Leider ist das genau die Art von halber Sicherheit die ich von der Verwaltung gewohnt bin.

Basics falsch machen, aber Hauptsache BSI Zertifikat.

Wird eine persönliche Identifikation über den Online-Ausweis angefordert [...] öffnen entsprechende Dienste-Anbieter die AusweisApp mit einem so genannten Deeplink.

Dieser Deeplink beginnt mit den Zeichen (“eid://”) und öffnet üblicherweise die offizielle AusweisApp von Governikus. Ist diese jedoch nicht installiert, können andere Anwendungen entsprechende Links für sich beanspruchen und ihrerseits starten.

lol das ist so bescheuert dass ich nicht anders als lachen kann

...das Bundesamt für Sicherheit in der Informationstechnik (BSI) [...] sieht die Verantwortung für die Sicherheit der Endgeräte jedoch primär bei den Nutzern.

Ja ne ist klar. Ihr seid bestimmt die selben die ihre Apps auf Android 7 laufen lassen aber ein Android 13 ohne SafetyNet als unsicher einstuft

wütendes schielen auf Banking apps

Die Taktik kenne ich doch schon von meiner Bank!

Ich hatte mich ja schon einmal über die Benutzung der online Funktion aufgeregt.

Interessant fand ich auch den Rücksetzbrief selbst. Etwa ne halbe Seite Erklärung worauf ich alles bei dem Rubbelfeld beachten muss, dass es nicht beschädigt sein darf oder andere Anzeichen von Dritteinwirkung haben darf und was ich tun soll wenn doch. Danach folgt die Anleitung: Feld frei rubbeln und Code in App eingeben ODER mit dem Handy den offenen QR Code direkt neben dem Rubbelfeld einlesen...

Gegenfrage: Was soll das BSI denn tun, wenn Endanwender sich gefakte Apps installieren und dort ihre Zugangsdaten eingeben?

Ich trage Verantwortung und habe keinen lol

Die "Lücke" die hier beschrieben wird, nutze ich als Feature, damit sich angeklickte YT Links in NewPipe statt Youtube öffnen, lol.

Solange das nur die guten Haker machen, ist doch alles in Ordnung. Oder hat sich schon ein böser Haker gemeldet, der das im Verborgenen gemacht und ausgenutzt hat?