BSI: Biometrie zur Authentisierung – es ist kompliziert

Viele Sicherheitsexperten empfehlen Verbrauchern für eine sichere Anmeldung bei Online-Diensten eine Zwei-Faktor-Authentisierung (2FA) gegenüber der gängigen Kombination von Nutzername und Passwort. Als zweiter Faktor bietet sich dabei zunehmend die Biometrie an. Die dafür benötigten technischen Voraussetzungen etwa in Smartphones und Laptops sind mittlerweile weit verbreitet. Mit seinem Finger einen Sensor zu berühren oder sein Gesicht in eine Kamera zu halten erscheint einfach und schnell. Aber ist diese Technologie im Allgemeinen auch sicher? Dieser Frage ist das Bundesamt für Sicherheit in der Informationstechnik (BSI) aus der Sicht des digitalen Verbraucherschutzes nachgegangen und hat dazu am Freitag ein Weißbuch veröffentlicht.

Besonders hohe Anforderungen

Ein Kernergebnis des Papiers: Biometrie bei 2FA kann die Nutzerfreundlichkeit erhöhen. "Gesicht oder Finger kann man im Gegensatz zu Passwörtern normalerweise weder vergessen noch verlieren", heißt es dazu. Zudem könnten Veränderungen etwa "aufgrund von Alterung, Verletzungen, Krankheiten" durch eine erneute Aufnahme der biometrischen Merkmale kompensiert werden. Zugleich gelte aber: Bei einer einmal kompromittierten Biometrie sei es nicht mehr möglich, einschlägige Kennzeichen wiederherzustellen. Daher müssten hier besonders hohe Anforderungen an die IT-Sicherheit der Verfahren angesetzt werden.

Das BSI betrachtet in der Untersuchung die Fingerabdruck und Gesichtserkennung, um den Faktor Wissen (PIN oder Passwort) durch Biometrie zu ersetzen. Andere Verfahren seien kaum verbreitet, die Iriserkennung vermutlich erst künftig "durch namhafte Geräteanbieter wieder eingeführt". Eine allgemeine Bewertung der Sicherheit biometrischer Verfahren sei "aufgrund der Vielfalt der Produkte und Einsatzszenarien sowie unterschiedlichster Implementierungen nicht möglich, schreiben die Autoren. Es müsse der Einzelfall betrachtet werden.

Beispielsweise sei die Erkennungsgenauigkeit für die Abwägung von Sicherheit und Gebrauchstauglichkeit relevant. Eine höhere Rate könne zwar mehr Sicherheit bedeuten, beeinträchtige aber durch potenziell vermehrte Falschabweisungen die Gebrauchstauglichkeit. Umgekehrt führe eine geringere Genauigkeit zu einer besseren Einsetzbarkeit im Alltag, gleichzeitig aber zu einer geringeren Sicherheit des Systems.

Hacker überlisten Biometrie-Systeme immer wieder

Allgemein rät das BSI: Die für das biometrische Verfahren und zum Abgleich benötigten Daten von Finger oder Gesicht sollten immer als Muster oder Template gespeichert werden, dass "nicht auf das Originalbild zugegriffen werden kann". Ferner empfehle es sich, das Template in einem sicheren Speicher abzulegen und die Verarbeitung der biometrischen Information in einem gekapselten Bereich auszuführen. Auch eine Fälschungserkennung sei "ein wichtiger Bestandteil sicherer biometrischer Verfahren. Die eingesetzte Technik sollte also den Zugriff auf Dienste durch Fälschungen oder auch Angriffsversuche – etwa schon durch das Hochhalten eines Fotos – verhindern können.

Hierzulande sorgte der Chaos Computer Club (CCC) 2008 für Aufsehen, als er einen Fingerabdruck des früheren Bundesinnenministers Wolfgang Schäuble im Vereinsmagazin "Datenschleuder" veröffentlichte. Damals hatte ein Glas den Weg zu den Hackern gefunden, aus dem der CDU-Politiker getrunken hatte. 2014 zeigte der CCC, dass ein direkter Kontakt mit physikalischen Objekten zum Abnehmen biometrischer Merkmale und dem anschließenden Basteln von Attrappen nicht mehr nötig ist. Dafür reicht schon die Aufnahme eines Fotos aus einem Abstand einiger Meter.

Das BSI empfiehlt daher etwa auch, das Angriffsfenster auf ein bestimmtes Zeitintervall oder eine maximale Anzahl von Versuchen zu verkürzen. Es gelte, Maßnahmen wie den Rückfall auf einen anderen Faktor (Wissen oder Besitz) zu treffen und die Nutzung unterschiedlicher Charakteristiken anzubieten.

(vbr)