Biometrische Authentifizierung: Methoden, Systeme und praktische Umsetzung

Biometrische Verfahren und Geräte

Grob unterscheidet man biometrische Merkmale in physiologiebasierte und verhaltensbasierte Charakteristika. Physiologiebasierte Charakteristika beziehen sich auf dauerhafte äußere Merkmale einer Person und sind passiv. Dazu gehört die Gesichts- und Iriserkennung, der Fingerabdruck oder die Handgeometrie. Diese Attribute sind statisch-unveränderlich und bleiben das ganze Leben erhalten.

Die verhaltensbasierten Charakteristika richten sich hingegen auf das aktive Handeln, welches Änderungen unterliegt. Zu den verhaltensbezogenen Charakteristika gehören die Stimme, die Unterschrift oder der Anschlagsrhythmus der Tastatur. Diese Merkmale sind aktiv und dynamisch, also veränderlich. Da sie von der Physiologie und den Emotionen beeinflusst werden, unterliegen sie immer natürlichen Schwankungen.

Für beide Bereiche stehen eine Vielzahl von biometrischen Geräten zur Verfügung. Für ein Unternehmen ist es wichtig, vor allem solche Verfahren und Devices einzusetzen, die zu ihren spezifischen Bedürfnissen passen und die von den Mitarbeitern akzeptiert werden. Es nutzt wenig, ein sehr sicheres Verfahren einzusetzen, das von den Mitarbeitern boykottiert wird.

Nachfolgend finden Sie eine kurze Beschreibung einiger der beliebtesten Verfahren und Geräte zur biometrischen Authentifizierung. Diese sollen Sicherheits-Managern einen Überblick über die Vor-und Nachteile geben, und ihnen ein Gefühl dafür vermitteln, welches das Richtige für Ihre Organisation ist.

1. Fingerabdrucksensoren

Als Zugangsidentifikation für Computersysteme und im Mobilbereich bei Notebooks, Tablets, Smartphones sowie für Autos kommt der Fingerabdruck in Frage. Es ist das älteste und derzeit am weitesten verbreitete biometrische Verfahren. 

Das bekannteste Gerät, das derzeit einen Fingerabdrucksensor für die Identifizierung einsetzt, ist Apples iPhone (ab Version 5s). Systeme mit Fingerabdrucksensoren sind einfach zu bedienen: Statt Passwort und PIN gewährt der Fingerabdruck nur Nutzern mit den korrekten Fingerrillen den Zugang. Da jeder Fingerabdruck im Prinzip einzigartig ist, beweist er mit hoher Wahrscheinlichkeit die Identität des Benutzers.

Grob unterscheidet man biometrische Merkmale in physiologie-basierte und verhaltens-basierte Charakteristika.

Beim Fingerprint scannen Sensoren eines Lesegerätes auf Basis von kapazitiver, optischer, thermischer oder Ultraschalltechnik in sekundenschnelle Linienverläufe, Wirbel, Schlingen und Verzweigungen des Fingerabdrucks, die so genannten Minutien. 14 dieser Minutien reichen aus, um den Fingerabdruck einem Menschen eindeutig zuordnen zu können.

Stimmen die Werte bei der Überprüfung nicht überein, wird der Zugang verweigert. Selbst wer versuchen würde, das Sensorsystem mit einem Wachsabdruck oder einem amputierten Finger zu überlisten, kommt bei hochwertigen Fingerprintsystemen nicht ans Ziel. Zusätzliche Sensoren, die in das Lesegerät integriert sind, messen den Fingerpuls und können so einen echten Fingerabdruck von der Fälschung unterscheiden.

Die weniger aufwändigen, in der Praxis verwendeten Fingerabdrucksensoren haben allerdings Schwächen und sind nicht ganz sicher. Fingerabdrücke können beispielsweise von der Kaffeetasse des Benutzers kopiert und eingelesen werden. Problematisch ist es auch, wenn der Fingerabdruck eines Benutzers beschädigt oder verändert wurde. Der Fingerabdrucksensor des iPhones wurde zum Beispiel bereits mehrfach geknackt.

