Schatz, dein Gesicht ist nicht privat, aber deine biometrischen Daten sollten es sein

Die "Honey Pot"-Datenpanne in El Salvador im Jahr 2024 war ein Weckruf. Bei fast 80 % der Bevölkerung des Landes wurden persönliche Daten, einschließlich Gesichtsbildern, offengelegt. Da dieser Vorfall in den sozialen Medien wieder auftaucht, wirft er kritische Fragen darüber auf, was die biometrische Authentifizierung wirklich sicher macht.

Was viele Kommentatoren jedoch übersehen, ist, dass dieser Verstoß zwar aus Gründen des Datenschutzes alarmierend ist, aber biometrische Authentifizierungssysteme mit Aktivitätserkennungsfunktionen nicht gefährdet. Um zu verstehen, warum das so ist, muss ein weit verbreitetes Missverständnis ausgeräumt werden.

In diesem Artikel wird der Unterschied zwischen dem Schutz der Privatsphäre und der Authentifizierungssicherheit in biometrischen Systemen erläutert und unterschieden, wie biometrische Daten gespeichert werden und wie sie verwendet werden, um Verifizierung Identität.

Ein verbreitetes Missverständnis: Der Mythos der Gesichtsverschleierung

Viele Menschen gehen davon aus, dass die biometrische Sicherheit davon abhängt, dass Ihr Gesichtsbild geheim gehalten wird, so als wäre Ihr Gesicht ein Passwort, das verborgen bleiben muss. Der Gedanke ist, dass, wenn Ihr Gesicht verborgen bleibt, auch Ihre Identität und damit der von Ihnen genutzte Dienst sicher bleibt. 

In unserem digitalen Zeitalter ist die Realität, dass unser Gesicht bereits öffentlich ist. Denken Sie an:

• Professionelle Fotos auf LinkedIn
• Persönliche Bilder in sozialen Medien
• Fotos von einem amtlichen Ausweis
• Aufnahmen von Sicherheitskameras in öffentlichen Räumen

Ein Angreifer kann ein Foto in sozialen Medien leicht finden, ohne in eine sichere Datenbank eindringen zu müssen. Wenn die biometrische Sicherheit ausschließlich von der Geheimhaltung eines Gesichts abhängt, wäre das Posten Ihres Fotos auf Instagram ein großes Sicherheitsrisiko.

Ein Angreifer muss nicht in eine sichere Datenbank eindringen, um Ihr Gesicht zu finden - er kann einfach Ihre öffentlichen Profile besuchen. Dennoch sichern biometrische Authentifizierungssysteme weiterhin täglich Milliarden von Transaktionen. Wie das?

Nur weil jemand Ihr Gesicht oder ein Bild davon sieht, kann er nicht die genauen Bedingungen für die Authentifizierung ohne Ihre Anwesenheit nachbilden. Die eigentliche Herausforderung besteht darin, zu überprüfen, ob die Person, die versucht, auf ein System zuzugreifen, tatsächlich die richtige Person ist, eine echte Person, die sich in Echtzeit - etwas, das ein statisches Bild nicht beweisen kann.

Erfahren Sie hier mehr darüber, wie iProov es schafft, sich konsequent gegen neue und aufkommende Bedrohungen zu schützen.

Datenschutz vs. Sicherheit: Eine kritische Unterscheidung

Gespeicherte biometrische Daten müssen verschlüsselt und geschützt werden, aber in erster Linie, um die Rechte des Einzelnen auf Privatsphäre zu wahren und die Vorschriften einzuhalten, und nicht, weil ihre Offenlegung die biometrische Sicherheit gefährdet. 

Datenschutz und Sicherheit hängen zwar zusammen, dienen aber in biometrischen Systemen unterschiedlichen Zwecken:

• Der Schutz der Privatsphäre betrifft die Art und Weise, wie personenbezogene Daten gespeichert, abgerufen und verwendet werden. Es geht darum, das Recht des Einzelnen auf Kontrolle seiner Daten zu respektieren und den unbefugten Zugriff auf diese Daten zu verhindern.
• Sicherheit bei der Authentifizierung konzentriert sich auf eine entscheidende Frage: Ist die Person, die sich Zugang verschaffen will, wirklich diejenige, die sie vorgibt zu sein, und authentifiziert sie sich in Echtzeit?

Die Sicherheitsverletzung in El Salvador stellt zwar eine schwerwiegende Verletzung des Datenschutzes dar, ist aber nicht unbedingt eine Sicherheitslücke in ordnungsgemäß konzipierten Authentifizierungssystemen. 

Die Verschlüsselung biometrischer Daten ist zwar für den Schutz der Privatsphäre unerlässlich, doch das wahre Maß an Sicherheit besteht darin, ob das System bestätigen kann, dass die Person, die darauf zugreift, zum Zeitpunkt der Transaktion tatsächlich anwesend ist.

Die wahre Grundlage der biometrischen Sicherheit

Was wirklich vor Imitationsversuchen schützt, ist eine Kombination aus zugrundeliegenden Technologien und Algorithmen, die in Echtzeit feststellen, ob es sich um einen echten Menschen handelt - und nicht um eine Wiederholung, Deepfakeoder digitale Injektionsattacke.

