Warum Regierungen Secure Elements für Pass, Bankkarte und Ausweis einsetzen

Zentrale Erkenntnisse

Secure Elements – manipulationssichere Chips in Pässen, Kreditkarten und Ausweisen – wurden von Regierungen und Finanzinstituten eingeführt, um weitverbreiteten Betrug und Fälschungen zu bekämpfen, wie sie bei Magnetstreifen und Papierdokumenten auftraten. Durch die sichere Speicherung privater kryptografischer Schlüssel machen diese Chips das Klonen oder Fälschen von Ausweisen wirtschaftlich und technisch unmöglich. Genau dieses Prinzip schützt auch Hardware-Wallets für Kryptowährungen: Die hohen Standards, die Milliarden offizieller Dokumente und Karten absichern, sichern heute auch digitale Vermögenswerte in Hardware-Wallets.

Sowohl dein Reisepass als auch deine Kreditkarte enthalten Chips. Wenn du einen amtlichen Personalausweis besitzt, ist darin wahrscheinlich ebenfalls einer verbaut. Jedes Mal, wenn du deine Karte am Terminal auflegst oder deinen Pass an der Grenze scannst, übernimmt ein Secure Element die kryptografische Arbeit, die diese Transaktionen sicher macht.

Regierungen und Finanzinstitute setzen Secure Elements seit über zwanzig Jahren in großem Maßstab ein. Diese Entscheidung wurde nicht zufällig getroffen – und sie wurde nicht aus Bequemlichkeit beibehalten. 

Nach sorgfältiger Prüfung aller Alternativen kamen sie zu dem Schluss: Secure Elements sind die praktikabelste Lösung für ein sehr konkretes Problem – wie schützt man ein Geheimnis in einem physischen Gegenstand, der sein ganzes Leben lang in den Händen potenzieller Angreifer bleibt?

Welche Probleme Secure Elements lösen

Um zu verstehen, warum Secure Elements in Pässen und Kreditkarten eingesetzt werden, muss man wissen, wie die Situation vorher aussah – und welche Angriffe Regierungen und Banken tatsächlich enorme Summen kosteten.

Kreditkartenbetrug vor dem Chip

Bevor EMV-Chipkarten in den 1990er- und 2000er-Jahren zum Standard wurden, speicherten Kredit- und Debitkarten ihre Daten auf Magnetstreifen. Dieser Streifen enthielt die Kartennummer, das Ablaufdatum und einen Service-Code. Jeder Magnetstreifenleser – auch billige, tragbare Skimming-Geräte, die Kriminelle an Geldautomaten und Terminals anbringen – konnte diese Daten auslesen.
 

Skimming war ein massives, organisiertes Betrugsproblem. Kriminelle Netzwerke betrieben Skimmer flächendeckend in ganzen Ländern. Die gestohlenen Daten ließen sich einfach auf Blankokarten kopieren, die dann überall eingesetzt werden konnten, wo Magnetstreifenzahlungen akzeptiert wurden. Der Betrug ließ sich problemlos skalieren, weil das Kopieren eines Magnetstreifens nahezu nichts kostet und keinerlei technisches Know-how erfordert.

Das Problem der Banken: Der Betrug war billig, kaum abzuwehren und verursachte enorme Verluste. Anfang der 2000er beliefen sich die Schäden durch Kartenbetrug weltweit auf Milliarden Dollar jährlich.
 

Passfälschung vor biometrischen Chips

Auch Papierpässe hatten ein strukturelles Problem. Ein erfahrener Fälscher mit der richtigen Ausrüstung konnte täuschend echte Kopien herstellen. Verbesserte Sicherheitsmerkmale halfen zwar, aber es war ein Wettrüsten: Jede neue Funktion wurde irgendwann von Kriminellen mit genügend Ressourcen und Motivation nachgebaut.

Das eigentliche Problem: Grenzbeamte konnten die Echtheit eines Passes nur visuell prüfen. Es gab keinen kryptografischen Beweis für die Authentizität des Dokuments.

