Eine Sicherheitsanalyse hat erhebliche, inzwischen behobene Schwachstellen in der Belgien eID Software aufgedeckt. Die Lösung ist als Browser-Erweiterung im Einsatz und wird in Belgien von über zwei Millionen Menschen genutzt. Damit geht es nicht nur um einzelne Nutzerkonten, sondern um das Fundament digitaler Identitäten und rechtswirksamer Online-Signaturen.
Die Vorfälle drehen sich um fehlerhafte Prüfungen, die festlegen sollen, welche Website mit der Anwendung auf dem Gerät kommunieren darf. Als diese Sicherheitsmechanismen fehlten oder nicht zuverlässig funktionierten, wurden Angriffe in Reichweite gebracht, die ohne auffälliges Zutun des Betroffenen ablaufen konnten.
Was ist die Belgien eID Software?
Die Anwendung, entwickelt von Nitro Software Belgium, dient der digitalen Identitäts- und Authentifizierungsverwaltung. Sie unterstützt laut Bericht die Nutzung einer elektronischen ID (eID) sowie die Durchführung elektronischer Signaturen, die rechtlich verbindlich sein können.
Die Reichweite ist groß: Die Software wird von acht der zehn größten belgischen Banken sowie von über 60 Regierungsbehörden eingesetzt. Darüber hinaus hängt auch ein breiter Teil des digitalen Ökosystems an der Möglichkeit, eID-Signaturen als Vertrauensanker einzusetzen.
Schwachstelle: Keine verlässliche Prüfung der anfragenden Website
Im Zentrum der Entdeckung steht eine grundlegende Logikschwäche: Die Software prüfte nicht ausreichend, welche Website mit dem eID-Client kommunizieren wollte. Dadurch konnte jede Webseite oder auch eingebettete Inhalte (zum Beispiel Werbeanzeigen) direkt mit der Anwendung interagieren, die auf dem Gerät der Zielperson lief.
Das ist besonders problematisch, weil der Client vertrauliche Daten verarbeitet und Signaturfunktionen auslösen kann. Wenn der Absender nicht verlässlich verifiziert wird, verliert der Nutzer die Kontrolle darüber, ob eine Anfrage legitim ist.
PIN-Abgriff und gefälschte Dialoge
Der Sicherheitsforscher beschreibt, dass eine schädliche Webseite verborgene Informationen aus verbundenen eID- und Zahlungsdaten auslesen konnte. Noch kritischer war die Möglichkeit, Nutzer dazu zu bringen, ihre eID-PIN preiszugeben.
Angreifer konnten dafür sogenannte Authentifizierungsdialoge auslösen, die wie offizielle Eingaben wirkten. Zusätzlich ließ die Software Text in diesen Dialogen durch Webseiten anpassen, ohne dabei das anfordernde Domain-Kontext sichtbar zu machen. Nutzer hatten so keine zuverlässige Möglichkeit, zu erkennen, ob der Prompt wirklich von der erwarteten Stelle stammte oder eine Phishing-Täuschung war.
Wenn die PIN in einem solchen Dialog eingegeben wurde, übermittelte die Anwendung sie an die anfragende Webseite zurück. Damit war der nächste Schritt möglich: Das System konnte anschließend Token erzeugen, die unautorisierte Freigaben ermöglichten.
Unbefugte elektronische Signaturen
Mit gestohlener PIN konnten Angreifer laut Bericht unautorisierte Genehmigungs-Token erzeugen. Dadurch ließen sich elektronische Signaturen fälschen, sobald die physische eID-Karte in ein Kartenlesegerät gesteckt wurde.
Dieser Mechanismus ist besonders weitreichend, weil elektronische Signaturen im Zielsystem als rechtsverbindlich gelten. Selbst wenn die Nutzerhandlung anfangs „nur“ das Eingeben der PIN war, könnte das Ergebnis später als echte Zustimmung durchgehen.
Folgen über die eID hinaus
Der Bericht betont, dass die Schwachstellen das Vertrauensmodell des belgischen digitalen Ökosystems beeinträchtigen können. Betroffen sind dabei nicht nur eID-Clients selbst, sondern auch Dienste, die eID-Signaturen als Grundlage verwenden.
Konkrete Beispiele im Bericht: staatliche Portale wie CSAM.be sowie Identitätsanbieter wie Itsme. Obwohl diese Dienste selbst keine eigenen Sicherheitslücken aufwiesen, konnten Angreifer durch kompromittierte Signaturfähigkeiten digitale Identitäten anlegen oder übernehmen.
