Biometrische Authentifizierung in mobilen Apps: Was es ist, Sensortypen und Funktionsprinzip

Was ist biometrische Authentifizierung?

Biometrische Authentifizierung ist der Prozess der Überprüfung der Identität eines Benutzers anhand seiner einzigartigen physiologischen oder Verhaltensmerkmale. In mobilen Geräten wird die Technologie zum Entsperren des Bildschirms, zur Zahlungsbestätigung und zum Zugriff auf geschützte Anwendungen verwendet.

Ein biometrisches System besteht aus drei Komponenten: einem Sensor, der eine biometrische Probe (Fingerabdruck, Gesicht, Stimme) erfasst, einem Algorithmus, der einzigartige Merkmale extrahiert, und einem Vergleichsmodul, das diese mit einer gespeicherten Vorlage abgleicht. Laut NIST machen moderne Gesichtserkennungsalgorithmen bei Standardbeleuchtung nur in 0,08% der Fälle Fehler.

Biometrische Methoden ersetzen traditionelle Passwörter, da sie an die Person gebunden sind und während der Übertragung nicht abgefangen werden können. Laut einem Bericht von Goode Intelligence werden bis 2027 mehr als 80% der Smartphones mit biometrischen Sensoren ausgestattet sein.

Ein wichtiger Vorteil der Biometrie ist die Geschwindigkeit. Die durchschnittliche Authentifizierungszeit für einen Fingerabdruck beträgt 0,2 Sekunden, für das Gesicht 0,4 Sekunden. Im Vergleich dazu dauert die Eingabe eines sechsstelligen PIN-Codes durchschnittlich 2,5 Sekunden. Bei Dutzenden von Entsperrungen pro Tag führt dies zu einer erheblichen Zeitersparnis und reduziert die kognitive Belastung des Benutzers.

Biometrische Sensoren werden nach Sicherheitsstufen gemäß Android CDD und Apple App Review klassifiziert. Klasse 3 (Strong) — die zuverlässigsten Sensoren, die für Zahlungen zertifiziert sind. Klasse 2 (Weak) — normale Kameras für die Gesichtserkennung, nur zum Entsperren des Bildschirms geeignet. Klasse 1 — nur zur Bequemlichkeit, ohne Sicherheitsgarantie.

Hauptarten biometrischer Sensoren

Moderne mobile Geräte verwenden vier Haupttypen biometrischer Sensoren. Jeder hat seine eigenen Genauigkeits-, Geschwindigkeits- und Angriffsresistenzmerkmale. Die Sensorauswahl wird durch Kosten, Formfaktor und Sicherheitsanforderungen des jeweiligen Telefonmodells bestimmt.

Fingerabdruckscanner

Dies ist der häufigste Typ biometrischer Sensoren in Smartphones. Kapazitive Scanner, die von Apple in Touch ID verwendet werden, analysieren die Potentialdifferenz zwischen den Papillarleisten und -tälern des Papillarmusters. Ultraschallscanner (Qualcomm 3D Sonic) dringen durch Verschmutzungen und Schutzglas hindurch und bieten eine Genauigkeit von 98,6%.

Gesichtserkennung

2D-Kameras verwenden normale Fotografie und arbeiten schneller, sind aber weniger sicher. 3D-Systeme (Face ID, Huawei 3D Face Unlock) projizieren 30.000 Infrarotpunkte auf das Gesicht und erstellen eine genaue Tiefenkarte. Die Wahrscheinlichkeit einer versehentlichen Entsperrung durch ein fremdes Gesicht beträgt 1 zu 1.000.000 — 20-mal niedriger als bei Touch ID.

Irisscanner und Spracherkennung

Ein Irisscanner verwendet eine Kamera mit IR-Beleuchtung, um bis zu 200 einzigartige Punkte auf der Iris zu analysieren. Die Technologie wurde in Samsung Galaxy Note 7–9 verwendet, wich aber aufgrund von Benutzerfreundlichkeitsproblemen der 3D-Gesichtserkennung. Sprachbiometrie erstellt einen Stimmabdruck basierend auf über 100 akustischen Parametern: Klangfarbe, Grundfrequenz und Artikulation. Sie wird in Banksystemen zur Telefonverifizierung eingesetzt.

Wie Biometrie in mobilen Geräten funktioniert

Der biometrische Authentifizierungsprozess ist in zwei Phasen unterteilt: Registrierung (Enrollment) und Verifizierung. Während der Registrierung nimmt der Sensor mehrere Aufnahmen der biometrischen Probe auf, der Algorithmus extrahiert charakteristische Merkmale und speichert sie als mathematische Vorlage. Eine Vorlage ist kein Bild, sondern eine Reihe numerischer Vektoren, die nicht in das Originalbild zurückverwandelt werden können.

Bei der Verifizierung wird eine neue Probe mit der gespeicherten Vorlage verglichen, und das System gibt ein Ergebnis aus: Übereinstimmung oder Ablehnung. Moderne Algorithmen auf Basis neuronaler Netze (Neural Engine in Apple A-Chips, NPU in Snapdragon) verarbeiten diesen Vergleich in 100–400 Millisekunden. Laut Apple Security Guide führt die Neural Engine bis zu 1 Billion Operationen pro Sekunde ausschließlich für biometrische Berechnungen durch.

Ein Hauptmerkmal der mobilen Biometrie ist, dass alle Berechnungen auf dem Gerät in einem isolierten Prozessorbereich durchgeführt werden. Für Android ist dies die Trusted Execution Environment (TEE), für iOS — Secure Enclave. Biometrische Daten verlassen niemals den Chip und werden nicht über das Internet übertragen.

