Ich bin, also darf ich : Biometrische Authentifizierung – kein Allheilmittel, aber „Breitspektrumantibiotikum“
Bei Heilmitteln sind die Ansprüche hoch – Kernfragen lauten: Hilft es? Wo liegt der Schmerz? Was soll etwa bei der Authentifizierung überhaupt geheilt werden? Heilmittel haben oft Nebenwirkungen und helfen nicht gegen alles. Biometrie kann ein gutes Heilmittel sein, auch für verschiedene Probleme – ein Allheilmittel ist sie sicher nicht, aber immerhin die einzige Authentifizierungsmöglichkeit mit direktem Personenbezug, betont unser Autor.
Von Harry Schäfle, Augsburg
„Bitte melden Sie sich an!“ – Wir alle stöhnen über die vielen Schlüssel, RFID-Karten und -Tags, die wir mit uns herumschleppen „dürfen“, und die Unmenge an Passwörtern, die wir uns zwar kaum merken können, aber teils noch immer oft ändern sollen. Gegen diese Plage ist ein Heilmittel gefragt, das eine sichere Authentifizierung handhabbar und transparent ermöglicht. Es geht um menschengerechten Zutritts-, Zugangs- und Zugriffsschutz – sicher kontrollierten Zutritt zu Räumen, Zugang zu Systemen und Zugriff auf Daten.
Die Informationssicherheit kämpft von jeher mit dem Ruf, alles schwieriger zu machen, frei nach dem Motto: Wie hätten Sie es gerne – kompliziert und sicher oder lieber einfach und unsicher? Mit biometrischen Verfahren sollte alles anders werden: sicher und zugleich einfach benutzbar. Anfang der 2010er-Jahre gab es einen regelrechten Hype – inzwischen hat sich eine gewisse Ernüchterung eingestellt. Dieser Artikel will einen kurzen Überblick über realistische Möglichkeiten geben und helfen, diese einzuordnen.
Eine Authentifizierung soll ausschließen, dass sich unberechtigte Personen Zutritt, Zugang oder Zugriff verschaffen. Bei der Suche nach der besten Methode lohnt ein Rückblick auf die grundlegenden Verfahren, ihre Vor- und Nachteile sowie auf Möglichkeiten, diese miteinander zu verbinden.
Besitz
Besitzbasierte Verfahren kennt die Menschheit schon ewig – im einfachsten Fall heute vielleicht durch einen Hausschlüssel. Die Authentifizierung geschieht mittelbar, durch den Besitz des Schlüssels: Wenn dieser zum Schloss passt, ist man berechtigt – die Tür geht auf.
Der Vorteil liegt im wörtlichen Sinne auf der Hand: Wir nutzen moderne Formen wie Smartcards, RFID-Tags, Key-Fobs, „intelligente“ Schlüssel, Token, Smartphones, Ausweise et cetera ganz selbstverständlich – es gibt eine sichtbare, klare Zuordnung von Medium und Funktion und man kann viele Medien bei Bedarf auch zeitweise jemand anderem geben.
Dies hat drei maßgebliche Nachteile: Erstens können Schlüsselmedien leicht weitergegeben, gestohlen und verloren sowie oft auch dupliziert werden. Des Weiteren ist man nie sicher, wer sich damit authentifiziert, da es keine direkte Verbindung zwischen Person und Zugriff gibt, sondern nur zwischen Schlüssel und Schloss. Man weiß also nie, wer sich anmeldet, sondern nur, dass er den Schlüssel hat. Notariats-Services oder Nicht-Abstreitbarkeit sind damit nicht zu verwirklichen. Und drittens ist der Verwaltungsaufwand solcher Medien sehr hoch: In manchen Firmen werden jährlich 20 % der Smartcards ersetzt, da sie verloren oder kaputt gehen – bei Umorganisierungen müssen teils sogar alle Karten neu erstellt werden.
Wissen
Wissensbasierte Verfahren können zwei der beschriebenen Nachteile wirksam begegnen: Bekannte Vertreter sind PIN, Passwort, Passphrase oder Challenge-Response-Verfahren.
Das „Medium“ ist quasi in unseren Kopf gewandert. Bei Umorganisationen bleibt alles erhalten, der Hantierungsaufwand ist erheblich geringer. Verluste mehren sich zwar etwa nach dem Urlaub, lassen sich aber heutzutage automatisch abarbeiten. Ein verratenes, weitergegebenes Passwort kann man zwar nicht zurückfordern, jedoch oft und leicht ein neues generieren, ohne die ganze „Schließanlage“ auszutauschen.
