Gesichtserkennung, Fingerscan & Co.: Bequem, aber nicht ohne Risiko

Werden Passwörter bald überflüssig?

In einer Umfrage von Cisco unter 500 Anwenderinnen und Anwendern zeigte sich, dass Fingerabdrücke ein beliebter Ersatz für Passwörter sind. Mehr als die Hälfte (55 Prozent) fühlt sich wohl dabei, den Fingerabdruck für den Zugang zu einem Online-Konto zu verwenden. 40 Prozent haben nichts gegen eine Gesichtserkennung einzuwenden.

Tatsächlich ersetzen Unternehmen den Passwortschutz zunehmend durch andere Sicherheitsverfahren. Das gilt vor allem für die Nutzung der Biometrie in Form von Fingerabdrücken und Gesichtserkennung. Smartphones und andere mobile Endgeräte haben Funktionen zur Anmeldung über Fingerabdruck oder Gesichtserkennung gleich an Bord. Entsprechend häufig erfolgt auch die Anmeldung darüber, wenn sich Beschäftigte im Homeoffice befinden oder unterwegs arbeiten.

Laut einer Umfrage der FIDO Alliance unter 1.000 befragten Deutschen gelten biometrische Verfahren nicht nur als bequem, sondern auch als sicherste Art der Identitätsprüfung. Viele Studien gehen deshalb davon aus, dass Passwörter kaum noch eine Zukunft haben, die Biometrie wird sie ersetzen.

Sollte sich der Datenschutz darüber nicht freuen, wo doch so große Probleme mit ausreichend starken Passwörtern bestehen? Ja und nein, lautet die Antwort.

Passwörter kann man tauschen, Fingerabdrücke nicht

Wollen Unternehmen biometrische Lösungen einsetzen, fordert der Datenschutz, die Risiken genau zu prüfen. Dafür gibt es gute Gründe: Biometrische Daten und ihre Analyse eignen sich zwar sehr gut als Identitätsnachweis. Gelangen biometrische Daten aber in die falschen Hände, lassen sie sich für einen Identitätsdiebstahl nutzen.

Haben Angreifer Passwörter gestohlen, kann und muss man sie ersetzen. Bei biometrischen Merkmalen wie den Fingerabdrücken oder dem Gesicht kann man jedoch nicht beliebig neue, eindeutige Kennzeichen wählen. Man hat nur ein Gesicht und eine begrenzte Zahl von Fingerkuppen.

Biometrische Daten lassen sich missbrauchen

Im Gegensatz zu einem Passwort, das sich bekanntlich nicht mit der jeweiligen Person in Verbindung bringen lassen sollte, also zum Beispiel nicht den Namen enthalten soll, haben biometrische Daten sehr wohl mit der Person zu tun. So lässt sich ein Gesichtsausdruck nicht nur nutzen, um eine Person zu identifizieren. Es sind auch weitere Analysen möglich, wie eine Studie des EU-Parlaments warnt. So könnten sich darüber zum Beispiel menschliche Zustände der betroffenen Person leichter identifizieren lassen, wie Angst, Müdigkeit oder Krankheit, so die Studie.

Biometrie erfordert hohe Sicherheit

Wer also den Komfort einer Anmeldung über Gesichtserkennung oder Fingerabdruck nutzen will, muss das Verfahren besonders gut absichern. Das will der Datenschutz sicherstellen, um Missbrauch zu verhindern. Aus diesem Grund fordert der Datenschutz eine Prüfung vor der Einführung von Biometrie – nicht um die Passwort-Probleme zu erhalten, sondern um die Daten der betroffenen Personen zu schützen.

Denken Sie deshalb auch bei privater Nutzung von Fingerscan und Gesichtserkennung daran, nicht einfach jedes Verfahren zu verwenden. Stehlen Angreifer Ihre biometrischen Muster, sind Ihre privaten und beruflichen Zugänge in Gefahr, wenn sie durch Biometrie geschützt werden.

Kennen Sie die Risiken der Biometrie? Machen Sie den Test!

Frage: Die Erkennung von Fingerabdrücken ist sicher, denn einen Fingerabdruck kann niemand fälschen. Stimmt das?

1. Nein, man muss Fingerabdrücke nämlich nicht fälschen, um eine Identität vorzutäuschen. Man kann die Muster der Fingerabdrücke auch stehlen, um sie zu missbrauchen.
2. Ja, Fingerabdrücke sind im Gegensatz zu Passwörtern absolut sicher.

Lösung: Die Antwort 1. ist richtig. Aus den Fingerabdrücken der Nutzerinnen und Nutzer werden bei biometrischen Anmeldeverfahren Muster errechnet und gespeichert. Gelingt es einem Angreifer, diese errechneten Muster zu stehlen, kann er die biometrische Überprüfung der Identität täuschen und die Identität der Person übernehmen. Biometrische Verfahren müssen deshalb gegen Angriffe abgesichert sein.

Frage: Biometrische Daten lassen sich nicht für andere Zwecke missbrauchen. Stimmt das?

1. Ja, man nutzt die Fingerabdrücke und die Gesichtserkennung nur, um die Identität einer Person zu prüfen.
2. Nein, biometrische Kennzeichen können mehr über eine Person verraten als die zu prüfende Identität.

Lösung: Die Antwort 2. ist richtig. So kann man zum Beispiel aus einem Gesichtsausdruck mittels Analyse versuchen, Rückschlüsse auf Stimmungen, auf das Alter oder auf Anzeichen für Krankheiten zu ziehen. Biometrische Merkmale sind nicht nur ein möglicher Passwortersatz, sie sind Teil des menschlichen Körpers und können deshalb auch mehr über die Person aussagen als ein sinnvoll gewähltes Passwort, das bekanntlich keine personenbezogenen Angaben enthalten sollte.