Touch ID: Was es ist, wie der Fingerabdruck funktioniert

Was ist Touch ID?

Touch ID ist ein biometrischer Fingerabdrucksensor von Apple zur Benutzerauthentifizierung auf iPhone-, iPad- und Mac-Geräten. Die Technologie basiert auf kapazitivem Scannen: Eine dünne Schicht Saphirglas auf dem Sensor schützt eine 500-Punkt-Kapazitivmatrix, die feinste Details des Papillarmusters — Minuzien, Poren und Linienrichtung — ausliest.

Im Gegensatz zu den damals bei Android-Geräten üblichen optischen Scannern bietet die kapazitive Methode von Touch ID eine höhere Genauigkeit durch direkten Fingerkontakt mit dem Sensor. Ein Keramikring (Detection Ring) um den Home-Button erkennt die Fingerberührung und aktiviert die Matrix nur bei lebendem Kontakt, wodurch Fehlauslösungen durch versehentliche Berührungen von Metallgegenständen verhindert werden.

Die erste Generation von Touch ID (iPhone 5S, iPad Air 2) hatte eine Dicke von 170 Mikrometern und eine Sensorauflösung von 500 PPI. Die zweite Generation (iPhone 6S, iPhone SE 1. Generation) aktualisierte den Sensor auf eine 170-Mikrometer-Matrix mit verbesserter Erkennung nasser Finger. Die dritte Generation wird in MacBook Air und MacBook Pro mit der Touch ID-Taste auf der Tastatur verwendet — der Sensor ist direkt mit dem Apple T2-Chip oder dem Silicon Secure Enclave verbunden.

Wie funktioniert Touch ID?

Der Authentifizierungsprozess über Touch ID besteht aus zwei Phasen: Registrierung (Enrollment) und Verifizierung (Verification). Beide Phasen werden innerhalb der Secure Enclave ausgeführt — einem isolierten Sicherheitscoprozessor, auf den iOS selbst mit Root-Rechten nicht zugreifen kann.

Fingerabdruckregistrierung (Enrollment)

Der Benutzer legt den Finger mehrmals in verschiedenen Winkeln auf den Home-Button. Die kapazitive Matrix scannt einen Fingerabdruckbereich von 8×8 mm mit 500 PPI Auflösung. Das System sammelt bis zu 12 verschiedene Fragmente desselben Fingerabdrucks in verschiedenen Neigungswinkeln — dies ist notwendig, um den Finger bei einer Drehung um 360 Grad zu erkennen. Jedes Fragment wird in eine mathematische Vorlage umgewandelt, und alle werden zu einer Referenz-Fingerabdruckvorlage zusammengeführt.

Verifizierung (Verification)

Wenn der Finger den Sensor berührt, sendet der Detection Ring ein Signal an die Secure Enclave und startet den Scan. Die Matrix erfasst den aktuellen Fingerabdruck in 200–300 ms, extrahiert Minuzien (Endungen und Verzweigungen der Papillarlinien) und vergleicht sie mit den gespeicherten Vorlagen. Die Secure Enclave führt den Vergleich über 50–100 Punkte durch und berechnet eine Ähnlichkeitsmetrik. Wenn die Übereinstimmung den Schwellenwert überschreitet, gilt die Authentifizierung als erfolgreich.

Fehlgeschlagene Versuche und Sperrung

Nach 3 fehlgeschlagenen Versuchen wird Touch ID für 10 Sekunden gesperrt. Nach 5 fehlgeschlagenen Versuchen wird das Gerätepasswort angefordert und Touch ID deaktiviert, bis das Passwort erfolgreich eingegeben wurde. Nach einem Neustart des Geräts oder 48 Stunden nach der letzten Entsperrung benötigt Touch ID ebenfalls das Passwort — dies ist eine Hardware-Anforderung der Secure Enclave, die nicht programmgesteuert umgangen werden kann.

Touch ID Hardware-Architektur

Der Touch ID-Sensor ist eine mehrschichtige Struktur, bei der jede Schicht ihre Funktion erfüllt: von mechanischem Schutz bis zur Berührungserkennung und Fingerabdruckerfassung. Alle Sensordaten werden über einen verschlüsselten Kanal direkt an die Secure Enclave übertragen.

