Patrick Hennig, Christian Kregelin, neXenio

Ist sichere Authentifizierung möglich? Diese Frage ist so alt wie die Zivilisation und ist seit dem Internet wichtiger und ungelöster denn je. Unter dem Aspekt Quantified Everything wird hier vorgestellt, wie der persönliche Gang oder Schritt in Daten erfasst und zur Authentisierung genutzt werden kann. Das eigene Bewegungsprofil kann eine sichere Alternative zu Passwörtern bieten.

Täglich fallen über eine Million Online-Accounts Sicherheitslücken, gezielten Angriffen oder Unvorsichtigkeit zum Opfer (1). Die Zahl ist erschreckend, wenn auch wenig verwunderlich. Schließlich dürfte die Problematik jedem Internetnutzer grundsätzlich bekannt sein. Ob durch Beobachtung der eigenen Verhaltensweisen oder durch einen Blick auf die Dimensionen, in denen wir uns bewegen, wenn wir über schützenswerte Daten im Netz sprechen, wird deutlich: Eine sichere Alternative zum Passwort ist gefragt.

Schätzungen zur durchschnittlichen Accountanzahl einzelner Personen in Deutschland liegen bei mindestens zehn Online-Zugängen mit Login und reichen bis in die 100. Hinterlegt sind wenigstens eine E-Mail-Adresse und ein Passwort, zusätzlich Namen, Anschriften, Telefonnummern und auch Geburts- und Kontodaten. Zehn verschiedene Passwörter merken sich die wenigsten, die sichere Speicherung von 100 Passwörtern dürfte dagegen kaum möglich sein. Die logische Konsequenz sind Mehrfachverwendung oder nur kleine Modifikationen der eigenen Passwörter. Und das, obwohl die Problematik seit Jahren bekannt ist. Bereits im Jahr 2013 wurde der „World Password Day“ ins Leben gerufen – ein Tag, der Aufmerksamkeit auf das Ausmaß der Cyberkriminalität lenken soll und Internetnutzer hin zu einem vorsichtigen Umgang mit ihren Daten sensibilisieren will. Im Jahr 2014 rief Professor Christoph Meinel vom Hasso-Plattner-Institut den HPI Identity Leak Checker ins Leben. Das Tool bietet die Möglichkeit der Überprüfung, ob die eigenen E-Mailadressen sich in betroffenen Datensätzen wiederfinden lassen. Das Team hat in den letzten Jahren viele Millionen Datensätze aufgespürt und analysiert, und das Ergebnis lautet: 1.227.770 geleakte Accounts pro Tag.

Im Vergleich zu anderen biometrischen Verfahren weist der eigene Gang einige einzigartige Merkmale auf. Das attraktivste Merkmal des Ganges ist seine Unauffälligkeit, das heißt, die Tatsache, dass er im Gegensatz zu anderen biometrischen Merkmalen auf Distanz und ohne vorherige Zustimmung des beobachteten Subjekts erfasst werden kann. Die meisten anderen biometrischen Merkmale wie Fingerabdrücke, Gesicht, Handgeometrie, Iris oder Unterschrift können nur durch physischen Kontakt oder in geringem Abstand des Aufnahmegeräts erfasst werden. Außerdem ist es schwer, das Gangbild zu verstecken, zu stehlen oder zu fälschen. Das Beste am Gehen ist aber wahrscheinlich, dass wir es ständig unterbewusst tun. Der Mensch verfügt über eine Vielzahl an biometrischen Merkmalen wie in Abbildung 1 zu sehen ist. Für die Wahl, welches dieser Merkmale zur Authentisierung herangezogen werden soll, spielen drei Punkte eine wesentliche Rolle: Vertrauen, Nutzerfreundlichkeit und Gesamtkosten. Für uns war es wichtig, eine Lösung zu finden, die diese drei Punkte bestmöglich abdecken kann. Dafür ist der menschliche Gang bestens geeignet ist.

Der Gang besteht im Grunde genommen aus Zyklen, die sich ständig wiederholen. Wie Abbildung 1 zeigt, lässt sich der Gangzyklus in zwei Phasen unterteilen, die Standphase und Schwungphase. Punkte, die eine Rolle spielen, sind zum Beispiel das Gangtempo, Beschleunigung, die Schrittlänge und der Fußwinkel. Dieser besteht aus der Schwung- und der Standphase. Aus den einzelnen Zyklen und dem Zusammenspiel von diesen Gangabschnitten lassen sich Muster erkennen, die für jeden Menschen individuell sind. Einflussfaktoren auf den Gang sind unter anderem das Geschlecht, Alter und das Gewicht. Aber auch Schäden an Muskulatur und Skelett oder auch temporäre Zustände, wie Alkoholkonsum, spielen eine Rolle. Wie werden die Daten erhoben?

