PIN oder Fingerabdruck: Warum manche Apps ohne Displaysperre den Dienst verweigern

Displaysperren zählen bei modernen Smartphones zu den Standardoptionen innerhalb der Sicherheitseinstellungen. Doch nicht jeder möchte oder sieht den persönlichen Bedarf, sich eine solche Sperre einzurichten. Zum Problem kann dies werden, wenn einzelne Apps darauf bestehen, dass das Smartphone, auf dem sie laufen sollen, mit einer Displaysperre geschützt wird.

Nicht jeder möchte sein Display sperren

Für viele Smartphone-User sind Bildschirmsperren selbstverständlich. Sie sollen vor unbefugtem Zugriff auf das Gerät schützen, was vor allem dann relevant wird, wenn man sein Smartphone verloren hat. Nicht wenige Menschen empfinden das eigene Smartphone als einen höchst persönlichen Gegenstand, der am Ende sehr viel über uns als Nutzer verraten kann.

Persönliche Bilder und Notizen, unser App-Portfolio und natürlich der Zugang zu Social-Media-Plattformen oder Online-Banking sind selbstverständlich allesamt schützenswert vor dem Blick Dritter. Und dennoch gibt es Menschen, für die Bildschirmsperren im Alltag eher hinderlich sind.

Wer alleine lebt oder kein Problem damit hat, dass Partner oder Familienmitglieder das eigene Smartphone nutzen, benötigt womöglich keine Sperre. Vor allem dann, wenn man die Chancen auf einen Smartphone-Verlust darüber hinaus als gering empfindet.

Es gibt auch Situationen im Alltag, wo man die Hände eigentlich gerade nicht frei hat und ein schnelles Wischen schlicht praktischer ist als die Eingabe eines Passworts oder ein passgenauer Fingerabdruck.

Apps mit sensiblen Daten verlangen die Sperre

Datenschutz betrifft uns alle. Wie groß der tatsächliche Bedarf nach optimalen Datenschutz ist, ist dennoch eine individuelle Frage. Wer sein Smartphone nur zum Telefonieren und ein paar Nachrichten-Apps oder Spiele  nutzt, muss sich womöglich eher weniger Sorgen machen. 

Wer hingegen regelmäßig Gelder über das eigene Smartphone verwaltet, hat einen ganz anderen Bedarf. Apps für Banking, Trading oder Glücksspiele sind daher teilweise besonders streng mit ihren Usern. Passende Anbieter für Casinospiele lassen sich zum Beispiel bei casino-groups.com finden.

Apps aus den genannten Sparten sind standardmäßig mindestens passwortgeschützt. Es gibt aber auch Banken und Broker, denen das nicht genügt. Stattdessen bestehen sie darauf, dass der Kunde eine biometrische Sicherung nutzt. Die Apps lassen sich sonst nicht öffnen oder nur eingeschränkt nutzen.

Das heißt, dass der Nutzer zwangsläufig seinen Fingerabdruck oder einen Gesichtsscan auf dem Gerät speichern muss. Nur mit Fingerabdruck oder Gesichtsscan lassen sich die Apps dann normal öffnen und nutzen.

Auch innerhalb der geöffneten App kann es dann vorkommen, dass man erneut seinen Fingerabdruck hinterlassen muss, um beispielsweise eine Transaktion zu bestätigen oder Informationen einer digitalen Bankkarte ablesen zu können.

Wie schützt das Smartphone unsere biometrischen Daten?

Wer seinen Fingerabdruck oder das eigene Gesicht zur Entsperrung des Smartphones nutzt, stellt dem Gerät besonders sensible Daten zur Verfügung. Schließlich lässt sich ein Passwort im Ernstfall ändern, der eigene Fingerabdruck hingegen nicht. Entsprechend wichtig ist es, dass diese Informationen besonders geschützt werden.

Moderne Smartphones speichern biometrische Daten daher in einem speziell abgesicherten Bereich des Geräts. Dabei wird in der Regel auch nicht einfach ein Foto des Fingerabdrucks oder des Gesichts abgelegt. Stattdessen erstellt das System aus den erfassten Merkmalen mathematische Daten, mit denen spätere Scans verglichen werden können.

Auch die einzelnen Apps erhalten normalerweise keinen direkten Zugriff auf den gespeicherten Fingerabdruck oder die Gesichtsdaten. Möchte beispielsweise eine Banking- oder Trading-App den Fingerabdruck zur Anmeldung verwenden, übernimmt das Betriebssystem die eigentliche Überprüfung.

Die App erfährt anschließend lediglich, ob die Identität erfolgreich bestätigt werden konnte oder nicht. Die biometrischen Daten bleiben also vom restlichen System sicher abgeschirmt. Bei Apple übernimmt diese Aufgabe beispielsweise die sogenannte Secure Enclave. 

