Zahlen mit dem Fingerabdruck - sicher?

Ich stelle zurzeit mit leichtem, aber anhaltendem Entsetzen fest, dass sich mal wieder eine altbekannte und aus meiner Sicht ziemlich ungeeignete Technologie in Deutschland etabliert. Ich spreche davon, dass man in immer mehr deutschen Supermärkten mit seinem Fingerabdruck bezahlen kann.

Für alle, die noch nie etwas davon gehört haben, der Spaß funktioniert so: Man geht zum Supermarkt seines Vertrauens und meldet sich für das neue Zahlungssystem an. Daraufhin werden die eigenen Kontodaten sowie einige Fingerabdrücke erfasst. Danach kann man an der Kasse bezahlen, indem man entweder nur seinen Finger auf den Scanner legt oder (da sind verschiedene Systeme im Umlauf) indem man seine EC-Karte ins Terminal steckt und die eigene Identität dann mittels Fingerabdruck bestätigt (anstatt einer PIN-Eingabe oder Unterschrift). Der fällige Betrag wird ganz normal per Lastschriftverfahren vom Konto abgebucht.

Soweit zur grundlegenden Idee. Wie komme ich nun dazu, das Verfahren als ungeeignet zu klassifizieren?
Nun, die Sicherheit dieses Vorgehens hängt ja eindeutig vom Fingerabdruck ab. Dass Fingerabdrücke einmalig genug sind, um jemanden an der Supermarktkasse zu authentifizieren, mag schon stimmen. Das Problem der Fingerabdrücke ist aber (wie bei den meisten biometrischen Mustern), dass sie alles andere als fälschungssicher sind. Im Gegenteil, sie lassen sich sehr preiswert und mit geringem Aufwand kopieren. Einfach den Finger abschneiden und ... kleiner Scherz.

Fingerabdrücke lassen sich leicht fälschen

Wie einfach und schnell und das geht, sieht man hier: Mit einer billigen Kamera, einem Laserdrucker, Holzleim und der Open-Source-Software Gimp kann man also einen Fingerabdruck so nachbasteln, dass er vom Scanner erkannt wird.

Das Video stammt aus dem Jahr 2004 - ist also ein alter Hut. Wie oben schon erwähnt, gab es vor Jahren schon einmal Versuche, ein fingerabdruckbasiertes Zahlsystem an der Kasse zu etablieren. Dieser ARD-Beitrag ist von 2007:



Vielleicht kann sich der eine oder andere auch noch daran erinnern, dass der Chaos Computer Club im Jahr 2008 den Fingerabdruck des damaligen Bundesinnenministers Wolfgang Schäuble veröffentlicht hat? Das hat damals ziemlich hohe Wellen geschlagen. Danach kehrte, was das Thema der Sicherheit von Fingerabdrücken angeht, erst einmal Ruhe ein. Und die Verbreitung derartiger Systeme stagnierte merklich.

Nur wenige Jahre später hat man das wohl vergessen und die Fingerabdruckscanner werden wieder mehr. Mir fällt keine vernünftige Antwort auf die Frage ein, warum die Dinger jetzt wieder so sehr auf dem Vormarsch sind. Ich vermute es liegt einfach daran, dass der moderne Mensch immer fauler und bequemlicher wird - oder daran, dass die Industrie will, dass er es wird.

Ein klar denkender Mensch sollte das jedenfalls nicht wollen. Der Einsatz von Fingerabdrücken als Zugangsberechtigung ist keine gute Idee. Neben dem recht eindeutigen Sachverhalt, dass sich Fingerabdrücke leicht kopieren lassen, sollte man sich auch mal der der Überlegung hingeben, ob man will, dass der eigene Fingerabdruck in den Datenbanken irgendeines Einzelhandelsunternehmens gespeichert wird.
Damit verbunden ist die Frage, was für einen Wert so ein Abdruck hat und wie sehr dieser Wert in den nächsten Jahren und Jahrzehnten steigen wird. Wer weiß schon, was man in zehn oder zwanzig Jahren alles mittels Fingerauflegen öffnen kann? Personendaten sind schon heute ein wertvolles Gut, mit dem viel Geld gemacht wird. Es wird sicher noch die Zeit kommen, in der sich die Datenmafia auch auf biometrische Daten stürzt.

Nicht weniger kritisch ist die Frage, ob die Unternehmen überhaupt in der Lage sind, derart sensible Daten sicher zu speichern und zu übertragen. Wenn schon bei der Deutschen Telekom, einem Unternehmen der IT-Branche, die Kundendaten nicht sicher sind, warum sollte man darauf vertrauen, dass das die IT-Abteilung einer Supermarktkette besser hinbekommt? Und auch Banken sind ja nicht gerade bekannt dafür, sich viel mit der Sicherheit ihrer Kunden zu befassen.
Vollkommen abseits der IT-Sicherheit ist da auch noch die Frage, ob man am Ende seines Einkaufs seinen Zeigefinger auf eine Fläche drücken will, die vorher schon Tausende andere Kunden angefasst haben, nachdem sie im Supermarkt alles mögliche berührt haben, inklusive des Einkaufswagens, der ja gemeinhin als Keimschleuder gilt.

Die einzig richtige Antwort auf diese Entwicklung kann es sein, dass sich alle dieser Technologie verweigern und die Industrie folglich erkennt, dass der Verbraucher sie einfach nicht haben will. Leider wird das aber so sicher nicht funktionieren, da die meisten Menschen von IT-Sicherheit so viel verstehen wie von Kernphysik und ohnehin glauben, dass Dinge sicher sind, wenn Ihnen ein Verkäufer sagt, dass sie sicher sind.

Vermutlich werden wir in zehn Jahren nur noch via Fingerabdruck oder per NFC bezahlen können (in Sachen Sicherheit ein ähnlich großes Übel). Wer die Technik und ihre Risiken versteht, wird dann wohl bevorzugt zum Bargeld greifen müssen - es sei denn natürlich, die Ökonomen haben es noch nicht abgeschafft ...

Geschnatter