Dürfen Fingerabdrücke im Reisepass gespeichert werden? Ja, urteilte der Europäische Gerichtshof (EuGH). Die Erfassung und Speicherung von Fingerabdrücken im Reisepass stelle zwar einen Eingriff in die Rechte auf Achtung des Privatlebens und auf den Schutz personenbezogener Daten dar. Diese Maßnahmen seien aber dennoch gerechtfertigt, um die betrügerische Verwendung von Pässen zu verhindern, stellte das Gericht fest.
Viele Deutsche scheinen den Eingriff in ihre Privatsphäre durch biometrische Verfahren jedoch weniger kritisch zu sehen. Laut einer Ponemon-Studie sind 45 Prozent der Befragten in Deutschland einverstanden, wenn vertrauenswürdige Organisationen Biometrie einsetzen, um Verbraucher zu authentisieren. Nur 29 Prozent machen ihre Zustimmung davon abhängig, dass die Organisationen auf ihre Biometrie-Daten nicht zugreifen können. 62 Prozent wünschen sich sogar, ihre biometrische ID grundsätzlich auch im Internet nutzen zu können. Eine ähnliche Aufgeschlossenheit sieht die Ericsson-Studie "10 Hot Consumer Trends 2014" für Biometrie-Verfahren bei Smartphones.
Foto: Ponemon Institute / Nok Nok Labs
Andererseits berichtet Steria Mummert Consulting, dass sich viele Deutsche nicht vorstellen können, finanzielle Transaktionen mit biometrischen Verfahren abzusichern. Zudem warnen Sicherheitsexperten zum Beispiel von Kaspersky Labs sowie deutsche und europäische Datenschützer vor dem Missbrauchspotenzial biometrischer Daten.
Der Biometrie-Markt blüht trotzdem
Parallel zu der kontroversen Debatte über Biometrie reift der Markt für Lösungen im Bereich der biometrischen Authentifizierung. Gerade im Bereich der Endgeräte sind die technischen Voraussetzungen für biometrische Verfahren zunehmend gut. Die Zahl der Notebooks mit Fingerabdruck-Lesern wächst weiter, auch Smartphones und Tablets bringen bereits mit Hochleistungskamera und Mikrofon viele Funktionen mit, um Gesichtserkennung, Stimmerkennung und das Scannen des Fingerabdrucks zu ermöglichen.
Fujitsu beispielsweise stellt auf der CeBIT 2014 das Business-Notebook LIFEBOOK U904 mit integriertem Venenscanner vor - basierend auf dem PalmSecure-Verfahren. Selbst Lösungen, die Kombinationen von Gesichts-, Fingerabdruck- und Irisbiometrie anbieten, sind bereits verfügbar, wie Credence ID Trident zeigt.
Foto: Fujitsu Technology Solutions GmbH
Eine weitere Entwicklung ist zu beobachten, die der Ausbreitung biometrischer Lösungen entgegen kommt: Unternehmen planen, vermehrt Lösungen zur Mehr-Faktor-Authentifizierung aus der Cloud zu beziehen und damit auch biometrische Lösungen aus der Cloud.
Die Cloud hat auch für Biometrie Vorteile
Cloud-basierte Lösungen im Bereich biometrischer Zutritts- und Zugangskontrollen gibt es bereits reichlich, denn die Wolke bietet beste Voraussetzungen, biometrische Verfahren möglichst flexibel, geräteübergreifend und einheitlich einsetzen zu können.
BioID zum Beispiel bietet sich als Cloud-basiertes Verfahren zur Gesichtserkennung an und kann in mobile Dienste ebenso eingebunden werden wie in andere Cloud-Services. An Hardware-Voraussetzung beim Nutzer nennt der Anbieter Standard-Webcams oder Standard-Smartphone-Kameras. Als möglichen Anwendungsfall sieht BioID zum Beispiel eine zusätzliche Authentifizierung für Online-Banking.
Foto: BIOMETRY.com AG
Ein Angebot unter anderem zur Gesichtserkennung auf Fotos kommt von SkyBiometry, das auch für mobile Services und Online-Dienste genutzt werden kann. Diese Lösung hat einen Demo-Bereich für Interessenten vorgesehen. Ebenfalls im Bereich der Gesichtserkennung aus der Cloud unterwegs ist BiometryCloud. Gegenwärtig richtet sich das Angebot aber an Entwickler, die die Lösung als Plug-in integrieren wollen.
Viele Biometrie-Verfahren und Anwendungen sind verfügbar
Selbst militärische und polizeiliche biometrische Anwendungen werden in Verbindung mit der Cloud offeriert - wie beispielsweise die Animetrics FaceR Identity Management Solution (FIMS Cloud). So könnten zum Beispiel Polizisten mit dem Smartphone eine Aufnahme machen und diese via Cloud-Dienst mit bekannten Straftäter-Fotos abgleichen lassen. Denkbar ist auch das Szenario einer mobilen Zutrittskontrolle auf einem weitläufigen Unternehmensgelände.
Auch die biometrische Stimmerkennung ist über einen Cloud-Dienst verfügbar - so ist VoiceVault speziell auf Anwendungen für Banken und Gesundheitswesen ausgerichtet. Als Smartphone- und Tablet-App ViGo Mobile wird die Stimmerkennung auch mobil angeboten. Genutzt wird dazu der Cloud-Dienst AWS. Ein verwandtes Angebot zur mobilen Stimmerkennung kommt von Nuance mit Dragon ID Voice.
