Biometrie: Technik perfekt – Datenschutz unsicher
Es gibt Bereiche, da herrscht schon am Eingang die höchste Sicherheitsstufe. Biologische Labors, Flughäfen, militärische Einrichtungen, aber auch Rechenzentren in Unternehmen oder sensible Teile der Produktion. Hier führt kein Weg an biometrischen Sicherheitssystemen vorbei.
Im Vergleich zu herkömmlichen Sicherheitskontrollen mit Pförtnern oder Key-Karten weisen biometrische Zugangskontrollsysteme wesentliche Vorteile auf: Sie sind sicherer und zuverlässiger.
Iris- oder Gesichtsscan sicherer als Fingerprint-Scan
Biometrische Sicherheitssysteme erfassen individuelle körperliche Merkmale von Personen zur Identifizierung und Authentifizierung. Einen ausführlichen Überblick über die Funktionsweise der unterschiedlichen biometrischen Systeme findet man beim BSI.
Seit langem bekannt ist das Fingerprint-Verfahren, das beispielsweise an Laptops oder auch an POS-Kassen an Stelle von Passwörtern oder PIN-Codes zur Identifizierung genutzt wird. Ähnlich funktionieren das Erfassen der Handgeometrie oder der Topografie der unter der Haut liegenden Venen.
Gemeinsamer Nachteil dieser Verfahren ist der relativ niedrige Sicherheitsstandard und die unbefriedigende Benutzerfreundlichkeit.
Etwas anders liegt der Fall bei der Erfassung der Iris im Auge. Die ist wie der Fingerabdruck bei jedem Menschen individuell und lässt sich mit hoher Sicherheit zur Identifizierung nutzen. Diese Methode ist allerdings ziemlich unbeliebt. Denn wer mag es schon, wenn er mit einer bestimmten Kopfhaltung in eine Kamera schauen muss und ihm dabei auch noch ins Auge geleuchtet wird.
Kamera im Torbogen
Das Problem könnten hochauflösende Kameras lösen. In den damit ausgestatteten Systemen gehen die Menschen kontinuierlich durch eine Art Torbogen. Sie müssen dabei nur kurz auf einen bestimmten Querbalken blicken. Daran sind Kameras angebracht, die zur Erfassung nur wenige Sekunden benötigen, so dass ein Strom von Personen durchgehen kann, ohne stehenzubleiben.
Hochauflösende Kameras erfassen eine Matrix von charakteristischen Messpunkten im dreidimensionalen Gesichts-Scan.
Ähnlich sicher und bequem arbeiten Systeme, die individuelle Gesichtsgeometrien erfassen. Allerdings müssen diese dreidimensional arbeiten. Zweidimensionale Verfahren sind wegen möglicher unterschiedlicher Kopfhaltung nicht eindeutig und deshalb unsicher.
Bei den Erwägungen zur Einführung und Auswahl biometrischer Sicherheitssysteme in einem Unternehmen spielen viele Gesichtspunkte eine Rolle. Biometrie ist zwar das einzige Verfahren, das Identitäts-Informationen einer Person sicher zuordnen kann, doch damit alleine lässt sich die Sicherheit nicht erhöhen, denn es handelt sich zunächst um nicht mehr als ein Verfahren zur Mustererkennung. Deshalb spielen die Systeme, mit denen diese Daten verarbeitet, gespeichert und mit anderen Informationen verknüpft werden, die entscheidende Rolle. Aus diesem Grund ist es wichtig, ein durchgehendes Konzept zu entwickeln, das die individuellen Anforderungen, aber auch die rechtlichen Rahmenbedingungen erfüllt.
Moderne Iris-Scan- und 3D-Gesichts-Scan-Verfahren sind benutzerfreundlich und sicher. (Bild: Unisys)
Hilfreich: »Landkarte Biometrie Deutschland«
Weil es sich bei biometrischen Lösungen noch um relativ neue Techniken handelt, ist der Markt sehr unübersichtlich. Den typischen Biometrie-Anbieter gibt es nicht, sondern eine Vielzahl von Beratern, Herstellern von Einzelkomponenten, Integratoren sowie Betreibern. Einen aktuellen Überblick gibt die »Landkarte Biometrie Deutschland« die vom Bitkom, Teletrust e.V. und ZVEI erarbeitet wurde (Link unten). Hier findet man auch Consulting-Unternehmen, die man bei der Konzipierung unbedingt zu Rate ziehen sollte.
Betriebsvereinbarungen regeln Biometrie-Einsatz
Während die Technik es erlaubt, die biometrischen Daten beliebig zu speichern und mit anderen Informationen zu verknüpfen, sollten ethische und rechtliche Vorbehalte hier Schranken setzen. Bei Betroffenen gibt es große Akzeptanzprobleme, weil in der Regel völlig intransparent ist, was mit den persönlichen Daten und erfassten Merkmalen geschieht.