Die wichtigste architektonische Entscheidung ist kein OS-Zugriff auf Rohdaten. iOS kann weder das Fingerabdruckbild noch die Vorlage selbst sehen. Die Secure Enclave gibt nur ein binäres Ergebnis zurück: „Erfolg“ oder „Fehlschlag.“ Dies schließt die Möglichkeit eines programmgesteuerten Abfangens biometrischer Daten auf Anwendungs- oder Betriebssystemebene aus.

Vergleich zwischen Touch ID und Face ID

Touch ID und Face ID sind zwei aufeinanderfolgende biometrische Technologien von Apple. Trotz des gemeinsamen Ziels (Benutzerauthentifizierung) unterscheiden sie sich in Architektur, Nutzungsszenarien und Sicherheitsmerkmalen. Dieser Vergleich hilft dem Entwickler zu verstehen, welche Einschränkungen bei der Gestaltung der Authentifizierung in einer Anwendung zu berücksichtigen sind.

• FAR — Touch ID: 0,001% (1 von 50.000), Face ID: 0,0001% (1 von 1.000.000). Face ID ist dank 3D-Scanning 10-mal genauer
• Geschwindigkeit — Touch ID arbeitet in 200–300 ms (einfache Berührung), Face ID in 600–1000 ms (Scan + Blickprüfung). Touch ID ist schneller für einfaches Entsperren
• Feuchtigkeitsbeständigkeit — Touch ID funktioniert nicht mit nassen oder fettigen Fingern; Face ID ist unempfindlich gegen Feuchtigkeit im Gesicht, macht aber Fehler bei verschmutzter IR-Kamera
• Mehrere Szenarien — Touch ID kann bis zu 5 Fingerabdrücke für verschiedene Finger oder verschiedene Benutzer speichern. Face ID unterstützt nur ein Gesicht plus ein alternatives Aussehen
• Formfaktor — Touch ID benötigt eine physische Taste oder einen dedizierten Bereich am Gehäuse; Face ID benötigt eine Notch oder Dynamic Island auf dem Display

In der iOS-Entwicklung sind beide APIs über das einheitliche Framework LocalAuthentication verfügbar. Der Aufruf canEvaluatePolicy(.deviceOwnerAuthenticationWithBiometrics) gibt die Verfügbarkeit der Biometrie unabhängig von ihrem Typ zurück. Das bedeutet, dass eine Anwendung mit biometrischer Authentifizierung auf allen Apple-Geräten korrekt funktioniert.

Touch ID Sicherheit und Secure Enclave

Die Sicherheitsarchitektur von Touch ID basiert auf drei Prinzipien: Hardware-Isolation, kryptografische Bindung an das Gerät und keine Speicherung des Originalbilds. Diese Prinzipien werden durch die Secure Enclave umgesetzt — einen Coprozessor, der mit eigener SEPOS-Firmware arbeitet.

Die Secure Enclave generiert während der Fertigung eine eindeutige Geräte-ID (UID), die in den Chip eingebrannt und selbst über JTAG oder Prüfstationen nicht auslesbar ist. Die Fingerabdruckvorlage wird mit einem von der UID abgeleiteten Schlüssel verschlüsselt und in verschlüsseltem Flash-Speicher innerhalb der Secure Enclave gespeichert. Bei jedem Gerätestart überprüft SEPOS die Firmware-Integrität über einen Hardware-Verifizierer — wenn die Firmware modifiziert wurde, sperrt sich die Secure Enclave dauerhaft.

Touch ID erfüllt die FIDO2-Anforderungen für biometrische Verifizierung und wird zur Zahlungsautorisierung in Apple Pay verwendet. Der PCI DSS (Payment Card Industry Data Security Standard) erkennt Touch ID als gültigen Authentifizierungsfaktor für mobile Zahlungen an, wenn es in Kombination mit der Geräte-PIN für ein Multi-Faktor-Schema verwendet wird. Bei Kompromittierung des Geräts kann ein Angreifer die Fingerabdruckvorlage nicht aus der Secure Enclave extrahieren — die Daten werden bei jedem unbefugten Zugriffsversuch über den Systemmodus zerstört.