Wenn eine wissenschaftlich fundierte biometrische Authentifizierungslösung eingesetzt wird, werden gestohlene Bilder bei Angriffen wertlos. Sie können nicht verwendet werden, um ein ausgeklügeltes biometrisches System zur Erkennung der Echtheit auszutricksen, das feststellt, ob sich die echte Person in diesem Moment authentifiziert.

Selbst wenn sich ein Angreifer Zugang zu einer Datenbank mit Gesichtsbildern verschafft, wären diese Bilder nutzlos, wenn das System einen Live-Nachweis der Anwesenheit verlangt. Ein statisches Foto oder sogar ein Deepfake würde den wissenschaftlich fundierten Lebendigkeitstest nicht bestehen.

Fortschrittliche biometrische Systeme erfordern den Nachweis, dass:

1. Ein echter Mensch (kein Foto oder Deepfake) ist anwesend
2. Diese bestimmte Person (die mit den gespeicherten Anmeldedaten übereinstimmt) wird authentifiziert
3. Die Authentifizierung findet jetzt statt (und wird nicht von einer früheren Sitzung wiedergegeben)

Erfahren Sie mehr über die Datenschutz- und Sicherheitsprozesse/Akkreditierungen unseres Systems in dem neuen eBook Sicherheit & Architektur.

Mehr als nur Vorlagensicherheit

Viele Unternehmen konzentrieren sich auf die sichere Speicherung biometrischer Daten, indem sie diese auf mehrere Standorte verteilen und verschlüsseln, ähnlich wie Teile eines wertvollen Gemäldes in verschiedenen Hochsicherheitstresoren gelagert werden. 

Die Technologie von iProov verwendet eine Datenschutz-Firewall. iProov hat keinen Zugriff auf andere Informationen als das Gesicht, und die Organisation, die iProov verwendet, hat keinen Zugriff auf die biometrischen Daten. Es besteht eine strukturelle Trennung zwischen der Benutzeridentität und den biometrischen Daten des Benutzers, die den Schutz der Privatsphäre des Benutzers sehr effektiv gewährleistet.

Aber die Sicherheit der biometrischen Authentifizierung hängt nicht davon ab, wie gut wir Gesichtsbilder oder biometrische Vorlagen - Sie hängt von der Fähigkeit des Systems ab, Authentifizierungsversuche während des Authentifizierungsvorgangs selbst zu erkennen und zu verhindern.

Wissenschaftlich fundierte Liveness Detection

Die Feststellung der Authentizität in Echtzeit ist eine der größten Herausforderungen im Bereich der biometrischen Sicherheit. Um dies zu erreichen, werden passive Challenge-Response Liveness-Detection-Technologie erforderlich; sie bildet die eigentliche Grundlage einer sicheren biometrischen Authentifizierung. Im Gegensatz zu aktiven Challenge-Responses, wie z. B. dem Drehen des Kopfes, erfordert eine passive Challenge-Response keine komplexen Anweisungen und bietet eine hohe Leistung bei allen demografischen Merkmalen.

iProov Dynamic Liveness verifiziert, dass es sich um eine echte Person handelt, die sich in Echtzeit authentifiziert, und bietet so ein Höchstmaß an Identitätssicherheit und geschäftskritischen Schutz vor Fälschungen. Die fortschrittlichen Sicherheitsstufen werden erreicht durch das patentierte Flashmark™ Technologie erreicht, die den Bildschirm des Geräts während des Erfassungsprozesses beleuchtet. Die Reflexion des Lichts auf dem Gesicht der Person bestätigt, dass sie wirklich anwesend ist, und bietet fortschrittlichen Schutz vor Zero-Day-KI-basierten Angriffen, einschließlich Deepfakes und Face Swaps.

Blick nach vorn

Die Sicherheitsverletzung in El Salvador macht eine entscheidende Tatsache deutlich: In einer Welt, die zunehmend von raffinierten Fälschungen und digitalen Injektionsangriffen bedroht ist, wird die Sicherheit biometrischer Systeme mehr denn je von ihrer Fähigkeit abhängen, die echte Anwesenheit von Menschen zu überprüfen. Durch die Konzentration auf eine wissenschaftlich fundierte Echtheitsprüfung in Echtzeit können Unternehmen eine Sicherheitsumgebung schaffen, in der gestohlene Daten nicht für eine Nachahmung verwendet werden können.

Die Lehre aus El Salvador ist nicht, dass die biometrische Authentifizierung fehlerhaft ist, sondern dass Gesichter nicht nicht der Schlüssel zur Biometrie sind, sondern die Erkennung der Echtheit. Mit einer angemessenen Erkennung der Echtheit bleibt die biometrische Authentifizierung eines unserer stärksten Instrumente gegen Identitätsbetrug.

Da die biometrische Authentifizierung immer mehr in den Mittelpunkt unseres digitalen Lebens rückt - vom Bankwesen über das Gesundheitswesen bis hin zu Behördendiensten - ist die Wahl des richtigen Technologiepartners von entscheidender Bedeutung.

iProov nimmt Datenschutz und Sicherheit ernst - unsere Technologie ist von FIDO und ISO zertifiziertund ist konform mit GDPR, SOC 2 und eIDAS (und anderen - erfahren Sie mehr) und bietet ein Höchstmaß an Identitätssicherheit, um Betrug zu reduzieren und Ihr Unternehmen zu schützen. Sind Sie bereit zu erfahren, wie unsere fortschrittlichen Authentifizierungslösungen Ihre Benutzer schützen können? Buchen Sie noch heute Ihre Demo.