Biometrie bezeichnet die automatische Erkennung oder Identifizierung von Personen anhand ihrer individuellen, körperlichen oder verhaltensbasierten Merkmale. Dazu zählen beispielsweise Fingerabdrücke, Gesichtszüge, die Stimme oder die Unterschrift einer Person. Diese Merkmale sind einzigartig und schwer zu fälschen – daher gilt die Biometrie als besonders sichere Authentifizierungsmethode.
Dabei werden biometrische Authentifizierungsverfahren für viele Unternehmen zunehmend interessant, da sie Zugänge sicher und benutzerfreundlich schützt. Dies gilt sowohl am Computerarbeitsplatz als auch beim Gebäude- oder Bürozugang. Zudem nutzen auch immer mehr Nutzer privat biometrische Authentifizierungsmethoden, um auf ihre mobilen Geräte und Online-Konten zuzugreifen.
Die Beliebtheit von biometrischen Verfahren bei Konsumenten hat dazu geführt, dass Biometrie immer häufiger in Endverbraucherprodukten und in den unterschiedlichsten Bereichen im Unternehmen eingesetzt wird. Das leuchtet ein, denn neben der Sicherheit spielt auch die Nutzerfreundlichkeit eine entscheidende Rolle. Das oftmals schwierige Merken von hunderten von Passwörtern entfällt und es müssen im Unternehmensumfeld auch keine Hardware-Token mehr mit sich geführt werden.
Der vermehrte Einsatz biometrischer Verfahren wirft allerdings gleichzeitig auch Fragen beim Datenschutz, technischer Umsetzung und möglichem Missbrauch auf.
Wie Biometrie funktioniert
Biometrische Systeme basieren auf einem einfachen, aber technisch ausgereiften Prinzip und arbeiten in drei Schritten:
- Erfassung: Ein Lese- oder Scangerät nimmt ein biometrisches Merkmal auf, etwa ein Gesichtsscan oder einen Fingerabdruck.
- Ersteinrichtung: Zur Nutzung des biometrischen Merkmals muss der Nutzer einmal sein individuelles Merkmal hinterlegen, beispielsweise den Finger auf den Sensor eines Fingerabdruckscanners legen und scannen lassen. Das System nimmt ein digitales Abbild vom Finger und erstellt daraus die biometrische Vorlage, die in einer verschlüsselten Datenbank gespeichert wird.
- Regelnutzung: Nach Erstellung der biometrischen Vorlage kann der Nutzer sich fortan mit seinem individuellen Merkmal authentifizieren.
- Merkmalserkennung: Mittels Software werden aus dem Rohbild charakteristische Daten (z.B. Punkte, Muster, Relationen) extrahiert. Diese Daten werden mathematisch in eine sogenannte “biometrische Vorlage” (Template) umgewandelt – eine Art digitaler Fingerabdruck des Merkmals.
- Vergleich und Entscheidung (Authentifizierung): Möchte der Nutzer sich Zutritt oder Zugriff durch Login verschaffen, muss er sich authentifizieren. Dafür wird die vorher sicher in einer Datenbank hinterlegte biometrische Merkmalsvorlage mit dem aktuellen Merkmal verglichen. Stimmen die Daten überein (bzw. sind sie innerhalb eines definierten Toleranzbereichs gleich), wird der Zugang bzw. Zugriff gewährt. Der Vergleich erfolgt meist lokal auf dem Gerät oder in einem gesicherten Bereich der IT-Infrastruktur. Ein Missbrauch wird durch Verschlüsselung und sichere Hardware erschwert.
So wird beispielweise der Finger mit dem Fingerabdruckscanner gescannt und das Abbild mit der bei der Registrierung gespeicherten Vorlage verglichen.
Es handelt sich also nicht um ein einfaches Foto, sondern um ein strukturiertes, anonymisiertes Datenmuster, das für den Vergleich herangezogen wird. Dafür werden biometrische Daten in einer zentralen Datenbank gespeichert oder lokal gesammelt und kryptografisch verschlüsselt.
Biometrische Merkmale und Verfahren
Biometrische Merkmale beruhen auf drei verschiedenen Bestandteilen. Zum einen sind sie genetisch bedingt und damit teilweise vererbbar. Darüber hinaus entstehen sie auf Basis von Zufallsprozessen, sind also randotypisch. Als letzter und dritter Bestandteil sind sie verhaltensgesteuert, konditioniert, teilweise anerzogen, teilweise aber auch änderbar.
