Biometrische Verfahren, wie z. B. die Gesichts- oder Fingerabdruckerkennung, ermöglichen eine schnelle Anwender-Authentifizierung für den Zugriff auf sensible Dienste und Daten.

Insbesondere auf Smartphones ist Biometrie eine beliebte Authentifizierungsmethode, um Zugriff auf das Gerät selbst, aber auch auf Applikationen zu erlangen.

Mit dem Einsatz der biometrischen Authentifizierung in den zahlreichen Anwendungsgebieten: u. a. Gesundheits-, Bezahl- und Identifikationsapplikationen, wachsen die Anforderungen hinsichtlich der Sicherheit und der Zuverlässigkeit immer weiter.

Im Vergleich zu PINs / Passwörtern oder physischen Sicherheitstoken ist die biometrische Authentifizierung schnell und sehr benutzerfreundlich. Biometrische Merkmale können nicht vergessen oder verloren werden. Sie können andererseits aber auch nicht einfach erneuert oder geändert werden - wir haben nur ein Gesicht und einen rechten Zeigefinger. Daher ist es besonders wichtig genau zu wissen, wie zuverlässig und auch wie überwindungssicher biometrische Systeme wirklich sind.

Um auf diese Frage verlässliche und umfassende Antworten zu finden, hat das BSI die Technische Richtlinie BSI TR-03166 zur Zertifizierung der biometrischen Performanz und der Fälschungsresistenz von biometrischen Geräten entwickelt.

Die BSI TR-03166 „Technical Guideline for Biometric Authentication Components in Devices for Authentication“ definiert Anforderungen an biometrische Systeme für drei aufsteigende Sicherheitsstufen, sogenannte biometrische Vertrauensniveaus: normal, substantiell und hoch, angelehnt an die Sicherheitsstufen der eIDAS. 

Besondere Merkmale der BSI TR sind unter anderem:

• Beachtung und Inkludierung bestehender Standards
• Prüfmethodologien in Anlehnung an Common Criteria und ISO- / CEN-Standards
• Anleitung zur Ermittlung des Angriffspotenzials
• Berücksichtigung der Kombination biometrischer Merkmale:
  • Multi-Modalität (z. B. Gesicht, Finger)
  • Multi-Instanz (z. B. unterschiedliche Finger)
• Nutzung von organisatorischen Maßnahmen zur Erschwerung von Brutforce-Angriffen
• Betrachtung von Präsentationsangriffen, nach dem Stand der Technik

Ergänzend zur Technischen Richtlinie stellt das BSI eine "Evaluation Guidance" bereit, in welcher weitere Details zu den Tests, den Metriken sowie bewährte Praktiken zur Evaluation biometrischer Systeme zusammengefasst werden.

Alle Dokumente sind ausschließlich in englischer Sprache verfügbar.

Kommentare und Fragen zur Technischen Richtlinie können an biometrie@bsi.bund.de übermittelt werden.