Hat sich die Fingerabdruck und Iris-Scan Sicherheit aufgelöst?

Löst sich ein vermeintliche sicherer Zugangsschutz per Fingerabdruck in Luft auf?

Ein Foto auf der nur die Hand von Ursula von der Leyen zu sehen war, reichte aus einen Fingerabdruck der Verteidigungsministerin zu simulieren. Ein Mitglied des Chaos Computer Clubs (CCC) demonstrierte auf dem 31. Chaos Communication Congress in Hamburg live wie einfach sich Systeme überlisten lassen.

Seitdem das iPhones mit einem Fingerabdruck-Sensor ausgestattet wurden, gewann dieser „Sicherheitsschutz“ weltweit an Bedeutung. Das ist jetzt Schnee von gestern. Ebenso wie der Iris-Scan. Auf dem traditionellen Hacker-Treffen zwischen den Jahren überlistete der CCCler den Augen-Scanner mit einem einfachen Foto.

In den vergangenen Jahren wurde mehrfach erfolgreich demonstriert, wie einfach Fingerabdrücke nachzumachen sind. Dabei war es bisher allerdings stets notwendig, dem Besitzer ein Objekt mit glatter Oberfläche – beispielsweise ein Glas oder ein Smartphone – zu entwenden, auf dem ein solcher Fingerabdruck zu sehen war. Jan Krissler, demonstrierte auf dem 31C3, dass schon ein einfaches, auf einer öffentlichen Veranstaltung mit einer Digitalkamera geschossenes Foto ausreicht, Fingerabdrücke beliebiger Personen herzustellen. Für die Erzeugung eines 3D-Abdrucks ist lediglich ein zweites Foto aus einem anderen Winkel notwendig. Eine Software besorgt den Rest.

Das Mitglied Krissler des CCC zeigte auf dem Congress in Hamburg auch, wie sich teure Iris-Scanner mit einfachsten Mitteln austricksen und die vermeintliche Zugangssperre aushebeln lässt. Das Gerät zur Gesichtserkennung akzeptierte einen Ausdruck eines Fotos der Person anstelle des tatsächlichen Gesichts. Um Lebendigkeit zu suggerieren und die biometrische Authentifizierungsmethoden zu überwinden, reichte ein Wedeln mit einem Bleistift zwischen Foto und Scanner aus. Spätestens seit dieser Vorführung fragt sich welchen Wert  derartige „Sicherheitsmassnahmen“ haben. 

Chaos-Aktivitäten Biometrie

Verschiedene Mitglieder des Chaos Computer Clubs haben sich in den letzten Jahren mit biometrischen Systemen befasst und Artikel in Zeitschriften sowie Pressemitteilungen veröffentlicht und Vorträge gehalten. Biometrie-Experten des Chaos Computer Clubs (CCC) kooperierten mit dem ARD-Wirtschaftsmagazin Plusminus bei einer Demonstration zur einfachen Fälschbarkeit von Fingerabdrücken. Vor laufender Kamera wurde der Fingerabdruck-Scanner an einer Supermarkt-Kasse getäuscht und auf fremde Kosten eingekauft. Nach kurzer Einweisung durch die CCC-Experten waren die Journalisten selbständig in der Lage, mit kopierten Fingerabdrücken das Kassensystem zu überlisten. Damit war die Behauptungen der Biometrie-Befürworter und -Hersteller, dass so etwas – wenn überhaupt, nur im Labor – möglich sei, nachdrücklich widerlegt.

Im März 2008, eröffnete der Chaos Computer Club Biometrie-Debatte an Schäubles Fingerabdruck. Der Abdruck wurde durch CCC-Aktivisten von einem Wasserglas sichergestellt, das Dr. Schäuble bei einer öffentlichen Veranstaltung benutzt hatte.