Android-Geräte verfügen je nach Hersteller und Hardware über vergleichbare Sicherheitsmechanismen. Eine App, die den Fingerabdruck zur Anmeldung verlangt, bekommt den Fingerabdruck selbst also gar nicht zu Gesicht.

Passwort oder Biometrie – Was ist wirklich sicherer?

Ein wirklich gutes Passwort kann ausgesprochen sicher sein. Das Problem ist nur, dass längst nicht jeder Nutzer Lust darauf hat, bei jedem Öffnen einer App 15 oder 20 Zeichen einzugeben. Je häufiger ein Passwort im Alltag benötigt wird, desto größer ist die Versuchung, sich für eine kurze und leicht zu merkende Variante zu entscheiden.

Fingerabdruck und Gesichtserkennung lösen quasi dieses Problem. Ein kurzer Blick auf das Smartphone oder das Auflegen eines Fingers dauert kaum länger als eine Sekunde. Trotzdem bekommt die App eine zusätzliche Bestätigung, dass tatsächlich die Person vor dem Smartphone sitzt, die Zugriff darauf haben sollte.

Biometrische Daten haben allerdings eine ziemlich ungewöhnliche Schwachstelle. Sie sind letzten Endes nicht wirklich geheim. Unser Gesicht zeigen wir jeden Tag der Öffentlichkeit und hinterlassen es auf Fotos und Videos. Fingerabdrücke verteilen wir unterdessen auf Gläsern, Türklinken und praktisch jedem glatten Gegenstand, den wir anfassen.

Theoretisch können solche Spuren sogar genutzt werden, um biometrische Merkmale nachzubilden. Sicherheitsforscher haben bereits mehrfach gezeigt, dass sich Fingerabdrucksensoren mit künstlich hergestellten Fingerabdrücken täuschen lassen.

Auch Gesichtserkennungssysteme können je nach verwendeter Technik mit Fotos, Masken oder anderen Nachbildungen angegriffen werden. Ganz so einfach wie in einem Spionagefilm ist der Angriff auf ein modernes Smartphone allerdings nicht.

Gute biometrische Systeme prüfen zusätzliche Merkmale und sollen erkennen, ob tatsächlich ein echter Finger oder ein dreidimensionales Gesicht vor dem Sensor auftaucht. Ein Foto vom letzten Instagram-Post vor die Frontkamera zu halten, genügt bei entsprechend ausgestatteten Systemen daher nicht.

Ein gestohlenes Passwort lässt sich natürlich jederzeit ändern. Bei biometrischen Daten sieht die Sache anders aus. Wurde ein Fingerabdruck erfolgreich kopiert, können wir schließlich schlecht einen neuen Finger beantragen.

Deshalb werden biometrische Verfahren auf Smartphones auch meistens mit einer klassischen PIN oder einem Passwort kombiniert. Je nach Smartphone muss man PIN/Passwort dann regelmäßig alternativ zum biometrischen Scan eingeben. Das soll vor auch dazu dienen, dieses nicht zu vergessen.

Passphrases als weitere Alternative

Smartphones bieten immer häufiger noch eine weitere Möglichkeit zur Absicherung an: die sogenannte Passphrase. Statt einer kurzen PIN oder eines klassischen Passworts besteht sie meist aus mehreren Wörtern. ntuitiv wirkt das zunächst nicht unbedingt sicherer.

Eine Passphrase wie „Lampe Kaktus Wolke Kartoffel Gymnastik“ sieht schließlich wesentlich weniger kompliziert aus als ein Passwort wie „x7b$K!83pQ“. Für die Sicherheit ist aber nicht nur entscheidend, wie kompliziert eine Kombination für das menschliche Auge aussieht. Viel wichtiger ist nämlich, wie viele mögliche Kombinationen ein Angreifer ausprobieren müsste.

Die Wörter selbst behandelt das System letztlich schlicht als neutrale Zeichenfolge, aus der mithilfe kryptografischer Berechnungen ein Schlüsselwert abgeleitet werden kann. Je mehr Zeichen verwendet werden, desto exponentiell höher werden die möglichen Eingaben. 

Werden fünf Wörter zufällig aus einem Wortschatz von 2.000 Begriffen gewählt, existieren bereits 2.000 hoch 5 mögliche Kombinationen. Genau so funktionieren übrigens auch Krypto-Wallets, wo zufällig 12 oder 24 Wörter gewählt werden, die wie eine Art Schlüssel zum eigenen Wallet  funktionieren. Voraussetzung ist allerdings immer, dass die Wörter tatsächlich zufällig gewählt werden.