Die Entsperrung per Fingerabdruck oder Gesichtserkennung, auch Face Unlock genannt, ist bereits seit Langem der Standard bei Smartphones. Es ist immerhin verlockend bequem: Man hält das Gerät kurz ans Gesicht und es ist binnen Millisekunden entsperrt.
Doch ist das überhaupt sicher? Wo landen die hochsensiblen Informationen? Wir liefern die Antworten.
Wie funktioniert überhaupt Face Unlock?
Bei der Einrichtung erfasst das Gerät das Gesicht und erstellt ein digitales 3D-Modell davon. Dieses enthält Merkmale, die zur späteren Wiedererkennung genutzt werden.
Entsperrt ihr das Handy, vergleicht es also den Scan mit dem gespeicherten Modell auf dem Gerät.
Im Fall von Apple nimmt die Kamera das Gesicht aus verschiedenen Blickwinkeln auf und projiziert dazu ein Muster aus über »30.000 unsichtbaren Infrarotpunkten darauf«. Die integrierte Infrarotkamera erfasst dabei dessen Tiefenstruktur.
Mit anderen Worten: Smartphones speichern kein echtes Foto des Gesichts, sondern eine mathematische Darstellung.
Wie speichern die Hersteller die Daten?
Apple
Das zuvor erwähnte TrueDepth-System von Apple gilt als eines der sichersten. Apple selbst nennt eine statistische Wahrscheinlichkeit von weniger als eins zu einer Million, dass eine zufällige Person das Gerät entsperrt. Diese schöne Zahl ist allerdings den eigenen Laborwerten von Apple zuzuordnen. Zumal der Hersteller ein höheres Risiko etwa bei eineiigen Zwillingen benennt.
Wo speichert das iPhone die Gesichtsdaten? Das Gerät speichert eure sensiblen Gesichtsdaten lokal und niemals in der Cloud. Genau genommen werden dafür speziell isolierte Sicherheits-Chips verwendet, die vom restlichen System getrennt sind.
Bei Pixel-Smartphones müsst ihr während der Einrichtung Bilder aus verschiedenen Blickwinkeln aufnehmen. Laut Google werden die Bilder, die ihr zur Einrichtung der Funktion verwendet, nicht gespeichert.
Das daraus erstellte Gesichtsmodell bleibt demnach lokal auf dem Gerät gespeichert und die Verarbeitung erfolgt auf dem Handy selbst. Der Hersteller betont außerdem, dass das Modell ausschließlich für »Face Unlock« verwendet wird und nicht mit Google- oder Drittanbieter-Diensten geteilt wird.
Samsung
Samsung selbst bezeichnet die Gesichtserkennung auf seinen Galaxy-Handys als weniger sicher als die Mustererkennung, PIN-Eingabe, Nutzung des Fingerabdrucksensors oder des Iris-Scanners.
Die Registrierung der Gesichtsdaten erfolgt über die Frontkamera, jedoch ohne Tiefenerfassung. Dadurch ist sie theoretisch anfälliger, eine ähnlich aussehende Person zu akzeptieren.
Laut Samsung werden die sensiblen Daten lokal auf dem Gerät gespeichert und durch Knox geschützt. Knox ist Samsungs Sicherheitsumgebung, die Schutzfunktionen auf mehreren Ebenen umfasst. Sie sorgt unter anderem für die Trennung sensibler Bereiche und den Schutz von Daten, Apps und eben den Gesichtsdaten.
Xiaomi
Der chinesische Hersteller Xiaomi gibt an, dass die Daten für die Gesichtserkennung lokal auf dem Gerät verarbeitet werden und nicht in die Cloud hochgeladen werden. Die zugrunde liegenden Gesichtsaufnahmen werden demnach nach der Erstellung der Gesichtsmerkmale nicht gespeichert.
Xiaomi beschreibt zudem einen geschützten Bereich des Geräts für die biometrische Verarbeitung und betont: »Diese Daten werden ausschließlich lokal auf Ihrem Gerät verarbeitet und nicht in die Cloud hochgeladen.«
Oppo
Der Hersteller Oppo setzt bei einigen seiner Smartphones auf 3D-Scans, um ähnlich wie Apple Tiefeninformationen zu erhalten und die Sicherheit zu erhöhen.