Die Höhe des Sicherheitsgewinns hängt dabei sehr stark von den Benutzern ab. Durch die Vielzahl an Verfahren, die unterschiedliche komplexe Passwörter fordern, können wir Menschen uns jedoch schnell nicht mehr alles merken – Passwortmanager sind ein Ausweg, werden aber in Unternehmen oft (noch) nicht angeboten.
Auch Wissen dient einem mittelbaren Verfahren: Man ist sich nicht der Person selbst sicher, sondern nur, dass sie etwas weiß, das ihr Türen öffnet – wie beim Pin-Pad am Schloss: Drückt man die richtigen sechs Zeichen, wird aufgesperrt.
Sein
Diesen Nachteil merzt ausschließlich die Biometrie aus, nur sie ist personengebunden. Personen authentifizieren sich unmittelbar durch unverwechselbare, stabile biometrische Eigenschaften (z. B. Stimme, Iris, Netzhaut, Fingerabdruck, Finger-/Handvenen, DNS) oder ihr Verhalten (z. B. Gangbild, Art und Weise des Schreibens, Tippens oder von Mausbewegungen). Das genial Einfache an der Biometrie ist: Wir müssen keine Medien mit uns herumschleppen und können auch nichts vergessen.
Der starke Personenbezug ist aber auch der wichtigste Kritikpunkt: Einen Fingerabdruck kann man nicht einfach mal ändern, Netzhaut oder DNS schon gar nicht. Die EU Datenschutzgrundverordnung (DSGVO) fordert für biometrische Daten auch deshalb einen besonders hohen Schutz. Die Einführung biometrischer Systeme sollte daher besonders umsichtig und kontrolliert erfolgen.
Multi-Faktor-Authentifizierung
Multi-Faktor-Authentifizierung kombiniert verschiedene Verfahren und wird immer gebräuchlicher. Bankkarte und PIN kennen wir seit Langem, Passwort und TAN ebenfalls – und auch Handy und Fingerabdruck oder Tablet und Gesichtserkennung gelten nicht mehr als Hexenwerk.
Die Sicherheit wird – bei richtigem Gebrauch – durch solche Kombinationen maßgeblich erhöht. Wo man die PIN auf die Bankkarte schreibt, um sie nicht zu vergessen, oder sich Banking-App und TAN/OTP-Generator auf demselben Handy befinden, helfen jedoch auch zwei Faktoren nicht (viel). Dennoch: Wo Sicherheit großgeschrieben wird, ist eine Multi-Faktor-Authentifizierung immer empfehlenswert.
Verdeckte Verfahren
Als Sicherheits-Dienstleister bevorzugt der Autor verborgene biometrische Daten: Die meisten biometrischen Merkmale sind offensichtlich und können deshalb grundsätzlich – manche auch relativ leicht – nachgemacht werden (vgl. Abb. 1). Ein typischer Vertreter ist beispielsweise der Fingerabdruck: Im Internet sind Tools verfügbar, mit denen man innerhalb einiger Minuten aus einem Abdruck am Trinkglas einen gültigen Fingerabdruck generieren kann – selbst aus hochaufgelösten Fotos ist das bereits gelungen. Ein einfacher Zugang zur Biometrie anderer Personen ist natürlich überaus kritisch – gerade am Beispiel Fingerabdruck, da wir immer, wenn wir etwas anfassen, praktisch überall Spuren unserer Fingerabdrücke hinterlassen. Damit ist es mit etwas Mühe möglich, ein per Fingerprint geschütztes Handy zu entsperren oder auch Haustüren mit Fingerabdruckleser zu öffnen.
Dies ist bei sogenannten verdeckten biometrischen Verfahren wie Finger- oder Handvenenerkennung nicht der Fall: Die genutzte biometrische Information ist nur über sehr spezielle Sensoren und örtlich sehr eingeschränkt lesbar. Die gelesene Information wird zudem nicht am Lesegerät hinterlassen, sogenannte Replay-Attacken lassen sich somit fast vollständig ausschließen. Abbildung 2 zeigt das Funktionsprinzip bei der Authentifizierung.
Dass die Hand den Sensor nie berührt, bedeutet in Corona-Zeiten zusätzliche Hygiene. Ferner können die Biometrieinformationen bereits im Sensormodul so verschlüsselt werden, dass kein Rückbezug auf den Verlauf der Handvenen mehr möglich ist. Bei jedem Lesevorgang verlässt ein unterschiedlicher, verschlüsselter Datenstrom den Sensor – das stellt eigentlich bereits keine biometrischen Daten mehr dar. Das alles verlangt allerdings leistungsfähige, komplexe Sensoren, die 100 e und mehr kosten.
