Biometrie-Tools aus der Cloud

Dürfen Fingerabdrücke im Reisepass gespeichert werden? Ja, urteilte der Europäische Gerichtshof (EuGH). Die Erfassung und Speicherung von Fingerabdrücken im Reisepass stelle zwar einen Eingriff in die Rechte auf Achtung des Privatlebens und auf den Schutz personenbezogener Daten dar. Diese Maßnahmen seien aber dennoch gerechtfertigt, um die betrügerische Verwendung von Pässen zu verhindern, stellte das Gericht fest.

Viele Deutsche scheinen den Eingriff in ihre Privatsphäre durch biometrische Verfahren jedoch weniger kritisch zu sehen. Laut einer Ponemon-Studie sind 45 Prozent der Befragten in Deutschland einverstanden, wenn vertrauenswürdige Organisationen Biometrie einsetzen, um Verbraucher zu authentisieren. Nur 29 Prozent machen ihre Zustimmung davon abhängig, dass die Organisationen auf ihre Biometrie-Daten nicht zugreifen können. 62 Prozent wünschen sich sogar, ihre biometrische ID grundsätzlich auch im Internet nutzen zu können. Eine ähnliche Aufgeschlossenheit sieht die Ericsson-Studie "10 Hot Consumer Trends 2014" für Biometrie-Verfahren bei Smartphones.

Andererseits berichtet Steria Mummert Consulting, dass sich viele Deutsche nicht vorstellen können, finanzielle Transaktionen mit biometrischen Verfahren abzusichern. Zudem warnen Sicherheitsexperten zum Beispiel von Kaspersky Labs sowie deutsche und europäische Datenschützer vor dem Missbrauchspotenzial biometrischer Daten.

Der Biometrie-Markt blüht trotzdem

Parallel zu der kontroversen Debatte über Biometrie reift der Markt für Lösungen im Bereich der biometrischen Authentifizierung. Gerade im Bereich der Endgeräte sind die technischen Voraussetzungen für biometrische Verfahren zunehmend gut. Die Zahl der Notebooks mit Fingerabdruck-Lesern wächst weiter, auch Smartphones und Tablets bringen bereits mit Hochleistungskamera und Mikrofon viele Funktionen mit, um Gesichtserkennung, Stimmerkennung und das Scannen des Fingerabdrucks zu ermöglichen.

Fujitsu beispielsweise stellt auf der CeBIT 2014 das Business-Notebook LIFEBOOK U904 mit integriertem Venenscanner vor - basierend auf dem PalmSecure-Verfahren. Selbst Lösungen, die Kombinationen von Gesichts-, Fingerabdruck- und Irisbiometrie anbieten, sind bereits verfügbar, wie Credence ID Trident zeigt.

Eine weitere Entwicklung ist zu beobachten, die der Ausbreitung biometrischer Lösungen entgegen kommt: Unternehmen planen, vermehrt Lösungen zur Mehr-Faktor-Authentifizierung aus der Cloud zu beziehen und damit auch biometrische Lösungen aus der Cloud.

Die Cloud hat auch für Biometrie Vorteile

Cloud-basierte Lösungen im Bereich biometrischer Zutritts- und Zugangskontrollen gibt es bereits reichlich, denn die Wolke bietet beste Voraussetzungen, biometrische Verfahren möglichst flexibel, geräteübergreifend und einheitlich einsetzen zu können.

BioID zum Beispiel bietet sich als Cloud-basiertes Verfahren zur Gesichtserkennung an und kann in mobile Dienste ebenso eingebunden werden wie in andere Cloud-Services. An Hardware-Voraussetzung beim Nutzer nennt der Anbieter Standard-Webcams oder Standard-Smartphone-Kameras. Als möglichen Anwendungsfall sieht BioID zum Beispiel eine zusätzliche Authentifizierung für Online-Banking.

Ein Angebot unter anderem zur Gesichtserkennung auf Fotos kommt von SkyBiometry, das auch für mobile Services und Online-Dienste genutzt werden kann. Diese Lösung hat einen Demo-Bereich für Interessenten vorgesehen. Ebenfalls im Bereich der Gesichtserkennung aus der Cloud unterwegs ist BiometryCloud. Gegenwärtig richtet sich das Angebot aber an Entwickler, die die Lösung als Plug-in integrieren wollen.

