27. Oktober 2008 - Fingerprint-Authentifizierung

Best Practice: Biometrische Lösung sicher umgesetzt

Unser Autor wurde beauftragt, eine datenschutzkonforme Lösung zur Fingerprint-Authentifizierung in einem Unternehmen umzusetzen. Der Auftraggeber erhoffte sich durch die biometrische Alternative ein Mehr an Bedienkomfort und Sicherheit. Wer sich jedoch mit dem Thema Datenschutz beschäftigt, weiß, dass es bei der Implementierung biometrischer Systeme um mehr geht als um bloße Technologie. Der Kernaspekt liegt hier im Zusammenspiel von Technologie und Biologie. Wie geht man als DSB an eine solche Aufgabe am besten heran?

Datenschutzkonzept ist Grundlage der Datenschutzorganisation (Bild: Mathias Rosenthal / iStock / Thinkstock)

Zunächst einmal ist ein Überblick über den Ablauf einer Authentifizierung per Fingerprint-Abgleich nötig. Im Wesentlichen spielen bei der Authentifizierung vier Komponenten zusammen:

  1. das System, das geschützte Daten enthält
  2. der Fingerprint-Sensor und die Sicherheitssoftware, die die Fingerprints verarbeitet
  3. die Referenzdaten, mit denen die Fingerprints verglichen werden
  4. der Nutzer selbst

Positiver Abgleich = identifiziert

Der Nutzer lässt seinen Fingerprint vom Sensor einlesen und durch die Sicherheits-Software mit den gespeicherten Referenzdaten vergleichen.

Ist der Abgleich positiv, gilt die Identität des Nutzers als bestätigt. Er ist authentifiziert und darf auf das System mit den geschützten Daten zugreifen.

Wie bringen Sie Unternehmensinteresse und Gesetz unter einen Hut?

Die erste Frage, die das DSB-Alter-Ego stellt, ist die nach der rechtlichen Grundlage. Die biometrische Authentifizierung ist unter gewissen Rahmenbedingungen rechtlich zulässig. Doch wie sieht der Rahmen für biometrische Zugangskontrollsysteme im Detail aus?

Und wie um alles in der Welt soll man im Zusammenspiel aus Anforderungen aus der Wirtschaft und Vorschriften aus der Politik eine technische Lösung finden?

Die Säulen des Erfolgs: BDSG und Projektmanagement

Die Grundlage für die Einführung einer biometrischen Authentifizierung muss das Bundesdatenschutzgesetz (BDSG) § 1 Abs. 1 liefern: „Zweck dieses Gesetzes ist es, den Einzelnen davor zu schützen, dass er durch den Umgang mit seinen personenbezogenen Daten in seinem Persönlichkeitsrecht beeinträchtigt wird.“

Die zweite Säule für eine erfolgreiche Umsetzung ist – besonders bei einem so umfangreichen Projekt – das Projektmanagement (PM).

Bauen Sie Know-how auf

Eignen Sie sich rechtliches, technisches und Projektmanagement-Know-how an (oder verschaffen Sie sich das entsprechende Personal).

Daraus ergibt sich eine Liste, die neben den rein funktionellen Anforderungen des Kunden auch die des Gesetzgebers beachtet. Relevant hierfür sind in erster Linie BDSG und LDSG.

Orientieren Sie sich an Ihrer Liste

Diese Liste beantwortet die Frage „Was will der Gesetzgeber von mir?“ Und sie kann Aspekte der Frage „Worauf muss ich bei der Umsetzung achten?“ beleuchten:

1. Sie benötigen ein klares Motiv für die Einführung biometrischer Technik

Der große Vorteil der Fingerprint-Authentifizierung liegt darin, dass Sie sie anstelle von langen und komplexen Kennwörtern einsetzen können. Sie nutzen quasi nach wie vor ein „Monster“, allerdings geben Sie es nicht mehr aus dem Kopf ein, sondern automatisiert über Ihren Fingerabdruck.

2. Sie benötigen eine freiwillige Einwilligung der betroffenen Nutzer

Voraussetzung ist, dass der Nutzer freiwillig einwilligt. Aus dem Einwilligungs-Dokument muss hervorgehen:

  • welche Daten (Fingerprints)
  • wem (IT-System)
  • zu welchem Zweck (Authentifizierung an …)
  • zur Verfügung gestellt werden.

Wenn der Nutzer die Unterzeichnung und damit die Nutzung der neuen Technik ablehnt, darf er nicht umgestimmt werden.

3. Beziehen Sie Geschäftsführung und Betriebsrat ein

Will der Chef, was Sie planen? Oder handelt der Admin auf eigene Faust? Und was Mitarbeitervertretungen angeht: Teilen Sie ihnen mit, was Sie vorhaben, und hören Sie auf Bedenken.

4. Klären Sie über Motiv, Technik, Vorzüge und Risiken auf

Erläutern Sie, welche Vorteile dem Personal daraus entstehen (Komfort, Sicherheit, …), welche Risiken existieren und wie Sie ihnen begegnen wollen.

5. Niemand darf gezwungen werden!

Sollte der Nutzer die neue Technik aus gesundheitlichen, ethnischen, persönlichen oder sonstigen Gründen nicht nutzen können oder wollen, darf ihm keinerlei Einschränkung begegnen.

Es sollte weiterhin möglich sein, sich mit der Kombination aus Benutzernamen und hochsicherem Kennwort oder Ähnlichem sicher anzumelden, wenn eine Fingerprint-Authentifizierung nicht genutzt wird.

6. Beachten Sie die Zweckbindung

Stellen Sie sicher, dass niemand auf die Daten zugreift, der nicht befugt ist. Kombinieren Sie Zugriffsschutz mit einer Dienstanweisung.

Weisen Sie das Personal in den Umgang mit dem Reader ein und betonen Sie die Wichtigkeit des sensiblen Umgangs. Schützen Sie das System, das die Referenzdaten enthält, indem Sie die Daten verschlüsseln.

7. Erwägen Sie ein sogenanntes „dezentrales Archiv“

Achten Sie darauf, dass das Gerät die Referenzdaten verschlüsselt auf dem Fingerprint-Reader selbst speichert.

Dann können Sie dem Personal anbieten, den Reader mit den Referenzdaten nach Dienstschluss an einem sicheren Ort zu deponieren oder sicher mitzuführen. Das biometrische Merkmal verbleibt in der Obhut der Person.

Haben Sie die Referenzdaten vernünftig verschlüsselt, ergänzen sich Datenschutz und Sicherheit. Sie erfüllen damit die Anforderung des in diesem Zusammenhang häufig genannten dezentralen Archivs unter Kontrolle des Betroffenen.

8. Gehen Sie sparsam mit Daten um

Sie müssen nicht alle fünf Finger jeder Hand einscannen. Löschen Sie zudem die Referenzdaten und Personenprofile von nicht mehr aktiven Nutzern aus dem System.

So verhindern Sie zum einen Datenmüll, und zum andern sparen Sie Daten. Aber Vorsicht: Legen Sie eine Kopie des Systemlogs an einem sicheren Ort zu Dokumentationszwecken ab.

Trotz Löschen eines Nutzerdatensatzes aus dem Fingerprint-Authentifizierungssystem muss es nämlich aus Sicherheitsgründen weiterhin möglich sein, dessen Zugriff auf hochsichere Systeme nachzuvollziehen.

Wenn Sie überwachen, dann ist der Ansatz das Objekt, nicht der Nutzer.

9. Setzen Sie das Recht auf Auskunft, Berichtigung, Sperren/Löschen um

Sie müssen dem Nutzer stets Auskunft über Art und Inhalt der Daten geben können, die im Authentifizierungssystem über ihn gespeichert werden.

Er hat das Recht darauf, dass diese gegebenenfalls abgeändert werden. Und er muss jederzeit die Verwendung seiner Daten sperren oder diese löschen lassen können.

Damit endet natürlich die biometrische Authentifizierung.

10. Dokumentieren und listen Sie Ihre Arbeit in vorgesehenen Verzeichnissen

Eine transparente Dokumentation hilft Ihnen oder einem Vertreter, nachzuvollziehen, was Sie wann und aus welchem Grund gemacht haben.

Und nicht zuletzt verpflichtet Sie der Gesetzgeber zur Dokumentation bei Aufnahme von Personendaten in automatisch verarbeitenden Systemen. Dies können Sie z.B. im Verfahrensverzeichnis durchführen.

Tipps für die Auswahl eines Fingerprint-Readers
  • Lassen Sie sich Listen der Hersteller zeigen, aus denen Fehler-erkennungsquoten der Fingerprint-Reader hervorgehen.
  • Achten Sie darauf, dass der Hersteller das Produkt als tauglich für den Einsatz in der freien Wirtschaft deklariert.
  • Am besten wird dies durch ein unabhängiges Institut wie das BSI bestätigt.
  • Achten Sie darauf, dass das Gerät die Referenzdaten verschlüsselt auf dem Fingerprint-Reader selbst speichert. Das bringt z.B. den Vorteil, dass die Sicherheit der Referenzdaten nur noch bedingt von dem angeschlossenen Computersystem abhängt.

Zusammenspiel aus Technik und Organisation

Sicherheit, Datenschutz und Fortschritt sollten sich ergänzen. Fingerprint-Authentifizierung mit hochwertigen Produkten in einem organisierten Projekt wird so zukunftssichere Strategie.

Hagen Will
Hagen Will ist IT-Fachinformatiker für Systemintegration und Microsoft® Certified Systems Engineer. Will ist in mehreren Unternehmen als IT-Sicherheitsverantwortlicher oder DSB tätig. Kontakt: hagen.will@hotmail.de.

Sie glauben, Sie hätten noch so viel Zeit? Falsch! Es gibt mehr zu tun, als Sie vielleicht denken! ▶ Zeit zu handeln