EU-Altersverifikations-App in 2 Minuten geknackt
Was als Kinderschutz gedacht war, wird zum Sicherheitsdesaster. Forscher umgehen PIN, Brute-Force-Schutz und Biometrie – ohne Spezialwerkzeug. Ein Architektur-Versagen mit Folgen für die EU Digital Identity Wallet.
Die EU wollte ein klares Signal für den Jugendschutz im Netz setzen: Eine europaweite Altersverifikations-App, anonym und sicher. Klingt gut. Ist es aktuell aber nicht. Sicherheitsforscher haben die App in unter 2 Minuten ausgehebelt – mit einfachen Mitteln.
Faktenbox: EU-App-Hack
Angriffsdauer
< 2 Minuten, ohne Spezialwerkzeug
Schwachstellen
4 zentrale Designfehler
Status
Reference Implementation / Demo
Pilot-Länder
Frankreich, Italien, Spanien, Dänemark
EUDI-Bezug
Architektur fließt in EU Digital Identity Wallet ein
Risiko
Identitätsdiebstahl bei Live-Rollout
Was ist die EU-Altersverifikations-App?
Die App entstand im Rahmen der EU-Digitalstrategie und soll Plattformen helfen, das Alter ihrer Nutzer zu prüfen – ohne dabei sensible Identitätsdaten direkt weiterzugeben. Sie ist ein zentraler Baustein für die Umsetzung des Digital Services Act (DSA), der Plattformen ab 2025 stärker in die Pflicht nimmt.
Funktionsweise: Nutzer weisen ihr Alter per Ausweis oder biometrisch nach. Die App bestätigt nur das Alter – im Idealfall ohne Klarnamen, Geburtsdatum oder Adresse zu übertragen. Die Reference Implementation gilt als Vorläufer der EU Digital Identity Wallet (EUDI).
Die 4 zentralen Schwachstellen
PIN lokal manipulierbar
PIN wird in einer Konfigurationsdatei auf dem Gerät gespeichert. Datei löschen → neue PIN setzen → Zugriff auf fremde Identität bleibt bestehen.
Brute-Force-Schutz wirkungslos
Der Versuchszähler liegt ebenfalls lokal. Ein Reset der Datei = unbegrenzte Eingabeversuche. Lockout existiert praktisch nicht.
Biometrie als reiner Schalter
Face-ID/Fingerabdruck sind nur ein Toggle in der lokalen Konfiguration. Ein Klick deaktiviert den Schutz – ohne Server-Verifikation.
Sensible Daten exponiert
Erste Analysen zeigen schwache Implementierung biometrischer Prüfungen und potenzielle Exposition sensibler Identitätsmerkmale auf dem Gerät.
Warum das ein Architektur-Versagen ist
Das ist kein gewöhnlicher Bug. Es ist ein Designfehler auf Architektur-Ebene. Eine App, die Identität beweisen soll, darf niemals lokal manipulierbar sein. Genau das ist hier aber passiert: PIN, Versuchszähler, Biometrie-Toggle – alles liegt in beschreibbaren lokalen Dateien.
Wer dem Client vertraut, hat schon verloren. Das ist eines der ältesten Anti-Patterns der IT-Sicherheit – und es trifft eine EU-Vorzeige-App.
Zwei Perspektiven auf dasselbe Thema
Dieser Artikel beleuchtet die technische Seite – die konkreten Schwachstellen und das Architektur-Versagen. Die Datenschutz-Perspektive – warum diese App selbst ohne Hack zum Risiko für Unternehmen wird – haben wir in einem eigenen Beitrag aufgearbeitet.
Datenschutz-Risiko der EU-App lesenExperten schlagen Alarm
„Das ist nur eine Frage der Zeit, bis es zu einem großen Datenvorfall kommt."
Über 400 Wissenschaftler warnen in einem offenen Brief generell vor schlecht umgesetzter, verpflichtender Altersverifikation: Sie schaffe neue Datenleaks, ermögliche Überwachung und liefere oft schlicht falsche Ergebnisse – mit echten Folgen für Bürger und Unternehmen.
