Passwort und Biometrie auf dem Prüfstand

Wenn Zugangsdaten und Passwörter gestohlen werden, stehen vertrauliche Daten, geschäftskritische Informationen und geistiges Eigentum auf dem Spiel. Berichte über Sicherheitsvorfälle gibt es immer wieder. Viele Unternehmen verlassen sich darauf, dass ihre Systeme ausreichend geschützt sind, meist durch Passwörter. Diese bieten, wenn bestimmte Regeln befolgt werden, auch ein gewisses Maß an Sicherheit, ein Restrisiko bleibt aber.

Biometrische Verfahren gelten als modernere Authentifizierungsmethode. Tatsächlich habe beide Methoden Vor- und Nachteile und können nicht ohne weiteres durch die jeweils andere ersetzt werden. Sie lassen sich aber so kombinieren, dass sie sich optimal ergänzen.

Reseller und Systemhäuser als Sicherheitsberater

Je aufwändiger das Sicherheitskonzept, desto teurer ist es oft. IT-Verantwortliche müssen hier abwägen, wie hoch das Risiko sein könnte - oder ob es bereits Sicherheitsvorfälle gab - und wie schützenswert bestimmte Daten sind. Gerade bei kleineren und mittelständischen Unternehmen gibt es hier noch Nachholbedarf. Viele Systeme sind nur durch Passwörter geschützt.

Dabei besteht oft kein durchgehendes Passwort-Management und es werden keine Richtlinien für die Erstellung und Erneuerung starker Passwörter und den korrekten Umgang damit durchgesetzt. Reseller und Systemhäuser können sich hier hervortun, indem sie ihren Kunden maßgeschneiderte Lösungen für die Datensicherheit anbieten, die dem individuellen Sicherheitsbedarf gerecht werden.

Der Mittelstand ist von Industriespionage besonders betroffen, was auch ein Thema auf der diesjährigen CeBIT war. Stark spezialisierte Fertigungsunternehmen beispielsweise wären gut beraten, besonders kritische Bereiche, speziell Entwicklung und Prototypenbau, effektiver abzusichern. Und dafür gibt es heute verschiedene Möglichkeiten, etwa USB-Sticks mit 2-Faktor-Authentifizierung, also Passwort und Biometrie mittels integriertem Fingerprintsensor.

Wie sicher sind Passwörter, ist Biometrie sicherer?

Passwörter leisten gute Dienste für eine grundlegende Absicherung als Barriere, die sich dem Angreifer in den Weg stellt. Durch einige einfache Regeln lässt sich die Passwortsicherheit bereits deutlich erhöhen. Das Passwort sollte möglichst lang sein sowie Zahlen, Sonderzeichen und Groß- und Kleinschreibung beinhalten. Und es sollte sicher aufbewahrt werden: wenn nicht im Kopf, was bei einem starken Passwort schwer fällt, dann in einem Passwort-Manager, da Passwörter - und das ist eine weitere Regel - regelmäßig geändert werden sollten.

Dennoch werden Passwörter immer wieder gestohlen, entweder weil grundlegende Sicherheitsregeln nicht befolgt werden oder Datendiebe besonders trickreich agieren, etwa mit "Social Engineering". Die Biometrie als mögliche Alternative beseitigt einige konzeptbedingte Probleme der Passwort-Authentifizierung. Als kompletter Ersatz zum Passwort sind biometrische Verfahren wie Fingerabdruck-, Sprach- oder Gesichtserkennung aber dennoch nicht geeignet.

Biologisch bedingte Herausforderungen

Beispiel Fingerabdruck: Biologische Unregelmäßigkeiten sorgen für einen individuellen Fingerabdruck und sollen so eine eindeutige Zuordnung des Benutzers ermöglichen. Sie erschweren die Erkennung aber wiederum, weil nicht jeder Fingerabdruck so stark ausgeprägt ist, dass er eindeutig gescannt werden kann. So kann es potenzielle Probleme bei der Bilderfassung geben.

Daneben kann die Zuverlässigkeit der Verifizierungsgeräte ein Problem sein. Fingerabdrücke, die überall hinterlassen werden, könnten reproduziert werden, indem sie abfotografiert und nachmodelliert werden. So gelang es Mitgliedern des Chaos Computer Clubs (CCC) 2013 in einem Test die biometrische Sicherheitsfunktion Apple Touch ID des iPhone 5 zu knacken.

Generell können bei biometrischen Methoden zweierlei Fehler auftreten: Die Falschrückweisungsrate (FRR) ist für die Benutzer ärgerlich und für den Helpdesk aufwändig, wegen häufiger Fehlermeldungen seitens der Benutzer. Die Falschakzeptanzrate (FAR) bedeutet, dass einer nicht berechtigten Person der Zugriff gewährt wird.

Biometrische Systeme müssen daher einer aufwändigen Sicherheitsprüfung unterzogen werden. Darüber hinaus können auch die nicht-biometrischen Komponenten des Systems sicherheitstechnisch anfällig sein, etwa wenn die Kommunikation zwischen externen Fingerabdruck-Scannern und PC-Software abgefangen wird.

Kombination aus Passwort und Biometrie für effektiven Schutz

Der Passwortschutz wird durch biometrische Verfahren noch lange nicht abgelöst werden. Wenn Passwörter korrekt angewandt werden, erfüllen sie nach wie vor ihren Zweck als starke Sicherheitsbarriere. Biometrische Verfahren werden aber immer zuverlässiger - und bieten sich als ergänzender Schutz an. Eine kombinierte Sicherheitslösung kann sich die Stärken beider Methoden zunutze machen und Eindringlingen so das Leben deutlich schwerer machen.

Entscheidend ist, dass der Kunde - je nach potenzieller Gefährdung bestimmter Ressourcen - eine effektive, aber möglichst einfach zu handhabende Sicherheitslösung zu akzeptablen Kosten erhält. Hier kann der Handel seine Beratungskompetenz ausbauen und anbringen. Systemhäuser mit zeitgemäßen Authentifizierungslösungen im Portfolio können sich so als langfristige Sicherheitspartner etablieren. (rw)

Zum Video: Passwort und Biometrie auf dem Prüfstand