Per Fingerwisch das Abiturzeugnis an die Wunschuni oder den potenziellen Arbeitgeber schicken – nicht als Kopie, sondern als PDF, das nicht nur maschinenlesbar ist, sondern auch gleich online verifiziert werden kann: Das soll ab 2023 bundesweit möglich werden.

Das klingt praktisch und verhältnismäßig einfach. Und doch zeichnet sich ab, dass sich der Plan, Zeugnisse zu digitalisieren, zumindest verzögern könnte. Der Grund ist die technische Umsetzung – wie bei so vielen Digitalisierungsvorhaben in Deutschland.

Die Idee: Zusätzlich zur Papierversion sollen Schülerinnen und Schüler eine PDF-Datei ihres digitalen Zeugnisses erhalten können. Eingebettet darin ist eine Datei, die das Zeugnis maschinenlesbar machen soll. Sicher vor Manipulationen soll das sein, weil die Angaben zentral von der Bundesdruckerei signiert und über Blockchain-Technologie abgesichert sein sollen. Jedes Zeugnis hat eine Art digitalen Fingerabdruck. Dieser Fingerabdruck soll in der Blockchain gespeichert werden, sodass später überprüft werden kann, ob das Zeugnis authentisch ist.

Das für die Umsetzung federführende Land Sachsen-Anhalt hat die Bundesdruckerei und den Zusammenschluss öffentlicher IT-Dienstleister Govdigital mit der Umsetzung des Vorhabens betraut. In Nordrhein-Westfalen wurden schon im Sommer erste Abiturzeugnisse mit einem Prototyp ausgestellt, auch Berlin und Rheinland-Pfalz haben sich an dem Test beteiligt. Ende 2022 sollen alle Bundesländer, die möchten, an das Projekt angeschlossen werden und ab 2023 soll der Echtbetrieb starten.

So ist zumindest der Plan. Vergangene Woche allerdings wurde das Testsystem offline genommen. Der Schritt erfolgte, nachdem die IT-Sicherheitsforscher Lilith Wittmann und Flüpke per Twitter auf mehrere Schwachstellen des Systems hingewiesen hatten. So stießen sie zum Beispiel auf eine Cross-Site-Scripting-Lücke (XSS-Lücke). Diese ermöglicht es, dass externer Code ausgeführt werden kann, wenn eine infizierte Seite aufgerufen wird. Bedeutet: Statt wie vorgesehen Blockchain-Daten anzuzeigen, wäre es hier auch möglich, Schadsoftware auszuführen. Wittmann fand außerdem eine Möglichkeit, Daten so in die entsprechende Schnittstelle einzuspeisen, dass man ein offiziell aussehendes Zeugnis-PDF ausgespuckt bekommt – wenn dieses auch nicht signiert ist, nicht in einer Blockchain verankert wird und damit eben auch nicht als validiert bestätigt werden kann.

All das bedeutet nicht, dass es den Sicherheitsforscherinnen gelungen ist, tief in Systeme einzudringen. Die Bundesdruckerei betont: "Die Ausstellung echter Zeugnisse war zu keinem Zeitpunkt möglich."

"Das patcht man eben und dann geht die Kiste wieder online"

Doch die IT-Sicherheitsforscher konnten Fehler aufzuzeigen, die in ihren Augen so trivial sind, dass sie nicht hätten passieren dürfen. Auch andere Branchenbeobachter sehen in darin einen Beleg dafür, "dass hier einfach nicht fachgerecht gearbeitet wird", oder bezeichnen die gefundenen Lücken als Anfängerfehler. Ihre Argumentation: Es flößt nicht gerade Vertrauen ein, wenn ein solches Projekt, bei dem es nicht nur um schulische Leistungsnachweise, sondern auch um verifizierte Privatdaten geht, derartige Schwächen aufweist, schon wenn man ganz oberflächlich zweimal dagegentritt.

Die Bundesdruckerei versuchte das Problem in der vergangenen Woche kleinzureden: "Naturgemäß ist ein System während des Testbetriebs noch nicht fertig, kann also Fehler, Schwachstellen oder Funktionseinschränkungen enthalten." Man habe die Testsysteme "aufgrund der Berichte bei Twitter" abgeschaltet – und zwar, "um die Berichte zu überprüfen und weitere Verbesserungen anzustoßen", hieß es in einer Pressemitteilung auf der Seite. Eine Fehleranalyse laufe noch, Ergebnisse würden "in die weitere Optimierung des Systems einfließen", der Test danach fortgesetzt.

Sicherheitsforscher Flüpke bezeichnete dieses Vorgehen im Podcast Logbuch:Netzpolitik als "peinlich": Was Wittmann und er aufgezeigt haben, seien eigentlich Probleme, "die patcht man eben und dann geht die Kiste wieder online". Tatsächlich ist das System nun schon seit mehr als einer Woche offline.