0800 - 24 24 123
Telefonische Expertenberatung
Sie sind hier:

Bezahlen per Fingerabdruck: Risiko statt Sicherheit?

12.12.2014 - 12:39

Die Kreditkartengesellschaften MasterCard und Visa gaben erst kürzlich bekannt, einen neuen Sicherheitsstandard für Online-Zahlungen zu entwickeln. Wenn es nach den Kreditkarten-Marktführern geht, sollen Verbraucher ihre Zahlungen im Internet künftig per Fingerabdruck bestätigen. Doch das ist nicht so sicher, wie es auf den ersten Blick scheint.

Biometrische Daten scheinen im Trend zu liegen: Nicht nur MasterCard und Visa arbeiten daran, den Fingerabdruck künftig als Sicherheitsmerkmal bei Online-Zahlungen einzuführen. Die ersten deutschen Banken ermöglichen ihren Kunden schon jetzt das Onlinebanking und Überweisungen per Fingerabdruck. Doch wie sicher ist das wirklich? Und wo liegen die Schwachstellen dieser Technologie?

Authentifizierung per Fingerabdruck: Wie werden die Daten gespeichert?

Christoph Schäfer: Datenschutzexperte bei der Secorvo Security Consulting.

Die Authentifizierung per Fingerabdruck ist bei der Postbank und der Deutschen Bank bereits heute möglich. Dafür nötig ist ein iPhone 5S – oder neuere Modelle. Die Postbank erklärt, dass es rein technisch nicht möglich sei, den Fingerabdruck zu speichern.

Doch stimmt das wirklich? Der Datenschutzexperte Christoph Schäfer sagte im Gespräch mit CHECK24, dass in dem Smartphone tatsächlich kein Foto des Fingerabdrucks gespeichert sei, sondern lediglich ein sogenannter Hashwert.

Dieser sei vergleichbar mit beispielsweise 30 Buchstaben einer Buchseite, die in der richtigen Reihenfolge gespeichert werden. Zwar könne man von diesen einzelnen Werten auf die entsprechende Seite eines Buches schließen, man wisse aber dennoch nicht, was genau auf dieser Buchseite stehe, so der Experte weiter.

„Durch den Hashwert wird nur geprüft, ob der passende Fingerabdruck auf den Sensor gelegt wurde, doch anhand der Daten kann nicht auf den Original-Fingerabdruck zurückgerechnet werden,“ erklärt Schäfer.

Die Angst vor der Zentralisierung der Daten bei einer Bank sei damit unberechtigt, nicht nur wegen der technischen Unmöglichkeit, sondern auch aufgrund der großen Datenmengen könne man davon ausgehen, dass nicht alle Fingerabdrücke gespeichert würden, so der Datenschutzexperte weiter.

Warum der Fingerabdruck kein perfektes Sicherheitsmerkmal ist

Ein herkömmliches Passwort ist ein sogenanntes veränderliches Sicherheitsmerkmal: Geht das Passwort verloren oder gelangt es in die Hände von Kriminellen, ist dies selbstverständlich problematisch. Dennoch kann es – sobald der Verlust bemerkt wurde – einfach gegen ein neues Passwort ausgetauscht werden.

„Biometrische Merkmale sind im Gegensatz dazu unveränderlich“, gibt der Datenschutzexperte Christoph Schäfer zu bedenken. Gelangen Kriminelle in den Besitz des Fingerabdrucks, kann man seinen Fingerabruck nicht einfach ändern, somit ist der Schaden sehr viel größer. Aus Sicht des Experten sind biometrische Daten wie der Fingerabdruck daher kein perfektes Sicherheitsmerkmal, sondern vielmehr ein Bequemlichkeitsmerkmal. Der Kunde muss sich damit kein Passwort mehr merken und keinen TAN eingeben. Die Bestätigung der Überweisung per Fingerabdruck geht einfach und schnell.

Das ist deutlich bequemer als die Alternativen – doch nicht nur für Kunden, sondern auch für die Banken selbst: „Banken und Unternehmen investieren aktuell stark in diese Technologien. Einerseits weil es gerade modern ist und im Trend liegt,“ so der Datenschutzexperte Schäfer. „Andererseits aber auch, weil es deutlich bequemer und weniger aufwendig ist, als dem Kunden beispielsweise den Umgang mit einem TAN-Generator zu erklären. Darüber hinaus sparen sich die Banken vermutlich einige Kosten, denn eine App zu programmieren, ist deutlich günstiger, als jedem Kunden ein Gerät zur TAN-Erzeugung zur Verfügung zu stellen,“ so Schäfer weiter.

Bequemlichkeit geht auf Kosten der Sicherheit

Zahlen per Fingerabdruck ist zwar bequem - aber ist es auch sicher?
Egal, um welche Art der Zahlung es sich handelt: Immer muss Sicherheit gegen Bequemlichkeit abgewogen werden. Auf den ersten Blick scheint die Bezahlung per Fingerabdruck nicht nur besonders bequem, sondern auch besonders sicher.

Dabei kommen auf Bankkunden gerade bei dieser Bezahlart zwei Gefahren zu. Neben der Gefahr des Abhandenkommens eines unveränderlichen Sicherheitsmerkmals, besteht auch die Gefahr, dass der Kunde auf einem finanziellen Schaden sitzen bleibt.

