Biometrische Authentifizierung
Biometrische Authentifizierung prüft die Identität eines Menschen an körperlichen Merkmalen wie Fingerabdruck, Gesicht oder Stimme. Statt ein Passwort einzugeben, zeigt man also sich selbst — was bequem ist, aber eigene Risiken mitbringt.
Wer sein Handy entsperrt, muss beweisen, dass er der rechtmäßige Besitzer ist. Klassisch geschieht das mit etwas, das man weiß: einer Zahlenfolge oder einem Passwort. Biometrische Authentifizierung nutzt stattdessen etwas, das man ist. Das Gerät vergleicht ein Körpermerkmal — den Fingerabdruck, das Gesicht, die Iris im Auge oder die Stimme — mit einer gespeicherten Vorlage. Passen beide ausreichend gut zusammen, wird der Zugang freigegeben. Der Begriff setzt sich aus dem Griechischen für Leben und Maß zusammen: es wird also am Körper gemessen.
Bequem, aber nicht widerrufbar
Der praktische Vorteil ist offensichtlich. Ein Fingerabdruck lässt sich nicht vergessen, nicht auf einen Zettel schreiben und nicht versehentlich weitergeben. Genau deshalb hat Biometrie das Passwort in vielen Alltagssituationen verdrängt. Auch Unternehmen mögen das Verfahren, weil unsichere Passwörter wie « 123456 » eine der häufigsten Ursachen für Einbrüche in Konten sind.
Dem steht ein grundsätzliches Problem gegenüber. Ein gestohlenes Passwort kann man ändern, ein gestohlenes Gesicht nicht. Wer einmal die gespeicherten Merkmale einer Person kopiert, kann sie theoretisch dauerhaft missbrauchen. Fachleute nennen Biometrie deshalb ein nicht widerrufbares Geheimnis. Aus diesem Grund gelten biometrische Daten in der europäischen Datenschutz-Grundverordnung als besonders sensibel und dürfen nur unter strengen Bedingungen verarbeitet werden.
Ein zweiter Streitpunkt ist Fairness. Gesichtserkennung arbeitete in Tests bei Frauen und bei Menschen mit dunkler Haut lange messbar schlechter als bei weißen Männern. Der Grund lag meist in den Trainingsdaten, in denen diese Gruppen unterrepräsentiert waren. Ein System, das für manche Menschen zuverlässiger funktioniert als für andere, ist mehr als ein technischer Mangel.
Von der Vorlage zum Schwellenwert
Im ersten Schritt, der Registrierung, nimmt ein Sensor das Merkmal auf. Aus dem Bild rechnet die Software eine Art Zahlenliste heraus, die charakteristische Punkte beschreibt: bei einem Gesicht etwa Abstände zwischen Augen, Nase und Kinn. Diese Liste heißt Template. Das ursprüngliche Foto wird dabei üblicherweise verworfen, und aus dem Template lässt sich das Gesicht nicht einfach zurückrechnen.
Bei jeder späteren Anmeldung entsteht eine neue Zahlenliste, die mit der gespeicherten verglichen wird. Anders als bei einem Passwort gibt es hier nie exakte Gleichheit. Licht, Winkel, ein Bart oder feuchte Finger verändern die Messung jedes Mal ein wenig. Das System berechnet daher einen Ähnlichkeitswert und akzeptiert ihn ab einem festgelegten Schwellenwert.
Dieser Schwellenwert ist eine Abwägung. Setzt man ihn streng, werden berechtigte Nutzer häufiger abgewiesen. Setzt man ihn locker, kommen Fremde leichter durch. Hinzu kommt die Lebenderkennung: Sie soll erkennen, ob vor der Kamera ein echter Mensch steht oder nur ein ausgedrucktes Foto. Moderne Sensoren messen dafür zum Beispiel die Tiefe des Gesichts mit Infrarotpunkten. Sicherheitsrelevant ist außerdem, wo das Template liegt — auf modernen Smartphones bleibt es in einem abgeschirmten Chipbereich im Gerät und wandert nicht auf einen Server.
Vom Handy-Login bis zur Grenzkontrolle
Am häufigsten begegnet einem Biometrie beim Entsperren von Smartphone und Notebook sowie beim Bestätigen von Zahlungen in Banking-Apps. Auch der elektronische Reisepass enthält Fingerabdrücke und ein Gesichtsbild; an vielen Flughäfen ersetzen automatische Schleusen deshalb die Kontrolle durch Beamte. In Firmen öffnen biometrische Leser Türen zu Serverräumen.
In den Nachrichten taucht der Begriff oft im Streit um Überwachung auf. Gesichtserkennung im öffentlichen Raum sucht in Kamerabildern nach bestimmten Personen. Das ist technisch verwandt, aber rechtlich etwas anderes: Hier weist niemand freiwillig seine Identität nach. Die KI-Verordnung der EU beschränkt solche Systeme daher stark.
Ein verbreiteter Irrtum ist schließlich, Biometrie sei automatisch sicherer als ein Passwort. Sie ersetzt vor allem das Merken, nicht die Sorgfalt. Fachleute empfehlen daher Mehr-Faktor-Verfahren: Man kombiniert das Körpermerkmal mit einem zweiten Nachweis, etwa dem Besitz eines bestimmten Geräts. Für gefälschte Stimmen und Videos, die KI heute erzeugen kann, ist das oft die einzige wirksame Absicherung.