This blog post is mainly written in German as it is very specific to the government-provided i-Kfz-App in Germany. The German Kraftfahrt-Bundesamt (German Federal Motor Transport Authority) presented the new i-Kfz app. This is linked to the hope that it will reduce bureaucracy. Read here to find out if it works as intended.
Vor wenigen Wochen hat das Kraftfahrt-Bundesamt (KBA) die neue i-Kfz-App vorgestellt, mit der es „Bürokratie abbauen“ will. Neben einem digitalen Fahrzeugschein (DFZ) soll perspektivisch auch ein digitaler Führerschein in der App integriert werden.
So eine App weckt natürlich sofort mein Interesse: Wie laufen die Kontrollen mit dem DFZ ab? Wie ist das Backend aufgebaut? Wie werden die Daten bezogen und gesichert?
Also habe ich zum Testen direkt die App installiert und mithilfe der eID und dem Kennzeichen meinen DFZ heruntergeladen. Ein Manko sehe ich hier direkt: Statt der Authentifizierung über die Ausweis-App fordert die i-Kfz-App – ähnlich wie die POSTIDENT-App – den Benutzer direkt zur Eingabe der eID-PIN auf, anstatt an die Ausweis-App zu übergeben. Den Bürgern wird hier antrainiert, dass man diese PIN in beliebigen Apps eingeben darf. Das Phishing wird hierdurch deutlich erleichtert, da die Bürger keine Möglichkeit haben festzustellen, ob die Anfrage legitim ist. Auch der Hinweis, auf welche Daten der eID die App zugreifen wird, ist völlig hinfällig, denn mit der PIN hat die App ohnehin vollen Zugriff.
Der Download des Fahrzeugscheins funktioniert ansonsten reibungslos, und auch eine neue Eintragung in der Woche darauf wurde automatisch nachgeladen. Begrüßt wird man in der App von der Übersicht, die einem die einzelnen Punkte des Fahrzeugscheins benutzerfreundlich kategorisiert und benennt. Man muss also nicht mehr nach kleinen Buchstaben und Nummern jagen, um herauszufinden, welches Feld welchen Wert enthält. Da hören die positiven Aspekte aber auch schon auf.
Was direkt auffällt: Es gibt keinen QR-Code oder eine sonstige Kontrollansicht, wie man es von Bahntickets oder der Corona-App her kennt. Stattdessen werden die Daten einfach als Text angezeigt. In der Übersicht ist zwar ein nettes „Siegel“ als Bild eingebunden, aber das ist nur Optik. Ein Polizist hat also bei einer Kontrolle gar keine Möglichkeit, die Echtheit der Daten zu überprüfen. Der DFZ unterscheidet sich letztlich also nicht von einem Notizzettel, auf den ich meine Daten vom Fahrzeugschein abgeschrieben und einen Bundesadler in die Ecke skizziert habe. Der echte Fahrzeugschein wird aus gutem Grund von der Bundesdruckerei auf besonderem Papier gedruckt und besitzt Wasserzeichen, fluoreszierende Fasern und Mikroschriften, die zur Fälschungssicherheit beitragen.
Um die Echtheit digitaler Dokumente sicherzustellen, sollten digitale Signaturen verwendet werden, die dann zum Beispiel über einen QR-Code dargestellt und kryptografisch geprüft werden können. Die Prüfung würde dann ähnlich wie bei der Kontrolle eines Bahntickets ablaufen. Die Polizei könnte dann den QR-Code mit einem Prüfgerät einlesen, bekäme die Daten auf dem eigenen Gerät angezeigt und die Daten könnten automatisch auf Echtheit geprüft werden – sogar ohne Internetverbindung. Der QR-Code wäre außerdem unabhängig von der App nutzbar, könnte also auch in einem Google/Apple Wallet abgelegt oder als Papierzettel im Portemonnaie mitgeführt werden. So wäre eine Nutzung vollständig unabhängig von der i-Kfz-App möglich und die Echtheit trotzdem sichergestellt.
Mit dem DFZ in der aktuellen Form ist eine Kontrolle im Grunde nicht möglich. Entweder vertraut die Polizei den Daten auf dem Endgerät des Benutzers – eine Manipulation ist hier aber auch ohne technische Kenntnisse trivial, zum Beispiel ganz einfach mit Microsoft Paint – oder die Daten müssen zur unabhängigen Prüfung per Funk abgefragt und abgeglichen werden. In diesem Fall würde aber das Kennzeichen allein auch ausreichen, um die Daten zu erhalten. Der DFZ wird in diesem Fall also nicht benötigt.
Die i-Kfz-App reiht sich damit in einige deutsche Digitalisierungsprojekte der letzten Jahre ein, die aus unerfindlichen Gründen auf die Nutzung von Public-Key-Infrastrukturen und digitalen Signaturen verzichten. Anstatt sich also auf föderalisierbare und offline prüfbare Industriestandards zur digitalen Signatur und Verschlüsselung zu verlassen, die sich mit etablierten Bibliotheken sicher implementieren lassen, wird das Rad neu erfunden. Vorteile entstehen dabei weder für Entwickler, die komplexe Systeme neu implementieren müssen, noch für die Bürger, die komplizierte Lösungen bekommen, noch für die Verwaltung, der die Prüfung und Ausstellung nicht erleichtert wird.
Für die Bürger bleibt mir nur zu empfehlen: Falls Sie den digitalen Fahrzeugschein nutzen, geben Sie niemals Ihr Mobiltelefon entsperrt aus der Hand! Immerhin beinhaltet das Smartphone heutzutage fast alle Aspekte Ihres Lebens – von Chatnachrichten, über Fotos bis hin zu Bezahlmöglichkeiten. Falls es unbedingt nötig ist, sollte die Funktion „Geführter Zugriff“ unter iOS oder das Android-Äquivalent genutzt werden, damit bei einer Kontrolle nur die i-Kfz-App angesehen werden kann. Aber am besten sollte nur der klassische Fahrzeugschein herausgegeben werden. Aktuell sehe ich keinen Grund – weder für Bürger noch für Polizisten – den DFZ zu verwenden.