Das größere Problem: Die EUDI Wallet hängt daran
Die App ist nicht nur ein Tool – sie ist ein Architektur-Prototyp für die kommende EU Digital Identity Wallet. Wenn die gleichen Designfehler dort einfließen, betrifft das nicht nur Plattformen, sondern auch:
- ▸Online-Banking und Zahlungsdienste
- ▸Behördliche Dienste (Steuer, Sozialversicherung)
- ▸Unternehmensportale & B2B-Identifikation
- ▸Gesundheitsdaten (eRezept, ePA-Anbindung)
Was richtig wäre
Server-seitige Verifikation
Identitätsprüfungen gehören auf den Server – nie ausschließlich auf das Endgerät. Der Client ist ein Frontend, kein Tresor.
Hardware-gebundene Sicherheit
Schlüssel und biometrische Templates müssen in Secure Enclave / TEE liegen, nicht in einer JSON-Datei im App-Sandbox-Verzeichnis.
Kryptografische Identitäts-Bindung
PIN und Biometrie müssen kryptografisch an die geprüfte Identität gebunden werden – nicht nur als lokale Logik.
Zero-Knowledge-Proofs
Der zukünftige Standard: Beweise das Alter, ohne die Identität preiszugeben. EU-EUDI muss in diese Richtung – sonst wird sie zum Datengrab.
Wasacon-Empfehlung für KMU
Wenn selbst eine EU-App diese Probleme hat – wie sieht es bei euren internen Tools, Mobile Apps und Webportalen aus? Genau hier setzen wir an.
- ▸Auth-Logik prüfen: Findet Verifikation Server-seitig statt?
- ▸Client vs. Server Security: Wo werden Sicherheitsentscheidungen getroffen?
- ▸Manipulationsmöglichkeiten: Was passiert, wenn ein Nutzer App-Daten editiert?
- ▸Identitätsbindung: Sind PIN/Biometrie kryptografisch an die Identität gekoppelt?
Sicherheit scheitert selten an Hackern – sondern an falschem Design.
Häufige Fragen zum EU-App-Hack
Wie sicher ist eure Authentifizierung wirklich?
Wir prüfen eure Apps, Portale und internen Tools auf genau die Schwachstellen, die hier öffentlich wurden – Client-Side Trust, lokale Speicherung, fehlende Server-Verifikation.
Wasacon in deiner Region
IT-Sicherheit, App-Audits und Identity-Management für Unternehmen in Erkelenz, Wegberg, Wassenberg, Hückelhoven, Aachen, Mönchengladbach, Geilenkirchen, Jülich, Düren, Krefeld.
Diskussion
0 Beiträge
IT-Budget Quick-Check
Wie viel sollte Ihr Unternehmen jährlich in IT investieren?
Risiko-Level: Mittel · Multiplikator: 1.2×
Richtwerte auf Basis von BSI/NIST/ENISA-Branchenbenchmarks. Keine verbindliche Empfehlung.
Das könnte Sie auch interessieren
IT-Sicherheitpm-energy gehackt? Qilin listet „Die Solarexperten“ aus Reesdorf im Darknet
Seit dem 9. August 2026 führt die Ransomware-Gruppe Qilin die pm-energy GmbH aus Reesdorf (Schleswig-Holstein) auf ihrer Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum Photovoltaik-Projektdaten besonders sensibel sind.
IT-SicherheitClausing Tiefbau gehackt? Qilin listet Osnabrücker Infrastruktur-Spezialisten im Darknet
Seit dem 8. August 2026 führt die Ransomware-Gruppe Qilin die Clausing GmbH Tiefbauunternehmen aus Osnabrück auf ihrer Darknet-Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum die digitalisierten Bauprozesse den Fall brisant machen.
IT-SicherheitThe Gentlemen listet INKA Group: Hinter der unscheinbaren Münchner Immobilienholding steckt ein weit größeres Firmengeflecht
Seit dem 7. August 2026 führt die Ransomware-Gruppe The Gentlemen die Münchner INKA Group GmbH & Co. KG als mutmaßliches Opfer. Register- und Konzerndaten zeigen ein verzweigtes Immobiliennetz – bis hin zur Hasen-Immobilien AG mit 230,5 Mio. € Bilanzsumme.
Haftungsausschluss: Die auf Wasacon bereitgestellten Inhalte dienen nur zu Informationszwecken. Wir garantieren nicht die Qualität, Genauigkeit oder Vollständigkeit der Informationen aus Drittquellen.
Sind Zugangsdaten Ihres Unternehmens bereits im Umlauf?
Wir prüfen Ihre Domain kostenlos gegen bekannte Infostealer- und Leak-Datenbanken – vertraulich und unverbindlich.
Bekannt aus