Das betrifft in der Praxis vor allem Szenarien wie Kontoübernahme, Registrierung unter falscher Identität und Missbrauch von digitalen Identitätsdaten.
Zusätzliche Lücke: Remote Code Execution auch ohne gesteckte Karte
Neben dem Identitäts- und Signaturrisiko fand der Forscher eine weitere, eigenständige Schwachstelle: Eine Remote Code Execution (RCE). Diese war nicht davon abhängig, ob eine eID-Karte eingesteckt war.
Der Angriff funktionierte über eine Schwäche in der Art und Weise, wie die Anwendung Dateien auf dem lokalen Computer verarbeitet. Dadurch konnte eine schädliche Webseite erreichen, dass die Software Code ausführt, der vom Angreifer kontrolliert wird – und zwar auf Benutzer-Ebene.
Der Begriff „Drive-by-Angriff“ beschreibt dabei einen besonders bequemen Ablauf für Angreifer: Ein Nutzer muss lediglich auf einer Webseite sein, die ihn dazu bringt, eine Datei herunterzuladen, die als normales Dokument getarnt ist, und diese anschließend zu öffnen oder damit zu interagieren.
Zusätzlich bestand laut Bericht die theoretische Chance, dass sich Angriffe weiter ausbreiten konnten. Die Schwachstelle könnte über ein Mechanismus wirken, der Zugangsdaten kapert und damit weitere schädliche Links an andere potenzielle Opfer sendet.
Behebung und Zeitpunkt der Sicherheitsmaßnahmen
Die Schwachstellen wurden laut Bericht vollständig behoben. Nitro habe die Probleme 146 Tage nach der Erstmeldung remediert und zudem eine Bug-Bounty in Höhe von 200 US-Dollar ausgelobt.
Die veröffentlichten Updates zielten unter anderem darauf ab, unautorisierte Origin-Anfragen zu blockieren und die sichere Handhabung der PIN zu verbessern. Die finalen Sicherheitsdurchsetzungen wurden demnach spätestens Ende Juli abgeschlossen.
Im Bericht wird außerdem erwähnt, dass keine CVEs (Common Vulnerabilities and Exposures) vergeben wurden.
Transparenz und öffentliche Offenlegung
Der Sicherheitsforscher stellte seine Ergebnisse öffentlich beim DEF CON vor und veröffentlichte einen Blogpost mit zusätzlichen technischen Details. Die Anfrage des Melders nach einem Kommentar an Nitro blieb unbeantwortet.
Für Nutzer und Organisationen ist vor allem entscheidend, dass die Sicherheitsfixes installiert werden und dass die Nutzung von eID- und Signaturfunktionen weiterhin mit Blick auf sichere Kontexte erfolgt.
Was Nutzer und Organisationen jetzt beachten sollten
- Software-Updates zeitnah einspielen: Da die Schwachstellen inzwischen behoben wurden, ist Aktualität der wichtigste Schutzfaktor.
- Dialoge kritisch prüfen: Selbst mit Fixes gilt: Wenn Eingaben verdächtig wirken, sollte man den Vorgang abbrechen und die echte Quelle verifizieren.
- Phishing-Hygiene stärken: Besonders bei Aufforderungen zur PIN-Eingabe ist Aufmerksamkeit gefragt, auch wenn die Oberfläche „offiziell“ aussieht.
- Erweiterungen und Zugriffsrechte prüfen: In Umgebungen, in denen eID-Funktionen genutzt werden, sollte man sicherstellen, dass nur vertrauenswürdige Web-Kontexte Zugriff erhalten.
Damit lässt sich das Risiko erheblich reduzieren, selbst wenn neue Angriffswege auftauchen.
Fazit
Die Entdeckung zeigt eindrücklich, wie eng digitale Identität, Authentifizierung und rechtsverbindliche Signaturen miteinander verknüpft sind. In der Belgien eID Software führten unzureichende Ursprungsprüfungen zu Angriffen, die bis zum Diebstahl von PINs und zum Missbrauch elektronischer Signaturen reichen konnten. Zusätzlich kam eine Remote Code Execution-Lücke hinzu, die ohne gesteckte Karte ausnutzbar war.
Positiv ist: Nitro hat die Probleme behoben, Sicherheitsdurchsetzungen abgeschlossen und damit einen wichtigen Schritt zurück zur Vertrauenswürdigkeit des Systems getan. Für Nutzer bleibt dennoch die Kernregel: Anwendungen aktuell halten und sensible Eingaben stets kritisch prüfen.