Laut dem Hersteller findet der gesamte Prozess – von der Bildaufnahme bis zum Abgleich – in einer vollständig isolierten und sicheren Umgebung statt. Zudem werden die Merkmalsinformationen durch Verschlüsselungsalgorithmen auf Chipebene verschlüsselt.
Ein Upload der Daten in die Cloud erfolgt also ebenfalls nicht.
50:25
Stimme von KI-Firma geklaut! Leben wir schon in einer Dystopie?
Wie verhält es sich mit Fingerabdrucksensoren?
Laut den Dokumentationen der oben genannten Handy-Marken werden Fingerabdruckdaten lokal auf dem Gerät verarbeitet und geschützt gespeichert.
Bei den Smartphones der Hersteller geschieht der Abgleich in einer isolierten Sicherheitsumgebung des Geräts. Dabei handelt es sich üblicherweise nicht um gewöhnliche Fingerabdruckbilder, sondern um geschützte Vorlagen für den Abgleich.
Detaillierte Informationen dazu findet ihr auf den Webseiten der jeweiligen Smartphone-Hersteller. Unternehmen wie Google, Apple oder Samsung haben hierfür einen eigenen, leicht auffindbaren Bereich auf ihrer Website.
Haben Apps Zugriff auf die biometrischen Informationen?
Nicht direkt, denn Apps können die biometrischen Informationen nicht auslesen. Sie nutzen eine Schnittstelle des Betriebssystems, die ihnen mitteilt, ob die Authentifizierung erfolgreich war.
Je nach System kann eine erfolgreiche Prüfung außerdem eine geschützte Aktion freigeben, beispielsweise den Zugriff auf einen kryptografischen Schlüssel.
Face Unlock bei Zahlungen und Banking
Für Zahlungen unterstützen viele Smartphones und Apps die Authentifizierung per Gesichtserkennung oder Fingerabdruck. Dies ist allerdings abhängig vom jeweiligen Gerät und der verwendeten App.
Apples Face ID lässt sich für Apple Pay und für Apps nutzen, die ebenfalls Face ID unterstützen. Bei anderen Herstellern gibt es aber durchaus Abweichungen.
Bei Google ist »Face Unlock« ab dem Pixel 8 auch zur Bestätigung von App-Anmeldungen und Käufen vorgesehen. Bei Samsung wird die Gesichtserkennung dagegen meist nicht akzeptiert, dafür aber die Authentifizierung per Fingerabdrucksensor.
Letztendlich entscheidet der Anbieter, welche Anmeldemethoden unterstützt werden.
Die Gesichtsinformationen wieder löschen
Wenn ihr trotz allem kein gutes Gefühl bei der Sache habt, könnt ihr die Informationen aus dem Smartphone wieder löschen. Der Ort in den Einstellungen variiert logischerweise je nach Hersteller.
Bei iPhones gibt es den gesonderten Punkt »Face ID & Code«. Aber Achtung: Wenn ihr den Schutz für gestohlene Geräte aktiviert habt, kann Face-ID nicht deaktiviert werden.
Bei Samsung und anderen Android-Herstellern findet ihr die Funktion in der Regel unter »Sicherheit« beziehungsweise »Sicherheit und Datenschutz«.
Abgesehen von der Gesichtserkennung und dem Fingerabdrucksensor ist ein starker Gerätecode ohnehin sehr wichtig. Eine längere PIN oder ein Kennwort sind in der Regel schwerer zu erraten als ein einfaches Muster.
Der Gerätecode ist außerdem wichtig, weil das Smartphone ihn unter bestimmten Umständen verlangt, etwa nach einem Neustart.
Nur angemeldete Benutzer können kommentieren und bewerten.
Dein Kommentar wurde nicht gespeichert. Dies kann folgende Ursachen haben:
1. Der Kommentar ist länger als 4000 Zeichen.
2. Du hast versucht, einen Kommentar innerhalb der 10-Sekunden-Schreibsperre zu senden.
3. Dein Kommentar wurde als Spam identifiziert. Bitte beachte unsere Richtlinien zum Erstellen von Kommentaren.
4. Du verfügst nicht über die nötigen Schreibrechte bzw. wurdest gebannt.
Bei Fragen oder Problemen nutze bitte das Kontakt-Formular.
Nur angemeldete Benutzer können kommentieren und bewerten.
Nur angemeldete Plus-Mitglieder können Plus-Inhalte kommentieren und bewerten.