Identitätskontrolle online

Die technische Entwicklung macht es zunehmend schwieriger, die Identität von Personen zu überprüfen – vor allem, wenn die Identitätsfeststellung online erfolgen soll und die klassischen Prüfmethoden nicht verfügbar sind.

Spyware fängt Benutzernamen und Passwörter ab, „Skimmer“ können Geld- und Kreditkarten auslesen, obwohl die darauf gespeicherten Daten eigentlich geschützt sein sollten, und natürlich gibt es auch im Internet viele Betrüger.

Eine zuverlässige Online-Identitätsprüfung wird immer wichtiger. Sicherheitsexperten sind bestrebt, den Betrügern stets einen Schritt voraus zu sein und sie von kritischen Daten fernzuhalten. Das gilt für die reale Welt genauso wie für elektronische Netzwerke.

Dan Bogdanov leitet ein Forschungsprojekt für die estnische Technologiefirma Cybernetica, einem Partnerunternehmen von „VirtualLife“, dem von der Europäischen Kommission geförderten Forschungsrahmenprogramm, das eine sichere Plattform für virtuelle Welten schaffen soll. Cybernetica hat bereits das elektronische Wahlsystem für Estland und eine Reihe von e-Government-Lösungen entwickelt.

Bogdanov zählt auf, welche zentralen Fragen im Rahmen der elektronischen Identifizierung für Cybernetica beantwortet werden mussten: Woher stammen die Informationen? Ist eine Informationsverifizierung in der „echten Welt“ erfolgt? Gibt die Person, mit der ich kommuniziere, wirklich ihre richtige Identität an?

Eine gute Methode für die Identitätsprüfung sei, so Bogdanov, die Peer-to-Peer-Kommunikation: „Wenn zwei Benutzer miteinander kommunizieren wollen, stellen sie eine direkte Netzwerkverbindung her, vereinbaren einen sicheren Kanal und identifizieren sich mittels normaler Public-Key-Verfahren. Das ist eine der besten Lösungen, die es gibt.“

Bei der Online-Identifizierung sind die gleichen Probleme zu lösen wie in der realen Welt. Irvine, ein Unternehmen der kalifornischen HID Global Gruppe, hat ein Verfahren entwickelt, das eine sichere Identitätsbildung und -kontrolle auch dann möglich macht, wenn die Daten über unsichere Netzwerke übertragen werden.

Die Sicherheit, die diese Trusted Identity Platform (TIP) gewährleistet, ist ähnlich hoch wie in den abgeschotteten Sicherheitsanlagen von Gebäuden. Eine sichere Datenübertragung in unsicheren Netzwerken wird umso wichtiger, je mehr sich diese Netzwerke ausbreiten.

Zugangskontrollanlagen wurden bislang meist von den Verantwortlichen für die Gebäudesicherheit verwaltet und gewartet, erklärt Daniel Bailin, Programm-Managementleiter für strategische Innovationen bei HID Global: „Heute haben wir andere Anforderungen. Benutzerrechte sollen auch via Telefon übertragbar sein und es sollte möglich sein, Kartenleser an Notebooks anzuschließen. Die alten Verfahren sind dazu nicht geeignet.“ Mit TIP wird die Vergabe von Benutzerberechtigungen auch ohne komplizierte Voreinstellungen möglich.

TIP basiert auf drei Säulen: einem IT- Sicherheitskonzept, einer Schlüssel-Richtlinie und einem Kommunikationsprotokoll für öffentliche Netzwerke. „Diese Säulen sorgen dafür, dass wir Ausweise und Lesegeräte auch außerhalb geschützter Gebäude nutzen können, selbst wenn die Übertragungsmedien nicht sicher sind“, erklärt Bailin.

Mit TIP können Unternehmen sichere Kommunikationsverbindungen herstellen, etwa zu NFC-fähigen Mobiltelefonen, auf denen entsprechende Zugangsberechtigungssoftware installiert ist. Der Handy-Nutzer braucht dann keine Smartcard für die Identifizierung mehr.

