12. August 2022 Biometrische Gesichtserkennung: Funktionsweise und Sicherheit

Facial Recognition ist im digitalen Alltag weit verbreitet. Gesichtsdaten können aber auch missbräuchlich verwendet werden. Ein Überblick über die verschiedenen Technologien und Sicherheitsrisiken.

Wenn ein Computer einen Menschen auf einem Foto eindeutig erkennen kann, spricht man von Gesichtserkennung (auf Englisch: Facial Recognition). Die Vorteile für Nutzerinnen und Nutzer sind vielfältig und reichen von hochgradig zuverlässigen Authentifizierungsmethoden bis hin zur automatischen Sortierung von Fotoalben nach abgebildeten Personen. Die Technologie kann aber auch für wirtschaftliche Interessen oder staatliche Überwachung missbraucht werden. Um solche Risiken der Gesichtserkennung besser zu verstehen, ist es hilfreich, zunächst die Technologie und ihre Funktionsweise zu kennen.

Wie funktioniert Gesichtserkennung?

Jedes menschliche Gesicht ist einzigartig, auch wenn die Unterschiede – etwa bei eineiigen Zwillingen – für das menschliche Auge kaum erkennbar sein mögen. Individuelle Gesichtsmerkmale gehören, genauso wie der Fingerabdruck, zu den sogenannten biometrischen Daten, die eine eindeutige Identifikation eines Menschen ermöglichen.

Je mehr Daten erfasst werden, desto zuverlässiger ist das Ergebnis der biometrischen Gesichtserkennung. Das liegt daran, dass sich einzelne biometrische Eigenschaften, beispielsweise die Augenfarbe, mit dem Alter oder durch Krankheiten und Unfälle auch verändern können. Selbst dann sind komplexere Programme zur Gesichtserkennung oft noch in der Lage, ein Gesicht richtig zuzuordnen.

Das funktioniert, indem zunächst die besonderen Merkmale und Ankerpunkte (zum Beispiel die Position der Augen) eines Gesichts, sowie ihre Winkel und Abstände zueinander, vermessen werden. Anhand dieser Daten erstellt das System ein sogenanntes biometrisches Token – einen „Stellvertreter“. Es handelt sich dabei um das virtuelle Modell eines Gesichts, das als Referenzmuster für Vergleiche mit zukünftigen Gesichtsaufnahmen dient.

Dieser Vergleich zwischen Referenzmuster und realem Gesicht bildet die Grundlage von Authentifizierungsverfahren mit Gesichtserkennung. Stimmt die Aufnahme mit dem Referenzmuster überein, wird beispielsweise das Smartphone entsperrt oder der Zugang zu einer App freigegeben.

Welche Methoden der Gesichtserkennung gibt es?

Sämtliche Verfahren der Gesichtserkennung basieren auf dem oben dargestellten Prinzip. Die Unterschiede bestehen darin, wie die biometrischen Daten eines Gesichts im Einzelnen erfasst und mit künftigen Gesichtsaufnahmen verglichen werden. So waren früher 2D-Verfahren üblich, bei denen ein zweidimensionales Modell des Gesichts erstellt wurde. Im Gegensatz dazu versprechen die heutigen 3D-Methoden eine deutlich präzisere und zuverlässigere Gesichtserkennung.

Folgende Ansätze, die zum Teil miteinander kombinierbar sind, erhöhen die Verlässlichkeit der Gesichtserkennung zusätzlich:

• Skin Texture Analysis: Die Hauttextur ist ein weiteres biometrisches Merkmal, das bei der Gesichtserkennung untersucht werden kann. Durch die Analyse von Unebenheiten, Muttermalen oder feinen Fältchen kann die Präzision von 2D- wie auch 3D-Verfahren um 20 bis 25 Prozent erhöht werden.
• Retina-Scans: Bei der Iris handelt es sich sogar um das komplexeste biometrische Merkmal des Menschen. Retina-Scans, also Analysen der Iris und Netzhaut, gelten daher als eine der zuverlässigsten Methoden der biometrischen Authentifizierung.

Gesichtserkennung und Sicherheitsrisiken: Die wichtigsten Fragen

Wer biometrische Authentifikationsverfahren wie Gesichtserkennung oder digitale Fingerabdrücke nutzt, hat den Vorteil, keine Passwörter verwalten zu müssen. Darüber hinaus befreien sich Nutzerinnen und Nutzer von der Sorge, dass ihnen bei der PIN- oder Kennworteingabe über die Schulter geschaut wird. Doch auch bei der biometrischen Gesichtserkennung besteht die Gefahr des Datenmissbrauchs. Hier finden Sie Antworten auf die wichtigsten Fragen rund um Sicherheitsrisiken der biometrischen Gesichtserkennung.

• Können biometrische Daten gestohlen werden?

Ja. Das kann beispielsweise durch einen Hackerangriff geschehen, bei dem das Referenzmuster gestohlen wird. Biometrische Daten werden aber deutlich seltener entwendet als PINs und Kennwörter. Da gestohlene biometrische Daten auch nicht ohne Weiteres von jeder beliebigen unberechtigten Person verwendet werden können, gelten entsprechende Authentifizierungsmethoden als deutlich sicherer als etwa Passwörter. Der Vorteil kann im Fall eines Diebstahls jedoch zum Nachteil werden: Biometrische Daten sind invariabel; das heißt, wenn sie einmal entwendet und zweckentfremdet wurden, lassen sie sich nicht mehr verändern, sperren oder verbessern, wie es bei gestohlenen Passwörtern der Fall ist.

• Lässt sich die biometrische Gesichtserkennung austricksen?

Ja. Die große Schwachstelle der biometrischen Gesichtserkennung liegt vor allem darin, dass das biometrische Sicherheitssystem durch gefälschte oder kopierte biometrische Informationen getäuscht werden kann. Diese Praxis nennt man „Spoofing“. So gelang es Hackerinnen und Hackern beim gesichtsbasierten Entsperrverfahren Face ID von Apple kurz nach der Markteinführung, mit Gesichtsteilnachbildungen aus 3D-Druckern ein reales Gesicht vorzutäuschen und das Gerät zu entsperren. Aber auch öffentlich zugängliche Fotos, die von Cyberkriminellen etwa in sozialen Medien gefunden und kopiert werden können, stellen ein Problem dar. Unter Umständen genügt schon ein ausgedrucktes Foto in der richtigen Größe, um das Facial-Recognition-System zu überlisten. Derartige Täuschungsversuche lassen sich vermeiden, indem man nur Gesichtserkennungssoftware mit „Liveness“-Test verwendet – dabei wird durch Bewegungsanalysen oder Infrarot-Strahlen die „Lebensechtheit“ von Nutzerinnen und Nutzern überprüft.

• Was passiert mit den Gesichtsdaten, die von Apps und anderer Software gespeichert werden?

Sowohl die Software Google Fotos, deren Gesichtserkennungs-Tool eine automatische Sortierung der Fotos nach abgebildeten Personen ermöglicht, als auch zahlreiche Selfie-Apps sammeln und speichern biometrische Daten. Immer wieder werden diese zu Werbezwecken an Dritte verkauft, ohne dass betroffene Userinnen und User davon in Kenntnis gesetzt werden.

• Können Gesichtserkennungsprogramme der staatlichen Überwachung dienen?

Einerseits hat der staatliche Einsatz von Gesichtserkennung das Potenzial, für mehr Sicherheit zu sorgen und die Aufklärung von Straftaten zu fördern, andererseits warnen Kritikerinnen und Kritiker vor möglichen Tendenzen zum Überwachungsstaat. In der EU und somit auch in Österreich gelten biometrische Daten laut Datenschutz-Grundverordnung (DSGVO) als sensible Daten. Als solche unterliegen sie strengen Verarbeitungsvoraussetzungen, um privaten oder gar staatlichen Missbrauch zu verhindern.