Foto: Nuance Communications
Wie vielfältig die biometrischen Möglichkeiten aus der Cloud bereits sind, zeigt MobiComBiom. Diese Lösung kombiniert Stimmerkennung, Gesichtserkennung, Analyse der Lippenbewegung und die Aussprache bestimmter Wörter, um einen Nutzer zu identifizieren. Die Video- und Audiodaten werden via Internet an den Provider übertragen, damit die aktuellen Aufnahmen mit den dort hinterlegten Templates abgeglichen werden (Matching).
Der Datenschutz sieht klare Grenzen
Biometrie-Anbieter wie BioID oder Griaule Biometrics unterstreichen, dass die Übertragung der Daten zwischen Nutzer und Cloud verschlüsselt erfolgt. Dieser Hinweis ist sehr wichtig, nicht nur bei Anwendungen im Bankenumfeld oder gar militärischen Bereich.
Foto: BioID AG
Alle biometrischen Anwendungen verarbeiten Daten, die den Schutz der Privatsphäre und damit das Datenschutzrecht betreffen. So sind nach Ansicht der Aufsichtsbehörden für alle biometrischen Authentisierungsverfahren - ob Gesichtserkennung, Stimmerkennung oder ein anderes Verfahren - klare Vorgaben und Grenzen zu beachten: Die biometrischen Daten müssen so vorgehalten werden, dass es für Unbefugte nicht möglich ist, diese mit weiteren Nutzerdaten zu kombinieren. Ein biometrisches Nutzerprofil muss also verhindert werden.
Biometrische Daten sind insbesondere sicher zu speichern. Hier ist zunächst eine starke Verschlüsselung zu nennen, die nicht von unbefugten Administratoren umgangen werden können darf. Dazu sollte die Verschlüsselung also in den Händen des Anwenderunternehmens sein und nicht beim Betreiber des Biometrie-Dienstes.
Biometrische Daten müssen aber nicht nur sicher gespeichert, sondern auch geschützt übertragen werden, gerade wenn es um einen Cloud-basierten Dienst geht, der das offene Internet nutzt.
Neben der Verschlüsselung ist eine Integritätskontrolle notwendig, damit die biometrischen Daten nicht manipuliert und verfälscht werden können. So könnte eine Manipulation unter anderem dazu führen, dass ein legitimer Nutzer keinen Zugang mehr bekommt (Anwendungsfall: biometrische Zugangskontrolle) oder eine unschuldige Person fälschlicherweise verhaftet wird (Anwendungsfall: Polizeilicher Einsatz).
Foto: BioID AG
Weitere Verfahren nötig
Die Datenschützer fordern zudem, dass biometrische Verfahren nicht als alleiniges Verfahren der Authentifizierung genutzt werden, sondern immer von weiteren Sicherheitsfaktoren wie Passwörtern oder Smartcards begleitet werden müssen. Hintergrund ist die Gefahr, dass zum Beispiel ein Fingerabdruck "gestohlen" werden könnte.
Der abschließende Punkt der dargestellten Datenschutz-Forderungen ist besonders kritisch, wenn es um Cloud-basierte Biometrie-Dienste geht. So sprechen sich die Aufsichtsbehörden aus Sicherheitsgründen gegen eine zentrale Speicherung von biometrischen Daten aus. Stattdessen sollen die biometrischen Daten dezentral in Form von Templates (biometrischen Mustern) geschützt gespeichert werden, zum Beispiel auf einer Smartcard. Die biometrischen Daten sollen also unter der Kontrolle des Inhabers verbleiben.
Die zentrale Speicherung jedoch ist oftmals ein wesentlicher Punkt einer Cloud-basierten Lösung. Es gibt allerdings auch Lösungen, die dem Anwenderunternehmen den Ort der Datenspeicherung als Wahl überlassen, zentral auf einem Server oder lokal auf dem Endgerät oder der Smartcard.
Ziel: Höhere Flexibilität statt größere Risiken
Gerade Cloud-basierte Lösungen und leicht integrierbare Plug-ins für mobile Dienste und Online-Services machen die Einführung einer biometrischen Zugangskontrolle schnell und relativ einfach. Dabei darf jedoch nicht vergessen werden, dass aus Datenschutzsicht hohe Anforderungen an das Verfahren der Wahl zu stellen sind.
Neben den oben skizzierten datenschutzrechtlichen Vorgaben für Biometrie-Lösungen sind auch die Datenschutz-Richtlinien für Cloud Computing zu beachten. Dazu gehört es laut Bundesdatenschutzgesetz (BDSG) zum Beispiel, dass sich ein Anwenderunternehmen von den Sicherheitsmaßnahmen wie der Datenverschlüsselung überzeugen muss, bevor es ein solches Biometrie-Verfahren aus der Cloud einführt.
Das Ziel muss es sein, eine sichere und flexible Lösung für die Mehr-Faktor-Authentifizierung zu finden, wenn ein entsprechender Schutzbedarf bei der Zugangskontrolle besteht. Die möglichen Datenrisiken durch Biometrie in Kombination mit Cloud Computing sind unbedingt zu berücksichtigen. Ein Identitätsdiebstahl durch den Missbrauch von biometrischen Daten, der zum Beispiel durch eine fehlende Cloud-Verschlüsselung möglich werden könnte, muss verhindert werden. (sh)