Viele Biometrie-Verfahren und Anwendungen sind verfügbar

Selbst militärische und polizeiliche biometrische Anwendungen werden in Verbindung mit der Cloud offeriert - wie beispielsweise die Animetrics FaceR Identity Management Solution (FIMS Cloud). So könnten zum Beispiel Polizisten mit dem Smartphone eine Aufnahme machen und diese via Cloud-Dienst mit bekannten Straftäter-Fotos abgleichen lassen. Denkbar ist auch das Szenario einer mobilen Zutrittskontrolle auf einem weitläufigen Unternehmensgelände.

One person, many identities
Die Vielzahl an digitalen Identitäten und Passwörtern, die ein Nutzer bewältigen muss, lässt sich durch Single-Sign-On (SSO) reduzieren. Im Idealfall reicht eine Zugangskontrolle für alle genutzten Anwendungen. Dies kann zum Beispiel eine biometrische Zugangskontrolle sein wie bei BioID.

Twitter - Sign in
Social-Media-Dienste wie Twitter bieten sich als Identitätsdienst an, so dass zum Beispiel die Twitter-Zugangsdaten auch für andere Online-Dienste genutzt werden können - vorausgesetzt, diese unterstützen die Anmeldung über Twitter.

Alternative Mozilla Persona
Neben dem Identitätsdienst OpenID bietet sich auch Mozilla Persona an, um einheitliche Anmelde-Verfahren bei mehreren Webseiten zu schaffen.

One E-Mail to rule 'em all
Bei Mozilla Persona dient die E-Mail-Adresse des Nutzers als eindeutiges Kennzeichen, über das verschiedene Anmelde-Verfahren auf Webseiten vereinheitlicht werden können.

ClaimID OpenID
Einer der führenden Identitätsdienste im Internet ist OpenID. Dieser wird auch von zahlreichen Identitätsmanagement-Lösungen unterstützt, die Unternehmen für das interne Netzwerk und für Cloud-Dienste einsetzen.

CA CloudMinder
Die Lösung CA CloudMinder bietet Single-Sign-On für eine Vielzahl von Anwendungen, ob im eigenen Netzwerk oder in der Cloud. Zusätzlich werden Self-Service-Funktionen angeboten, mit denen die Nutzer zum Beispiel selbst ein Passwort zurücksetzen können.

SecureAuth IdP
Für die SSO-Lösung SecureAuth IdP gibt es spezielle mobile Apps, mit denen sich die SSO-Zugänge auch über mobile Geräte nutzen lassen.

Aveska MyAccess Mobile
Für die SSO-Plattform MyAccessLive gibt es mobile Zugriffsmöglichkeiten, mit denen Administratoren Nutzeranfragen zu neuen oder geänderten Zugängen mobil bearbeiten können.

Auch die biometrische Stimmerkennung ist über einen Cloud-Dienst verfügbar - so ist VoiceVault speziell auf Anwendungen für Banken und Gesundheitswesen ausgerichtet. Als Smartphone- und Tablet-App ViGo Mobile wird die Stimmerkennung auch mobil angeboten. Genutzt wird dazu der Cloud-Dienst AWS. Ein verwandtes Angebot zur mobilen Stimmerkennung kommt von Nuance mit Dragon ID Voice.

Wie vielfältig die biometrischen Möglichkeiten aus der Cloud bereits sind, zeigt MobiComBiom. Diese Lösung kombiniert Stimmerkennung, Gesichtserkennung, Analyse der Lippenbewegung und die Aussprache bestimmter Wörter, um einen Nutzer zu identifizieren. Die Video- und Audiodaten werden via Internet an den Provider übertragen, damit die aktuellen Aufnahmen mit den dort hinterlegten Templates abgeglichen werden (Matching).

Der Datenschutz sieht klare Grenzen

Biometrie-Anbieter wie BioID oder Griaule Biometrics unterstreichen, dass die Übertragung der Daten zwischen Nutzer und Cloud verschlüsselt erfolgt. Dieser Hinweis ist sehr wichtig, nicht nur bei Anwendungen im Bankenumfeld oder gar militärischen Bereich.

Alle biometrischen Anwendungen verarbeiten Daten, die den Schutz der Privatsphäre und damit das Datenschutzrecht betreffen. So sind nach Ansicht der Aufsichtsbehörden für alle biometrischen Authentisierungsverfahren - ob Gesichtserkennung, Stimmerkennung oder ein anderes Verfahren - klare Vorgaben und Grenzen zu beachten: Die biometrischen Daten müssen so vorgehalten werden, dass es für Unbefugte nicht möglich ist, diese mit weiteren Nutzerdaten zu kombinieren. Ein biometrisches Nutzerprofil muss also verhindert werden.

