Original-URL des Artikels: https://www.golem.de/news/biometrie-wie-eintaetowierte-passwoerter-1903-139866.html    Veröffentlicht: 08.03.2019 08:00    Kurz-URL: https://glm.io/139866

Biometrie

Wie eintätowierte Passwörter

Die EU will Fingerabdrücke auf neuen Personalausweisen speichern. Doch die Biometrie-Systeme sind unsicherer, als ihre Verfechter glauben machen wollen.

Der Fingerabdruck des heutigen Bundestagspräsidenten Wolfgang Schäuble (CDU) ist berühmt. Als Bundesinnenminister machte er sich 2008 für die Speicherung biometrischer Merkmale in den Personalausweisen der Deutschen stark. Aus Protest gegen seinen Plan veröffentlichte der Chaos Computer Club (CCC) Schäubles Fingerabdruck - gewonnen von einem Wasserglas - und empfahl seinen Mitgliedern, den Abdruck freiwillig in ihren Ausweisen zu hinterlegen. 5000 sogenannte Schäubletten will der Club damals unters Volk gebracht haben. Wie viele davon tatsächlich in gültige Ausweisdokumente geschmuggelt wurden, ist nicht bekannt.

Heute heißt der Bundesinnenminister Horst Seehofer (CSU), und das Thema Biometrie in Personalausweisen steht wieder auf der politischen Agenda. Während die Abgabe eines Fingerabdrucks in neuen Reisepässen seit 2007 bereits verpflichtend ist, war sie für Personalausweise bisher freiwillig. Das soll sich nun ändern: Mitte Februar haben sich die EU-Institutionen auf einen Gesetzentwurf geeinigt, wonach die Abdrücke in Ausweisdokumenten von Mitgliedstaaten künftig standardmäßig gespeichert sein sollen.

Bei der Einreise würde eine befugte Behörde - etwa die Bundespolizei - die Finger scannen und sie mit den im Ausweisdokument gespeicherten Daten abgleichen. Neuausgestellte Ausweise sollen zudem alle im Scheckkartenformat gehalten sein und einen maschinenlesbaren Teil enthalten. Demnächst soll der Libe-Ausschuss des Europäischen Parlaments, der für bürgerliche Freiheiten, Justiz und Inneres zuständig ist, den Entwurf bestätigen. Danach müssen noch Parlament und Mitgliedstaaten zustimmen. Deutschland wird das wohl tun: Seehofer nennt das neue Gesetz "zwingend erforderlich".

CCC fordert von Seehofer gute Argumente für den Eingriff

Die aktuelle Sprecherin des CCC, Constanze Kurz, fordert von Seehofer, seine Position besser zu begründen: "Die Bundesregierung hat bisher nicht belegen können, dass mit der zwangsweisen Fingerabdruckabgabe tatsächlich ein Mehr an Sicherheit erreicht werden kann. Das aber müsste sie dringend tun, denn biometrische Merkmale sind höchst sensible Körperdaten, die besonders geschützt gehören." Eine "erkennungsdienstliche Behandlung der gesamten Bevölkerung" sei ohnehin abzulehnen.

Das Innenministerium argumentiert, dass die Fingerabdrücke auf dem Ausweis Identitätstäuschungen verhindern. So ließe sich vermeiden, dass Unbefugte die Ausweise ähnlich aussehender EU-Bürger nutzen, um nach Deutschland einzureisen. Es lägen Berichte vor, wonach die Fälle von versuchtem Identitätsbetrug dieser Art zunähmen. Eine Statistik, die dies belegt, gibt es dem Ministerium zufolge allerdings nicht.

Der Widerstand des CCC gegen biometrische Sicherheitsmerkmale hat Tradition. Regelmäßig demonstrieren Hacker auf den Jahreskonferenzen des Vereins, wie sich Sicherheitslücken nutzen lassen - in Technologien, die als modern und schwer zu knacken angepriesen werden.

Für die meisten Biometrie-Hacks des CCC ist der Berliner Jan Krissler zuständig, unter Hackern als Starbug bekannt. 2014 erstellte er einen Fingerabdruck von Verteidigungsministerin von der Leyen, basierend auf einem hochauflösenden Pressefoto der Ministerin. 2015 demonstrierte er, wie der Fingerabdruck-Sensor eines iPhones mit einer Abdruck-Attrappe aus Holzleim umgangen werden kann. Ende 2018 präsentierte Starbug seinen neuesten Coup: Zugangssperren, die die Venen einer Hand scannen, werden als sichere Varianten für Zugangskontrollen zu sensiblen Unternehmensbereichen angepriesen, vor allem von japanischen Herstellern wie Hitachi und Sony. Auch dieses System wurde von Starbug und dem Informatiker Julian Albrecht im Rahmen von dessen Bachelorarbeit überlistet - diesmal mit einer Attrappe aus Bienenwachs.

