Palm Vein Reconstruction From Electromagnetic Side-Channel Emissions: Public Perceptions of Privacy Risks

Stellen Sie sich vor, Ihr Körper besäße einen Satz von Schlüsseln, die niemals abnutzen, niemals verloren gehen und nicht vergessen werden können. Dies ist das Versprechen der biometrischen Technologie, bei der Systeme einzigartige körperliche Merkmale wie Fingerabdrücke oder die Muster der Venen in Ihrer Hand verwenden, um zu verifizieren, wer Sie sind. Im Gegensatz zu einem Passwort, das man ändern kann, wenn es von einem Hacker gestohlen wurde, sind die Merkmale Ihres Körpers permanent. Wenn ein digitales Schloss geknackt wird, können Sie einfach den Code ändern; wenn ein biometrisches System kompromittiert wird, können Sie nicht einfach Ihre Hand oder Ihr Gesicht austauschen. Dieser grundlegende Unterschied macht die Sicherheit dieser Systeme zu einer Angelegenheit von tiefer persönlicher Tragweite. Während Ingenieure lange Zeit darauf fokussiert waren, diese Sensoren schwerer manipulierbar zu machen, hat eine neuere Forschungsrichtung entdeckt, dass die Geräte selbst Informationen auf unerwartete Weise preisgeben könnten. Genau wie ein Radiosender Signale aussendet, die von einem Empfänger aufgefangen werden können, senden einige biometrische Scanner schwache elektromagnetische Wellen aus, die in einer Laborumgebung theoretisch dazu verwendet werden könnten, genau die Venenmuster zu rekonstruieren, die sie eigentlich lesen sollen.

Ein Team von Forschern setzte sich zum Ziel, nicht die Mechanik dieses potenziellen Lecks zu verstehen, sondern wie die Öffentlichkeit reagieren würde, wenn ein solches Risiko bekannt würde. Sie bauten kein Gerät, um Daten zu stehlen, noch testeten sie einen spezifischen Scanner. Stattdessen stellten sie eine andere Frage: Wie ist die aktuelle Stimmung der Öffentlichkeit in Bezug auf Privatsphäre, Vertrauen und Kontrolle? Um dies herauszufinden, untersuchten sie eine massive Sammlung von Umfragedaten aus siebenundzwanzig europäischen Ländern, die im Jahr 2010 erhoben wurden. Dieser Datensatz ist zwar älter, bietet aber einen klaren Schnappschuss davon, wie die Menschen vor der Ära der heutigen künstlichen Intelligenz und der Dominanz der sozialen Medien über ihr digitales Leben dachten. Die Forscher behandelten die Idee eines Handvenen-Lecks als ein Szenario, um es gegen diese bestehenden Einstellungen zu testen, indem sie fragten, ob die Menschen sich sicher, kontrolliert oder verraten fühlen würden, wenn sie erführen, dass ihre Körperdaten durch unsichtbare Signale gestohlen werden könnten.

Die Studie begann mit der Untersuchung, wie besorgt die Menschen darüber waren, online beobachtet zu werden. Die Ergebnisse zeigten eine gespaltene Öffentlichkeit. Vierzig Prozent der Befragten äußerten Besorgnis darüber, dass ihr Verhalten im Internet aufgezeichnet wurde, während der Rest weniger beunruhigt war oder sich nicht darum kümmerte. Diese Sorge war nicht gleichmäßig verteilt; jüngere Erwachsene sowie Menschen in ihren Dreißigern und Vierzigern waren eher besorgt als Personen über 55 Jahre. Doch Sorge allein erzählt nicht die ganze Geschichte. Die Forscher untersuchten auch, ob die Menschen das Gefühl hatten, die Macht zu besitzen, diese Aufzeichnung zu stoppen oder die Informationen zu verwalten, sobald sie einmal im Umlauf waren. Unter denjenigen, die persönliche Details auf sozialen oder Sharing-Websites geteilt hatten, fühlten sich nur sechsundzwanzig Prozent in der Lage, die vollständige Kontrolle über diese Informationen zu haben. Ein erheblicher Teil, nämlich zwanzig Prozent, hatte das Gefühl, überhaupt keine Kontrolle zu haben. Diese Lücke zwischen dem Gefühl der Besorgnis und dem Gefühl der Machtlosigkeit deutet darauf hin, dass die Menschen bei einem neuen Risiko wahrscheinlich ängstlich, aber hilflos wären, unfähig, das Problem durch eine einfache Einstellung zu lösen.

Vertrauen spielte eine ebenso kritische Rolle im Gesamtbild. Als gefragt wurde, wem sie vertrauen, um ihre persönlichen Informationen zu schützen, zogen die Menschen eine scharfe Linie zwischen verschiedenen Arten von Organisationen. Gesundheits- und medizinische Institutionen wurden am meisten vertraut; siebundsiebzig Prozent der Befragten fühlten sich in ihrer Fähigkeit, Daten zu schützen, sicher. Banken und öffentliche Behörden genossen ebenfalls ein hohes Maß an Vertrauen. Im krassen Gegensatz dazu wurden Internetunternehmen von nur zweiundzwanzig Prozent der Befragten vertraut. Dieser Befund ist entscheidend für das Verständnis, wie ein biometrisches Risiko aufgenommen würde. Wenn ein Krankenhaus-Scanner einen Fehler aufweisen würde, könnte die Öffentlichkeit dies mit einem gewissen Verständnis oder Geduld betrachten, angesichts des hohen Vertrauens in die medizinische Versorgung. Wenn jedoch ein Tech-Unternehmen oder eine Online-Plattform dasselbe Problem hätte, wäre die Reaktion wahrscheinlich von tiefem Skeptizismus und Wut geprägt, da die Öffentlichkeit diese Entitäten bereits bezweifelt, ihre persönlichen Geheimnisse bewahren zu können.