Abbildung 1: Qualitative Einschätzung der Praktikabilität und Genauigkeit verschiedener biometrischer Verfahren
Tabelle 1: Vor- und Nachteile verschiedener Authentifizierungsverfahren
Erfolgsfaktoren für Biometrie
- Die richtige Wahl: Definieren Sie Ihre Anforderungen und blicken Sie dabei auch auf künftige Erfordernisse. Prüfen Sie Ihre Anforderungen bezüglich gewünschter Sicherheit und Bedienbarkeit. Biometrie bietet heute viele ausgereifte Verfahren an und kann höchste Sicherheit und Benutzbarkeit gut miteinander kombinieren. Prüfen Sie, ob und wie sich das gewünschte Verfahren in ein bereits vorhandenes oder gewünschtes Identity- und Access-Management (IAM) einbinden lässt.
- Einbezug von Mitarbeitern und relevanten Stakeholdern: Die Akzeptanz biometrischer Methoden ist in den vergangenen Jahren enorm gestiegen – vor allem bedingt durch die breite private Nutzung in Smartphones oder bei der Windows-Anmeldung. Im betrieblichen Umfeld ist neben den Fachabteilungen die frühzeitige Einbindung von Arbeitnehmervertretung, Datenschutzabteilung und auch Mitarbeitern ein wichtiger Erfolgsfaktor. So lassen sich Ängste oft schon im Vorfeld ausräumen und viele gute Ideen aus der Praxis können mit einfließen. secobit hat gute Erfahrung mit Demonstratoren gemacht, bei denen Mitarbeiter die Verfahren persönlich ausprobieren können. Das Gespräch mit den Mitarbeitern hilft übrigens gleichzeitig, das Bewusstsein für Informationssicherheit im Unternehmen zu steigern – es kann auch mit einer jährlichen Schulung kombiniert werden.
- Datenschutz nicht vergessen: Beim Einsatz von Biometrie muss auf alle Fälle eine Datenschutz-Folgenabschätzung (DSFA) geprüft und gegebenenfalls durchgeführt werden (Art. 25, 32 und 35 DSGVO). Diese hilft oft aber auch, unbekannte Risiken zu erkennen und die Sicherheit des Gesamtablaufs sowie die Durchgängigkeit von Prozessen zu verbessern.
- Optimierung des Betriebs: Gerade bei der Biometrie ist die Ersterfassung von zentraler Bedeutung – die Verfahrensweise ist zu dokumentieren und streng einzuhalten. Ein biometrisches Merkmal muss der wirklichen Person eindeutig zugeordnet werden. Hier empfiehlt sich, geschulte Mitarbeiter am Personeneingang oder die Personalabteilung einzubinden. Gute biometrische Merkmale weisen eine Unveränderlichkeit während des gesamten (Berufs-)Lebens auf – eine Erneuerung ist nur in den seltensten Fällen nötig. Nutzen Sie dennoch Möglichkeiten eines automatischen Rechteentzugs oder beschränkter Gültigkeit und prüfen Sie die Nutzbarkeit der eingesetzten Technik in anderen Bereichen. Überprüfen Sie alternative Authentifizierungswege, zum Beispiel für externe Dienstleister, die partout nicht mitmachen wollen oder Mitarbeiter bei denen die gewählte Biometrie nicht gut funktioniert. Achten Sie bei der Implementierung auf durchgängige Sicherheit: Selbst das sicherste Schloss hilft nicht bei geöffneten Türen!
Abbildung 2: Ablauf bei der Handvenenerkennung
Fazit
Heute ist eine Vielzahl biometrischer Authentifizierungsverfahren am Markt, deren Vorteile im direkten Personenbezug, einer guten Benutzbarkeit, geringem Betriebsaufwand und – besonders bei verdeckten biometrischen Verfahren – hoher bis höchster Sicherheit liegen.
Biometrische Authentifizierung ist kein Allheilmittel, bietet jedoch eine ernste Alternative oder Ergänzung zu wissens- und besitzbasierten Verfahren – gerade zur Multi-Faktor-Authentifizierung eignet sie sich hervorragend. Durch den hohen Personenbezug müssen allerdings Datenschutz und Benutzerakzeptanz besonders beachtet werden.
Biometrie wird sich – gerade in Kombination mit anderen Verfahren – künftig weiter durchsetzen. Ausgehend vom privaten Bereich, wo Sprache, Gesichtserkennung, Gestik und Fingerabdruck wegen des hohen Bedienkomforts bereits breit eingesetzt werden, dürfte die Verwendung auch im betrieblichen Umfeld in den kommenden Jahren stark zunehmen. Es ist daher gut, sich frühzeitig damit zu beschäftigen!
Dipl.-Ing. Harry Schäfle ist Gründer und Gesellschafter der secobit GmbH sowie Lehrbeauftragter an der Hochschule Augsburg