Die Ausweitung biometrischer Datensammlung hält Starbug auf mehreren Ebenen für problematisch. Seine eigene Forschung zeige: Missbrauch sei einfach, die Datenbanken seien also lohnende Ziele für Angriffe. "Außerdem haben die Biometrie-Datenbanken eine inhärente Fehlerwahrscheinlichkeit. Anders als bei Passwörtern - die richtig oder falsch sind - gibt es bei Biometrie nur Wahrscheinlichkeiten der Übereinstimmung", sagt Starbug. Zudem steige die Gefahr von sogenannten Falschpositiven.

Biometrische Datenbanken sind lohnende Ziele für Hacker



Biometrische Zugangssperren sind also nicht grundsätzlich sicherer als Passwörter oder PIN-Nummern. In gewisser Weise seien Passwörter sogar eher zu empfehlen, sagt Johann Heyszl vom Fraunhofer-Institut für Angewandte und Integrierte Sicherheit (AISEC): Sie könnten einfach geändert werden, wenn Hacker sie stehlen und sie durch ein Datenbank-Leck im Netz landen. Biometrische Daten sind dagegen unveränderbar. Sollten sie in die Hände Unbefugter gelangen, ist ihr Missbrauch prinzipiell ein Leben lang möglich. Heyszl formuliert es so: "Stellen Sie sich vor, jemand sagt zu Ihnen: 'Wählen Sie sich ein Passwort fürs Leben und tätowieren Sie es sich auf den Körper.'" Das AISEC-Institut empfiehlt daher, zusätzlich zu einem biometrischen Merkmal immer einen zweiten Faktor für Logins zu verwenden.

Der Plan der EU sieht aktuell nicht vor, eine zentrale Datenbank mit den biometrischen Daten der EU-Bürger zu errichten. Eine solche europäische Datenbank gibt es allerdings bereits - für Asylbewerber: Die Datenbank Eurodac speichert die Fingerabdrücke von Flüchtlingen, um zu verhindern, dass diese in mehr als einem EU-Staat Asyl beantragen. Die Fingerabdrücke der EU-Bürger sollen dagegen nur auf den Ausweisen selbst gespeichert werden und nicht zentral in Rechenzentren. Auch im deutschen Personalausweisgesetz ist in Paragraf 26 explizit vermerkt: "Eine bundesweite Datenbank der biometrischen Merkmale wird nicht errichtet."

Deutschland plant keine zentrale Datenbank - bisher

Datenschützer wie Constanze Kurz vom CCC überzeugt das nur bedingt. Sie befürchtet, dass in Zukunft auch Geheimdienste und andere Behörden auf die Fingerabdrücke zugreifen können. Seit dem Gesetz zur Förderung des elektronischen Personalausweises 2017 dürfen viele Behörden bei den Meldebehörden automatisch Daten abfragen, darunter auch das biometrische Passbild. Ganz aus der Luft gegriffen ist Kurz' Sorge womöglich nicht. In Frankreich hat der Staatsrat im Oktober 2018 die Schaffung der seit 2016 geplanten zentralen Biometrie-Datenbank genehmigt, gegen den Widerstand von Datenschützern. Bislang entzieht sich Deutschland aber dem Trend zur zentralen Speicherung.

Was passieren kann, wenn große biometrische Datenbanken angelegt werden, lässt sich in den USA und in Indien beobachten. In den USA wurde 2015 eine Datenbank von Regierungsmitarbeitern gehackt, die über Sicherheitsfreigaben für sensible Regierungsinformationen verfügten oder diese beantragt hatten. Mehr als fünf Millionen Fingerabdrücke wurden gestohlen.

In Indien beschloss die Regierung 2009, die gigantische Biometrie-Datenbank Aadhaar einzurichten, auch um die Verteilung von Sozialleistungen an seine Milliarden-Bevölkerung zu organisieren. In der Datenbank sind heute Fingerabdrücke und Iris-Scans von mehr als einer Milliarde Inder gespeichert. Im Frühjahr 2017 berichteten Medien, dass Daten von 130 Millionen Menschen geleakt worden sein sollen. Anfang 2018 berichteten indische Reporter, ein Mann habe ihnen Zugang zur kompletten Datenbank via Whatsapp verkauft - für umgerechnet acht Dollar.  (mmu)


Verwandte Artikel:
Einigung auf EU-Ebene: Personalausweise müssen künftig Fingerabdrücke enthalten   
(19.02.2019, https://glm.io/139490 )
Terrorismus: EU-Kommission will Fingerabdrücke in allen Personalausweisen   
(16.04.2018, https://glm.io/133855 )
Biometrie: Von KI gefälschte Fingerabdrücke narren Zugangskontrollen   
(15.11.2018, https://glm.io/137738 )
Face ID Lock: US-Polizisten sollen nicht auf Handys mit Face ID schauen   
(15.10.2018, https://glm.io/137118 )
Active Directory: Microsoft bewirbt passwortlose Anmeldung in Azure   
(26.09.2018, https://glm.io/136798 )

© 1997–2019 Golem.de, https://www.golem.de/