Denn wenn der Fingerabdruck in die Hände von Kriminellen gerate, gelte der Anscheinsbeweis, so Schäfer. Banken könnten sich dann darauf berufen, dass dieses biometrische Merkmal nicht fälschbar sei und der Kunde die Zahlung demnach selbst veranlasst habe – eine Erstattung des finanziellen Schadens könnte dann verweigert werden.

Vergleichbar ist dies beispielsweise mit der Zahlung per EC-Karte und PIN. In einem solchen Fall wird davon ausgegangen, dass entweder der Kunde selbst diese Transaktionen getätigt hat oder aber seine PIN im Geldbeutel aufbewahrt oder sogar auf der Karte notiert hat. Ansonsten – so die Überlegung – wären die Kriminellen gar nicht erst an die PIN gelangt. Die Geheimnummer im Geldbeutel aufzubewahren gilt indes als grobe Fahrlässigkeit, eine Erstattung des finanziellen Schadens ist in so einem Fall nicht vorgesehen.

„Der Anscheinsbeweis gilt daher auch, wenn der Fingerabdruck in falsche Hände geraten würde – mit dem Unterschied, dass ein Diebstahl dieses Sicherheitsmerkmals für den Kunden noch schwerer nachzuweisen ist, als bei der PIN“, so der Datenschutzexperte Schäfer. Wenn es jemand jedoch gezielt auf den Fingerabdruck einer bestimmten Person abgesehen habe, wäre dieser darüber hinaus relativ leicht zu fälschen. Man könne diesen etwa mit einfachen Mitteln aus dem Baumarkt von Gegenständen abnehmen, die die Person zuvor berührt hatte, so der Experte weiter.

So zahlen Sie sicher online und offline

Identifikation per Herzrhythmus? Technisch möglich, aber gefährlich
Die Kreditkartengesellschaft MasterCard investierte im September 2014 in das kanadische Startup Bionym. Dieses Unternehmen stellt ein Armband her, das den Träger anhand seines Herzschlags identifizieren kann. Das ist möglich, weil der Herzschlag eines Menschen ähnlich individuell ist wie sein Fingerabdruck. Im Gegensatz zu biometrischen Daten wie etwa dem Fingerabdruck, gehört der Herzschlag eines Menschen zu den sogenannten Gesundheitsdaten. Diese zählen zu den sensibelsten Daten, die es gebe, erklärte der Datenschutzexperte Christoph Schäfer im Interview mit CHECK24. „Gesundheitsdaten sind jene Art von Daten, mit denen man Macht erlangen kann. Aus diesem Grund sind sie datenschutzrechtlich besonders geschützt, etwa über Paragraf 3 Absatz 9 des Bundesdatenschutzgesetzes“, so Schäfer weiter.

Es gibt drei Arten der Authentifizierung: Wissen, Besitz und biometrische Daten. Als Wissen gilt beispielsweise die Kenntnis eines Passworts, als Besitz etwa der Besitz eines TAN-Generators. „Am sichersten ist eine Bezahlung, wenn zwei dieser Authentifizierungsarten kombiniert werden,“ erklärt der Datenschutzexperte. Er selbst würde auf die Angabe von biometrischen Daten jedoch möglichst verzichten, sagt Schäfer gegenüber CHECK24. Lediglich bei seinem Reisepass habe er seinen Fingerabdruck hergegeben und das auch nur, weil er gesetzlich dazu verpflichtet sei. Wichtig sei, sich zunächst gut über die Vorteile und Risiken verschiedener Zahlmethoden zu informieren und im Anschluss Sicherheit gegen Bequemlichkeit abzuwägen.

Als Beispiel nennt der Experte die Zahlung per Bargeld. Diese sei aus datenschutzrechtlicher Sicht ein Vorteil, da keine Datenspuren hinterlassen werden. Doch auf der anderen Seite wäre es wenig praktikabel und auch gefährlich, 10.000 Euro mit sich herumzutragen. „Es gibt keine Zahlweise, die hundert Prozent sicher und gleichzeitig hundert Prozent bequem ist. Der Kunde muss für sich selbst einen für ihn akzeptablen Kompromiss finden,“ rät Christoph Schäfer.

Dabei komme es auch darauf an, Kleinigkeiten zu bedenken: Beispielsweise sei die Zahlung per Girokarte oder Kreditkarte und PIN sicherer, als lediglich per Unterschrift zu bezahlen. Schließlich zeige die Praxis, dass an der Kasse eher selten überprüft wird, ob die Unterschrift auf der Karte auch zu der auf dem Kassenbeleg passt. Zudem muss bei der Zahlung per Unterschrift ein Dienstleister zwischengeschaltet werden, der die Bonität überprüft.

Er selbst zahle online am liebsten per Überweisung oder Rechnung, wenn das angeboten werde: „Offline zahle ich gerne per EC-Karte und PIN oder per Kreditkarte und PIN“. Die Zahlung per PIN ist somit aus Sicht des Datenschutzexperten nicht nur fälschungssicherer, sondern verursacht auch weniger Datenströme. „Jeder kann selbst entscheiden, welche Zahlungsart er wählt. Wichtig ist jedoch, sich im Vorfeld zu informieren und nicht bereitwillig zu viele Daten preiszugeben,“ so Schäfer weiter.

(bm)

Weitere Artikel: