31C3: Hacker zeigen Schwachstellen von Biometriesystemen

Mitglieder des Chaos Computer Clubs haben auf ihrem 31. Jahreskongress (31C3) demonstriert, wie leicht biometrische Sicherheitssysteme wie Fingerabdruck- und Iris-Scanner zu überlisten sind. „Iris-Erkennung ist endgültig kaputt“, sagte Sicherheitsforscher Jan Krissler von der Technischen Universität Berlin, in Hackerkreisen auch als „starbug“ bekannt.

Bei ihrem letztjährigen Chaos Communication Congress überlisteten die Hacker die mit dem iPhone 5S eingeführte biometrische Sicherheitsfunktion Touch ID mit einem von einer Glasoberfläche abfotografierten Fingerabdruck und einem damit geschaffenen künstlichen Finger. Beim diesjährigen 31C3 gingen sie noch einen Schritt weiter und bewiesen, dass zum Austricksen eines solchen Systems nicht einmal ein angefasster Gegenstand erforderlich ist.

Laut Krissler genügen vielmehr Fotos, die mit einer regulären Kamera aus einigen Metern Entfernung gemacht wurden und den fraglichen Finger zeigen – selbst eine Handykamera soll dafür genügen. Für seine Demonstration nutzte er eine Aufnahme von Verteidigungsministerin Ursula von der Leyen, die bei einer Pressekonferenz entstand, und ergänzte sie mit Informationen von anderen Fotos aus unterschiedlichen Blickwinkeln. Mithilfe der frei erhältlichen Software VeriFinger entstand ein klarer Abdruck, der sich zur Schaffung einer Fingerattrappe der Bundesministerin eignete. Damit wiederum könnten Sicherheitssysteme überlistet oder auch falsche Fingerabdrücke an einem Tatort hinterlassen werden.

Eher noch weniger Schwierigkeiten machte den Hackern die Iris-Erkennung. Um sie zu überlisten, genügen gute Fotos aus einigen Metern Entfernung – und selbst Wahlplakate bringen eine genügend hohe Auflösung mit. Erforderlich ist ein Ausdruck mit der Auflösung von 1200 dpi. Wie Krissler sagte, sind damit selbst zur Grenzsicherung eingesetzte Lesegeräte auszutricksen – ihm seien keine nicht überlistbaren Geräte bekannt. Er demonstrierte außerdem, dass sich auch eine auf „Lebenderkennung“ setzende Gesichtserkennung mit geringem Aufwand aushebeln lässt. Dabei führte er einfach einen schmalen Bleistift über das vor das Lesegerät gehaltene Bild, um einen Blinzeleffekt vorzutäuschen.

Als nächstes Biometriesystem hat sich Jan Krissler die Überlistung der Handvenenerkennung vorgenommen, bei denen Menschen durch das Venenmuster ihrer Hand identifiziert werden. Nicht überzeugen von seinen Demonstrationen beim 31C3 ließ sich das Bundesinnenministerium und beharrte gegenüber Zeit Online darauf, dass Fingerabdrucksysteme weiterhin sicher seien. „Nichts gravierend Neues“, machte ein Behördensprecher aus. Auch wenn biometrische Systeme „nicht völlig unüberwindbar“ seien, werde das „mindestens aufgefangen durch die Verbesserung der Geräte“. Wie bei Türschlössern komme es auf eine „Kumulation von Sicherheitsvorkehrungen“ an – es empfehle sich, Fingerabdruck und andere Identifizierungssysteme zu kombinieren.