Vernachlässigung der IT-Sicherheit bei der App-Entwicklung

Zu Beginn des Cybersecurity Months erschien auf SPIEGEL Online eine Kolume von Sascha Lobo, die man als Abrechnung mit der digitalen Projektkultur in Deutschland verstehen kann. Der Autor greift drei der prominentesten App-Projekte (Nora, E-Rezept & ID-Wallet) der Bundespolitik auf und beschreibt, voll beißendem Humor, den Werdegang ihres Scheiterns.

Viel gewollt, schlecht durchdacht

Einer der wohl treffendsten Analysen in dem Beitrag liefert die darin zitierte Hackerin Lilith Wittmann zum Thema ID-Wallet. Sie zeichnet ein Bild von fachfremden Entscheidern in der Politik, die sich große Ziele stecken, ohne sich ausreichende Gedanken über den Weg dorthin zu machen. So wurde das ID-Wallet von vornherein mit gravierenden Sicherheitslücken konzipiert: Die eingesetzten DNS-Server erlaubten einen Zonentransfer, der einen unrechtmäßigen Zugriff auf die sensiblen Daten ermöglicht hätten, welche wiederum mittels Blockchain festgehalten und somit legitimiert worden wären.
Kurz nach Bekanntwerden der konzeptionellen Fehler und Sicherheitsmängel des ID-Wallets wurde der Dienst aus dem Netz entfernt. Ausgang ungewiss.

Nun ist es zwar richtig, eine dysfunktionale und mit Sicherheitslücken überzogene App aus dem Verkehr zu ziehen. Ebenso richtig und real ist aber auch unser Bedarf einer digitalen Identifikationslösung, um den Fortschritten der Digitalisierung Rechnung zu tragen und die deutsche Verwaltung zukunftsfähig zu machen. Dass dies keine Zukunftsmusik bleiben muss, beweist das Beispiel Estland. Deren gut 1,3 Millionen Einwohner profitieren schon heute von der annähernd vollständigen Digitalisierung der öffentlichen Verwaltung.

Nicht auf Sand bauen – Sicherheit muss das Fundament der App-Entwicklung sein

Die bisherige Bilanz der Digitalisierungsprojekte auf Bundesebene ist mehr als ernüchternd. Zwar hat man die Notwendigkeit für Lösungen beim Thema digitale Verwaltung und dem damit eng verwobenen Schlüsselbereich der digitalen Identität erkannt; die Umsetzung zeugt aber von fehlendem Sachverständnis oder gar fehlendem Herzblut der politischen Entscheider, die nötige Sorgfalt bei der Planung einzubringen.

Der nächsten Bundesregierung ist jedenfalls zu wünschen, dass Sie ihre ambitionierten Versprechen beim Thema Digitalisierung auch zeitnah in die Tat umsetzt. Wichtiger noch, als die zeitnahe Umsetzung ist jedoch die sorgfältige Planung der nächsten Anläufe beim Thema digitale Identität und allen darauf basierenden Folgeprojekte. Denn App-Sicherheit darf nicht länger als Kür verstanden werden, sondern muss vielmehr zur absoluten Pflichtvoraussetzung werden – sowohl in der Entwicklung von Consumer-Apps, besonders aber bei der wegweisenden Digitalisierung auf Bundesebene.