Heutzutage wird zwischen physiologischen und verhaltensbezogenen biometrischen Merkmalen unterschieden.
Physiologische Merkmale
Physiologische Merkmale (passive Merkmale eines Benutzers) sind körperlich eindeutig bestimmbar, verändern sich in der Regel kaum und lassen sich relativ zuverlässig messen. Dazu gehören:
- Fingerabdruck
- Gesichtserkennung
- Iris- oder Netzhautmuster
- Handgeometrie
- DNA (selten im Alltagsgebrauch)
Verhaltensbezogene Merkmale
Verhaltensbezogene Merkmale (physisches und kognitives Verhalten eines Benutzers) sind hingegen dynamischer und können je nach Tagesform oder Umgebung leicht variieren. Sie eignen sich dennoch, vor allem in Kombination mit anderen Methoden, für ergänzende Authentifizierungen. Verhaltensbezogene Merkmale sind:
- Stimme (Spracherkennung)
- Unterschrift
- Tippverhalten auf der Tastatur
- Gangmuster
- Mausbewegungen
Nicht alle zuvor genannten Verfahren eignen sich für den Praxisnahen Einsatz. Einige der typischen Verfahren, die bereits heute in vielen Anwendungen zum Einsatz kommen, sind Fingerabdruckscanner oder Gesichtserkennung über Kamera. Zudem werden in besonders geschützten Umgebungen (z.B. Labore, Rechenzentren) Iris- und Handflächenscanner eingesetzt.
Je nach Sicherheitsanforderung und Einsatzgebiet kann ein Unternehmen entscheiden, welche Technologie am besten zu seinen Bedürfnissen passt. Insbesondere die Fingerabdrucks- und Gesichtserkennungstechnologie sind mittlerweile weit verbreitet, da sie leicht zu integrieren und für Mitarbeitende unkompliziert nutzbar sind.
Vorteile biometrischer Verfahren
Biometrische Authentifizierungsverfahren bringen viele Vorteile mit sich. Dabei überzeugen biometrische Verfahren besonders durch hohen Komfort für Mitarbeitende bzw. Endbenutzer. Denn sie müssen sich keine Passwörter mehr merken. Für die Nutzerfreundlichkeit des Verfahrens spricht zudem die Schnelligkeit der biometrischen Authentifizierung, die in Sekundenbruchteilen, ohne mitzuführendes Hilfsmittel wie Karten, Schlüssel oder PINs funktioniert. Dies beschleunigt nicht nur alltägliche Prozesse, sondern reduziert auch das Risiko von unsicheren oder vergessenen Zugangsdaten.
Des weiteren sind biometrische Merkmale schwer zu kopieren oder weiterzugeben. Sie sind einzigartig und können, zumindest bei physiologischen Merkmalen, nicht vergessen werden. Dadurch wird das Risiko eines Identitätsdiebstahls deutlich gesenkt. Zudem lässt sich der Zugriff gezielt auf berechtigte Personen beschränken, was besonders bei sensiblen Daten oder Bereichen wichtig ist. So kann auch verhindert werden, dass Mitarbeitende versehentlich Zugangsdaten und Passwörter im Rahmen einer Phishing-Attacke preisgeben.
Nachteile biometrischer Verfahren
Neben den zuvor genannten Vorteilen haben biometrische Authentifizierungsmethoden auch ihre Grenzen. In der Regel ist sie zwar sicherer als klassische Authentifizierungsmethoden wie Nutzername und Passwort; dennoch ist sie auch nicht unfehlbar.
Um biometrische Authentifizierungsverfahren Nutzerfreundlich zu gestalten und alltagstauglich anwenden zu können, reichen z.B. bei Fingerabdruckscannern von Smartphones oftmals teilweise Merkmalsübereinstimmungen aus. Ist der Finger jedoch nass oder verschmutzt, kann dies zu Schwierigkeiten bei der Erkennung durch den Fingerabdrucksensor führen. Gleichzeitig können biometrische Merkmale wie z.B. der Fingerabdruck mit dem Alter schlechter wiederzuerkennen sein. Alternativ kann auch bei schlechten Lichtverhältnissen oder durch medizinische Masken die Gesichtserkennung eingeschränkt sein. Vorgenannte Beispiele verdeutlichen, dass ein Abweichen von Idealbedingungen leicht zu Fehlversuchen führen kann.
