• Identifikationssysteme auf Basis biometrischer Daten bieten eine gute Mischung aus Sicherheit und Komfort.
• Bei der Einführung biometrischer Systeme sind erhöhte Anforderungen an den Schutz personenbezogener Daten zu beachten.
• Biometrische Merkmale sind schwer zu fälschen, sollten jedoch niemals als alleinige Authentifizierung für den Zugang zu kritischen Systemen verwendet werden.

Moderne IT-Sicherheit ist ohne Biometrie nicht mehr denkbar. Ob am Handy oder am PC – biometrische Merkmale wie Fingerabdruck und Gesichtsstruktur werden täglich milliardenfach zur Anmeldung an Geräten genutzt. Sie versprechen Sicherheit und Bequemlichkeit, ersparen sie dem Nutzer doch die umständliche Eingabe komplexer Logins und Passwörter. Doch wie sicher ist die Technik wirklich? Welche Grundlagen sind nötig und was muss beachtet werden, wenn man Biometrie in der IT-Sicherheit einsetzen will? Dieser Post gibt einen Überblick.

Unter dem Begriff Biometrie werden verschiedene Verfahren zusammengefasst. Am bekanntesten ist wohl die Erkennung von Fingerabdrücken, wie sie in vielen Smartphones zum Einsatz kommt. Spätestens seit Apple das FaceID-System in seinen Produkten eingeführt hat, ist auch die Erkennung der Gesichtsgeometrie über Kameras weit verbreitet.

Darüber hinaus gibt es weitere Verfahren, die eine biometrische Erkennung ermöglichen. So können beispielsweise die Iris oder die Netzhaut des Auges zur Identifikation genutzt werden. Ebenso eignet sich das Venenmuster der Hand und auch die Analyse der DNA ermöglicht eine genaue Identifikation.

Neben diesen gängigen Methoden gibt es auch exotischere Ansätze: So gibt es Verfahren, die Menschen anhand ihres Gangs, ihres Körpergeruchs, ihrer Unterschrift oder ihres Tippverhaltens auf einer Tastatur erkennen können.

Egal welches Verfahren angewandt wird – es muss vier Voraussetzungen erfüllen:

• Eindeutigkeit: Die Merkmale dürfen tatsächlich nur bei jeweils einer Person auftauchen.
• Konstanz: Die Ausprägung des Merkmals darf nicht vom Alter oder der Umgebung abhängen.
• Messbarkeit: Es muss klar definierte Messgrößen und -verfahren geben.
• Universalität: Möglichst viele Personen sollen das betreffende biometrische Merkmal aufweisen.

Seit weit über 100 Jahren gilt der Fingerabdruck als ideales Mittel zur eindeutigen Identifizierung von Personen. Die Methode beruht auf der bislang unbewiesenen Annahme, dass jeder Fingerabdruck absolut einzigartig ist.

Eine Studie aus dem Jahr 2024 stellt diese Annahme infrage. Eine KI-basierte Analyse von über 60.000 Fingerabdrücken hat ergeben, dass es signifikante Ähnlichkeiten zwischen den Mustern verschiedener Finger gibt.

Für die Biometrie stellt dies jedoch kein Problem dar. Denn die gefundenen Ähnlichkeiten bestehen zwischen den verschiedenen Fingern ein und derselben Person. Eine Verwechslung zweier Personen anhand eines Fingerabdrucks ist daher nach wie vor praktisch ausgeschlossen.

Grundsätzlich funktioniert jede biometrische Erkennung nach dem gleichen Prinzip.

1. Zunächst muss der Nutzer registriert werden. Bei diesem Enrolment werden alle relevanten Merkmale erfasst, die zu seiner eindeutigen Identifizierung notwendig sind.
2. Aus diesen Daten werden mit einem Algorithmus sogenannte Templates Sie enthalten nicht mehr die vom jeweiligen Sensor erfassten Rohdaten, sondern nur die für den späteren Vergleich notwendigen Informationen. Diese Templates werden verschlüsselt gespeichert.
3. Soll eine Person später biometrisch identifiziert werden, wird beim sogenannten Matching der neue Datensatz (also zum Beispiel der Finger auf dem Sensor) mit den gespeicherten Daten im Template verglichen. Dabei kommt es praktisch nie zu einer exakten Übereinstimmung der Daten. Sie werden also nicht auf absolute Gleichheit, sondern auf hinreichende Ähnlichkeit im Rahmen einer vorher definierten Toleranz geprüft.

