Melden Sie sich hier an, um auf Kommentare und die Whitepaper-Datenbank zugreifen zu können.

Kein Log-In? Dann jetzt kostenlos registrieren.

Falls Sie Ihr Passwort vergessen haben, können Sie es hier per E-Mail anfordern.

Der Zugang zur Reseller Only!-Community ist registrierten Fachhändlern, Systemhäusern und Dienstleistern vorbehalten.

Registrieren Sie sich hier, um Zugang zu diesem Bereich zu beantragen. Die Freigabe Ihres Zugangs erfolgt nach Prüfung Ihrer Anmeldung durch die Redaktion.

26.07.2002 - 

Authentifizierung, Zugangskontrolle und Personenidentifikation

Biometrie bleibt ein Experimentierfeld

MÜNCHEN (fn) - Nach den Terroranschlägen vom 11. September 2001 waren biometrische Sicherheitslösungen ein großes Thema. Zwar sind konkrete Anwendungsbeispiele weiterhin rar, doch befinden sich viele Unternehmen im Experimentierstadium.

"Biometrie ist weder neu noch revolutionär noch futuristisch", heißt es in der Einleitung des Fachbuchs "Biometrische Verfahren". Die Autoren Veronika Nolde und Lothar Leger spielen auf die Tatsache an, dass Verfahren zum Scannen von Fingerabdrücken oder der Iris schon vor vielen Jahren entwickelt und patentiert wurden. Heute können biometrische Systeme als Schlüsselersatz für Gebäude oder Räume dienen, das Passwort beim Login am Computer ersetzen, Ausweiskontrollen überflüssig machen oder Personen am Geldautomaten identifizieren. Doch trotz ausgereifter Technik und einer Vielzahl von Herstellern kamen entsprechende Produkte bis dato nur in Nischen zur Anwendung.

Die Terroranschläge in New York brachten die Technik auf die Tagesordnung von Regierungen. Die Anbieter witterten das große Geschäft, den lang ersehnten Durchbruch. Mittlerweile ist die Euphorie verpufft. "Wir verkaufen nicht wesentlich mehr Lösungen als vor dem 11. September 2001", berichtet ein Sprecher des auf Gesichtserkennung spezialisierten Anbieters ZN Vision Technologies AG aus Bochum. Die Kunden des Unternehmens nutzen dessen Produkte vor allem für die Zugangskontrolle zu Hochsicherheitstrakten. Wer Zutritt begehrt, schiebt eine Chip- oder Barcodekarte in ein Lesegerät, die das codierte Datenmuster seines Gesichtsfeldes enthält, und schaut zwecks Verifikation in eine Kamera. Das biometrische Gerät erfasst das Gesicht und vergleicht die Informationen mit den Kartendaten. Die Deutsche Bank in Frankfurt am Main beispielsweise regelt auf diese Weise den Zutritt zum europäischen Rechenzentrum.

Während das Geschäft mit den Zutrittstechniken seit Jahren ein Nischendasein fristet, hofft die Branche auf den biometrischen Personalausweis. Doch es kann noch lange dauern, bis der Bundesbürger den intelligenten Pass bei sich trägt. Zwergstaaten wie Brunai oder Macao hingegen haben bereits Ausweise eingeführt, die den Fingerabdruck der Person auf einem Chip speichern.

Biometrische Verfahren zur Identifikation von Personen können auch dazu dienen, ineffiziente Vorgänge wie etwa Sicherheitskontrollen zu vereinfachen oder zu beschleunigen. So versucht das amerikanische Unternehmen Eyeticket aus McLean im US-Bundesstaat Virginia sein auf der Iriserkennung basierendes "Jetstream"-System an Flughäfen zu verkaufen. In einem Feldversuch können ausgewählte und zuvor einmal identifizierte Passagiere der Fluggesellschaften Virgin Atlantic und British Airways am Flughafen John F. Kennedy für Flüge nach London einchecken und umgekehrt, ohne einen Ausweis vorzeigen zu müssen. Lediglich Platzkarten für die Maschine werden ausgedruckt. Ob nach dem Ende Juli auslaufenden Test ein Regelbetrieb aufgenommen wird, steht noch nicht fest.

