Passwörter dank Wärmesignatur geknackt: Wie euch eure Finger verraten

Grob überschlagen, wie oft habt ihr heute schon mit euren zarten Zockerhändchen das Smartphone entsperrt oder Kennwörter auf der Tastatur eingegeben? Zehn Mal? Zwanzig Mal? Fakt ist: Alles, was ihr an euren Geräten anstellt, hinterlässt Spuren. Soweit keine Neuigkeit, immerhin ist es ein alter Hut, dass vor allem Mobilgeräte gerne übersät mit Fingerabdrücken sind, die so manche PIN bereits ohne mit der Wimper zu zucken verraten haben.

Das ist aber nur die Spitze des Eisbergs. Ein britisches Forscherteam der University of Glasgow hat demonstriert, dass selbst das eifrigste Abwischen mit einem Tuch nichts bringt, wenn ein Angreifer es wirklich auf eure Daten abgesehen hat. Eine verräterische Spur könnt ihr nämlich unmöglich abstellen: eure Körperwärme.

Auch lange Passwörter konnten geknackt werden

Worum geht's genau? Um die KI-gestützte Technologie ThermoSecure, die von dem britischen Team rund um Dr. Mohamed Khamis entwickelt wurde. Diese ist in der Lage, in Windeseile die Passwörter von Mobilgeräten und Tastaturen abzulesen. Die Ergebnisse stellte man nun in einem Bericht vor.

Dafür benötigt ThermoSecure nur einen guten Blick auf das Display bzw. die Tasten. Denn eure Finger hinterlassen abseits des gut sichtbaren Abdrucks auch eine Wärmesignatur - logisch, ihr seid zwar cool, aber dann doch nicht SO cool. Die KI analysiert im Anschluss, welche Tasten oder Bereiche des Displays vor kurzer Zeit berührt wurden, und grenzt dadurch die in Frage kommenden Zeichen ein.

Die Wärmebildkamera verrät eure Passwörter schneller, als euch lieb ist. (Quelle: University of Glasgow)

Im Anschluss soll es laut dem Forscherteam nicht lange dauern, ehe ThermoSecure das Kennwort erfolgreich herausbekommen hat. Sogar Varianten mit 16 Zeichen sollen in 67 Prozent der Testläufe erkannt worden sein, und das gerade mal innerhalb von 20 Sekunden. Bei 12 Zeichen betrage die Erfolgsrate bereits 82 Prozent, sechsstellige Kennwörter konnten zu 100 Prozent aufgedeckt werden.

Wofür das alles? Laut Dr. Mohamed Khamis möchte man mit dieser Methode darauf hinweisen, wie hoch das Risiko für User sei, Opfer eines Angriffs zu werden. Kleine Wärmebildkameras für unterwegs seien bereits erschwinglich und Angreifer könnten ebenfalls KI-Algorithmen entwickeln, um die Funktionsweise von ThermoSecure nachzuahmen.

Das Forschungsprojekt ziele darauf ab, die Gesetzgeber für dieses Risiko zu sensibilisieren. Dr. Khamis nennt beispielsweise ein Verkaufsverbot von Wärmebildkameras, wenn man keinen wichtigen Grund für den Besitz vorweisen könne.

Bei der Benutzung eurer Geräte bleiben nicht nur sichtbare, sondern auch verborgene Spuren zurück - in Form von Wärmesignaturen.

Wie hoch ist das Risiko wirklich?

Bevor ihr nun eure Hände ins Eisfach legt, lasst uns kühlen Kopf bewahren und das Risiko im Alltag besser einschätzen. Ganz so schlimm, wie das britische Team es skizziert, ist das Szenario in unseren Augen nämlich nicht. Der Grund dafür liegt in einem wichtigen Detail, das sich in der Auswertung der Daten verbirgt.

Wichtig ist die Zeitspanne, die der KI zur Verfügung steht. Die oben genannten Erfolgsraten nehmen nämlich bereits nach wenigen Sekunden ab. Erneut müssen wir mit Zahlen um uns werfen: Insgesamt wurden 86 Prozent aller Passwörter geknackt, wenn die Wärmebilder innerhalb von 20 Sekunden nach der letzten Benutzung des Geräts entstanden sind.

Bereits nach 30 Sekunden nimmt die Erfolgsquote ab und beträgt nur noch 76 Prozent. Eine Minute später reden wir nur noch über 62 Prozent. Selbst wenn ein Dieb, Hacker, oder wie auch immer ihr den Unhold nennen mögt, im Vorbeilaufen die Wärmebildkamera zückt und euer Gerät abscannt, muss er dennoch erst einmal in dessen Besitz gelangen - und das wie gesagt möglichst schnell.

Die realitätsgetreue Darstellung eines typischen Smartphone-Ganoven. Wenn ihr ihn auf der Straße seht, solltet ihr eure Geräte gut festhalten!

Im Alltag müsst ihr deshalb nicht befürchten, Opfer eines solchen Verbrechens zu werden. Da ist es doch eher wahrscheinlich, dass der Dieb die klassische Methode anwendet und euch euer Gerät aus den - natürlich warmen - Händen stibitzt. Wenn ihr auf ein Kennwort verzichtet und eure Geräte mit einem Fingerabdruck oder per Gesichtserkennung entsperrt, kann euch das Thema ohnehin egal sein. Aus einer technischen Perspektive ist das demonstrierte Verfahren aber zweifelsfrei interessant!

Geht es nach Herstellern wie Apple, Google und Co., dürften klassische Passwörter in baldiger Zukunft ohnehin ausgesorgt haben. Die Alternative: Passkeys. Mehr über diese Technologie erfahrt ihr hier:

Mit iOS 16 macht Apple Passwörter überflüssig - Was ihr zu Passkey wissen müsst

Wie bewertet ihr die Ergebnisse der britischen Forscher? Haltet ihr das Anfertigen von Wärmebildern für ein reales Sicherheitsrisiko im Alltag oder stimmt ihr unserer Einschätzung zu und ihr macht euch keine Gedanken darüber? Schreibt uns eure Meinung zu diesem Thema gerne in die Kommentare!