2. Gesichtserkennungssysteme 

Dem Fingerabdrucksensor ähnlich sind Gesichts- und Spracherkennung. Die Gesichtserkennung hat sich vor allem als Zugangskontrolle für Mitarbeiter in sensiblen Unternehmensbereichen bewährt. Beim Scan nimmt eine hochauflösende Kamera das Gesicht einer Person auf. Mit klassischen Bildanalyseverfahren wird durch spezielle Algorithmen zunächst das Gesicht als solches erkannt und die Augen lokalisiert. Der Vergleich der charakteristischen Gesichtsmerkmale mit den entsprechenden Referenzmerkmalen erfolgt mittels Bildverarbeitungs- und Bildanalyseverfahren.

Eine häufig verwendete Methode nennt sich Elastic-Graph-Matching. Dabei legt man ein Gitternetz über das Gesicht und passt dessen Knotenpunkte der Kontur des Gesichtes an. Genutzt werden für die Erkennung vor allem solche Merkmale des Gesichts, die sich aufgrund der Mimik nicht ständig verändern – also obere Kanten der Augenhöhlen, die Gebiete um die Wangenknochen und die Seitenpartien des Mundes.

Andere Verfahren zur Mustererkennung arbeiten mit Vektoren, Elastic-Graph-Matching ist jedoch das häufigste. Eine Sondergruppe der biometrischen Gesichtserkennung ist das sogenannte Eigenface-Verfahren, das vor allem im Bereich der Personenidentifikation verwendet wird. Schließlich existieren inzwischen auch erste Ansätze zur 3D-Gesichtserkennung. Hierbei sollen die Kameras die Person nicht nur zweidimensional, sondern auch dreidimensional erfassen können. Dies geschieht über einen für Menschen nicht sichtbaren Infrarot-Laser, der zehntausende Meßpunkte erfasst und so die plastische Kontur von Köpfen errechnen kann.

3. Spracherkennung

Sprach- oder Stimmerkennung ist die einzige biometrische Technologie, die nichtvisuelle Eigenschaften des menschlichen Körpers vermisst. Die Charakteristik der menschlichen Aussprache entsteht durch die individuelle Ausprägung von Stimmband, Mund, Nase und Lippen, die eine spezifische Stimme erzeugen.

Bei der Stimmerkennung werden die Tonvibrationen in der Stimme einer Person gemessen und mit bestehenden Mustern verglichen. Normalerweise muss dazu die zu identifizierende Person ein bestimmtes Erkennungswort oder einen ganzen Erkennungssatz aussprechen, die den Verifizierungsprozess zusätzlich unterstützen. Stimmmerkmale liegen in ihrer Einzigartigkeit lediglich bei 1:10.000.

Die Methode hat einen großen Schwachpunkt, nämlich die Empfindlichkeit gegen Interferenzen und Hintergrundgeräusche. Die Sicherheit bei der Stimmerkennung kann allerdings durch die Zahl der gespeicherten und abgefragten Wörter gesteigert werden. Dieses Verfahren kann auch am Telefon angewendet werden, Stimmerkennungssysteme werden deshalb oft im Telebanking eingesetzt.

4. Iris und Netzhaut-Scans

Iris- und Netzhauterkennung gelten als die präziseste, berührungslose und komfortable Biometrielösung für die schnelle Authentifizierung und positive Identifizierung. Das Kopieren des Netzhautmuster von einer Person ist viel schwieriger als das Kopieren eines Fingerabdrucks.

Iriserkennung basiert auf der Einmaligkeit der Augeniris – des komplexesten Biometrie-Merkmals des menschlichen Körpers. Die Iris oder Regenbogenhaut ist ein ringförmiger Muskel, der in der vorderen Augenkammer hinter einer transparenten Hornhaut, der Cornea, sitzt. Geschützt vor äußeren Einflüssen stellt die Iris mit ihrer gut strukturierten Oberfläche ein effektiv verwertbares biometrisches Merkmal dar.