Schneller einchecken

Auch das Sheraton Hotel am Frankfurter Flughafen möchte in den nächsten Wochen einen Probebetrieb mit dem Eyeticket-System starten. Stammgäste und Flugzeug-Crews sollen auf diese Weise schneller einchecken können, was insbesondere zu Stoßzeiten die Rezeption entlasten soll. Die Teilnehmer lassen zunächst ihre Irisdaten einmalig vom Jetstream-Gerät erfassen und können dann immer wieder die biometrische Schranke passieren. Damit sie die obligatorische Meldekarte nicht bei jedem Besuch erneut ausfüllen müssen, druckt das System eine vorgefertigte Registrierkarte aus, die der Hotelgast nur noch unterzeichnen muss. Für diesen Sonderweg musste sich Eyeticket eine Genehmigung des Bundeskriminalamts einholen. Nach der Iris-Erkennung erhält der Gast seinen Zimmerschlüssel. "Wir haben als großes Flughafenhotel oft mit plötzlichen Besucherspitzen von bis zu 300 Personen gleichzeitig zu kämpfen", berichtet Hoteldirektor Edmond Pinczowski, der schon länger auf der Suche nach einem Verfahren ist, das die Wartezeit für seine Gäste verkürzt. Eyeticket bot dem Manager den Probebetrieb mit dem Iris-Scanner an. "Wir selbst hatten eigentlich gar nicht an ein biometrisches Verfahren gedacht", so Pinczowski.

Iris-Scan statt Ausweis

Über das Pilotstadium ist der Amsterdamer Flughafen Schiphol bereits hinaus. Reisende, die sich dem "Privium"-Programm des Airport-Betreibers Schiphol Group anschließen, erhalten eine Smartcard, auf deren Chip die codierten Daten ihrer Augeniris gespeichert sind. Um die Kontrollen am Gate zu passieren, müssen die Fluggäste diese Karte in ein Lesegerät schieben und in einen Iris-Scanner schauen. Stimmen die Daten mit der Chipkarte überein, öffnet sich die Pforte. Mitmachen dürfen nur EU-Bürger sowie Personen aus Island, Liechtenstein und Norwegen. Das Verfahren setzt eine einmalige Registrierung mit Ausweiskontrolle und der Erstellung einer Smartcard voraus. Zudem werden Nachforschungen über die Person angestellt. Beim "Background-Check" wird zum Beispiel in Erfahrung gebracht, ob der Antragsteller vorbestraft ist. Einwände von Datenschützern lässt der Flughafenbetreiber Schiphol Group nicht gelten, denn schließlich seien die Iris-Daten nicht in einer zentralen Datenbank, sondern nur auf der Karte gespeichert. Die Gesellschaft möchte das gemeinsam mit der IBM entwickelte System auch an andere Flughäfen verkaufen. Mit einem kontaktlosen Iris-Scanner hätten Reisende weniger Berührungsängste als mit einem Fingerabdruckleser, der täglich von vielen Menschen benutzt wird. Allerdings gibt es noch immer viele Menschen, die bei solchen Verfahren Angst um ihre Augen haben, da sie glauben, ihr Sehorgan würde mittels Laserstrahlen abgetastet. Tatsächlich arbeiten diese Geräte lediglich mit einer Videokamera.

Finger statt Passwort

Iris-Scanner kommen vor allem dort zum Einsatz, wo viele Personen ein Gerät benutzen, etwa bei Zugangs- oder Passkontrollen. Fingerabdruckleser eignen sich dagegen für den Einsatz etwa an PC-Arbeitsplätzen. Wegen der geringen Hardwarekosten, so das Argument der Hersteller, könnte jeder Rechner im Unternehmensnetz mit diesen Komponenten ausgestattet werden, so dass Passwörter nicht mehr benötigt würden. Mit dieser Idee hat sich beispielsweise der Chiphersteller Infineon aus München angefreundet. Wolf-Rüdiger Moritz, Leiter Unternehmenssicherheit bei Infineon, möchte generell Passwörter und persönliche Identifikationsnummern (PINs) aus seiner Firma verbannen. So soll in Zukunft auch das Login an den Firmen-PCs über eine Smartcard nebst Fingerabdrucksensor erfolgen. Per Chipkarte melden sich einige Anwender bereits jetzt an ihren Rechner an, müssen aber zusätzlich noch ein Passwort eingeben. Statt Codes einzutippen, soll der User künftig auf einen Fingersensor am Computer drücken. "Es ist weiterhin Realität, dass sich PC-Nutzer Passwörter auf gelben Zetteln notieren", erklärt Moritz den Handlungsbedarf. Als erste Komponente soll im Herbst dieses Jahres ein Verfahren zur E-Mail-Verschlüsselung nach diesem Konzept realisiert werden. Für Infineon hält sich der Aufwand in Grenzen, fertigt das Unternehmen doch selbst Fingerabdrucksensoren, die unter anderem der Siemens-Konzern in verschiedenen Produkten verwendet.

