(Un-)Sicherheit per Fingerabdruck

Apple hat den Fingerabdrucksensor (Touch-ID) am Privatgerät nicht erfunden, aber ihm zu einer deutlich größeren Popularität verholfen. Seitdem das iPhone (und neuerdings auch MacBook) sich per Fingerabdruck entsperren lässt, hat diese Technologie Einzug in so ziemlich jedes Mittel- und Oberklasse-Smartphone Einzug gehalten. Im Notebook-Segment lässt sich ausgehend von der aktuellen MacBook-Generation eine ähnliche Entwicklung prognostizieren.

Vordergründig ist das eine verständliche Entwicklung. Ein Fingerabdruck ist schließlich individuell und sichere Passwörter kann sich fast kein Mensch mehr merken. Trotzdem verschafft einem das nur Scheinsicherheit und schwächt möglicherweise sogar die eigene Sicherheitsstrategie.

Erst einmal sollte man sich bewusst machen, dass ein Fingerabdruck nicht so sicher ist wie man gerne glaubt. Fingerabdrücke lassen sich mit ein wenig Geschick fälschen und das Gerät ziemlich leicht entsperren.1 Es gibt dazu dutzende Anleitungen und Erklärvideos im Internet.

Auch rechtlich begibt man sich in eine deutlich prekärere Situation. In den meisten europäischen Staaten müssen Passwörter nicht an die Strafverfolgungsbehörden ausgehändigt werden, Fingerabdrücke sind nicht gleichermaßen geschützt. Gegenüber staatlicher Überwachung und Schutz vor den Strafverfolgungsbehörden (Die Aufforderung das Passwort preiszugeben kann einen in Großbritannien bereits am Flughafen ereilen, dazu muss man nicht kriminell sein) schwächt man mit einem per Fingerabdruckscan geschützten Gerät sogar seine Position.

Diese recht konkreten Folgen ergänzen grundsätzliche Bedenken, dass Firmen die Daten an Geheimdienste weitergeben könnte. Apple und andere Hersteller beteuern zwar dies nicht zu tun und die Geräte entsprechend sicher konstruiert zu haben, aber ohne Offenlegung des Codes und der Architektur gibt es hier keine hundertprozentige Sicherheit. Konzeptpapiere lesen sich schließlich immer gut.2

Im Gegensatz dazu bietet der bei iOS inzwischen übliche 6-stellige PIN die Option bei zehnmaliger falscher Eingabe das Gerät zu löschen. Die Wahrscheinlichkeit, dass per Zufallsgenerator ein 6-stelliger Code in 9 Versuchen geknackt wird ist minimal. Bei einem Fingerabdruck braucht man nur eine gute Kopie.


1: Bericht auf SPON: CCC hackt Apples Touch ID

2: Zumal Smartphones bekanntermaßen im Visier der Geheimdienste stehen: SPIEGEL – iSpy (37/2013)

Mehr aus dem Blog

Firmware Updates (BIOS) mit fwupd

Mein privates Hauptgerät ist schon länger ein HP EliteBook G7. Firmware-Updates für einzelne Hardwarekomponenten gab es schon länger via fwupd, aber nun geht darüber...

Boxcryptor von Dropbox übernommen

Ein bisschen untergegangen ist bei mir und vielen anderen vermutlich die Meldung, dass Dropbox von der Secomba GmbH deren Produkt Boxcryptor erworben hat. Das...

Firmen benötigen kein „zweites Leben“ mit Linux

Heise bringt mal wieder eine Serie zum Umstieg auf Linux. Dieses mal für Unternehmen im Angesicht der Windows 11-Migration. Das geht völlig am Thema...

Warum man „Face unlock“ mit einem Google Pixel 7 nicht nutzen sollte

Biometrische Entschlüsselung ist ein Thema für sich. Selbst wenn man dem nicht gänzlich ablehnend gegenüber steht, sollte man nicht leichtfertig jede Lösung nutzen. Gesichtserkennung...