Neues Patent zur besseren Sicherung von biometrischen Daten

Neues Patent zur besseren Sicherung von biometrischen Daten
Anzeige

Beitrag teilen

Das hessische Unternehmen iCOGNIZE meldet ein Patent auf sein neues Split-Template-Verfahren zur Sicherung von biometrischen Daten an. Bei dem neuen Verfahren werden biometrische Daten direkt nach der Erfassung gesplittet, um sie unkenntlich zu machen.

Da biometrische Daten die mathematische Beschreibung bestimmter Eigenschaften von Körpermerkmalen wie Fingerabdrücke, Iris- oder Gesichtsmerkmale und Venenmuster enthalten, gelten sie als hochkritisch und müssen auf besondere Art und Weise geschützt werden – nicht nur um Datenschutzverletzungen zu verhindern, sondern vor allem, um zu verhindern, dass bei Cyberattacken keine kompletten biometrischen Datensätze gestohlen werden können.

Anzeige

Mehr Schutz für biometrische Daten

Das Verfahren kann überall angewendet werden, wo sensible Daten stärker geschützt werden sollen – auch außerhalb von biometrischen Systemen. Beispielsweise können Tokens mit Split-Template noch besser vor unerlaubtem Zugriff geschützt werden. Um den Vorgang und die Vorteile des Split-Template-Verfahrens zu verdeutlichen, ist ein detaillierter Blick auf die bisherigen Verfahren nötig:

Mögliche Sicherheitslücken bei biometrischen Zugangskontrollen

Bei biometrischen Zugangskontrollen im Hochsicherheitsbereich werden biometrische Eigenschaften wie Fingerabdruck, Venen oder Irismerkmale von einer entsprechenden Sensorik erfasst und mit im System abgespeicherten biometrischen Merkmalen verglichen. Ergibt sich dabei eine hinreichende Ähnlichkeit, wird von einem sogenannten „Match“ ausgegangen. Denn die zum Vergleich genutzten biometrischen Daten gehören zu der Person, die das entsprechende biometrische Merkmal präsentiert hat. Da das System weiß, welche Person zuvor den zum Vergleich genutzten biometrischen Datensatz erzeugt hat, ist die Person dadurch identifiziert.


Cyberkriminelle können diese biometrischen Merkmale stehlen oder manipulieren. Werden beispielsweise Fingerabdruckdaten im Internet veröffentlicht, kann jede Person, die über entsprechendes Wissen verfügt, eine Attrappe für eine sog. „Presentation Attack“ erstellen und damit biometrische Sicherheitssysteme täuschen.

Fingerabruckdaten gibt es nur ein Mal

Für die Person, zu der die Fingerabruckdaten gehören, bedeutet dass, dass ihr Fingerabdruck nie wieder im biometrischen System genutzt werden kann. Denn da das biometrische Merkmal nun in seiner Reinform bekannt ist, kann jederzeit ein Replikat erzeugt werden. Zusätzlich handelt es sich bei digitalen Fingerabdrücken um sensible, persönliche Daten, die nach EU-DSGVO besonders geschützt werden müssen.

Möglicherweise sind sie auch ganz von einer dauerhaften Speicherung ausgenommen. Aus diesem Grund verbietet der Datenschutz das zentrale Speichern von sensiblen biometrischen Daten. Das wiederum kann dazu führen, dass biometrische Systeme in verschiedenen Anwendungen nicht zum Einsatz kommen dürfen.

Schwierigkeiten bisheriger Lösungsansätze

Um obiges Problem zu umgehen, gibt es bereits einen möglichen Weg: Die biometrischen Daten werden zum späteren Vergleich auf Servern gespeichert, die zu einer hochsicheren und nicht-angreifbaren IT-Infrastruktur gehören. Dieses Verfahren funktioniert in der Praxis auch recht gut. Durch immer komplexer werdende IT-Verfahren wird es jedoch immer schwieriger und kostenintensiver eine solche hochsichere Infrastruktur aufrechtzuerhalten. Außerdem und wie oben bereits erwähnt, ist die zentrale Datenspeicherung von personenbezogenen Daten, wie es biometrische Daten sind, ein grundsätzliches Problem beim Datenschutz.

Ist die mobile Datenspeicherung ein DSGVO-freundliche Alternative?

Um im Sinne der DSGVO zu handeln, dürfen biometrische Daten ausschließlich auf mobilen Medien wie RFID-Karten oder Mobilgeräten gespeichert werden. So können Nutzer jederzeit auf ihre persönlichen Daten zugreifen und diese im Zweifelsfall auch löschen.