Implementierung von Touch ID über LocalAuthentication

In der iOS-Entwicklung erfolgt die Touch ID-Integration über das LocalAuthentication-Framework — dieselbe API, die für Face ID verwendet wird. Der Code ist universell für beide biometrischen Typen und erfordert keine Angabe eines bestimmten Sensors. Das System ermittelt automatisch die verfügbare biometrische Methode auf dem Gerät des Benutzers.

import LocalAuthentication

func authenticateWithTouchID() {
    let context = LAContext()
    context.localizedReason = "Identität bestätigen, um auf Daten zuzugreifen"

    var error: NSError?
    guard context.canEvaluatePolicy(
        .deviceOwnerAuthenticationWithBiometrics,
        error: &error
    ) else {
        // Touch ID nicht verfügbar — Passworteingabebildschirm anzeigen
        showPasscodeScreen()
        return
    }

    context.evaluatePolicy(
        .deviceOwnerAuthenticationWithBiometrics,
        localizedReason: "Berühren Sie den Touch ID-Sensor mit Ihrem Finger"
    ) { success, authError in
        DispatchQueue.main.async {
            if success {
                // Touch ID bestätigt
                self.unlockContent()
            } else {
                // Authentifizierungsfehler
                handleError(authError)
            }
        }
    }
}

Dieser Code zeigt eine Standardimplementierung der Authentifizierung über Touch ID. Die Methode canEvaluatePolicy prüft das Vorhandensein registrierter Fingerabdrücke in der Secure Enclave und die Verfügbarkeit des Sensors auf dem Gerät. Wenn das Gerät Face ID anstelle von Touch ID hat, funktioniert derselbe Code ohne Änderungen — LAContext wählt automatisch den verfügbaren Sensor aus. Nach drei fehlgeschlagenen Versuchen wird die Hardwaresperre aktiviert, und der Benutzer muss das Gerätepasswort eingeben.

Für die kryptografische Bindung der biometrischen Authentifizierung an bestimmte Vorgänge (z. B. Signieren von Zahlungen in Apple Pay) wird die Methode evaluateAccessControl mit dem Parameter SecAccessControl verwendet. Dieser Ansatz verknüpft das Touch ID-Ergebnis mit einem Schlüssel in der Keychain: Erfolgreiche Authentifizierung entsperrt den Zugriff auf einen geheimen Schlüssel zur Durchführung einer kryptografischen Operation. Ohne erfolgreichen Fingerabdruckscan bleibt der Schlüssel in der Secure Enclave gesperrt, was die Möglichkeit einer programmgesteuerten Umgehung der biometrischen Überprüfung ausschließt.

Touch ID Nutzungsszenarien

Touch ID wird in mehreren wichtigen Szenarien sowohl auf iOS-Systemebene als auch in Drittanbieter-Apps verwendet. Jedes Szenario verwendet die einheitliche LocalAuthentication-API, stellt jedoch unterschiedliche Anforderungen an die Sicherheitsrichtlinie — von einfachem Entsperren bis hin zur kryptografisch signierten Transaktionsautorisierung.

Zu den wichtigsten Szenarien gehören das Entsperren des Geräts, die Autorisierung von Käufen im App Store und iTunes, die Zahlungsbestätigung über Apple Pay, das automatische Ausfüllen von Passwörtern aus der iCloud Keychain und die Authentifizierung in Drittanbieter-Apps über LocalAuthentication. In jedem Szenario ersetzt Touch ID die Passworteingabe: Der Benutzer berührt den Sensor, die Secure Enclave bestätigt die Identität, und die Aktion wird ohne Eingabe von Anmeldedaten ausgeführt.

In iOS 14+ wurde die zusätzliche ASAuthorizationAppleIDRequest-API eingeführt, die Touch ID mit der Apple ID für passwortloses Login auf Websites über Safari integriert. Der Benutzer berührt Touch ID, und der Browser erhält ein kryptografisch signiertes Token von der Secure Enclave, das der Server ohne Speicherung eines Passworts verifizieren kann. Dieser Mechanismus ist die Grundlage des Apple Passkeys-Ökosystems.