Verhaltensbiometrie

Menschen lassen sich nicht nur an ihrem Aussehen unterscheiden, sondern auch an ihren Gewohnheiten. Verhaltensbiometrie ist die Technik, die genau solche Gewohnheiten am Computer oder Smartphone vermisst. Dazu gehört, wie schnell jemand tippt, wie lange er Tasten gedrückt hält, wie er das Handy in der Hand kippt oder mit welcher Kurve er die Maus über den Bildschirm zieht. Aus vielen solchen Kleinigkeiten entsteht ein Muster, das für jede Person recht typisch ist. Ein Programm vergleicht dieses Muster mit dem, was es von der Person bisher gesehen hat. Passt es nicht, gilt der Vorgang als verdächtig. Der Unterschied zum Fingerabdruck oder zum Gesichtsscan ist wichtig: dort wird gemessen, wie ein Körper aussieht, hier wird gemessen, wie sich jemand verhält.

Warum Banken auf Tipp- und Wischmuster schauen

Passwörter und Codes haben eine Schwäche: sie lassen sich stehlen. Wer die Zugangsdaten kennt, sieht für ein normales System aus wie der echte Kunde. Verhaltensbiometrie schließt diese Lücke, weil ein Betrüger das Verhalten nicht mitgestohlen hat. Er tippt anders, scrollt anders und hält das Gerät anders. Deshalb setzen viele Banken und Bezahldienste solche Systeme im Hintergrund ein.

Der zweite Vorteil ist der Komfort. Die Prüfung läuft dauerhaft mit, während man die App benutzt, und verlangt keine zusätzliche Eingabe. Fachleute nennen das kontinuierliche Authentifizierung: die Identität wird nicht einmal beim Login geprüft, sondern immer wieder. Erst wenn etwas auffällt, kommt eine Rückfrage oder eine Sperre. Für den ehrlichen Nutzer bleibt die Technik damit meist unsichtbar.

Besonders wirksam ist der Ansatz gegen zwei Betrugsformen. Erstens gegen automatische Programme, sogenannte Bots, die Formulare unnatürlich gleichmäßig und schnell ausfüllen. Zweitens gegen Fernsteuerung, bei der ein Betrüger am Telefon Vertrauen aufbaut und dann den Rechner des Opfers übernimmt. In beiden Fällen weicht das Verhalten stark vom gewohnten Bild ab.

Vom Tastendruck zum Vergleichsprofil

Zuerst sammelt die App oder die Webseite Messwerte. Typisch sind die Zeit zwischen zwei Tastenanschlägen, die Druckdauer einer Taste, Geschwindigkeit und Richtung von Wischbewegungen sowie Daten der Lagesensoren im Handy. Wichtig ist: der Inhalt des Getippten wird dafür nicht gebraucht, nur das Timing. Aus hunderten solcher Werte entsteht ein Zahlenprofil.

Dieses Profil wertet ein maschinelles Lernverfahren aus, also ein Programm, das Muster aus vielen Beispielen ableitet statt festen Regeln zu folgen. In einer Lernphase über einige Sitzungen merkt es sich, was für diesen Nutzer normal ist. Danach berechnet es bei jeder Nutzung einen Abweichungswert. Ein kleiner Wert bedeutet: passt. Ein großer Wert löst eine zusätzliche Prüfung aus.

Verlässlich ist das nie zu hundert Prozent, und das ist ein häufiger Irrtum. Wer müde ist, im Zug sitzt oder ein neues Handy hat, tippt anders als sonst. Deshalb dient Verhaltensbiometrie fast immer nur als eines von mehreren Signalen. Sie ergänzt Passwort, Gerätekennung und Standort, sie ersetzt sie nicht.

Wo die Technik heute mitläuft

Am weitesten verbreitet ist Verhaltensbiometrie im Online-Banking und im Bezahlverkehr. Anbieter wie BioCatch oder BehavioSec verkaufen solche Systeme an Banken, die sie unsichtbar in ihre Apps einbauen. Auch Betrugsfilter von Onlineshops und die Prüfung, ob hinter einer Anmeldung ein Mensch oder ein Bot steckt, arbeiten mit ähnlichen Signalen. In der Schule kann sie bei Onlineprüfungen auftauchen, um Täuschungsversuche zu erkennen.

In den Nachrichten begegnet der Begriff meist im Zusammenhang mit Datenschutz. Verhaltensdaten gelten in der EU als besonders sensibel, wenn sie zur eindeutigen Identifizierung dienen. Die Datenschutz-Grundverordnung verlangt dafür in vielen Fällen eine ausdrückliche Einwilligung. Kritiker weisen außerdem darauf hin, dass sich aus Tippmustern Hinweise auf Stress oder Krankheiten ergeben können. Wer Finanz- und Techniknachrichten liest, findet den Begriff daher oft in zwei Rollen: als Werkzeug gegen Betrug und als Streitfall im Datenschutz.