Der Fingerabdruck des heutigen Bundestagspräsidenten Wolfgang Schäuble (CDU) ist berühmt. Als Bundesinnenminister machte er sich 2008 für die Speicherung biometrischer Merkmale in den Personalausweisen der Deutschen stark. Aus Protest gegen seinen Plan veröffentlichte der Chaos Computer Club (CCC) Schäubles Fingerabdruck - kopiert von einem Wasserglas, das der Minister bei einer öffentlichen Veranstaltung benutzt hatte - und empfahl seinen Mitgliedern, den Fingerabdruck Schäubles in ihre Ausweise zu schummeln. 5000 Abdruckschablonen, sogenannte "Schäubletten", will der Club damals unters Volk gebracht haben. Wie viele davon tatsächlich in gültige Ausweisdokumente geschmuggelt wurden, ist nicht bekannt.
Damals kannten viele Bürger Fingerabdrücke hauptsächlich aus dem Tatort. Heute sind sie Teil der alltäglichen Technik: Smartphonebesitzer entsperren ihre Geräte mit der Fingerkuppe oder gleich per Gesichtserkennung. Biometrie ist in der Gesellschaft angekommen und gilt vielen als Mittel, die Sicherheit elektronischer Geräte zu verbessern. Der Staat wiederum sieht biometrische Merkmale als Möglichkeit, die innere Sicherheit zu verbessern. Beides ist umstritten.
Fingerabdrücke und Gesichtserkennung - biometrische Daten sind Teil alltäglicher Technik
Denn biometrische Sicherheitssperren können umgangen werden. Und staatliche Datenbanken von Fingerabdrücken oder anderen biometrischen Merkmalen können gehackt werden. Schon 2008 bemerkte der damalige Sprecher des CCC, Dirk Engling: "Fingerabdruckbiometrie ist nicht so sicher, wie die Politik beteuert. Sie gehört in keine sicherheitsrelevante Anwendung - und erst recht nicht in den ePass."
Heute heißt der Bundesinnenminister Horst Seehofer (CSU), und das Thema Biometrie in Personalausweisen steht wieder auf der politischen Agenda. Während die Abgabe eines Fingerabdrucks in neuen Reisepässen seit 2007 bereits verpflichtend ist, war sie für Personalausweise bisher freiwillig. Das soll sich nun ändern: Mitte Februar haben sich die EU-Institutionen auf einen Gesetzentwurf geeinigt, wonach die Abdrücke in Ausweisdokumenten von Mitgliedsstaaten künftig standardmäßig gespeichert sein sollen.
Bei der Einreise würde eine befugte Behörde - etwa die Bundespolizei - die Finger scannen und sie mit Daten im Ausweisdokument abgleichen. Neuausgestellte Ausweise sollen zudem alle im Scheckkartenformat gehalten sein und einen maschinenlesbaren Teil enthalten. Demnächst soll der LIBE-Ausschuss des Europäischen Parlaments, der für bürgerliche Freiheiten, Justiz und Inneres zuständig ist, den Entwurf bestätigen. Danach müssen noch Parlament und Mitgliedsstaaten zustimmen. Deutschland wird das wohl tun: Seehofer nennt das neue Gesetz "zwingend erforderlich".
Die aktuelle Sprecherin des CCC, Constanze Kurz, fordert von Seehofer, seine Position besser zu begründen: "Die Bundesregierung hat bisher nicht belegen können, dass mit der zwangsweisen Fingerabdruckabgabe tatsächlich ein Mehr an Sicherheit erreicht werden kann. Das aber müsste sie dringend tun, denn biometrische Merkmale sind höchst sensible Körperdaten, die besonders geschützt gehören." Eine "erkennungsdienstliche Behandlung der gesamten Bevölkerung" sei ohnehin abzulehnen. Das Innenministerium dagegen argumentiert, dass die Fingerabdrücke in dem Ausweis Identitätstäuschungen verhindern helfen. So ließe sich vermeiden, dass Unbefugte die Ausweise ähnlich aussehender EU-Bürger nutzen, um nach Deutschland einzureisen. Es lägen Berichte vor, nach denen Betrugsfälle dieser Art zunähmen. Eine Statistik, die dies belegt, gibt es dem Ministerium zufolge allerdings nicht.
Der Widerstand des CCC gegen biometrische Sicherheitsmerkmale hat Tradition. Regelmäßig demonstrieren Hacker auf den Jahreskonferenzen des Vereins, wie sich Sicherheitslücken nutzen lassen - in Technologien, die sonst gern als modern und schwer zu knacken angepriesen werden. Der Fingerabdruck Schäubles von 2008 ist nur ein Beispiel hierfür.
Für die meisten Biometrie-Hacks des CCC ist der Berliner Jan Krissler zuständig, unter Hackern als "Starbug" bekannt. 2014 baute er einen Fingerabdruck von Verteidigungsministerin von der Leyen nach, basierend auf einem hochauflösenden Pressefoto der Ministerin. 2015 demonstrierte er, wie der Fingerabdrucksensor eines iPhones mit einer Attrappe aus Holzleim umgangen werden kann. Ende 2018 präsentierte Starbug seinen neuesten Coup: Zugangssperren, die Venen einer Hand scannen, werden als sichere Varianten für Zugangskontrollen zu sensiblen Unternehmensbereichen angepriesen, vor allem von japanischen Herstellern wie Hitachi und Sony. Auch dieses System wurde von Starbug und dem Informatiker Julian Albrecht im Rahmen von dessen Bachelorarbeit überlistet - diesmal mit einer Attrappe aus Bienenwachs.
Die Ausweitung von biometrischer Datensammlung hält Starbug auf mehreren Ebenen für problematisch. Seine eigene Forschung zeige: Missbrauch ist einfach, die Datenbanken sind also lohnende Ziele für Angriffe. "Außerdem haben die Biometriedatenbanken eine inhärente Fehlerwahrscheinlichkeit. Anders als bei Passwörtern - die richtig oder falsch sind - gibt es bei Biometrie nur Wahrscheinlichkeiten der Übereinstimmung", sagt Starbug. Zudem steige die Gefahr von sogenannten Falschpositiven, Fingerabdrücke die ähnlich sind, werden vom System fälschlich als identisch wahrgenommen. Biometrische Zugangssperren sind also nicht grundsätzlich sicherer als Passwörter oder PIN-Nummern. In gewisser Weise seien Passwörter sogar eher zu empfehlen, sagt Johann Heyszl vom Fraunhofer-Institut für Angewandte und Integrierte Sicherheit (AISEC): Sie könnten einfach geändert werden, wenn Hacker sie stehlen oder sie durch ein Leck in einer Datenbank im Netz landen. Biometrische Daten sind dagegen unveränderbar. Sollten sie in die Hände Unbefugter gelangen, ist ihr Missbrauch prinzipiell ein Leben lang möglich. Heyszl formuliert es so: "Stellen Sie sich vor, jemand sagt zu Ihnen: Wählen Sie sich ein Passwort fürs Leben und tätowieren Sie es sich auf den Körper." Das AISEC-Institut empfiehlt daher, zusätzlich zu einem biometrischen Merkmal immer einen zweiten Faktor für Logins zu verwenden.
Der Plan der EU sieht aktuell nicht vor, eine zentrale Datenbank mit den biometrischen Daten der EU-Bürger zu errichten. Eine solche europäische Datenbank gibt es allerdings bereits - für Asylbewerber: Die Datenbank Eurodac speichert die Fingerabdrücke von Flüchtlingen, um zu verhindern, dass diese in mehr als einem EU-Staat Asyl beantragen. Die Fingerabdrücke der EU-Bürger sollen dagegen nur auf den Ausweisen selbst gespeichert werden und nicht zentral in Rechenzentren. Auch im deutschen Personalausweisgesetz ist in Paragraf 26 explizit vermerkt: "Eine bundesweite Datenbank der biometrischen Merkmale wird nicht errichtet."
Datenschützer wie Constanze Kurz vom CCC überzeugt das nur bedingt. Sie befürchtet, dass in Zukunft auch Geheimdienste und andere Behörden auf die Fingerabdrücke zugreifen können. Seit dem Gesetz zur Förderung des elektronischen Personalausweises 2017 dürfen viele Behörden bei den Meldebehörden automatisch Daten abfragen, darunter auch das biometrische Passbild. Ganz aus der Luft gegriffen ist Kurz' Sorge womöglich nicht. In Frankreich hat der Staatsrat im Oktober 2018 die Schaffung der seit 2016 geplanten zentralen Biometriedatenbank genehmigt, gegen den Widerstand von Datenschützern. Bislang entzieht sich Deutschland aber dem Trend zur zentralen Speicherung.
Was passieren kann, wenn große biometrische Datenbanken angelegt werden, lässt sich in den USA beobachten. Dort wurde 2015 eine Datenbank, die Informationen von Regierungsmitarbeitern enthielt, gehackt. Dabei haben die Diebe auch Fingerabdrücke von Mitarbeitern erbeutet, die Zugriff auf sensible Dokumente hatten. In Indien wiederum beschloss die Regierung 2009, die gigantische Biometriedatenbank Aadhaar einzurichten, auch um die Verteilung von Sozialleistungen an die Bevölkerung zu organisieren. In der Datenbank sind heute Fingerabdrücke und Iris-Scans von mehr als einer Milliarde Inder gespeichert. Im Frühjahr 2017 berichteten Medien, dass Daten von 130 Millionen Menschen geleakt worden sein sollen. Anfang 2018 berichteten indische Reporter, ein Mann habe ihnen Zugang zur kompletten Datenbank via Whatsapp verkauft - für umgerechnet acht Dollar.