Biometrische Authentifizierung: Verfahren, Sicherheit und Datenschutz

Was ist biometrische Authentifizierung?

Bei der Authentifizierung beweist eine Person, dass sie die ist, die sie vorgibt zu sein. Es gibt drei Arten von Nachweisen: etwas, das man weiß (Passwort), etwas, das man besitzt (Smartphone, Sicherheitsschlüssel), und etwas, das man ist. Biometrie ist der dritte Faktor.

Das Wort kommt aus dem Griechischen: „bios“ heißt Leben, „metron“ Maß. Biometrie misst also Merkmale eines lebenden Menschen.

Im Alltag begegnet sie uns ständig: beim Entsperren des Smartphones per Fingerabdruck, bei der Gesichtserkennung am Laptop oder an der automatischen Passkontrolle am Flughafen.

Biometrische Verfahren im Überblick

Körperliche Merkmale

• Fingerabdruck: das bekannteste Verfahren. Günstig, schnell und weit verbreitet.
• Gesichtserkennung: am Smartphone oft mit 3D-Sensoren, die Tiefe messen und so Fotos erkennen.
• Iris-Erkennung: sehr genau, aber teurer. Häufig in Hochsicherheitsbereichen.
• Venenerkennung: misst das Venenmuster in Hand oder Finger mit Infrarotlicht. Schwer zu fälschen.
• Handgeometrie: misst Form und Größe der Hand. Eher in der Zutrittskontrolle verbreitet.

Verhaltensbasierte Merkmale

• Stimme: etwa bei Telefon-Hotlines. Anfällig für KI-Stimmklone.
• Tippverhalten: Rhythmus und Druck beim Tippen.
• Unterschrift: das Schriftbild und dazu Tempo und Druck beim Schreiben.
• Gang und Bewegung: etwa wie jemand ein Smartphone hält.

Verhaltensmerkmale werden oft im Hintergrund genutzt, um zu prüfen, ob noch dieselbe Person am Gerät sitzt.

So funktioniert biometrische Authentifizierung

1. Erfassen (Enrollment): Das Merkmal wird einmal aufgenommen, etwa durch mehrfaches Auflegen des Fingers.
2. Vorlage erstellen: Das System speichert kein Bild, sondern eine mathematische Beschreibung der Merkmale, das sogenannte Template.
3. Vergleichen: Bei jeder Anmeldung wird das Merkmal neu erfasst und mit der Vorlage verglichen.
4. Entscheiden: Das Ergebnis ist nie eine exakte Übereinstimmung, sondern ein Ähnlichkeitswert. Liegt er über einer Schwelle, wird die Person akzeptiert.

Genauigkeit: FAR und FRR

Biometrie arbeitet mit Wahrscheinlichkeiten. Zwei Kennzahlen beschreiben die Qualität:

• False Acceptance Rate (FAR): Wie oft wird ein Fremder fälschlich akzeptiert?
• False Rejection Rate (FRR): Wie oft wird die berechtigte Person fälschlich abgewiesen?

Beide hängen zusammen. Wird die Schwelle strenger, sinkt die FAR, aber Berechtigte werden öfter abgewiesen. Wird sie lockerer, steigt die Bequemlichkeit, aber auch das Risiko. Der Hersteller muss hier eine sinnvolle Balance finden.

Vorteile

• Bequem: Kein Passwort merken, keine Karte suchen.
• Schnell: Die Anmeldung dauert oft weniger als eine Sekunde.
• Schwer weiterzugeben: Ein Fingerabdruck lässt sich nicht einfach per E-Mail weitergeben oder erraten.
• Gut kombinierbar: Als zweiter Faktor in der Multi-Faktor-Authentifizierung erhöht Biometrie die Sicherheit deutlich.

Risiken und Angriffe

• Fälschungen: Angreifer versuchen es mit nachgebildeten Fingerabdrücken, Fotos, Videos oder Masken.
• KI-Fälschungen: Deepfakes und Stimmklone bedrohen vor allem Gesichts- und Stimmerkennung über Video oder Telefon.
• Nicht änderbar: Ein gestohlenes Passwort ändern Sie. Ihren Fingerabdruck nicht. Ein Datenleck mit biometrischen Vorlagen wiegt daher besonders schwer.
• Fehlerraten: Verletzungen, Brillen, Masken oder schlechtes Licht können zur Abweisung führen.
• Unfreiwillige Nutzung: Ein Finger kann auch gegen den Willen einer Person auf einen Sensor gedrückt werden.

Lebenderkennung

Gute Systeme prüfen, ob wirklich ein lebender Mensch vor dem Sensor ist. Diese Lebenderkennung (Liveness Detection) achtet zum Beispiel auf Tiefe, Hautstruktur, Blutfluss, Blinzeln oder kleine Bewegungen. Sie erschwert Angriffe mit Fotos, Masken oder nachgebildeten Fingern erheblich. Für Prüfverfahren gibt es die Normenreihe ISO/IEC 30107.

Biometrie und Passkeys

Besonders sicher ist Biometrie, wenn die Daten das Gerät nie verlassen. Genau das passiert bei Passkeys nach dem FIDO2-Standard. Der Fingerabdruck oder das Gesicht entsperrt nur einen Schlüssel, der in einem geschützten Bereich des Geräts liegt. Der Server erfährt nichts über das biometrische Merkmal. Er erhält nur eine kryptografische Bestätigung.

Damit entfällt das größte Risiko zentral gespeicherter Biometrie. Gleichzeitig schützen Passkeys gegen Phishing, weil sie nur auf der echten Webseite funktionieren. Auch die zentrale Anmeldung von SecTepe.Comm unterstützt Passkeys als zweiten Faktor.

Datenschutz und Recht

Biometrische Daten, die eine Person eindeutig identifizieren, sind nach Art. 9 der DSGVO besonders geschützt. Ihre Verarbeitung ist nur mit einer Ausnahme erlaubt, zum Beispiel einer ausdrücklichen Einwilligung.

Im Arbeitsverhältnis ist eine Einwilligung heikel, weil Beschäftigte abhängig sind. Unternehmen sollten daher eine gleichwertige Alternative anbieten, etwa eine Chipkarte. Vor der Einführung ist meist eine Datenschutz-Folgenabschätzung nötig, und der Betriebsrat ist zu beteiligen.

Auch die europäische KI-Verordnung setzt Grenzen. Sie verbietet zum Beispiel die Erkennung von Emotionen am Arbeitsplatz und schränkt die biometrische Fernidentifizierung in öffentlichen Räumen stark ein.

Best Practices

• Lokal speichern: Biometrische Vorlagen nur auf dem Gerät halten, nicht in einer zentralen Datenbank.
• Mit weiterem Faktor kombinieren: Biometrie als Teil von MFA, nicht als alleiniger Schutz für kritische Systeme.
• Lebenderkennung verlangen: nur Systeme mit geprüfter Erkennung von Fälschungen einsetzen.
• Alternative anbieten: für Menschen, bei denen Biometrie nicht funktioniert oder die sie ablehnen.
• Datenschutz früh klären: Rechtsgrundlage, Folgenabschätzung und Mitbestimmung vor dem Start.

Fazit

Biometrische Authentifizierung macht die Anmeldung bequem und schnell. Sicher ist sie, wenn die Daten auf dem Gerät bleiben, eine gute Lebenderkennung Fälschungen abwehrt und Biometrie mit einem weiteren Faktor kombiniert wird. Passkeys zeigen, wie das gut gelingt. Weil biometrische Daten besonders schutzwürdig sind, gehört der Datenschutz von Anfang an dazu.