Smart Devices, z.B. ein Smartphone oder eine Smartwatch, verfügen über Sensoren, wie Gyroskop, Beschleunigungssensor, Umgebungslichtsensor und andere. Diese zeichnen den Gang des Nutzers auf und können anhand eines Datenmodells ein spezifisches Userprofil erstellen. Wenn der Nutzer nun geht, trainiert er automatisch dieses Modell. Anstatt binär über Authentisierungserfolg oder -misserfolg zu entscheiden, wird kontinuierlich ein Vertrauenslevel berechnet. Dabei handelt es sich um einen Prozentwert, der angibt, wie zuversichtlich das System ist, dass der aktuelle Benutzer des Smart Devices auch dessen Eigentümer ist. Sobald eine andere Person das Smart Device an sich nimmt, erkennt der Algorithmus die Veränderung der Gangart sofort. Das Vertrauenslevel sinkt und das Datenmodell wird nicht weiter trainiert. Dann hat der Nutzer die Möglichkeit, sich über einen weiteren Faktor, wie z.B. einen Fingerabdruck, zu authentisieren und signalisiert somit dem Gerät, dass der Gang wieder erlernt werden muss.

Analog mit der Entwicklung von neuen Authentisierungsmethoden hat neXenio an einer interaktionslosen und sicheren Zugangskontrollen gearbeitet. Die daraus entstehende SEAMLESSme-Technologie ist eine Erweiterung für existierende Zutrittssysteme und ermöglicht sichere, reibungslose und interaktionslose Zutrittskontrollen. Schlüssel, Schlüsselkarte, Warteschlangen und Sicherheitslücken können mit dieser Technologie überwunden werden.

Um Hochsicherheitsbereiche, zum Beispiel in Gebäuden, Büros, Fabriken und Laboren zusätzlich zu schützen, kann die Ganganalyse als optionales Sicherheitsfeature in SEAM- LESSme integriert werden. So bleibt die Zutrittskontrolle interaktionsfrei, beinhaltet aber dennoch eine Überprüfung der Identität des Smartphonebesitzers.

Wie wichtig kontaktlose und interaktionsfreie Lösungen sind, wurde in den letzten Monaten deutlich. Covid-19 hat die ganze Welt auf den Kopf gestellt. Wirtschaft, Gesundheit- und Bildungssystem müssen sich neu strukturieren. Technologien, die vor dem Covid-19-Ausbruch noch als innovativ und sicher galten, bürgen nun hohe Risiken. Es ist nicht mehr vorstellbar, dass ein Fingerabdruck, ein Pin auf einer Tastatur oder überfüllte Warteschlangen als Zugangskontrollmaßnahmen akzeptabel sind. Die SEAMLESSme-Technologie bietet in Kombination mit der Ganganalyse eine sichere und benutzerfreundliche Möglichkeit, sich Zugang zu Orten zu verschaffen.

Das zentrale Spannungsfeld des nächsten Jahrzehnts wird die Fähigkeit sein, sich frei durchs Leben zu bewegen und sich dennoch sicher zu fühlen. Globalisierung, technischer Fortschritt, neue Grenzen, höhere Sicherheitsanforderungen, die Verschmelzung von analogen und digitalen Identitäten und der Ausbruch von Covid-19 werden einen großen Einfluss auf die allgemeinen Sicherheitsregularien und deren Wichtigkeit haben. Die allgemeinen Sicherheitsanforderungen werden weiter steigen und immer mehr Authentisierungen werden nötig sein. Dabei kann die SEAMLESSme-Technologie und die Ganganalyse als Passwort eine entscheidende Rolle spielen. Trotz erhöhter Sicherheitsmaßnahmen muss der Mensch seine Freiheit nicht verlieren. Physischer Zugang zu Räumen und Gebäuden ist erst der Beginn. Ziel ist es, die Technologien in neue Geräte, Lösungen und Plattformen zu integrieren und somit die bisherigen Authentisierungsmethoden abzulösen. Die Vision ist es, die Art und Weise, wie wir uns authentisieren zu revolutionieren – keine Pins, keine Passwörter, keine aktive Anmeldung. Die Zukunft der SEAMLESSme-Technologie ist grenzenlos.