt, bleibt das klassische Passwort eine der größten Schwachstellen für private Konten. Erfahren Sie in diesem kostenlosen PDF-Report, wie Sie mit der neuen Passkey-Technologie Hackerangriffe verhindern und sich sicher bei Amazon, WhatsApp & Co. anmelden. Passwortlose Alternative jetzt gratis nachlesen

Aktuell werden etwa 8,3 Prozent aller neuen Digitalkonten als verdächtig eingestuft. Obwohl synthetischer Betrug nur vier Prozent aller Fälle ausmacht, ist er für rund sieben Prozent der finanziellen Gesamtverluste verantwortlich. Allein in den USA belaufen sich die jährlichen Schäden auf schätzungsweise 30 bis 35 Milliarden Euro.

Immer häufiger kommen sogenannte Injection-Angriffe zum Einsatz. Statt eine Kamera mit einem Foto zu täuschen, nutzen sie Emulatoren und virtuelle Kameras, die synthetische Medien direkt in die Verifikationssoftware einspeisen. 2025 registrierten Identitätsprüfungsfirmen über 100.000 solcher Angriffe pro Monat. Die Verteidiger müssen sich nun von der reinen Gesichtserkennung wegbewegen – hin zu gerätebasierten Signalen und Verhaltensbiometrie.

Grundsatzdebatte: Digitale Souveränität versus Überwachung

Die technischen Pannen befeuern eine grundlegende Debatte über die geplante Europäische Digitale Identität (EUDI-Wallet) und ähnliche nationale Projekte. Datenschutzorganisationen warnen, dass die neuen eIDAS-Regeln Nutzerrechte aushöhlen könnten, wenn große Plattformen eigene Authentifizierungssysteme bevorzugen dürfen.

Kernstreitpunkt ist das Gebot der „Nicht-Verknüpfbarkeit“. Es soll sicherstellen, dass verschiedene Online-Transaktionen nicht zu einer einzelnen Person zurückverfolgt werden können. Aktivisten befürchten, dass digitale Wallet ohne diesen fundamentalen Schutz zu Werkzeugen zentralisierter Überwachung werden. In den USA fordert die „No Phone Home“-Kampagne, dass mobile Führerscheine ohne ständige Rückfrage bei Behörden funktionieren müssen.

Whistleblower aus Regierungsprojekten schlagen Alarm: Selbst in Systemen, die bis Ende des Jahrzehnts für Millionen Bürger verpflichtend werden sollen, bestehen grundlegende Schwachstellen. Ohne rigorosere Tests und einen Abschied vom „Device-Trust“-Modell blieben sie ein attraktives Ziel für staatliche Akteure und organisierte Kriminalität.

Ausblick: Wird der EU-Zeitplan halten?

Trotz der Rückschläte bleibt der digitale Wandel Priorität. Die EU-Kommission hält am Ziel fest, bis 2030 80 Prozent der Bevölkerung einen digitalen Identitätsausweis anzubieten. Jeder Mitgliedstaat muss spätestens Ende 2026 eine Version bereitstellen.

Der Erfolg hängt von der schnellen Einführung mehrschichtiger Sicherheitsarchitekturen ab, die KI-Betrug abwehren können. Die technischen Standards werden sich voraussichtlich in Richtung dezentraler Kontrolle und passwortloser Logins mit hardwaregesicherter Kryptographie entwickeln. Kurzfristig steht „Automation-Hardening“ im Fokus: Die Systeme, die Identitäten orchestrieren, werden zur neuen Hauptkampflinie für nationale und unternehmerische Sicherheit.

Die Ereignisse dieser Woche zeigen eindrücklich: Die bloße Existenz eines digitalen Identitätssystems garantiert keine Sicherheit. Erst die Integrität des zugrundeliegenden Codes und die Transparenz seines Designs entscheiden, ob diese Systeme das öffentliche Vertrauen erlangen – die Grundvoraussetzung für ihren flächendeckenden Erfolg.