Ein biometrisches Merkmal als Passwort- oder PIN-Ersatz bietet sich auch im Zusammenspiel mit intelligenten Smartcards für die elektronische Unterschrift an. Eine solche Kombination hat sich das niederländische Justizministerium angeschafft. Etwa 12000 Angestellte nutzen das Produkt "Safeguard Biometrics" des Sicherheitsspezialisten Utimaco Safeware AG aus Oberursel. Mit der Chipkarte authentifiziert sich der Benutzer sowie verschlüsselt und signiert damit gleichzeitig E-Mails und Dateien. Um die Karte benutzen zu können, muss er sich über einen integrierten Fingerabdruckleser identifizieren lassen. Die Überprüfung des Fingers der Person mit dem gespeicherten Muster findet dabei auf der Karte statt ("Match on Card") und nicht etwa am PC oder auf einem zentralen Server.

Die Ablösung des Passworts durch den Fingerabdruck erhöht den Zugriffsschutz insofern, als sich Codewörter oft leicht erraten lassen oder ausgeplaudert beziehungsweise ausgespäht werden können. Vor allem aber erleichtern die biometrischen Logins das Leben der Supportabteilung, da Mitarbeiter nicht selten ihre Passwörter vergessen. Zwar will auch ein biometrisches Authentifizierungssystem gewartet werden, doch diese Kosten liegen weit unter denen von durch Passwortprobleme verursachten Helpdesk-Anfragen. Bei der Generali Versicherung AG in Wien war ein höheres Sicherheitsbedürfnis der Grund dafür, Fingerprint-Systeme anzuschaffen. Die Gesellschaft ist dabei, ein Single-Sign-on-(SSO-) System für alle PC-Benutzer einzuführen. SSO-Verfahren gestatten den Zugriff auf unterschiedliche Anwendungen über ein zentrales Berechtigungs-Management, bei dem sich der Benutzer nur einmal einloggen muss. Zunächst wurde das System nur für eine kleine Gruppe von Anwendern installiert. Die Rechner von vier Administratoren erhielten zudem einen Fingerabdruckleser, der in die SSO-Software eingebunden ist. Für bestimmte Aktionen, etwa das Anlegen neuer Benutzer, muss der Systemverwalter sich per Fingerauflegen ausweisen. Ob sich künftig auch konzernweit jeder Mitarbeiter per Fingerabdruck authentifizieren wird, ist noch offen - nicht zuletzt wegen der Kosten. Das Login-System der Generali entstand in Zusammenarbeit mit dem Institut für System-Management (ISM) aus Rostock, das ein Komplettpaket bestehend aus Software sowie einer Maus beziehungsweise einer Tastatur mit Fingersensor anbietet.

Neben den Kosten sorgen auch Zweifel an der Sicherheit dafür, dass sich biometrische Verfahren nur schleppend verkaufen. Produkte der unteren Preisklasse lassen sich mitunter leicht austricksen, wie bereits mehrfach von Experten demonstriert wurde. Ein Bericht der Zeitschrift "c''t" wies beispielsweise die mangelnde Zuverlässigkeit von preisgünstigen Iris- und Fingerabdruck-Scannern eindrucksvoll nach.

Noch nichts für Geldautomaten

Doch falsche Identifikation und Lesefehler nehmen Unternehmen an ihren PC-Arbeitsplätzen bis zu einem gewissen Grad in Kauf. An öffentlich zugänglichen Geldautomaten wären Pannen hingegen fatal. Ein Ergebnis des von dem Verein Teletrust initiierten Biometrieprojekts "Biotrust" (www.biotrust.de) war, dass eine biometrische Identifikation an Geldausgabesystemen "wirtschaftlich mittelfristig zurzeit nicht darstellbar" sei. Im Rahmen des Biotrust-Projekts wurden von April 1999 bis März 2002 die Akzeptanz und Nutzungsmöglichkeiten biometrischer Identifikationsverfahren untersucht. "Schon wegen der Fehlertoleranz der Verfahren scheidet ein Einsatz am Geldautomaten aus", urteilt ein Sprecher der Deutschen Bank. Und selbst wenn es verlässliche Systeme gäbe, müssten sich alle Kreditinstitute auf einen Standard einigen, um eine flächendeckende Versorgung zu gewährleisten. Zudem dürfte es dauern, bis sich die Kunden, die seit Jahren mit Chipkarte und PIN jonglieren, mit der Biometrie vertraut gemacht haben. Letztendlich sind es jedoch Zweifel an der Wirtschaftlichkeit, die Geldautomaten mit biometrischer Authentifizierung verhindern. Ebenso erteilen Bankexperten der Biometrie beim Homebanking eine Absage. "Wenn wir den Service-Level der jetzigen PIN- und Transaktionsnummern-Systeme erreichen, hat sich der Sinn solcher Verfahren erübrigt", argumentiert Joachim Fontaine, Experte für kartengestützten Zahlungsverkehr beim Bundesverband deutscher Banken. Die Internet-Anwender scheinen sowieso kaum Interesse an einer Online-Benutzerauthentifizierung über biometrische Verfahren zu haben. Stolz stellte die DCI AG aus Starnberg für ihren Online-Marktplatz "Webtradecenter" vergangenes Jahr eine Anmeldelösung vor, die den Zugang zur Website per Fingerabdruck ermöglicht. Mangels Nachfrage seitens der Marktplatzteilnehmer stellte das Unternehmen das Angebot wieder ein.