Ausschließlich pseudonyme Nutzerprofile erstellen
Nutzungsprofile von Besuchern dürfen laut §15 Telemediengesetz ohne Einwilligung nur unter einem Pseudonym erstellt werden.<br /><br /> In der Regel spricht man von einem Pseudonym, wenn hinter dem jeweiligen Datensatz fünf oder mehr Personen stecken können. Die Datenschutzbehörden haben hierzu festgestellt, dass die IP-Adresse ausdrücklich kein Pseudonym darstellt, da hierdurch Rückschlüsse auf den einzelnen Besucher einer Website gezogen werden können. Achten Sie darauf, dass IP-Adressen vor der Verarbeitung und Speicherung so gekürzt werden, dass ein Bezug zur natürlichen Person nicht mehr herzustellen ist.

Widerspruchsrecht einräumen und technisch umsetzen
Besucher müssen der Erstellung von Nutzungsprofilen widersprechen können. Der Widerspruch muss vom Website-Betreiber wirksam umgesetzt werden.<br /><br /> Website-Besucher besitzen grundsätzlich bei allen erfassten personenbezogenen Daten das Recht, eine erteilte Einwilligung zur Nutzung dieser Daten für Zwecke der Werbung und Marktforschung zu widerrufen. Außerdem besteht ein Widerspruchsrecht zur Bildung von Nutzungsprofilen, die unter einem Pseudonym für Marktforschungs- und Analysezwecke erstellt wurden. Diese Widerspruchsrechte müssen auch für alle Anwendungen und Dienste auf mobilen Endgeräten wie Smartphones oder Tablets eingeräumt werden. Möchte der Kunde von diesen Rechten Gebrauch machen und nicht länger zu den personenbezogenen bzw. pseudonymisierten Nutzungsprofildaten beitragen, müssen Sie dies veranlassen und technisch umsetzen (lassen).

Keine IP-Adressen verarbeiten oder gar speichern
Ohne bewusste, eindeutige Einwilligung des Betroffenen darf die vollständige IP-Adresse nicht verarbeitet werden.<br /><br /> Eine illegale Verarbeitung ist beispielsweise bereits die IP-Geolokalisierung oder die Identifikation der Firma des Besuchers auf Basis vollständiger IP-Adressen. Allerdings ist eine Geolokalisierung auch mit verkürzter IP-Adresse – und damit datenschutzkonform – möglich.

Strikte Datentrennung einhalten
Pseudonyme und personenbezogene Daten müssen stets getrennt gespeichert und dürfen ohne Einwilligung nicht zusammengeführt werden.<br /><br /> Speichern Sie personenbezogene und nicht personenbezogene Daten in separaten Datenbanken. Eine Löschung bzw. Anonymisierung von personenbezogenen Informationen ist dann unproblematisch und schnell umgesetzt. Generell gilt: Je stringenter Sie Ihre Daten organisieren, umso schneller und einfacher können Sie auch dem Widerspruchsrecht Ihrer Kunden entsprechen.

„Auftragsdatenvereinbarung“ mit Dienstleister abschließen
Die Auftragsdatenverarbeitung (ADV) ist ein fester Bestandteil des Bundesdatenschutzgesetzes (BDSG): Der Vertrag mit einem Dienstleister muss den Anforderungen nach §11 BDSG entsprechen. Die ADV erfordert stets die Schriftform, eine Online-Akzeptanz ist nicht möglich. In der ADV wird die Zusammenarbeit mit dem Dienstleister geregelt. <br /><br /> Die meisten Unternehmen betreiben das Web-Controlling nicht auf eigenen Servern, sondern nehmen die Dienste Dritter dafür in Anspruch. Wenn die Daten auf diese Weise weitergeleitet werden, ist es zwingend erforderlich, dass Sie die Kontrolle über die Daten behalten. Schließen Sie mit dem Dienstleister einen schriftlichen Vertrag zur Verarbeitung der Daten in Ihrem Auftrag ab (Auftragsdatenverarbeitung). Wichtig zu beachten ist: Der Auftraggeber bleibt stets verantwortlich für die datenschutzkonforme Verarbeitung: Nur er wird haftbar gemacht und muss im Falle eines Verfahrens mit Bußgeldstrafen rechnen (§11 Abs. 1 BDSG).

