Biometrie statt Biometrie

Heise Telepolis schreibt heute in einem Artikel über die Möglichkeiten des PIN-Abgriffs bei Lidl folgenden Absatz zur Biometrie:

Ob die von der ebenfalls im Videoüberwachungsskandal verwickelten Edeka-Kette als Lösung propagierten Fingerabdruckbezahlverfahren Abhilfe schaffen, ist mehr als fraglich. Tatsächlichen Sicherheitsgewinn brächte dagegen eine Umstellung auf die Erkennung des individuellen Venenmusters. In Japan wird dieses Verfahren bereits seit geraumer Zeit an Geldautomaten eingesetzt.

Ich sehe das aber sehr skeptisch. Vor der Zeit der elektronischen Datenbanken galten Fingerabdrücke als sehr sicher, ja es galt eigentlich sogar als ausgeschlossen, dass es da Verwechslungen gibt. Trotzdem denken wir heute, nach Beginn des allgemeinen Biometrie-Hype anders darüber. Die in immer größeren Stückzahlen hergestellten Fingerabdruck-Scanner erkennen nicht zuverlässig genug, Fingerabdrücke werden sowohl für die Aufklärung von mehr und weniger schweren Straftaten als auch für Lappalien wie Laptop-Zugangskontrolle verwendet.

Die Aussage von Heise Telepolis kann ich aber aus einem anderen Grund nicht wirklich unterstützen. Hier wird Biometrie empfohlen als Alternative zur anderer Biometrie. Meiner Ansicht nach, stellt sich momentan jede Biometrie als Passwort-Ersatz dar. Ob es gute Passwörter (Venenmuster, Iris-Scan) oder schlechte Passwörter (Fingerabdruck, Gesichtsmetriken) sind, spielt keine Rolle, es sind immer noch Passwörter.

Jedem Computer-Benutzer werden immer wieder 3 wichtige Grundregeln für die Verwendung von Passwörtern mit auf den Weg gegeben (zudem, dass man sich ein sicheres Passwort aussuchen soll):

1. Ändere dein Passwort gelegentlich
2. Sorge dafür, dass niemand dein Passwort herausfinden kann
3. Benutze für unterschiedliche Zugänge auch unterschiedliche Passwörter

Und diese drei Regeln lassen sich mit Biometrie nicht abbilden. Und zwar gleich welche Biometrie man nimmt. Man kann natürlich mehrere Merkmale unterschiedlich kombinieren, aber das ändert nichts am Problem.

Wir haben heute die Situation, dass jemand, der meinen Fingerabdruck reproduziert, damit bei Edeka einkaufen kann. Der CCC veröffentlichte jüngst den Bausatz mit Erklärung, wie man Fingerabdrücke sichert und reproduziert. Dass das ganze dann bei Edeka funktioniert ist ebenfalls bewiesen.

Es wird nicht lange dauern, bis es entsprechende Techniken gibt um Iris- oder Venenmuster zu reproduzieren. Wenn mein Bankkonto dann darüber geschützt ist, sehe ich wenig Handhabe über den Missbrauch, der damit möglich ist. Je sicherer eine Technologie in den Medien beschrieben wird, um so blinder ist das Vertrauen darin.

Die Frage, die ich den Verantwortlichen dabei gelegentlich mal stellen möchte ist: Wenn jemand mein Venenmuster reproduziert (und ich das merke), wie kann ich dann neue Zugangsdaten für mein Bankkonto erhalten?