Durch Vorhalten der Karte bzw. Mobile Device an einen entsprechenden Leser werden die Daten erfasst. Das System vergleicht nun die Daten und löscht danach sofort die genutzten Daten. So befinden sich die biometrischen Daten nur zum Zeitpunkt der Nutzung im System und werden dort nicht persistent gespeichert. Um mit dieser Methode der EU-DSGVO zu genügen, müssen zudem die Voraussetzungen erfüllt der DSGVO (Artikel 9) erfüllt sein:

Was macht das Split-Template-Verfahren besser?

Das Split-Template-Verfahren nutzt das Beste aus den oben beschriebenen Verfahren und geht weitere Schritte, um biometrische Daten unkenntlich zu machen und löst gleichzeitig Probleme mit der EU-DSGVO:

  • Zunächst werden kritische Datenblöcke in zwei oder mehr Datenanteile gespalten.
  • Die einzelnen Anteile werden anschließend auf unterschiedliche Medien und/oder an unterschiedlichen Orten gespeichert.
  • Speicherorte können Datenträger wie die RFID-Karte UND der Server innerhalb der IT-Infrastruktur sein.

Durch die Spaltung handelt es sich bei den erfassten biometrischen Daten nicht mehr um personenbezogene Daten im Sinne der EU-DSGVO. Denn die gesplitteten Daten sind für ihren eigentlichen Einsatzzweck nicht mehr nutzbar, da keine Rückschlüsse zum eigentlichen Datensatz möglich sind. Weiter gelangen Cyberkriminelle beim Kompromittieren eines Speicherortes nicht in den Besitz der gesamten biometrischen Daten. Das Erstellen einer Attrappe mit den erbeuteten Daten wird dadurch wirksam verhindert.

Mehr bei iCOGNIZE.de

 


iCOGNIZE GmbH

iCOGNIZE ist auf biometrische Sicherheitslösungen spezialisiert. Seit 2007 entwickelt und produziert das Unternehmen biometrische Handvenenscanner zur Identifikation bzw. Authentifizierung die sich über unterschiedlichste Schnittstellen in andere Systeme der Sicherheitstechnik integrieren lassen. Technologien wie RFID und Bluetooth sind integraler Bestandteil des Produktportfolios.

Der Unternehmensstandort ist Dietzenbach – nahe Frankfurt am Main. Hier besitzt der Biometrie-System-Entwickler außerdem eine eigene Forschungsabteilung und kooperiert eng mit Hochschulen und anderen Forschungsinstituten, um Innovationen im Bereich biometrischer Sicherheitstechnik voranzutreiben.


 

Passende Artikel zum Thema

Password-Management zum Schutz von Enterprise-Nutzern

Neue und erweiterte Funktionen für Workforce Password Management: Die Cloud-basierte Enterprise-Lösung für das Passwort-Management erlaubt es Mitarbeitern, ihre Passwörter und ➡ Weiterlesen

Proaktives Incident Response für SaaS

Mit der Einführung von Proactive Incident Response verbessert Varonis die Datensicherheit seiner Kunden. Im Rahmen des SaaS-Angebots überwacht ein Team ➡ Weiterlesen

Spray-and-Pray-Angriffe gegen ManageEngine-IT-Tools

Mit einer opportunistischen Attacke greifen Cyberkriminelle seit Januar 2023 weltweit Implementierungen der ManageEngine-Softwarelösungen der Zoho Corporation an. Durch automatisierte Scans ➡ Weiterlesen

Emotet übernimmt Microsoft OneNote-Anhänge

Emotet geht wieder neue Wege und infiziert Microsoft OneNote-Dokumente. Das in Unternehmen beliebte digitale Notizbuch ist für viele Anwender somit ➡ Weiterlesen

Phishing-Attacken erreichen Allzeithoch

Mehr als 30 Prozent der Unternehmen und Privatanwender waren in jedem Quartal von 2022 mobilen Phishing-Angriffen ausgesetzt. Stark regulierte Branchen ➡ Weiterlesen

High-End-Plattformen gegen DDoS 

Radware stellt unter der Bezeichnung DefensePro X eine leistungsstarke neue Serie von sechs -Abwehrplattformen gegen Cyberangriffe und DDoS vor. Ebenfalls ➡ Weiterlesen

Kommt eine neue Ransomware-Ära?

Neueste Forschungsergebnisse zeigen, wie sich die Geschäftsmodelle der Cyberkriminellen verändern können. Trend Micro veröffentlicht eine neue Studie, die sich mit ➡ Weiterlesen

E-Mail-Kommunikation: Ende-zu-Ende verschlüsselt

E-Mails gelten als eine der wichtigsten Kommunikationsformen im geschäftlichen Umfeld. Aber nur jedes zweite Unternehmen nutzt Ende-zu-Ende-Verschlüsselungsmethoden wie PGP oder ➡ Weiterlesen