Der Umgang mit biometrischen Daten ist aus einer Datenschutzperspektive besonders sensibel, da biometrische Daten nach Datenschutzgrundverordnung (DSGVO) besonders schützenwert sind. Gestohlene Passwörter kann man ersetzen, ein Gesicht oder einen Fingerabdruck hingegen nicht. Biometrische Authentifizierungssysteme können gehackt werden und Hacker können biometrische Daten fälschen.
Ein erhöhtes Sicherheitsniveau durch gute biometrische Authentifizierungslösungen geht zudem oftmals einher mit weiterentwickelten Systemlandschaften, auf die gegebenenfalls upgegradet werden muss, und die in der Regel mit höheren Kosten verbunden sind.
Biometrische Authentifizierungsverfahren und Datenschutz
Die Verwendung biometrischer Daten unterliegt in Europa strengen gesetzlichen Regelungen. Biometrische Daten gelten laut DSGVO als “besondere Kategorien personenbezogener Daten” und dürfen nur verarbeitet werden, wenn eine rechtliche Grundlage vorliegt oder die betroffene Person ausdrücklich eingewilligt hat.
Es dürfen nur die biometrischen Vorlagen, nicht die Rohdaten gespeichert werden. Dabei muss darauf geachtet werden, dass diese idealerweise nur lokal, verschlüsselt und geschützt gegen unbefugten Zugriff abgelegt werden. Es sollte klar dokumentiert werden, wofür die Daten erhoben werden, wie lange diese gespeichert bleiben und wer darauf Zugriff hat.
In Unternehmen ist es sinnvoll, Mitarbeitende frühzeitig einzubinden und offen den Zweck, die Funktionsweise und Vorteile von biometrischen Authentifizierungsverfahren zu kommunizieren. Das schafft Vertrauen und erhöht die Akzeptanz. Beim Ausscheiden eines Mitarbeitenden ist sicherzustellen, dass die biometrischen Daten zuverlässig gelöscht werden.
Identifikation oder Verifikation
Biometrische Authentifizierungs-Systeme werden hauptsächlich verwendet, um Personen bei der Zutritts- und Zugriffskontrolle zu verifizieren und zu identifizieren. Je nachdem, wie die biometrischen Eigenschaften und Merkmale miteinander verglichen werden, gibt es dabei Unterschiede zwischen der Verifizierung und der Identifikation. Bei der Identifizierung werden die vom Sensor bzw. Scanner gesammelten Daten mit einer Vielzahl von Referenzdatensätzen in einem 1-zu-n-Vergleich (one-to-many) verglichen. Wenn das System bei einem spezifischen Datensatz eine gewisse Übereinstimmung feststellt, gilt die Person, die gerade vom Sensor gescannt wurde, als identifiziert. Vor dem Scan weiß das System nicht, um wen es sich handelt. Erst wenn die Person identifiziert ist, wird sie bekannt.
Ob eine Person tatsächlich die ist, für die sie sich ausgibt, wird bei der Verifikation überprüft. Das System führt hierzu einen 1 zu 1 Vergleich durch, bei dem es nur wahr oder falsch gibt.
Fazit
Biometrische Authentifizierungsverfahren bieten Unternehmen moderne, sichere und komfortable Methoden zur Zugangskontrolle und Nutzeridentifikation. Dabei werden Passwörter durch schwer fälschbare, individuelle Merkmale wie Fingerabdruck oder Gesichtserkennung ersetzt, die sich besonders gut für mobile Geräte oder physische Zutrittssysteme eignen. Als Ergebnis stehen überzeugende Vorteile wie Benutzerfreundlichkeit, Effizienz und Schutz vor Missbrauch.
Gleichzeitig müssen Unternehmen auch die Sicherheit und den Datenschutz der biometrischen Daten sicherstellen. Sie dürfen nur mit klarer Rechtsgrundlage und ausdrücklicher Bewilligung der betroffenen Person gespeichert sowie verarbeitet werden und erfordern die Einhaltung technischer und organisatorischer Maßnahmen (TOMs).
Zusammenfassend lässt sich sagen, dass verantwortungsvoll eingesetzte biometrische Authentifizierungsverfahren nicht nur die Sicherheit im Unternehmen verbessern, sondern auch Arbeitsprozesse vereinfachen, effektiver, sicherer und zukunftsfähiger machen.