Das gefälschte Ich: Können wir biometrischer Authentifizierung vertrauen?

Jeden Tag lösen Millionen von Computern das immer wieder gleiche Problem, das für sie eigentlich sehr kompliziert ist. All diese Maschinen versuchen herauszufinden, ob es wirklich Sie sind, der sie bedient, oder jemand anderes. Die beliebteste Technologie ist dabei die Passworteingabe. Allerdings ist es recht einfach, ein Passwort zu stehlen, und es kann auch schnell einmal vergessen werden. Die bekannten Probleme mit Passwörtern zeigen, dass eine andere Technik zur Authentifizierung benötigt wird. Eine sehr einfache und attraktive Möglichkeit ist die biometrische Authentifizierung, bei der Sie einfach Ihren Finger auf einen Scanner legen oder in eine Kamera blicken oder eine Passwort-Phrase in ein Mikrofon sprechen. Ihre Finger, Augen und Stimme haben Sie immer dabei und sie können nicht gestohlen werden, richtig? Leider gibt es auch bei dieser schönen Möglichkeit zahlreiche Dinge, die dagegen sprechen, und deshalb verwenden wir immer noch nicht unseren Fingerabdruck, um uns bei Google einzuloggen oder Geld am Geldautomaten abzuheben.

Ich werde einige der Probleme detailliert ansprechen, doch zunächst eine kurze Zusammenfassung: Der Abgleich ist bei solche Systeme immer ungenau, es ist meist unmöglich, das „Passwort“ zu ändern, und es ist kompliziert, eine wirklich sichere Verschlüsselung basierend auf einem biometrischen „Passwort“ zu implementieren. Beim Schritt vom Konzept zur Implementation im echten Leben, stellt man zwangsläufig ein offensichtliches und sehr wichtiges Problem fest: Es ist mit den einfachsten und günstigsten Mitteln möglich, die meisten biometrischen Charakteristiken zu fälschen.

Gefahr durch Fremde

Der große Unterschied zwischen biometrischen Authentifizierungsverfahren und normalen Passwort-basierten Methoden ist, dass bei den biomterischen keine perfekte Übereinstimmung zwischen dem Original-Muster (Master) und dem überprüften Muster vorliegt. Man kann einfach keine zwei komplett identischen Fingerabdrücke des gleichen Fingers bekommen und bei Gesichtern wird das Ganze noch schwieriger. Gesichtscharakteristiken können sich verändern oder unlesbar werden, abhängig von der Beleuchtung, der Tageszeit, einer Brille, einem Bart, geröteten Augen, Make-Up und natürlich vom Alter. Auch die Stimme wird von zahlreichen Faktoren beeinflusst, zum Beispiel einer Erkältung. Unter diesen Bedingungen ist es extrem schwer, ein System zu entwickeln, dass dem legitimen Besitzer immer Zugriff gewährt und Fremde immer aussperrt.

Um dieses Problem zu lösen, versucht jedes biometrische System, die gescannten Muster von allen temporären oder unnötigen Störungen zu säubern. Dabei bleiben effektiv nur Charakteristiken übrig, über die ein mathematischer Vergleich getätigt werden kann. Nichtsdestotrotz sollte selbst dieses „Skelett“ mit hoher Wahrscheinlichkeit mit dem Original übereinstimmen. Bei Medium-Sicherheitssystemen wird es als normal angesehen, dass unter 10.000 Anmeldeversuchen einmal ein Fremder zugelassen und der legitime Anwender bei einem von 50 Versuchen abgelehnt wird. Wenn es allerdings um mobile Geräte geht, die sich laufend in einer anderen Umgebung befinden (mit anderen Lichtverhältnissen), und bei denen Vibrationen die Fehlerrate dramatisch erhöhen, sieht es anders aus: Deshalb versagt die Gesichtserkennung von Android in 30 bis 40 Prozent aller Fälle.

Ein Passwort für das ganze Leben

Wenn Sie Ihr Passwort vergessen oder es gestohlen wird, ändern Sie es einfach. Wenn Sie Ihre Schlüssel verlieren, lassen Sie ein neues Schloss einbauen. Doch was können Sie tun, wenn Ihr Bankkonto mit einem Bild Ihrer Handfläche „abgesperrt“ ist, wie es bei einigen brasilianischen oder japanischen Banken der Fall ist, und die Datenbank der Handflächenbilder gestohlen wird?