Integration aufwändig

Am Ende sind es vor allem die Kosten, die potenzielle Biometrie-Kunden abschrecken. Der Aufwand erschöpft sich keineswegs in der Anschaffung entsprechender Scanning-Produkte. Ebenso wichtig ist die Integration in bestehende IT-Umgebungen - und hier liegt noch vieles im Argen. "Die meisten Hersteller verstehen sich als Technikanbieter und haben die Anbindung in Computer und Netze außer Acht gelassen", bemängelt Thomas Geipel, Sicherheitsberater bei der Meta Group aus Essen. Zwar wurde mit der "Bio API" eine Schnittstelle zur Einbindung von Sicherheitssystemen ins Windows-Betriebssystem beziehungsweise in Anwendungssoftware geschaffen, doch trotzdem ist ein erhebliches Maß an Detailarbeit erforderlich, um die Sicherheits-Tools mit existierenden Applikationen zu verknüpfen. Das zeigte auch das Biotrust-Projekt. Um den Firmen die Integrationsangst zu nehmen, entwickeln Hersteller Sicherheitssysteme für spezielle Applikationen.

Biometrie für SAP-Login

Für die Zugangskontrolle in betriebswirtschaftliche Standardsoftware hat das Beratungs- und Softwarehaus Realtime AG aus Langenfeld die Software "Biolock" für SAP R/3 auf den Markt gebracht. Die Lösung stützt sich auf die Authentifizierung per Fingerabdruck. Es bleibt der Anwenderfirma überlassen, ob sie die zentrale Anmeldung an das ERP-System oder nur bestimmte Applikationsfunktionen schützen möchte. Die Referenzdaten des Fingerabdrucks speichert das Programm in Tabellen der R/3-Software. Derzeit setzt jedoch noch keine Firma das Anmeldeverfahren produktiv ein. So kann Realtime lediglich auf Pilotinstallationen verweisen.

Trotz der vielfältigen Einsatzmöglichkeiten sollten Unternehmen die Biometrie nicht überschätzen: Die Verfahren dienen einzig und allein der Identifikation von Personen und stellen damit nur einen Stein in einem umfassenden Sicherheitsmosaik dar. Bevor Firmen das Passwort durch den Fingerabdruck, die Stimme oder Augenmuster ersetzen, sollten sie die zahlreichen Sicherheitslücken in Betriebssystemen, Anwendungen und Netzen schließen.

Lebenderkennung

Kein biometrisches Verfahren erlaubt eine absolut fehlerfreie Erkennung der Person. Letzte Sicherheit bringt nach Ansicht von Christoph von der Malsburg, Direktor des Instituts für Neuroinformatik an der Ruhr-Universität Bochum, nur die Kombination aller zur Verfügung stehenden biometrischen Merkmale. Damit sich die einzelnen Systeme nicht so leicht überlisten lassen, sind Funktionen der Lebenderkennung von Bedeutung. So lässt sich feststellen, ob in einem auf den Sensor gelegten Finger auch tatsächlich Blut fließt und ob er Körperwärme abstrahlt.

Viel diskutiert wird der massenhafte Einsatz der Biometrie für die Grenzzugangs- beziehungsweise Ausweiskontrolle. "Die internationalen Gremien haben alle keine festen Entscheidungen getroffen, empfehlen aber immer wieder die Gesichtskontrolle als Methode erster Wahl", so von der Malsburg. Das Verfahren habe große Benutzerakzeptanz, da Menschen es gewohnt seien, ihr Gesicht zu Identifikationszwecken zu zeigen.