„Biometrische Authentifizierung“ – was genau versteht man darunter?

Share on facebook
Share on twitter
Share on linkedin
Share on xing
Share on whatsapp
Share on email
Share on print

„Biometrische Authentifizierung“ – was genau versteht man darunter?

Share on facebook
Share on twitter
Share on linkedin
Share on xing
Share on whatsapp
Share on email
Share on print
Will man einige der grundlegenden Konzepte und Ideen der Online-Authentifizierung erläutern, ist es keine schlechte Idee, einen Blick auf biometrische Authentifizierung zu werfen. Warum? Nach einer jüngst von Visa durchgeführten Umfrage wollen zwei Drittel der Europäer biometrische Authentifizierung für Online-Zahlungen verwenden. Kein ganz unbeträchtlicher Prozentsatz, der zeigt, was die Mehrheit der Online-Nutzer möchte.
auge

Will man einige der grundlegenden Konzepte und Ideen der Online-Authentifizierung erläutern, ist es keine schlechte Idee, einen Blick auf biometrische Authentifizierung zu werfen. Warum? Nach einer jüngst von Visa durchgeführten Umfrage wollen zwei Drittel der Europäer biometrische Authentifizierung für Online-Zahlungen verwenden. Kein ganz unbeträchtlicher Prozentsatz, der zeigt, was die Mehrheit der Online-Nutzer möchte.

Der Begriff Multi-Faktor-Authentifizierung zeigt an, dass zum Nachweis der Identität eines Online-Benutzers mehr als ein Faktor verwendet werden muss. Ein üblicher zweiter Faktor ist ein SMS-Code, der an eine registrierte Handynummer des Benutzers gesendet wird (wird oft als Einmalpasswort bezeichnet). Diese weitverbreitete Methode hat sich, kritisch betrachtet, allerdings als anfällig erwiesen. Sie wird inzwischen von Institutionen wie dem NIST (National Institute of Standards and Technology) abgewertet. Grundsätzlich gibt es drei Kategorien von Faktoren:

  • Etwas, das Sie kennen (z.B. ein Passwort)
  • Etwas, das Sie besitzen (z.B. ein Token, ein Handy, eine Smartcard)
  • Etwas, das Sie sind (z.B. Fingerabdruck)

Biometrische Daten fallen unter die Kategorie „Etwas, das Sie sind”. Ein Fingerabdruck ist, dank der Verbreitung von Fingerabdruck-fähigen Smartphones auf dem Markt, der häufigste biometrische Faktor. Weitere Beispiele für biometrische Faktoren sind Gesicht, Netzhaut (Auge), Herzschlag, Stimme, Verhalten und so weiter. Vielleicht nutzen wir eines Tages sogar die DNA als Authentifizierungs-Faktor. Ich gehe hier nicht in die Details was die Biometrie als solche angeht, aber bei FindBiometrics gibt es einen guten Überblicksartikel (in englischer Sprache) ‘Was ist Biometrie?’

Onlinebanking-Zugang per Fingerabdruck?

Wir wissen jetzt, dass ein biometrischer Faktor den Authentifizierungsprozess vielleicht erleichtert. Aber wie funktioniert das praktisch?

Ihr iPhone gewährt Ihnen nicht automatisch Zugang zu Ihrem Bankkonto. Apple und die entsprechenden Banksysteme arbeiten völlig getrennt voneinander. Wie also die Lücke schließen und den Zugang zu Ihrem Konto per Fingerabdruck gestatten? Das Erste, was man tun muss, ist es, einen Identitätsanbieter (wie beispielsweise GlobalSign) zu nutzen. Der Identitätsanbieter ermöglicht es der Bank, auch andere Authentifizierungsmethoden als die eigenen Einmalpasswort-Generatoren zu akzeptieren.

Als Nächstes braucht man eine App wie MePin auf seinem Smartphone. Wenn Sie die App heruntergeladen haben, den Browser starten und auf Ihre Banking-Website zugreifen, führt der Identitätsanbieter eine sogenannte „User Driven Federation“ durch. Das bedeutet, dass Sie sich in der Authentifizierungsphase zuerst mit Ihren Banking-Zugangsdaten authentifizieren und dann etwas wie Ihre Handynummer eingeben. Der Identitätsanbieter der Bank sendet dann eine Authentifizierungsanforderung an Ihre Smartphone-App, die Ihren Fingerabdruck anfordert. Sie berühren den Kreis auf Ihrem iPhone. Dann wird eine Antwort an den Identitätsanbieter gesendet. Und voilà, Sie können nun Ihren Fingerabdruck anstatt des Tokens zur Authentifizierung gegenüber der Bank verwenden.

Ist das wirklich alles Biometrie?

Betrachtet man oben beschriebenen Ablauf, gewinnt man den Eindruck, der Fingerabdruck ist der Schlüssel, der die Tür zur Website entriegelt. Das aber ist falsch. Im obigen Szenario ersetzt der Fingerabdruck einen PIN-Code. In der App gibt es einen privaten Schlüssel (PKI), der die Antwort an den Identitätsanbieter kryptografisch signiert. Diesen Schlüssel kann man mittels PIN-Code, Fingerabdruck oder Gesichtserkennung schützen. Das ist der korrekte Weg, biometrische Authentifizierung für Online-Dienste zu implementieren. Dabei verlassen die biometrischen Daten das Gerät nicht.