Es ist schließlich extrem schwer, Ihre Handfläche zu ändern. Selbst wenn Handflächenfälschungen heute noch nicht angefertigt werden, kann niemand garantieren, dass es in fünf oder zehn Jahren keine dafür passenden Techniken geben wird. Ihre Handfläche wird dann immer noch da sein.

Dieses fundamentale Problem könnte teilweise durch Fingerabdrücke gelöst werden – Sie können nur zwei bis vier Finger eintragen, statt aller zehn Finger, so dass Sie einige übrig haben, um das Passwort zu ändern. Doch der Vorrat ist recht begrenzt, vielleicht sogar zu begrenzt, wenn man die menschliche Lebenserwartung bedenkt. Hacks von Online-Konten passieren viel zu oft, so dass es etwas erschreckend ist, diese mit wertvollen biometrischen Informationen zu sichern. Die Tatsache, dass die meisten Dienste nur „Skelette“, biometrische Derivate speichern, macht das Ganze nicht gerade einfacher – zahlreiche Studien belegen, dass es möglich ist, zum Beispiel einen Fingerabdruck nachzubilden, der zwar mit dem Original nicht genau übereinstimmt, die Passwort-Prüfung aber dennoch besteht.

Zudem bringt die biometrische Online-Authentifizierung Bedenken hinsichtlich der Privatsphäre mit sich. Biometrische „Passwörter“ identifizieren Sie ganz klar als Sie selbst, und damit wird es unmöglich, zwei getrennte Profile auf dem gleichen Sozialen Netzwerk zu haben. Denn eine Seite hat genug Möglichkeiten, herauszufinden, dass es sich um die gleiche Person handelt. Streng genommen haben hunderte, vielleicht sogar tausende Anwender parktisch die gleichen nicht zu unterscheidenden Merkmale, doch mit der Hilfe von Geo-IPs und anderen Metadaten, die mit Anwenderanfragen mitgesendet werden, kann ein einzigartiges Profil für jeden Anwender erstellt werden. Wenn es jemand schafft, biometrische Authentifizierung bei jedem beliebten Internet-Dienst einzurichten, wird das Online-Verfolgen von Anwendern kinderleicht.

Ein digitales Schließfach

Passwörter (und potenziell auch biometrische Daten) werden hauptsächlich genutzt, um den Zugriff auf verschiedene Geräte und Dienste zu regeln. Das zweite beliebte Einsatzgebiet ist, den Zugriff auf gespeicherte Daten zu beschränken. Im zweiten Fall ist es allerdings schwer, biometrische Daten zu nutzen.

Wenn Sie Ihre Dokumente in ein mit Fingerabdruck gesichertes Schließfach legen, sind Ihre Daten durch die Wände des Schließfachs geschützt, und Sie müssten schon einen starken Bohrer verwenden, um am Fingerabdruck-Schloss vorbei an die Dokumente zu kommen. Wenn es nur um den Zugriff auf Ihren Computer geht, ist es jedoch lächerlich einfach, den Passwort-Schutz zu umgehen, deshalb ist das Computer-Äquivalent der Stahlwände des Schließfachs die Verschlüsselung. Und damit kommen die Komplikationen. Wenn Sie etwas mit einem Passwort verschlüsseln, wird mit Ihrem Passwort ein spezieller Schlüssel generiert. Wenn Sie nur ein einziges Zeichen des Passworts ändern, entsteht ein komplett anderer, nutzloser Verschlüsselungs-Schlüssel. Doch das biometrische „Passwort“ ist bei jedem Zugriffsversuch etwas anders, deshalb ist es so schwer, solch ein „Passwort“ direkt für die Verschlüsselung zu verwenden. Deshalb verlassen sich die existierenden „Digital-Schließfächer“ auf Cloud-basierte Hilfe – die biometrische Abstimmung passiert auf dem Server, und wenn sie erfolgreich ist, stellt der Server den Schlüssel zur Verfügung. Natürlich enthält diese Methode die Gefahr eines massiven Datenlecks: Ein gehackter Server könnte zu Kompromittierung sowohl der Schlüssel als auch der biometrischen Daten führen.