Iris-Scanning gilt als besonders genaue Identifizierungstechnologie, da sich die Merkmale der Iris im Verlauf des Lebens eines Menschen nicht verändern. Zudem weist die Iris mehrere hundert messbare Variablen auf und ist ein schnelles Verfahren, das nicht länger als ein bis zwei Sekunden dauert.

Um sich Zutritt in einen Bereich zu verschaffen, genügt ein Blick in die Kamera. Brille oder Kontaktlinsen sind kein Hindernis. Stimmt das aufgenommene Bild mit dem Referenzdatensatz überein, wird der Zutritt freigegeben. In umfangreichen Tests und Studien wurden bisher noch keine fehlerhaften Erkennungen festgestellt.

All diese Eigenschaften haben die Iriserkennung zu einer attraktiven Technologie im Einsatz für Sicherheitsanwendungen gemacht, wie beispielsweise in der Gefängnisüberwachung. Die Iristechnologie wird aber auch für Online-Anwendungen eingesetzt, wo sie die Identifizierung via Passwort ersetzen kann.

5. Tippverhalten auf Tastaturen

Eine weitere biometrische Option ist ein Authentifizierungssystem zum Tippverhalten. Diese Technologie misst die Art und Geschwindigkeit des Tastendrucks eines Users – getippte Wörter pro Minute, häufige Fehler und Buchstabenfolgen. Die Informationen werden in einem Systemverzeichnis gespeichert und können in der Folge verwendet werden, um einen Benutzer zu authentifizieren.

Die Zugangssicherheit durch das Tastentippverhalten kann durch eine Kombination mit benutzerspezifischen Fragen erhöht werden. Da die Antworten nur der Anwender kennt und diese als Tastentipp-Referenz hinterlegt sind, erschwert das System somit zusätzlich einen möglichen Missbrauch.

Biometrische Umsetzung

Die eine Frage ist die Auswahl des passenden biometrischen Systems und Geräts, die andere die Implementierung. Das Implementieren von biometrischen Systemen kann schwierig und teuer sein, und erfordert finanzielle Ausgaben für Hardware und Software. Der Aufwand für Implementierung und die Deployment-Prozesse variieren für verschiedene biometrische Systeme, so dass Unternehmen zunächst sorgfältig prüfen sollten, welche Art von System sie implementieren möchten, um dann den Vorgang sorgfältig zu planen.

Biometrie ist eine moderne, fortschrittliche Technologie mit hohen Zukunftspotential. Da sie derzeit noch teuer ist und relativ aufwändig umgesetzt werden muss, sollte sie vor allem in denjenigen Bereichen eingesetzt werden, wo sich das lohnt. Das ist zum Beispiel bei extrem sensiblen Daten der Fall. Die Verwendung biometrischer Daten für andere Arten von Daten ist oft eine Verschwendung von Zeit und Geld. Organisationen sollten deshalb gründliche ihre Systeme auf Risiken analysieren und bestimmen, welche Informationen sie über biometrische Systeme schützen möchten.

Sicherheit biometrischer Daten

Unternehmen müssen außerdem dafür sorgen, dass die biometrischen Daten sicher übertragen und gespeichert werden. Obwohl biometrische Systeme als eine der sichersten Formen der Authentifizierung gelten, haben sie bestimmte Mängel. Zum Beispiel glauben einige Leute, es sei unmöglich, die biometrischen Informationen eines Benutzers zu duplizieren. Das ist natürlich falsch. 

Iriserkennung basiert auf der Einmaligkeit der Augeniris – des komplexesten Biometrie-Merkmals des menschlichen Körpers.

Denn egal, von welchem biometrischen System die Daten kommen: Wenn man die biometrischen Informationen in digitale Daten umwandelt, kann der Datensatz von jedem Unbefugten gestohlen werden, der sich darauf Zugriff verschafft. Werden die Daten beispielsweise über unsichere Netzwerke übertragen, können sie von Hackern entwendet werden.