Warum biometrische Authentifizierung gut ist

Stellen wir uns einen durchschnittlichen Nutzer vor, der sich nicht unbedingt im Detail mit Sicherheitsvorkehrungen auskennt. Er vertraut darauf, dass die Bank sich darum kümmert. Was ihn viel mehr interessiert ist, ob ein System bequem und benutzerfreundlich ist.

Wir sind uns alle darüber einig, dass komplexe Passwörter, die alle 90 Tage geändert werden müssen, ein Albtraum sind. Und wir können davon ausgehen, dass Einmalpasswort-Token, die Zahlenfolgen mit 6-8 Ziffern generieren, im Alltag nicht immer die tauglichste Alternative sind. Token haben (wie andere kleine Dinge) den fatalen Hang gerne auf Nimmerwiedersehen zu verschwinden.

Wenn man mithilfe der Biometrie etwas nutzen kann, das man ohnehin dutzende Male am Tag in der Hand hält (und nicht erst seit „Pokémon Go“) wäre das für die Authentifizierung ungleich praktischer. Zudem ist diese Variante benutzerfreundlich und genießt einen hohen Aktenztanzwert.

Warum biometrische Authentifizierung schlecht ist

Der Kritikpunkt, der in Bezug auf biometrische Daten am häufigsten genannt wird ist, dass man diese Art von Daten nicht verändern kann. Das stimmt, wenn auch mit kleinen Ausnahmen. Ist aus irgendwelchen Gründen die biometrische Vorlage eines Daumenabdrucks durchgesickert, gibt es so etwas wie ‚löschbare biometrische Daten‘ (Cancelable Biometrics), bei denen die biometrischen Merkmale verzerrt und auf eine neue Vorlage abgebildet werden. Ein weiterer wunder Punkt ist die Privatsphäre. Nicht jeder will sich bei einem biometrischen System registrieren lassen. Biometrische Daten gelten als sehr persönlich und bereits das Registrieren wird unter Umständen als Eingriff in die Privatsphäre empfunden.

In der Informationssicherheit ist nichts zu 100 Prozent sicher. Sicherheitsforscher haben bereits nachgewiesen, dass es ziemlich einfach ist, einen biometrischen Sensor zu täuschen. Natürlich haben die Anbieter von biometrischen Authentifizierungslösungen ihre Software verbessert. Ein Beispiel dafür: Es ist jetzt möglich statische Bilder eines Gesichts zur Gesichtserkennung zu verwenden.

Die biometrische Authentifizierung ist sicherlich bequem. Trotzdem raten wir dazu biometrische Daten zum Entsperren von etwas anderem (z.B. eines privaten Schlüssels innerhalb einer PKI) zu verwenden. Geht dann ein Gerät verloren, kann man es einfach entfernen und den PKI-Schlüssel sperren. Sich allein auf die biometrische Authentifizierung zu verlassen ist ein bisschen wie „Mission Impossible“. Um im Bild zu bleiben: Tom Cruise kann sich einfach aus dem Lüftungsschacht herablassen und sich über ihre Vermögenswerte hermachen.

Autor: Petteri Ihalainen, GlobalSign

Share on facebook
Facebook
Share on twitter
Twitter
Share on linkedin
LinkedIn
Share on xing
XING
Share on whatsapp
WhatsApp
Share on email
E-Mail
Share on print
Drucken

Ihre Meinung zum Artikel

Abonnieren
Benachrichtige mich bei
guest
0 Comments
Inline Feedbacks
View all comments

Andere Leser haben sich auch für die folgenden Artikel interessiert

E-Commerce-Unternehmen sehen sich einer steigenden Anzahl von Cyberangriffen in Form von Bad Bots gegenüber, die von Kriminellen, aber auch Konkurrenten und Wiederverkäufern eingesetzt werden. Damit steigt das Risiko von Webseiten-Ausfällen an besonders umsatzstarken Tagen wie Black Friday oder Cyber Monday.
Unternehmensbereiche wie Marketing und Vertrieb sind schon seit vielen Jahren einer starken Veränderung unterworfen – insbesondere durch den digitalen Wandel. Außerdem haben sich die Kundenerwartungen an die Interaktion mit Unternehmen stark verändert. Auf diese Entwicklungen hat cobra mit seiner neuen CRM-Lösung cobra CRM 2020 reagiert.
Werbung

Top Jobs

Data Visualization App/BI Developer (m/f/d)
Simon-Kucher & Partners, Germany/Bonn or Cologne
› weitere Top Jobs
Werbung

Redaktionsbrief

Tragen Sie sich zu unserem Redaktionsbrief ein, um auf dem Laufenden zu bleiben.

Werbung
Werbung

Aktuelle Ausgabe

Topthema: Geschäftsmodelle in der Industrie 4.0

So führen Sie Ihr Unternehmen erfolgreich in die digitale Zukunft

Mehr erfahren

Wir wollen immer besser werden!

Deshalb fragen wir SIE, was Sie wollen!

Nehmen Sie an unserer Umfrage teil, und helfen Sie uns noch besser zu werden!

zur Umfrage

Tragen Sie sich jetzt kostenlos und unverbindlich ein, um keinen Artikel mehr zu verpassen!

* Jederzeit kündbar

Entdecken Sie weitere Magazine

Schön, dass Sie sich auch für weitere Fachmagazine unseres Verlages interessieren.

Unsere Fachtitel beleuchten viele Aspekte der Digitalen Transformation entlang der Wertschöpfungskette und sprechen damit unterschiedliche Leserzielgruppen an.