Um diese Methode umzusetzen, ist neben einem entsprechenden Scanner, etwa einem Kamerasystem, auch ein leistungsfähiger Computer nötig. Der muss nicht nur fähig sein, das Matching durchzuführen, er muss gleichzeitig auch sensible Daten schnell und sicher verschlüsseln können.

Für den Einsatz biometrischer Verfahren in Unternehmen ist es wichtig, dass die erhobenen Daten tatsächlich nur für den geplanten Zweck ) genutzt werden, beispielsweise zur Zugangskontrolle oder zur Anmeldung an Systemen. Weitere Daten müssen aus den Rohdaten entfernt werden – es dürfen also nur Template-Daten gespeichert werden.

Optimal ist eine Speicherung der biometrischen Daten beim Mitarbeiter, also etwa auf einer Chipkarte oder innerhalb einer Smartphone-App. Müssen biometrische Daten zentral gespeichert werden, sollten sie pseudonymisiert und verschlüsselt werden.

Wichtig: Bei der Einführung biometrischer Verfahren sollten sowohl der Betriebsrat als auch Datenschutzbeauftrage frühzeitig eingebunden werden. Eine verdeckte Erfassung der Mitarbeitenden ist nicht zulässig.

Je nach eingesetztem Verfahren ist das Sicherheitsniveau sehr unterschiedlich. So gibt es Gesichtserkennungssysteme, die nur mit einer Kamera arbeiten. Diese können zum Teil mit einem einfachen Foto überlistet werden. Fortgeschrittene Gesichtserkennungssysteme (wie z.B. FaceID von Apple oder Hello von Microsoft) verwenden daher bis zu drei Kameras und eine damit verbundene Erfassung der Gesichtsgeometrie – und erreichen so ein sehr hohes Sicherheitsniveau.

Ähnlich sieht es bei Fingerabdruck-Scannern aus. Einfache Systeme erkennen nur das Muster der Fingerkuppe, bessere Sensoren messen, ob es sich tatsächlich um einen Finger oder nur um einen Gegenstand mit einem Muster darauf handelt.

Generell bieten biometrische Verfahren einen guten Kompromiss zwischen Sicherheit und Komfort. Die meisten Systeme können umgangen werden, allerdings ist der Aufwand dafür hoch.

Bei kritischen Systemen sollte die Biometrie nie allein, sondern immer in Kombination mit anderen Authentisierungsfaktoren (wie Passwörtern, Schlüsselgeneratoren etc.) eingesetzt werden.

Biometrische Daten ermöglichen die direkte Identifizierung von Personen. Ihre Speicherung unterliegt daher dem Bundesdatenschutzgesetz. Lassen die erhobenen Daten Rückschlüsse auf die ethnische Herkunft oder den Gesundheitszustand zu (z.B. Iris-Scan, Gesichtserkennung etc.), gelten sie als besonders schützenswert. Für ihre Erhebung ist die ausdrückliche Einwilligung der Betroffenen erforderlich. Unabhängig von der Art der erhobenen biometrischen Daten sollten die Informationen nur verschlüsselt und bestenfalls nie zentral auf einem Server, sondern dezentral beim jeweiligen Nutzer gespeichert werden.

Das Bundesamt für Sicherheit in der Informationstechnik rät, biometrische Systeme nur sparsam einzusetzen. Anders als ein verlorenes Passwort können Fingerabdruck, Gesichtsgeometrie & Co. nicht einfach ausgetauscht werden, wenn sie einmal kompromittiert sind. Biometrische Daten sollten daher nur bei vertrauenswürdigen Anbietern hinterlegt werden.

Wichtig bei der Implementierung ist auch: Biometrische Daten sollten nie als alleinige Zugangsinformation hinterlegt werden. Die Kombination mit Passwörtern, PINs etc. erhöht Sicherheit und Zuverlässigkeit der Anmeldung.

Richtig eingesetzt kann Biometrie die Sicherheitsarchitektur einer Organisation sinnvoll erweitern. Die Benutzerakzeptanz ist hoch, die Handhabung einfach und die Erkennungsqualität sehr gut. Dennoch müssen bei der Einführung wichtige Punkte wie Datenschutz, Verschlüsselung, Einwilligungspflicht und eine gründliche Schulung der Mitarbeitenden beachtet werden. Sind diese Faktoren erfüllt, ist die Biometrie sicherer und komfortabler als viele andere Authentifizierungsverfahren.