Die Neuauflage der schwarz-roten Koalition hat sich vorgenommen, Sicherheitsbehörden "den nachträglichen biometrischen Abgleich mit öffentlich zugänglichen Internetdaten" etwa mithilfe Künstlicher Intelligenz (KI) zu erlauben. Doch just eine Studie von Europol – also aus dem Bereich Strafverfolgung selbst – gießt nun Wasser in den Wein der Überwachungsbefürworter. Biometrische Erkennungssysteme seien zwar "im Allgemeinen robust", heißt es in der Analyse. Doch es gebe zahlreiche Möglichkeiten, sie auszutricksen. Entscheidend sei daher, "die Schwachstellen solcher Systeme zu kennen".
Viele biometrische Erkennungssysteme gelten seit Längerem als geknackt. Attrappen mit digitalen Fingerprints erstellen etwa Hacker aus dem Umfeld des Chaos Computer Clubs (CCC) seit vielen Jahren. Auch Systeme zur Venen-, Iris- oder Gesichtserkennung haben sie umgangen. Das Operations- und Analysezentrum sowie das Innovationslabor von Europol vollziehen diese Schwachstellennachweise jetzt nach und leiten daraus Schlussfolgerungen für die Arbeit von Ermittlern ab.
Die Autoren des veröffentlichten Berichts konzentrieren sich auf sogenannte Präsentationsangriffe auf das Erfassungsgerät. Diese zielen darauf ab, sich als legitimer Benutzer auszugeben oder die Erkennung zu umgehen. Im Kern wird dabei dem System zur Erfassung biometrischer Daten ein imitiertes oder gefälschtes biometrisches Merkmal untergejubelt, mit dem Ziel, das Verfahren zu stören oder auszuhebeln.
Präsentationsangriffe, bei denen Fingerabdrücke nachgeahmt werden, können auch ohne Zustimmung einer Person durchgeführt werden, erläutert Europol. Bei solchen nicht einvernehmlichen Ansätzen würden Fingerprints von glatten oder nicht porösen Oberflächen wie Gläsern gewonnen. Alternativ könnten digital generierte Fingerabdrücke, die üblicherweise zum Trainieren biometrischer Erkennungssysteme verwendet werden, zur Erzeugung von Fälschungen beispielsweise per 3D-Druck genutzt werden. Fingerabdrücke ließen sich auch bewusst verändern, um einer Erkennung zu entgehen. Normalerweise würden Papillarleisten durch Arbeitsbedingungen oder Unfälle beschädigt, deren Zerstörung könne aber auch absichtlich erfolgen.
Angesichts der Fülle digitaler Fotos in Sozialen Netzen und anderen öffentlichen Bereichen ist es den Verfassern zufolge auch leicht, Bilder in die Finger zu bekommen, um sich bei einer automatisierten Gesichtserkennung als eine andere Person auszugeben. Die Erfolgsquote des Identitätsbetrugs lasse sich etwa daran messen, ob diese Methode mit weniger anspruchsvollen Smartphones eingesetzt werden könne. Diese ließen sich manchmal sogar durch einen einfachen Papierausdruck täuschen.