Unternehmen können die Wahrscheinlichkeit, dass Hacker Zugriff auf biometrische Informationen erlangen, verringern, indem sie die Daten gut schützen und schwer kopierbar machen. Doch ein Restrisiko bleibt immer. Wer Biometrie einsetzt, sollte deshalb die Daten mehrstufig sichern und eine ganze Reihe von Vorkehrungen treffen, die gewährleisten, dass die Informationen ordnungsgemäß gesammelt, übertragen und gespeichert werden.

Ganz praktisch ausgedrückt bedeutet das, dass Unternehmen dafür sorgen müssen, alle Informationen, die vom Biometrieleser an den Authentifizierungsserver übertragen werden, auf einem sicheren Gerät zu speichern, über einen verschlüsselten Kanal zu senden und in einer verschlüsselten Datenbank zu speichern. Sowohl Active Directory als auch LDAP sind hierfür geeignet. Schließlich sollten alle Server, auf denen biometrische Anwendungen arbeiten, immer mit aktuellen Patches und Upgrades versehen sein.

Und schließlich: Egal für welches Biometrieverfahren Sie sich entscheiden – es ist wichtig, zunächst das Produkt in einer Testumgebung auszuprobieren und mögliche Fehler auszumerzen, die sich bei der Umsetzung negativ bemerkbar machen könnten. Ebenso sollten Sie in einem Anwendertest herausfinden, ob die Erkennungsverfahren von den Benutzern akzeptiert werden und welche Probleme im täglichen, praktischen Gebrauch auftreten.

Die wichtigsten biometrische Verfahren - und ihre Vor- und Nachteile

Anwendungsbeispiele für biometrische Authentifizierung

PC-Anmeldung per Fingerabdruck

Ein Fingerprintsensor identifiziert den Benutzer und macht so die Eingabe von Passwörtern überflüssig. Die Fingerprinterkennung löst zumindest im professionellen Bereich die Anmeldung per Passwort zunehmend ab. Standardmäßig dürften künftig vermehrt Notebooks über Fingerprinterkennung verfügen.

Biometrische Reisepässe und Personalausweise

Basierend auf einem internationalen Standard werden in Deutschland seit November 2005 nur noch Reisepässe mit integriertem Chip ausgegeben, auf dem ein digitales Lichtbild als biometrisches Sample gespeichert ist. Seit November 2007 werden auch die Fingerabdrücke erfasst. Den biometrischen Personalausweis gibt es seit November 2010.

Dauerkarten

Biometrische Erkennung verhindert bei nicht übertragbaren Dauerkarten eine Weitergabe an Nichtberechtigte. Der Zoo Hannover setzt für diesen Zweck bereits seit einigen Jahren erfolgreich ein Gesichtserkennungssystem ein. Fingerprintsysteme finden sich auch in Fitnessstudios, Solarien und Thermalbädern.

Physischer Zutritt

In besonders sensiblen Bereichen werden herkömmliche Authentifikationsmethoden um biometrische Verfahren ergänzt. Beispiele sind Gesichtserkennung in Personenschleusen zu Chipkartenentwicklungsbereichen, Fingerprinterkennung in Kernkraftwerksbereichen und Iriserkennung in Krankenhäusern (zum Beispiel Babystation einer Berchtesgadener Klinik).

Bezahlen per Fingerabdruck

Immer mehr Geschäfte bieten registrierten Stammkunden die Möglichkeit, statt mit einer Kundenkarte per Fingerabdruck zu bezahlen, wobei die Bezahlung durch Abbuchung erfolgt.

Zutrittskontrolle in Spielkasinos

Spielcasinos setzen gelegentlich Gesichtserkennung oder Fingerprinting ein, um Spielsüchtige am Zutritt zu hindern. Spieler, die von sich selbst wissen, dass sie zeitweise süchtig sind, hinterlegen freiwillig beim Spielkasino ihre biometrischen Daten, um sich so vor ihrer Sucht zu schützen.

Über den Autor:

Klaus Manhart ist ein freier Autor aus München. Seine inhaltlichen Schwerpunkte sind IT- und Wissenschafts-Journalismus.

Folgen Sie SearchSecurity.de auch auf Twitter, Google+ und Facebook!