Ein privater kryptografischer Schlüssel

Secure Elements lösten beide Probleme, indem sie etwas einführten, das sich nicht kopieren lässt: einen privaten kryptografischen Schlüssel, gespeichert in manipulationssicherer Hardware. Dieser Schlüssel wird genutzt, um Transaktionen zu signieren oder das Dokument so zu authentifizieren, dass nur der echte Chip diesen Nachweis liefern kann.

Ein kopierter Magnetstreifen ist vom Original nicht zu unterscheiden – das Terminal kann keinen Unterschied feststellen. Eine kopierte EMV-Chip-Transaktion scheitert jedoch, weil dafür eine kryptografische Signatur nötig ist, die nur der echte Chip erzeugen kann. Um den Schlüssel zu extrahieren und zu replizieren, bräuchte man ein Labor – kein Kartenlesegerät.

Ein gefälschter Papierpass kann optisch identisch zum Original sein. Ein gefälschter ePass scheitert am Grenzscanner, weil die digitale Signatur des Chips über die biometrischen Daten mit dem Signaturschlüssel der Regierung erstellt wurde – und diese Signatur lässt sich kryptografisch prüfen. 

Eine Fälschung, die diese Prüfung besteht, müsste die Signaturkette durchbrechen – das ist ein völlig anderes, viel schwierigeres Problem als das Nachmachen von Sicherheitsmerkmalen.

Warum fiel die Entscheidung auf Secure Elements?

Die Entscheidung für Secure Elements in großem Maßstab war wirtschaftlich und politisch motiviert. Regierungen und Banken mussten die Kosten für die Umstellung von Hunderten Millionen Karten und Dokumenten gegen die Betrugsverluste abwägen. 

Sie brauchten eine Technologie, die zuverlässig im Alltag funktioniert – vom Supermarkt bis zur entlegenen Grenzstation, in Geräten, die nur wenige Euro in der Herstellung kosten.

Die Secure Elements in Pässen, Ausweisen und Bankeninfrastruktur sind nach CC EAL5+ oder EAL6+ zertifiziert – genau wie zuvor in dieser Serie beschrieben.

Diese Zertifizierungsstufen wurden vorgeschrieben, weil der Prüfprozess unabhängige Nachweise liefert, dass der Chip den anspruchsvollsten, nicht geheimen Angriffsmethoden zum Zeitpunkt der Bewertung standhält.

In der Praxis heißt das: Einen solchen Chip zu knacken erfordert entweder geheimdienstliche Mittel oder einen Forschungsaufwand, der Monate dauert, wissenschaftliche Veröffentlichungen hervorbringt und weltweit nur von sehr wenigen Experten umgesetzt werden kann. Keine dieser Methoden ist als Massenangriff auf Pass- oder Karteninhaber skalierbar.

Warum gilt das Gleiche für deine Wallet?

Die Parallele zwischen staatlicher Dokumentensicherheit und der Sicherheit von Hardware-Wallets ist enger, als es auf den ersten Blick scheint. Die Probleme sind strukturell identisch.

Eine Regierung muss ein kryptografisches Zertifikat in einem physischen Objekt schützen, das Bürger zehn Jahre lang mit sich führen, an fremden Grenzen vorzeigen und gelegentlich verlieren oder das gestohlen werden kann. Die Bürger sind keine Sicherheitsexperten. Das Zertifikat muss geschützt bleiben, ohne dass sie aktiv etwas dafür tun müssen.

Auch Nutzer einer Hardware-Wallet müssen einen privaten Schlüssel in einem physischen Gerät schützen, das regelmäßig genutzt, herumgetragen und gelegentlich verloren oder gestohlen werden kann. Die Nutzer sind oft keine Sicherheitsexperten. Der Schlüssel muss gegen Angriffe aus der Ferne, Gelegenheitsdiebe und Finder des Geräts geschützt sein.

In beiden Fällen ist die Aufgabe des Secure Elements identisch: Die Kosten für das Auslesen des geschützten Geheimnisses müssen so hoch sein, dass es für die realistische Angreifergruppe wirtschaftlich irrational wird. Es kommen die gleichen zertifizierten Chips der gleichen Hersteller zum Einsatz. Die physische Sicherheitsarchitektur ist identisch. Die Argumente, warum Regierungen dieser Technologie vertrauen, gelten auch für Krypto-Nutzer.