Die Forscher untersuchten auch, wie die Menschen tatsächlich handeln, wenn sie versuchen, sich selbst zu schützen. Etwa die Hälfte der Nutzer von Social-Websites hatte versucht, ihre Standard-Privatsphäre-Einstellungen zu ändern, was eine Bereitschaft zeigt, aktiv zu werden. Die spezifischen Maßnahmen, die die Menschen ergriffen, konzentrierten sich jedoch hauptsächlich auf Dinge, die sie sehen und anfassen können, wie das Löschen von Cookies oder das Überprüfen von Sicherheitssiegeln auf Websites. Dies sind nützliche Gewohnheiten für die Verwaltung eines Webbrowsers, aber sie sind nutzlos gegen ein verborgenes Signal, das aus einer Hardware leckt. Die Studie fand heraus, dass die Menschen das Gefühl hatten, eine gewisse Kontrolle über ihre Online-Profile zu haben, aber sie verfügten nicht über die Werkzeuge, um die Maschinen zu inspizieren, die ihre Körper lesen. Dies schafft ein gefährliches Ungleichgewicht: Die Öffentlichkeit wird gebeten, Risiken zu managen, die weit jenseits ihrer Einflussmöglichkeit liegen.

Vielleicht war der aufschlussreichste Befund, wie die Menschen den Schutz körperbezogener Daten betrachteten. Als gefragt wurde, ob genetische Informationen, wie etwa die DNA, einen besonderen Schutz erhalten sollten, antworteten überwältigende achtundachtzig Prozent mit Ja. Dies deutet darauf hin, dass die Menschen intuitiv verstehen, dass Informationen, die an den Körper gebunden sind, etwas anderes sind als ein Benutzername oder eine Kreditkartennummer. Sie werden als etwas angesehen, das besondere Sorgfalt verdient. Die Forscher merkten an, dass Handvenen zwar kein genetischer Code sind, der Instinkt der Öffentlichkeit, körpergebundene Daten als hochsensibel zu behandeln, sich jedoch wahrscheinlich auf sie ausweiten würde. Wenn ein Unternehmen versuchen würde, ein Handvenen-Leck als geringfügigen technischen Fehler abzutun, würde die Öffentlichkeit diese Erklärung wahrscheinlich ablehnen und den Verstoß als Verletzung von etwas zutiefst Persönlichem ansehen.

Die Studie kam zu dem Schluss, dass eine technische Offenlegung über biometrische Leckagen nicht in einem neutralen Umfeld eintreffen würde. Sie würde in einer Welt ankommen, in der ein großer Teil der Öffentlichkeit bereits besorgt ist, beobachtet zu werden, in der das Vertrauen in Internetunternehmen niedrig ist und in der Menschen das Gefühl haben, keine Macht über die Datenerfassung zu besitzen. Die Forsker argumentierten, dass es nicht funktionieren würde, den Leuten zu sagen, sie sollten „vorsichtiger sein“ oder „ihre Einstellungen ändern“, da das Problem im Design der Maschinen und den Richtlinien der Organisationen liegt und nicht in den Gewohnheiten der Nutzer. Die Lösung müsse laut ihnen von den Institutionen selbst kommen. Unternehmen und Regierungen müssen die volle Verantwortung für die Sicherung der Hardware übernehmen, transparent über Risiken aufklären und echte Alternativen für diejenigen anbieten, die keine biometrischen Systeme nutzen möchten. Die Öffentlichkeit benötigt kein Handbuch dazu, wie man ein Signal stoppt; sie benötigt die Garantie, dass das Signal gar nicht erst gesendet wird.

Letztendlich verdeutlicht diese Forschung, dass Sicherheit nicht nur ein Rätsel ist, das Ingenieure mit besserem Code lösen können. Es ist ein Gesellschaftsvertrag, der von Vertrauen und dem Gefühl der Kontrolle abhängt. Wenn ein System einen Teil Ihres Körpers verwendet, um Sie zu identifizieren, sind die Einsätze höher als bei jeder anderen Art von Passwort. Wenn dieses System versagt, können Sie nicht einfach Ihre Hand zurücksetzen. Die Studie legt nahe, dass diese Technologien nur dann akzeptiert werden können, wenn die Menschen, die sie bauen und betreiben, das Vertrauen der Öffentlichkeit durch Taten verdienen, die dem hohen Wert entsprechen, den die Menschen ihrer physischen Identität beimessen. Ohne dieses Vertrauen wird selbst die sicherste Technologie für die Menschen, denen sie dienen soll, wie ein Risiko wirken.