Biometrie

Heute in jedem Smartphone. Wichtig: Die biometrischen Daten (dein Fingerabdruck) verlassen im Idealfall nie dein Gerät. Sie werden in einem speziellen Sicherheits-Chip ("Secure Enclave") gespeichert. Die App (Banking) fragt nur das Handy: "Ist das der richtige Besitzer?" Das Handy prüft und sagt "Ja" oder "Nein". Die Bank bekommt nie deinen Fingerabdruck.

1. False Acceptance Rate (FAR)

Kein System ist perfekt. Die FAR gibt an: Wie oft lässt das System fälschlicherweise einen Fremden rein? FaceID (Apple) hat eine Wahrscheinlichkeit von 1:1.000.000. Billige Gesichtsscanner (nur Kamera, kein 3D) lassen sich oft mit einem Foto austricksen.

2. Problem: Unwiderruflichkeit

Ein Passwort kannst du ändern, wenn es gehackt wird. Dein Gesicht kannst du nicht ändern (außer OP). Wenn biometrische Datenbanken gehackt werden (ist passiert, z. B. OPM Hack in USA), sind diese Daten für immer verbrannt. Deshalb speichert man nie das Bild selbst, sondern nur einen mathematischen Hash (Vektoren) davon.

1. Liveness Detection

Das größte Problem billiger Biometrie-Sensoren ist das "Spoofing" (Austricksen mit Masken / Gummifingern). Moderne Systeme integrieren Liveness Detection (Prüfung auf Leben). Der Fingerabdruckscanner misst nicht nur das Rillenmuster (optisch), sondern kapazitiv den Puls, den elektrischen Widerstand der Haut, Feuchtigkeit oder nutzt Ultraschall, um das subkutane Gewebe (unter der Haut) abzutasten. Gesichtsscanner fordern dich manchmal auf: "Blinzle zweimal" oder sie werfen ein IR-Dot-Muster (Infrarot) auf dein Gesicht, um die 3D-Geometrie zu mappen, statt nur ein flaches 2D-Foto zu sehen, weshalb ein Foto vor der Kamera hier scheitert.

2. Hash-Extraktion und Vektorisierung

Dein Fingerabdruck wird niemals als JPG (Bild) im Chip hinterlegt. Ein Algorithmus analysiert Minutien (Verzweigungen und Endpunkte der Hautrillen). Diese Koordinaten werden in einen mathematischen High-Dimensional-Vektor umgewandelt. Wenn du den Finger 1 Jahr später ein wenig schief auflegst, ist das JPG ein völlig anderes, der Fingerabdruck-Vektor aber aus Perspektive des Algorithmus sehr "nahe" (Cosine Similarity, Machine Learning) am originalen Template. Liegt die Nähe über einem Schwellenwert (z.B. >98%), giltst du als authentifiziert.

3. FIDO UAF (Universal Authentication Framework)

Biometrische Token sind oft an FIDO-Standards gebunden. Im FIDO UAF Framework erzeugt der Scanner am Handy bei der Registrierung ein Schlüsselpaar (Public/Private Key). Der Private Key bleibt tief im Secure Element der Hardware vergraben (kann nicht vom Betriebssystem oder Hackern ausgelesen werden). Nur wenn die Biometrie lokal "grünes Licht" (Liveness + Match) gibt, weckt das Handy diesen Private Key kurz auf, unterschreibt ("signiert") damit eine Login-Bestätigung (eine Nonce) der Bank und sendet sie ab. Die Banken-IT-API sieht nur Mathe (die saubere Signatur) – sie sieht nie biometrische Daten deines Gesichts.