Der Sensor ist sauber. Die Leitung nicht
Sie nennen es Fortschritt. Dynamic Liveness, das erste FIDO-zertifizierte System für Ferngesichtsverifikation. Geprüft nach ISO/IEC 30107-3:2017. Null Prozent Erfolg im Test. iBeta hat es bestätigt. Fotos, Masken, Videos, Morphs, präsentierte Deepfakes — alles blockiert. Sauber. Gemessen. Zertifiziert.
Und doch reicht es nicht.
Denn ISO 30107-3 deckt genau das, was der Angreifer nicht mehr tut. Er steht nicht mehr vor der Kamera mit einer Maske. Er sitzt dahinter. Zwischen Sensor und Matcher, in der Software, im Netzwerk. Er manipuliert den Datenpfad, spritzt frames ein, replayed Nachrichten, ersetzt Templates, bevor der Matcher überhaupt reagiert. Das ist die Lücke. Und das ist das Geschäft.
CEN/TS 18099 ist die Antwort auf diesen Verrat. Eine Spezifikation, die Integrität über die gesamte Identitätsverarbeitungskette verlangt — Hardware, Software, Transport, Verarbeitung. Nicht das, was der Sensor sieht. Sondern das, was nach dem Sensor passiert. Eine unabhängig überprüfbare Benchmark für Resilienz gegen Einbruchsangriffe, einschließlich Deepfakes.
Wer hat ein Interesse daran, diesen Unterschied klein zu reden? Wer profitiert davon, ein Zertifikat zu verkaufen, das gegen sichtbare Täuschung schützt und die unsichtbare durchwinkt? Die Antwort liegt in den Werbetexten. Es steht nicht dabei, dass die Injektion — der Angriff, der gar nicht erst versucht echt auszusehen — ein anderes Spielfeld ist.
ISO 30107-3 ist nicht falsch. Es ist unvollständig. Es testet das Artefakt vor der Tür. CEN/TS 18099 testet, ob die Tür überhaupt noch dem gehört, der im Haus wohnt. Die Konformität mit 19795-1 zeigt, dass der Matcher genau misst. Mit 30107-3, dass die Maske fällt. Keine von beiden zeigt, dass niemand das Kamerabild unterwegs ausgetauscht hat.
Die Testkomplexität steigt. Die Labore ächzen. Gut so. Es braucht ein Prüfverfahren für die Herkunft von Video-Streams in der biometrischen Verifizierung. Nicht morgen. Jeder Tag, an dem ein Anbieter mit ISO 30107-3 wirbt, ohne CEN/TS 18099 zu nennen, ist ein Tag, an dem der Kunde glaubt, versichert zu sein — und nur die Hülle in der Hand hält. Unklar bleibt, warum die Branche sich mit dem kleineren Siegel zufrieden gibt. Klar ist, wem das nützt.
❖ Ende des Artikels ❖