In geschlossenen Umgebungen, zum Beispiel einem Unternehmen oder einer Behörde, wo in Zukunft sicherlich auch immer mehr biometrische Zugangssysteme benutzt werden, lässt sich mit Hilfe von entsprechenden Betriebsvereinbarungen für alle Beteiligte diese Fragen klären und als Policy festlegen. Hier sollte schon vor der Einführung genau definiert werden, zu welchem Zweck und in welchem Umfang biometrische Daten genutzt werden. Es gilt der Grundsatz »Nicht so viel wie möglich, sondern nur so viel wie unbedingt notwendig«.
Ein aktueller und umfassender Leitfaden zu diesem Thema ist das »White Paper zum Datenschutz in der Biometrie« vom Teletrust Deutschland e.V.. In diesem unabhängigen Verein zur Förderung der Vertrauenswürdigkeit von Informations- und Kommunikationstechnik sind unter anderem Experten wie Prof. Dr. Christoph Busch vom Fraunhofer Institut für Graphische Datenverarbeitung und Dr. Gerrit Hornung von der Universität Kassel vertreten.
Akzeptanz mangelhaft
Eine kürzlich vom Systemhaus Unisys durchgeführte Befragung bestätigt die immer noch vorherrschenden Akzeptanzprobleme. Sie ergibt, dass die Deutschen europaweit zwar das höchste Sicherheitsbedürfnis haben, neuen biometrischen Sicherheitsverfahren aber sehr distanziert gegenüberstehen. Zwar haben rund 60 Prozent nichts gegen ein persönliches Passwort oder Foto, einen PIN oder einen Fingerprint-Scan.
Doch bei modernen biometrischen Identifikationsverfahren nimmt die Begeisterung schnell ab: 48 Prozent akzeptieren einen Iris- oder Augen-Scan, 43 Prozent einen Gesichts-Scan, 35 Prozent akzeptieren die Identifikation über die Stimme, und nur noch ein Viertel ist mit Scans der Blutgefäße in der Hand einverstanden.
Dietrich Schmitt, Geschäftsführer Unisys Deutschland, meint: »Die Unwissenheit um den Einsatz und die Funktionsweise neuerer biometrischer Identifikationsverfahren ist groß. Hier ist Aufklärungsarbeit notwendig. Und man muss erläutern, wie der Missbrauch biometrischer Daten verhindert wird. Nur so können neuere biometrische Verfahren auch das Vertrauen der Bevölkerung gewinnen«. Der IT-Dienstleister rüstet Unternehmen und öffentliche Einrichtungen mit biometrischen Sicherheitssystemen verschiedener Hersteller aus.
Datenschutz machtlos im internationalen Raum
Ein Grundproblem im Datenschutz ist die Aufhebung aller nationalen Grenzen im Internet. So gibt es zwar in Deutschland das Recht auf informationelle Selbstbestimmung. Aber gegen die Nutzung oder Auswertung der Daten in einem anderem Land ist der Anwender machtlos. Deshalb reicht eine nationale Vorschrift nicht aus, um Missbrauch zu verhindern.
Dietrich Schmitt, Geschäftsführer Unisys Deutschland: »Man muss erläutern, wie der Missbrauch biometrischer Daten verhindert wird. Nur so können neuere biometrische Verfahren auch das Vertrauen der Bevölkerung gewinnen.« (Bild: Unisys)
Unisys-Geschäftsführer Schmitt fordert deshalb eine Zertifizierung der Betreiber von biometrischen Überwachungssystemen. Hierbei müsse eine unabhängige Stelle überprüft werden, ob persönlichen Daten und Merkm
ale nur für rechtskonforme Zwecke erfasst sowie gespeichert werden und auch die Verknüpfung mit anderen Informationen keine Persönlichkeitsrechte verletzt. »Dieses Thema gehört unbedingt auf die Agenda eines ITK-Gipfels der Bundesregierung, wie er kürzlich in Darmstadt stattgefunden hat«, schlägt Schmitt vor.
Lohnt sich die Einführung von biometrischer Sicherheit?
Bei den Investitionskosten für biometrische Sicherheitssysteme muss eine ROI-Betrachtung vorgenommen werden, die nicht nur auf dem Einsparungspotential durch Wegfall der bisherigen Sicherheitsvorkehrungen (zum Beispiel: Lohnkosten für Pförtner) basiert, sondern auch das höhere Sicherheitsniveau berücksichtigt. Eine Personenschleuse für Iriserkennung kostet beispielsweise heute etwa 100 000 Euro.
Hinzu kommen Kosten für Erfassungs-Software- und Integration in die vorhandene IT-Infrastruktur, die sehr individuell von den jeweiligen Anforderungen abhängen. Im Betrieb sind eigentlich keine besonderen Kosten neben den üblichen IT-Betriebskosten zu erwarten, denn die Erfassungssysteme basieren auf bewährten Hardwarekomponenten, zum Beispiel Kameras, die keine aufwändige Wartung erfordern. Auch besonders geschultes Bedienpersonal ist in der Regel nicht erforderlich.
(Peter Baumann/mt)
Weblinks
Übersicht Biometrie
Landkarte Biometrie Deutschland
Teletrust e.V., Arbeitgruppe Biometrie
Whitepaper Datenschutz
Studie Unisys Security Index