„Das ist ein großer Wettbewerbsvorteil von TIP“, erklärt Bailin. „Das System funktioniert. Und zwar nicht nur mit unserer eigenen Technik – wie früher üblich – sondern auch mit der Technik aller anderen Anbieter. Die Sicherheit ist sogar bei Endgeräten mit Open-Source-Software gewährleistet, die nicht über spezielle Sicherheitsfunktionen verfügen.“

Doch auch bei Verwendung von Open Source können teure Lesegeräte erforderlich werden. Dadurch ist das System für Universitäten und andere große Institutionen mit vielen Benutzern ungeeignet.

Universitäten sind deshalb auf der Suche nach anderen Lösungen, mit denen sich Benutzer online identifizieren können. Diese Entwicklung wird zunehmend wichtiger, denn es gibt immer mehr Situationen, in denen sich Benutzer online identifizieren müssen – online durchgeführte Prüfungen sind ein typisches Beispiel für Unis.
Die US-Gesetzgebung hat diese Entwicklung ausdrücklich bei der aktuellen Fassung des Higher Education Opportunity Act berücksichtigt. Das Gesetz schreibt vor, dass Universitäten sichere Identifizierungsverfahren entwickeln und die Identität von Online-Studenten und Online-Prüfungsteilnehmern kontrollieren.

Für diese Fernkontrolle müssen die Unis eine Lösung finden, die mehr Sicherheit bietet als die übliche Benutzername-Passwort-Kombination, aber gleichzeitig mit möglichst geringen Zusatzkosten für den Endanwender verbunden ist.

Eine solche Lösung kann eine reine Softwarelösung sein, etwa ein Programm zur biometrischen Auswertung von Tastenanschlägen. Werden parallel dazu auch die Mausklicks erfasst, kann die Software analysieren, wie lange der Benutzer bestimmte Tasten drückt, wie lange ein Finger braucht, um bestimmte Schlüsselkombinationen einzutippen, welche Mauswege für den Benutzer typisch sind und welche weiteren individuellen Merkmale der Benutzer hat. Auf diese Weise ist eine Identifizierung möglich.

An der Universität Maryland wurde so ein System kürzlich von 27 Studenten und drei Lehrkräften in einem einmonatigen Pilotprogramm getestet. Die Teilnehmer, deren biometrische Daten vorher ermittelt wurden, fanden die Sicherheitsmaßnahmen in der Regel effektiv und auch relativ komfortabel.

Andere Universitäten prüfen ähnliche Verfahren, um ihrem gesetzlichen Auftrag zur Identitätsfeststellung gerecht zu werden. Gern werden dabei Webcams genutzt, die heute schon bei vielen Notebooks dazugehören. Die kleinen Kameras fotografieren die Benutzer und schicken die Fotos an die interne Gesichtserkennungssoftware. Andere Unis wollen von ihren Studenten verlangen, sich einfache USB-Fingerscanner zu kaufen. Bei Prüfungen sollen sie dann in regelmäßigen Abständen einen Finger auf den Scanner legen, um sich zu identifizieren.

Zu den größten Problemen bei der biometrischen Erkennung zählen die sogenannten „false negatives“: Das System kann eine Person nicht identifizieren, obwohl es sich um einen rechtmäßigen Benutzer handelt. Das ist vor allem in Prüfungssituationen ausgesprochen frustrierend. Bei einigen Systemen, die ähnlich wie das Pilotprogram in Maryland funktionieren, wurden False-Negative-Raten von bis zu 4 Prozent gemessen. Solche Fehlerraten liegen erheblich über denen, die bei der Übertragung normaler Benutzerberechtigungen mittels TIP auftreten.

Die zuverlässige Identifizierung durch eine Kombination mehrerer Parameter und Einstellungen wird, das glaubt Bogdanov, künftig immer wichtiger werden. „Vielleicht machen wir ja Fortschritte bei der Sprach- und Bildsynthese und die Computer fordern die Benutzer dann einfach auf, bestimmte Sätze zu sagen? Bis dahin bleibt für Identitätsforscher noch viel zu tun“, sagt Bogdanov.