Sparsam mit Daten umgehen
Laut §3a BDSG dürfen personenbezogene Daten nur in dem Umfang erhoben und gespeichert werden, wie es für den jeweiligen Zweck der Geschäftsbeziehung mit dem Kunden erforderlich ist. <br /><br /> Für die Erhebung von Daten, die für die Marktforschung wünschenswert, für den jeweiligen Zweck jedoch nicht zwingend notwendig sind, bedarf es der Einwilligung des betroffenen Nutzers. Erheben Sie daher nur Daten, die Sie für den jeweiligen Zweck auch wirklich benötigen. Verzichten Sie auf unnötige „Pflichtfelder“, auch wenn weitere Daten für Marketing und Marktforschung wünschenswert wären. Lassen Sie auf die Daten nur diejenigen Mitarbeiter zugreifen, die die Daten auch wirklich benötigen. Nutzen Sie die Daten nur zu dem Zweck, den Sie jeweils bei der Datenerhebung angegeben haben. Für andere Zwecke benötigen Sie in jedem Fall die Einwilligung des betroffenen Nutzers.

Biometrische Daten sind insbesondere sicher zu speichern. Hier ist zunächst eine starke Verschlüsselung zu nennen, die nicht von unbefugten Administratoren umgangen werden können darf. Dazu sollte die Verschlüsselung also in den Händen des Anwenderunternehmens sein und nicht beim Betreiber des Biometrie-Dienstes.

Biometrische Daten müssen aber nicht nur sicher gespeichert, sondern auch geschützt übertragen werden, gerade wenn es um einen Cloud-basierten Dienst geht, der das offene Internet nutzt.

Neben der Verschlüsselung ist eine Integritätskontrolle notwendig, damit die biometrischen Daten nicht manipuliert und verfälscht werden können. So könnte eine Manipulation unter anderem dazu führen, dass ein legitimer Nutzer keinen Zugang mehr bekommt (Anwendungsfall: biometrische Zugangskontrolle) oder eine unschuldige Person fälschlicherweise verhaftet wird (Anwendungsfall: Polizeilicher Einsatz).

Weitere Verfahren nötig

Die Datenschützer fordern zudem, dass biometrische Verfahren nicht als alleiniges Verfahren der Authentifizierung genutzt werden, sondern immer von weiteren Sicherheitsfaktoren wie Passwörtern oder Smartcards begleitet werden müssen. Hintergrund ist die Gefahr, dass zum Beispiel ein Fingerabdruck "gestohlen" werden könnte.

Der abschließende Punkt der dargestellten Datenschutz-Forderungen ist besonders kritisch, wenn es um Cloud-basierte Biometrie-Dienste geht. So sprechen sich die Aufsichtsbehörden aus Sicherheitsgründen gegen eine zentrale Speicherung von biometrischen Daten aus. Stattdessen sollen die biometrischen Daten dezentral in Form von Templates (biometrischen Mustern) geschützt gespeichert werden, zum Beispiel auf einer Smartcard. Die biometrischen Daten sollen also unter der Kontrolle des Inhabers verbleiben.

Die zentrale Speicherung jedoch ist oftmals ein wesentlicher Punkt einer Cloud-basierten Lösung. Es gibt allerdings auch Lösungen, die dem Anwenderunternehmen den Ort der Datenspeicherung als Wahl überlassen, zentral auf einem Server oder lokal auf dem Endgerät oder der Smartcard.

Ziel: Höhere Flexibilität statt größere Risiken

Gerade Cloud-basierte Lösungen und leicht integrierbare Plug-ins für mobile Dienste und Online-Services machen die Einführung einer biometrischen Zugangskontrolle schnell und relativ einfach. Dabei darf jedoch nicht vergessen werden, dass aus Datenschutzsicht hohe Anforderungen an das Verfahren der Wahl zu stellen sind.

Neben den oben skizzierten datenschutzrechtlichen Vorgaben für Biometrie-Lösungen sind auch die Datenschutz-Richtlinien für Cloud Computing zu beachten. Dazu gehört es laut Bundesdatenschutzgesetz (BDSG) zum Beispiel, dass sich ein Anwenderunternehmen von den Sicherheitsmaßnahmen wie der Datenverschlüsselung überzeugen muss, bevor es ein solches Biometrie-Verfahren aus der Cloud einführt.

Das Ziel muss es sein, eine sichere und flexible Lösung für die Mehr-Faktor-Authentifizierung zu finden, wenn ein entsprechender Schutzbedarf bei der Zugangskontrolle besteht. Die möglichen Datenrisiken durch Biometrie in Kombination mit Cloud Computing sind unbedingt zu berücksichtigen. Ein Identitätsdiebstahl durch den Missbrauch von biometrischen Daten, der zum Beispiel durch eine fehlende Cloud-Verschlüsselung möglich werden könnte, muss verhindert werden. (sh)