Kritische Schwachstellen in belgischer eID-Signatursoftware erschüttern Vertrauen in digitale Identität
Sicherheitsforscher haben schwerwiegende Schwachstellen in der belgischen Connective eID-Signatursoftware aufgedeckt, die von mehr als 2 Millionen Bürgern genutzt wird.
Die Technologie wird von 8 der 10 größten Banken Belgiens, mehr als 60 Regierungsbehörden und über 1.000 Unternehmen eingesetzt.
Eine grundlegende Schwachstelle bestand darin, dass die Software nicht ordnungsgemäß verifizierte, welche Website mit der lokalen eID-Anwendung kommunizierte. Infolgedessen konnten bösartige Websites, potenziell sogar über eingebettete Inhalte, ohne aussagekräftige Benutzerautorisierung mit der Connective-Anwendung kommunizieren.
Angreifer könnten potenziell auf Informationen von verbundenen belgischen eID- und Zahlungskarten zugreifen und Authentifizierungs-Workflows manipulieren. Besonders gefährlich war die Möglichkeit, überzeugende Authentifizierungsdialoge anzuzeigen, die Bürger dazu verleiten könnten, ihre eID-PIN preiszugeben.
Eine gestohlene PIN in Kombination mit dem Zugriff auf die physische eID-Karte könnte es Angreifern potenziell ermöglichen, unbefugte Genehmigungs-Token zu generieren und rechtsverbindliche elektronische Signaturen zu missbrauchen.
Forscher demonstrierten zudem Drive-by-Remote-Code-Execution (RCE), was es einer bösartigen Website ermöglichte, potenziell vom Angreifer kontrollierten Code auf dem Computer eines Opfers auszuführen.
Die Schwachstellen stellten daher nicht nur eine einzelne Anwendung infrage, sondern das gesamte Vertrauensmodell rund um die belgische digitale Identität sowie die Authentifizierung bei Banken und Behörden; die gemeldeten Fehler wurden am 22. Juli 2026 behoben.
Der Vorfall ist eine eindringliche Mahnung für das kommende eIDAS2/EUDI-Wallet-Ökosystem: Infrastrukturen für digitale Identitäten benötigen eine strikte Herkunftsbindung, sichere lokale Komponenten, unabhängige Sicherheitstests und Security-by-Design, da eine Kompromittierung der Identitätsebene das Vertrauen im gesamten Ökosystem gefährden kann.
Lesen Sie den Sicherheitsartikel für weitere Informationen.