Nun will auch Intel auf biometrische Daten als Passwortersatz setzen. Nicht nur der altbekannte Fingerabdruck, sondern auch Gesichts- oder Spracherkennung, Iris-Scan, der persönliche Herzschlag oder der individuelle Schreibrhythmus sollen die lästigen Passwörter ersetzen.

Auf Anhieb klingt das gut. Nie wieder müsste man sich ein kryptisches Passwort überlegen und sich dann auch noch merken. Es wäre auch endlich Schluss mit der Vielzahl von Passwörtern für die einzelnen Dienste. Kein Wunder, dass sich bei Umfragen die Mehrheit der Benutzer für biometrische Daten als Zugangskontrolle ausspricht. In einer Umfrage des Verbandes BITKOM sprachen sich 50 % der Befragten ab 14 Jahren für biometrische Daten aus. Speziell ältere Verbraucher ab 50 Jahren konnten sich für die Idee begeistern, 75 % würden den Fingerabdruck nutzen, 61 % den Iris-San.

Nur leider ist es mit dieser Idee genauso wie mit anderen Dingen im Leben. Wenn es zu schön klingt, um wahr zu sein, dann ist es meist auch nicht wahr. Zwar gibt es mittlerweile alle diese Verfahren, der Fingerabdruck wird bei einigen Smartphones auch schon als Passwort benutzt. Nur die Sicherheit ist leider nicht so groß, wie man im ersten Moment annehmen würde. Wie schon einige White Hat Hacker demonstriert haben, lassen sich diese biometrischen Daten durchaus stehlen. Am einfachsten ist das mit dem Fingerabdruck. Jeder hinterlässt überall Fingerabdrücke, die abgenommen und missbraucht werden können (siehe dazu das Video des CCC, in dem der Fingerabdruck der deutschen Verteidigungsministerin mittels eines Zeitungsfotos „nachgebaut“ wurde). Das System kann nicht feststellen, ob der Fingerabdruck zu einem lebenden Finger gehört. Es vergleicht nur die Muster. Aber auch ein hochauflösendes Foto des Fingers reicht schon aus, um eine brauchbare Attrappe herzustellen. Deshalb ließ sich auch Gesichtserkennungssoftware schon durch ein gutes Foto täuschen. Auch der Iris-Scan ist leider nicht wirklich sicher. Die Erkennungssoftware ließ sich ebenfalls durch ein entsprechend aufbereitetes Foto täuschen. Wie schwierig ist es wohl, eine Sprachaufzeichnung einer bestimmten Person zu bekommen? Sind die biometrischen Daten aber erst mal gestohlen, hat man ein riesiges Problem. Man kann relativ schnell ein neues Passwort vergeben, aber nicht die eigenen biometrischen Daten ändern. Sie fallen damit für die Zukunft als Zugangskontrolle aus.

Wirklich sicher ist nur eine Zwei-Wege-Identifikation. Bei diesem Verfahren müssen zwei Dinge vorhanden sein, meist als „Wissen“ und „Besitz“ bezeichnet. „Wissen“ wird im Allgemeinen durch ein Passwort realisiert, „Besitz“ durch einen zweiten Faktor, wie zum Beispiel ein Token oder das Smartphone. Bei dem Einsatz eines Smartphones spielen wieder die Sicherheitsaspekte eine Rolle: Wie leicht lässt sich das Smartphone manipulieren? Erschreckend einfach. Und das System, bei dem nach Eingabe des richtigen Passworts ein Sicherheitscode an die hinterlegte Handy-Nummer gesendet wird, ist nicht sonderlich benutzerfreundlich.

Ein einfacheres System für die Zwei-Wege-Identifikation ist der CosmoKey. Er verbindet bequeme Nutzung mit größter Sicherheit. Es handelt sich hierbei um einen Hardwaretoken, der die Größe eines modernen Autoschlüssels hat. CosmoKey arbeitet problemlos mit allen Endgeräten zusammen. Durch einen Klick auf den CosmoKey wird eine Zugangsberechtigung an das Endgerät geschickt. Auf dem Endgerät selber muss keine zusätzliche Software installiert werden. Die zugehörige Software läuft auf dem Zentralrechner. Daher ist das Betriebssystem des Endgerätes für die Funktion auch unerheblich. Natürlich kann ein CosmoKey verloren gehen oder gestohlen werden. Aber er lässt sich dann anders als bei einem Fingerabdruck oder einer Iris problemlos sperren und durch einen Neuen ersetzen.

Sichern Sie sich weitere Informationen die Ihre IT-Sicherheit betreffen und tragen Sie sich jetzt in diesen Newsletter ein: