Biometrie

Was Biometrie konkret tut

Wenn du dein iPhone mit Face ID entsperrst, passiert Folgendes — vereinfacht:

1. Die TrueDepth-Kamera projiziert über 30 000 Infrarot-Punkte auf dein Gesicht und liest die Tiefen-Geometrie aus.
2. Der Sensor erzeugt eine mathematische Repräsentation dieser Geometrie — kein Bild, sondern eine Liste von Vektoren.
3. Diese Repräsentation wird in der Secure Enclave mit der ebenfalls dort gespeicherten Referenz-Repräsentation verglichen.
4. Bei genügender Ähnlichkeit gibt die Secure Enclave ein Ja / Nein an iOS zurück. Mehr nicht.

Drei wichtige Eigenschaften:

• Das Bild wird nie gespeichert. Auch die mathematische Repräsentation verlässt die Secure Enclave nicht — keine Cloud, kein Backup, kein Apple-Server.
• Der Vergleich ist statistisch. Es gibt keine 100-prozentige Übereinstimmung; das System akzeptiert Werte oberhalb einer Schwelle. Apple gibt für Face ID eine False-Accept-Rate von 1 zu 1 000 000 an, für Touch ID 1 zu 50 000 — Größenordnungen, die deutlich besser sind als eine 6-stellige PIN (1 zu 1 000 000) bzw. eine 4-stellige (1 zu 10 000).
• Apps bekommen kein biometrisches Material. Wenn die Banking-App nach Face ID fragt, ist das eine OS-Funktion. Die App selbst erhält nur das „Authentifizierung erfolgreich"-Signal — kein Foto, keine Vektoren.

Android (Pixel: Tensor Security Chip), Windows Hello (TPM 2.0), Samsung Knox — alle modernen Plattformen folgen denselben Grundprinzipien, mit jeweils eigenen Secure-Enclave-Pendants.

Was Biometrie nicht ist

Drei sehr verbreitete Missverständnisse:

• Biometrie ist kein Passwort-Ersatz, sondern ein PIN-/Passwort-Entriegelungs-Mechanismus. Hinter Face ID liegt immer die Geräte-PIN. Wenn die Biometrie scheitert oder das Gerät zu lange ungenutzt war, verlangt das System die PIN — und nur die PIN allein, niemals nur die Biometrie, ist die letzte Verteidigungs-Linie.
• Biometrie ist nicht widerrufbar. Du kannst dein Passwort ändern. Dein Fingerabdruck bleibt — wenn er einmal in fremde Hände gerät (Datenleck, Hochauflösungs-Foto, abgenommener Abdruck), kannst du ihn nicht „neu generieren". Das ist der wichtigste Grund, Biometrie nur lokal zu verwenden und sie nicht als alleinigen Faktor bei Cloud-Diensten zu nutzen.
• Biometrie ist nicht plattform-übergreifend. Ein Fingerabdruck auf einem Android-Handy entsperrt nicht dasselbe Profil auf einem Windows-Laptop. Jede Plattform speichert eigene Referenz-Daten in der eigenen Secure-Enclave.

Die Verfahren im Vergleich

Für den Alltag ist Face ID mit TrueDepth-Sensor das robusteste verbreitete Verfahren — die Tiefen-Information lässt sich nicht aus einem Foto faken. Ultrasonic-Fingerprint kommt knapp dahinter. Optische Fingerprint-Sensoren (häufig im günstigen Android-Markt) sind anfälliger für Spoofing-Angriffe.

Lebend-Erkennung (liveness detection) — also Mikro-Bewegungen, Blinzeln, Pupillen-Reaktion — gehört zum Standard moderner Implementierungen. Verbreitete Spoofing-Demonstrationen aus den 2010er-Jahren mit Druckmaske oder Foto funktionieren auf aktuellen Sensoren in der Regel nicht mehr.

Biometrie und Passkeys: das schöne Zusammenspiel

Eine besonders wichtige Rolle spielt Biometrie heute als lokale Geste für FIDO2/Passkey-Logins. Wenn du dich mit einem Passkey bei einer Webseite anmeldest, fragt dein Gerät:

„Bist du der oder die Eigentümer:in dieses Geräts?"

Und du beantwortest das mit Face ID, Touch ID oder PIN. Der Passkey wird durch deine Geste entsperrt — die kryptografische Signatur selbst macht das Gerät. Drei Konsequenzen daraus:

• Biometrische Daten verlassen das Gerät nicht. Auch wenn du dich bei deiner Bank mit Face ID anmeldest — die Bank sieht nur die Passkey-Signatur, nie dein Gesicht.
• Biometrie + Passkey ist das bequemste Setup, das es derzeit gibt. Tap aufs Gesicht (oder Fingerabdruck), und du bist drin — phishing-sicher, ohne Code-Tippen, ohne Passwort.
• PIN bleibt der Notnagel. Wenn die Biometrie ausfällt (Maske, Verletzung, Pflaster, schmutziger Sensor), verlangt das Gerät die PIN. Sie ist die eigentliche Sicherheits-Wurzel.

---

Wenn jemand dich zwingt

Eine Frage, die in den 2010ern viel diskutiert wurde — und die rechtlich wie praktisch wichtig ist:

Rechtliche Lage in Deutschland: Du kannst nicht gezwungen werden, ein Passwort zu nennen (Selbstbelastungsfreiheit, § 136a StPO). Du kannst unter bestimmten Voraussetzungen gezwungen werden, biometrische Merkmale zu dulden — Fingerabdruck abgleichen, Gesicht vor die Kamera halten. Die Rechtsprechung ist nicht völlig einheitlich, aber im Trend differenziert sie zwischen aktivem Beitrag (sprechen, etwas tun) und passiver Duldung.

Praktische Konsequenz: Wer in besonders sensiblen Situationen ist (Grenzübertritt, Festnahme, körperliche Bedrohung), kann das Gerät bewusst in den PIN-Zwang versetzen:

• iOS — fünfmal die Seitentaste drücken aktiviert den „SOS"-Modus und sperrt das Gerät auf den PIN. Alternativ: Seitentaste + Lautstärketaste halten.
• Android (Pixel, Samsung u. a.) — Lockdown-Modus über den Power-Menü-Eintrag. Sperrt Biometrie für die nächste Entsperrung; nur PIN funktioniert.
• Generell — Gerät komplett neustarten. Nach dem Neustart verlangt jedes moderne OS zwingend die PIN; Biometrie funktioniert erst nach einer ersten PIN-Eingabe.

Dieser bewusste Schritt ist die wichtigste Schutzmaßnahme, die Biometrie-Nutzer:innen kennen sollten — und der Punkt, an dem die Bequemlichkeit der Biometrie an ihre Grenze stößt.

Wann Biometrie ein- und ausschalten?

Eine pragmatische Übersicht:

Bei besonders kritischen Apps lohnt sich, in den App-Einstellungen zu prüfen, ob das Authentifizierungs-Verhalten sich konfigurieren lässt. Manche Banking-Apps erlauben, dass kritische Aktionen (Geldtransfer ab Betrag X) zwingend PIN statt Biometrie verlangen — bei iOS-Bordmitteln nicht standardmäßig vorgesehen, aber bei vielen Drittanbieter-Apps in den Einstellungen verfügbar.

Biometrie in der Cloud — das andere Problem

Ein wichtiges Unterscheidungsmerkmal: lokale Biometrie (auf deinem Gerät, in der Secure Enclave) ist eine Sache. Cloud-Biometrie — Gesichts-Datenbanken, biometrische Identifikation in Apps wie Clearview AI, Gesichtserkennung in sozialen Netzen — ist eine völlig andere.

Cloud-Biometrie hat strukturelle Probleme:

• Zentralisierte biometrische Daten sind extrem sensitiv. Ein Leak bedeutet, dass dein Fingerabdruck oder Gesichts-Vektor im Untergrund landet. Anders als bei Passwörtern hast du keine Möglichkeit zur „Rotation".
• Falsche Positive haben hohe Konsequenzen. Wenn ein Gesichts-Erkennungs-System dich fälschlich als gesuchte Person identifiziert, hat das im schlimmsten Fall reale Folgen — Festnahme, Verhöre.
• Demographische Bias. Mehrere Studien (NIST, MIT Media Lab) haben gezeigt, dass viele kommerzielle Gesichts-Erkennungs-Systeme bei dunklen Hauttönen und bei Frauen deutlich schlechter abschneiden — mit messbaren Diskriminierungs-Folgen.

Konsequenz für Nutzer:innen:

• Nicht aktivieren: Foto-Tagging in sozialen Netzen, biometrische Werbe-IDs, „Gesichts-Login" bei Drittanbieter-Apps, die Biometrie an einen Server schicken.
• Vorsicht bei „biometrischer Identitäts-Verifikation" in App-Stores oder Krypto-Diensten — die Daten landen oft bei Drittanbietern (z. B. Onfido, iProov), die eigene Sicherheits-Geschichten haben.
• Achten auf die EU-KI-Verordnung (in Kraft seit 2024, vollständig anwendbar bis 2027), die biometrische Echtzeit-Identifikation in öffentlichen Räumen stark einschränkt.

Lokale Geräte-Biometrie und ferne biometrische Identifikation sind technisch und ethisch zwei völlig verschiedene Dinge — auch wenn das Wort beide Male „Biometrie" lautet.

Besonderheiten

Secure Enclave ist ein eigener Chip

Apples Secure Enclave ist ein separater Sub-Prozessor auf dem Apple-Silicon-SoC mit eigenem Speicher, eigener OS-Variante und eigenem kryptografischen Schlüsselsatz. Selbst eine vollständig kompromittierte iOS-Installation kann nicht auf die dort gespeicherten Schlüssel zugreifen — sie kann nur über die definierten Schnittstellen fragen, ob ein Vergleich ergibt "ja".

TPM 2.0 ist das Pendant in Windows

Windows 11 verlangt TPM 2.0 für die Installation — genau aus diesem Grund. Windows Hello speichert biometrische Templates dort, ebenso wie BitLocker-Schlüssel. Auf älteren Geräten ohne TPM bietet Windows Hello deutlich weniger Schutz.

Pixel Tensor Security Core und Titan M2

Google nutzt seit Pixel 6 den eigenen Tensor Security Core und den separaten Titan M2-Sicherheits-Chip — funktional vergleichbar mit Apples Secure Enclave. Samsung hat mit Knox Vault eine eigene Lösung. Die Architektur ist Industrie-Konvergenz, nicht Apple-Exklusiv-Trick.

Lebend-Erkennung wird laufend verbessert

Frühe Spoofing-Demonstrationen — Foto vor die Kamera halten, einfache 3D-Druck-Maske — funktionieren auf aktuellen Geräten nicht mehr. Moderne Implementierungen prüfen Mikro-Bewegung, Pupillen-Reaktion, Wärme-Signatur (bei IR-Kameras). Erfolgreiche Spoofing-Demonstrationen erfordern heute Materialaufwand im hohen dreistelligen Bereich und detaillierte Vorinformation über das Ziel.

Touch ID kann technisch mehrere Finger lernen

Bei iOS und Android lassen sich mehrere Fingerabdrücke registrieren — bequem für Verletzungen oder Wechsel zwischen Händen. Vorsicht bei Partner:innen und Familienmitgliedern: jeder zusätzlich registrierte Finger ist ein weiterer Zugang. Wenn Konflikte denkbar sind, lieber jeweils eigene Geräte oder Profile.

Apple Watch entsperrt Mac

Wenn du einen Mac mit einer Apple Watch koppelst, kann die Watch deinen Mac entsperren — sobald du sie am Handgelenk trägst und in der Nähe bist. Praktisch das "Besitz"-Faktor-Pendant zur Biometrie. Funktioniert auch zum Bestätigen von Käufen und Admin-Aktionen.

EU-KI-Verordnung schränkt biometrische Identifikation ein

Die seit August 2024 in Kraft befindliche EU-Verordnung 2024/1689 (AI Act) stuft biometrische Echtzeit-Identifikation in öffentlichen Räumen weitgehend als verbotene Praxis ein, mit eng definierten Ausnahmen für Strafverfolgung. Anwendung schrittweise bis 2027.

Weiterführende Ressourcen

Externe Quellen

• Apple – Face ID-Sicherheit (PDF)
• Apple – Touch ID-Sicherheit
• Apple – Secure Enclave Übersicht
• Microsoft – Windows Hello und TPM
• Google – Pixel Tensor Security Core
• NIST FRVT – Face Recognition Vendor Test
• EU – KI-Verordnung 2024/1689 (AI Act)
• BSI – Biometrische Verfahren

Verwandte Artikel

• Passwörter und Manager
• Zwei-Faktor und MFA
• Passkeys für Nutzer:innen
• Session- und Geräte-Verwaltung
• Tracking und Privatsphäre