Sicherheit biometrischer Daten

Biometrische Sicherheit wird durch Hardware-Isolation und kryptografischen Schutz der Vorlagen gewährleistet. Die Secure Enclave in Apple A7–A18-Prozessoren ist ein separater Coprozessor mit eigener Firmware, der biometrische Daten mit einem für jedes Gerät einzigartigen Schlüssel verschlüsselt. Nur das Betriebssystem hat über einen sicheren Kanal Zugriff auf die Secure Enclave.

Auf Android-Geräten übernimmt die Trusted Execution Environment (TEE) auf Basis von ARM TrustZone die Rolle der Secure Enclave. Die TEE isoliert biometrische Berechnungen vom Hauptbetriebssystem und den Anwendungen. Laut Google Security Blog erfordert Android 12+ die obligatorische Nutzung der TEE für alle biometrischen Operationen der Starke-Stufe.

Biometrische Sensoren sind auch vor Angriffen mit gefälschten Proben geschützt. Fingerabdrucksensoren prüfen auf Blutfluss oder Puls, und Face-Infrarotkameras erkennen die Textur lebender Haut und reagieren nicht auf Fotos, Masken oder Silikonabdrücke. Liveness-Erkennung ist eine obligatorische Komponente der Android Biometric Class 3-Zertifizierung.

Vor- und Nachteile der Biometrie

Die biometrische Authentifizierung ist wesentlich bequemer als Passwörter: Der Benutzer muss sich keine Zeichenkombinationen merken, und der Vorgang dauert nur Bruchteile einer Sekunde. Geschwindigkeit ist der Haupttreiber für die Einführung der Biometrie in mobilen Zahlungssystemen wie Apple Pay und Google Pay.

Der Hauptnachteil der Biometrie ist die Unmöglichkeit, den Identifikator bei Kompromittierung zu ändern. Während ein Passwort geändert werden kann, bleiben ein Fingerabdruck oder Gesichtsmuster für immer bei der Person. Aus diesem Grund werden biometrische Systeme immer durch eine PIN oder ein Passwort als Sicherungsmethode ergänzt.

Zu den weiteren Risiken gehören eine verringerte Genauigkeit bei Veränderungen des Aussehens (Narben, Schwellungen, altersbedingte Veränderungen) und rechtliche Präzedenzfälle für erzwungenes Entsperren. Der Oberste Gerichtshof der USA entschied 2019, dass die Polizei die Entsperrung des Telefons über Face ID oder Touch ID verlangen kann, aber nicht zur Eingabe des Passworts zwingen darf (Fünfter Verfassungszusatz).

Codebeispiel: Verwendung der Biometric API auf Android

Android bietet eine einheitliche BiometricPrompt API für alle biometrischen Sensoren. Nachfolgend ein Beispiel für die Authentifizierung mit der Jetpack Biometric Library. Die Bibliothek erkennt automatisch die verfügbaren Sensoren auf dem Gerät und zeigt den entsprechenden Dialog an.

class BiometricAuthActivity : AppCompatActivity() {

    private lateinit var biometricPrompt: BiometricPrompt

    override fun onCreate(savedInstanceState: Bundle?) {
        super.onCreate(savedInstanceState)
        setContentView(R.layout.activity_auth)

        val executor = ContextCompat.getMainExecutor(this)
        val callback = object : BiometricPrompt.AuthenticationCallback() {
            override fun onAuthenticationSucceeded(
                result: BiometricPrompt.AuthenticationResult
            ) {
                unlockApp()
            }

            override fun onAuthenticationFailed() {
                showError("Biometrie nicht erkannt")
            }
        }

        biometricPrompt = BiometricPrompt(this, executor, callback)

        val promptInfo = BiometricPrompt.PromptInfo.Builder()
            .setTitle("Identität bestätigen")
            .setSubtitle("Fingerabdruck oder Face ID verwenden")
            .setAllowedAuthenticators(
                BiometricManager.Authenticators.BIOMETRIC_STRONG
            )
            .build()

        biometricPrompt.authenticate(promptInfo)
    }
}

Das Beispiel verwendet BIOMETRIC_STRONG — die höchste Sicherheitsstufe nach Android-Klassifizierung. Es unterstützt nur Class 3-Sensoren: integrierte Fingerabdruckscanner und 3D-Gesichtserkennung. Klasse 2 (BIOMETRIC_WEAK) umfasst normale Kameras und ist nicht für Zahlungen zertifiziert.

Zukunft der biometrischen Authentifizierung

Die Biometrie entwickelt sich aktiv weiter: Neue Identifikationsmethoden ersetzen Fingerabdrücke und Gesichtserkennung. Verhaltensbiometrie (Tastendynamik, Gangbildanalyse) analysiert Tippmuster und Gehstil, ohne dass ein spezieller Sensor erforderlich ist. Die Technologie wird bereits in Banksystemen zur Betrugserkennung eingesetzt.

Multimodale Biometrie — eine Kombination mehrerer Methoden in einem System — wird zum Standard für High-End-Smartphones. Beispielsweise kombiniert das Samsung Galaxy S25 einen Ultraschall-Fingerabdruckscanner und 3D-Gesichtserkennung und wählt die beste Methode je nach Lichtverhältnissen und Handzustand. Laut Goode Intelligence wird der Markt für multimodale Biometrie bis 2029 auf 12 Milliarden US-Dollar wachsen.