Biometrik im echten Leben

Abgesehen von Science-Fiction-Filmen und militärischen Entwicklungen, können wir uns zwei Fälle biometrischer Authentifizierung vorstellen, die auch Sie betreffen können. Manche Banken testen bereits neue Systeme – sie könnten Scans von Handflächen bei Geldautomaten sowie Stimmerkennung bei telefonbasierten Diensten einführen. Die zweite Art der beiometrischen Sicherheit im echten Leben sind eingebaute Scanner in elektronischen Geräten. Die Handy-Kamera kann das Gesicht erkennen und ein Sensor erkennt den Fingerabdruck. Einige Systeme nutzen auch Stimmerkennung. Neben den genannten generellen Problemen haben diese Implementierungen in Geräten für Privatanwender zusätzliche Einschränkungen, etwa durch die CPU-Leistung, den Preis des Sensors und die physikalischen Abmessungen – um diese Einschränkungen auszugleichen, müssen die Entwickler die Systemsicherheit und die Robustheit opfern. Deshalb ist es so einfach, manche Scanner mit einer Gelatine-Form oder einem nassen Papier zu täuschen, auf dem mit einem normalen Drucker ein Fingerabdruck ausgedruckt wurde. Und wenn es um den Profit geht, könnten einige Betrüger zudem ganz einfach einen gefälschten Finger produzieren – solche kriminellen Maschen gibt es bereits. Andererseits müssen legitime Anwender oft mehrfach versuchen, ihre Finger zu scannen, um Zugang zu bekommen – denn der Sensor funktioniert oft nicht richtig, wenn der Finger feucht ist, eingekremt wurde, nicht ganz sauber ist oder Kratzer und Brandwunden hat.

Gesichtserkennungssysteme schaffen es nur selten, ein echtes Gesicht von einem Foto zu unterscheiden (obwohl manche Systeme die Lebendigkeit prüfen, zum Beispiel, ob die Augen zwinkern). Doch wenn Sie Ihr Gesicht nutzen, um Ihr Handy freizuschalten, ist das Ganze bereits abhängig von den Lichtverhältnissen und der Umgebung, so dass Sie die Authorisierung nicht noch mit zusätzlichen Prüfungen erschweren möchten. Und Sie sollten das Ganze absichern (mit einem guten, alten Passwort), denn im Dunkeln können Sie Ihr Gerät mit der Gesichtserkennung nicht entsperren.

Die meisten Entwickler von Stimmerkennungssystemen behaupten, dass diese Fälschungen erkennen können – sowohl Aufnahmen als auch Stimmenimitatoren. Tatsächlich schaffen nur die besten Systeme alle dafür benötigten und eine hohe Rechenleistung voraussetzenden Prüfungen. Manche Forscher sagen, dass eine Stimmveränderungs-Software solche Stimmerkennungssysteme in 17 Prozent aller Fälle täuschen kann. Es ist kompliziert, eine vollständige Echtzeitanalyse auf einem mobilen Gerät zu implementieren, so dass auch hier die Hilfe der Cloud in Anspruch genommen wird. Doch Cloud-basierte Authentifizerung ist langsamer, benötigt eine Internet-Verbindung und kann durch andere Angriffe, etwa Man-In-The-Middle-Attacken, kompromittiert werden. Übrigens ist eine Man-In-The-Middle-Attacke vor allem für Stimmerkennungssysteme gefährlich, denn es ist es viel einfacher, eine Stimmaufnahme zu erhalten, als andere biometrische Daten.

Die Kombination der praktischen Probleme für legitime Anwender mit der mangelhaften Sicherheit, hält die biometrische Authentifizierung noch davon ab, im mobilen Bereich zum Standard zu werden und traditionelle Passwörter und Tokens zu ersetzen. Sichere und zuverlässige Identitätsprüfung mit biometrischen Daten ist unter kontrollierten Bedingungen bereits möglich, etwa bei Grenzkontrollen an Flughäfen oder dem Eingang in ein Bürogebäude. Doch mit einem Smartphone in der zittrigen Hand funktioniert sie nicht überall genau so gut.