CCC knackt Scanner: «Apple-Hack - keine Gefahr für breite Masse»

Stefan Friedli: Wohl kaum - der CCC hat zwar im Video bewiesen, dass einfache Mittel genügen, um einen Fingerabdruck zu reproduzieren, aber ob das Verfahren, etwa für einen Angreifer wirklich alltagstauglich ist, wage ich zu bezweifeln.

Einerseits muss ein Angreifer erst an eine gute Vorlage des Fingerabdruckes kommen und diesen abfotografieren können. Zweitens ist die anschliessende Reproduktion des Fingerprints mit Leim sehr zeitaufwendig. In dieser Zeit hat der Besitzer des Smartphones seine Daten aus der Ferne über den Cloud-Dienst schon längst gelöscht, da neu das Gerät an die Apple-ID des Besitzers gekoppelt werden kann.

Apple versucht mit Touch ID einen einfachen, bequemen und alltagstauglichen Schutz für das Gerät zu bieten und damit den vierstelligen PIN-Code zu ersetzen. Für den durchschnittlichen Benutzer ist das Verfahren ein Schritt nach vorne.

Viele Smartphone-Besitzer haben ihre Geräte nicht mit einem Passwort geschützt, oder verwenden ein simples Passwort, wie «1234», das einfach zu erraten und deshalb nicht sicher ist. Bei komplexeren Passwörtern kann ein Angreifer dem Besitzer beim Eintippen über die Schulter schauen. Doch auch andere Methoden, wie das Zeichnen eines Musters bei Android-Geräten bieten keine absolute Sicherheit. Hier reichen oft schon die Rückstände der Wischbewegungen auf dem Display, um das Muster zu erraten. Der Fingerabdruck bietet hier mehr Sicherheit.

Benutzer und Kritiker müssen in der Debatte zwischen zwei Perspektiven unterscheiden. Bei Touch ID geht es darum, dass Unbekannte nicht unerlaubt Zugriff auf private Bilder erhalten oder Mails lesen können. Touch ID wurde aber nicht konzipiert, um das Gerät von professionellen Zugriffen, etwa mit forensischen Mitteln zu schützen. Das Feature ist sicher nicht mit Highend-Security, wie etwa einem Iris-Scanner im Industriebereich zu vergleichen. Das wird am meisten missverstanden. (Anmerkung der Redaktion: Wer dem Fingerabdruck-Scanner nicht traut, kann das Feature auch komplett deaktivieren.)

Laut Apple sollen die Fingerabdrücke nur auf dem Chip des Smartphones gespeichert sein und nicht an externe Server übermittelt werden. Für das Bezahlen per Fingerabdruck würde aber wohl eine Übermittlung an einen Server notwendig. Aus Datenschutzgründen wäre das bedenklich.

Mit Ausnahme von ein paar wenigen Laptop-Herstellern ist Apples Touch ID die erste massentaugliche Anwendung, die es in dieser Grössenordnung bisher gegeben hat. Ob sich dies aber als Standard durchsetzt, wird sich zeigen. (Anmerkung der Redaktion: Laut Gerüchten arbeiten mehrere Hersteller an Fingerabdruck-Scannern. So wollte Samsung bereits mit dem Galaxy Note 3 einen Finger-Scanner lancieren.)