Biometrische Authentifikation ermöglicht Fachanwaltsfortbildung am PC

Anwendungsbericht

Manfred Bromba · Bromba GmbH
Christian Teupen · Advobildung GbR
Andrew Bromba · Bromba GmbH

http://www.bromba.com/contacte.htm
2006-05-08

Einführung

"Wer eine Fachanwaltsbezeichnung führt, muss jährlich auf diesem Gebiet wissenschaftlich publizieren oder mindestens an einer anwaltlichen Fortbildungsveranstaltung dozierend oder hörend teilnehmen. Die Gesamtdauer der Fortbildung darf zehn Zeitstunden nicht unterschreiten. Dies ist der Rechtsanwaltskammer unaufgefordert nachzuweisen." (§ 15 der Fachanwaltsordnung: Fortbildung)

Der regelmäßige Besuch geeigneter Fortbildungsveranstaltungen kann auf Grund der damit verbundenen Reisetätigkeit zu erheblichen Zeitverlusten führen. Weiterhin ist der Fachanwalt bei der Teilnahme an organisierten Veranstaltungen an einen festen Zeitplan gebunden, der sich nicht immer mit der geforderten beruflichen Flexibilität vereinbaren lässt. 

Für den alternativen Weg, solche Kurse als Video-CD/DVD oder als Internetkurs anzubieten, gab es bisher keinen gangbaren Weg, wenn man auch der von Präsenzveranstaltungen bekannten Nachweis- und Anwesenheitspflicht Genüge leisten wollte. Und genau hier bietet sich die biometrische Authentifikation als Lösung an und ermöglicht dem Fachanwalt, sich das erforderliche Neuwissen zu jeder beliebigen Zeit, an jedem beliebigen Ort und beliebig oft auch mit Unterbrechungen anzueignen.

Dieser Bericht beschreibt die Realisierung und Arbeitsweise zweier biometrischer Verfahren, die die persönliche Beteiligung eines Anwalts am Fernkurs besonders bequem nachweist. Die Realisierung erfolgte auf Basis des BioIDENTICA® Device SDKs der Firma Bromba GmbH und benutzt zur Fingerabdruckaufnahme die FingerTIP ID Mouse von Cherry.

Die ersten Anwaltskammern haben bereits ihre Zustimmung zum Einsatz biometrischer Lösungen als Ersatz zur Teilnahme an einer Präsenzveranstaltung signalisiert.

Lösungsansatz mit Hilfe einer DVD

Funktionsprinzip

Um einen Fachanwalts-Lehrgang zu Hause oder auf Reisen absolvieren zu können, braucht man nicht nur eine Lehrgangs-DVD zum Abspielen auf einem PC -  es muss auch die zuständige Anwaltskammer davon überzeugt werden, dass der Kurs vollständig absolviert wurde, damit eine ordnungsgemäße Anerkennung erfolgen kann. Um dies zu erreichen, wird beim hier vorgestellten Verfahren der gesamte Kurs in Video- bzw. Tonabschnitte relativ kurzer Länge (einige Minuten) unterteilt und abgespielt. Sobald ein Abschnitt abgelaufen ist, muss der Teilnehmer innerhalb eines kurzen Zeitfensters eine biometrische Authentifikation durchführen. Verpasst er das, ist der Abschnitt zu wiederholen, sonst erfolgt keine Anerkennung. Ob ein Abschnitt beendet ist, lässt sich für den Teilnehmer nur daran erkennen, dass nichts mehr zu hören ist. Somit ist die Forderung "hörend an der Fortbildungsveranstaltung teilzunehmen" nicht zu umgehen!

Bei der hier vorgestellten Lösung wird das Nachweisproblem mit Hilfe von biometrischen Testaten gelöst, und zwar auf folgende Weise:

Zunächst erstellt die Software ein sog. "Token" des Teilnehmers. Dieses Token ist eine Datei mit dem Namen 1.fp, die in verschlüsselter Form den Referenz-Fingerabdruck des Teilnehmers sowie seinen Vor- und Nachnamen enthält und auf dem PC des Teilnehmers gespeichert wird. 
Dieses Token ist das Mittel zum Nachweis der persönlichen Teilnahme, da im Token auch die Information über vollständig absolvierte Kursteile gespeichert wird.
Jeder Vortrag auf der DVD besteht aus verschiedenen Abschnitten unterschiedlicher Länge, die einzeln aufzurufen sind. Zum Starten eines Vortragsabschnitts verlangt die Software den zum Token passenden Fingerabdruck. Ist die Erkennung erfolgreich, startet das Video. Gleichzeitig wird im Token vermerkt, welcher Abschnitt gestartet wurde. Unterbrechungen sind durch Anklicken der Pausentaste jederzeit möglich!
Die biometrische Authentifikation zu Beginn eines Abschnitts dient nur zur Überprüfung der Funktionsfähigkeit des biometrischen Systems. Schließlich wäre es recht ärgerlich, wenn ein Abschnitt erfolgreich absolviert wurde, aber dann kein Testat erfolgen kann, weil z.B. der Fingerabdrucksensor gerade nicht angeschlossen war.
Ist der Vortragsabschnitt beendet, muss der Teilnehmer innerhalb einer kurzen Zeitspanne den Finger erneut auflegen. Bei Übereinstimmung mit dem Fingerabdruck im Token, vermerkt die Software im Token, dass dieser Abschnitt erfolgreich beendet wurde. Verpasst man das rechtzeitige Authentifizieren, z.B. weil man das Ende des Abschnitts nicht gehört hat, ist der Abschnitt zu wiederholen.
Hierbei wird davon ausgegangen, dass die einzige Möglichkeit, die Abschlussauthentifikation mitzubekommen, darin besteht, den gesamten Abschnitt mitgehört zu haben. Denn durch die unterschiedliche Länge der Abschnitte ist dem Teilnehmer nicht bekannt, wann der Abschnitt aufhört.
Auf einer Statusseite erfährt der Teilnehmer, welche Abschnitte er schon erfolgreich absolviert hat und welche noch fehlen. Sind alle Abschnitte erfolgreich testiert, sendet der Teilnehmer die Token-Datei 1.fp per E-Mail an eine neutrale Stelle, die mit der gleichen Lehrgangs-Software auf der Statusseite sehen kann, welcher Name zu diesem Token gehört und ob alle Testate erteilt wurden.
Auf Basis dieser Informationen kann die neutrale Stelle eine Teilnahmebescheinigung zur Vorlage bei der zuständigen Anwaltskammer ausstellen.
Der im Token gespeicherte Fingerabdruck kann von der Lehrgangs-Software ausschließlich zum Zwecke des Vergleichs mit einem aktuell auf den Fingerprint-Sensor aufgelegten Fingerabdruck im Arbeitsspeicher entschlüsselt werden. Wenn man also aus Stichproben-Gründen wissen möchte, ob der Fingerabdruck im Token wirklich zur richtigen Person gehört, bittet man den betreffenden Teilnehmer, seinen Finger in Gegenwart eines geeigneten Zeugen aufzulegen. Ist die Authentifikation erfolgreich, gehört der Teilnehmer tatsächlich zum Token.
Das Token ist komplett verschlüsselt und signiert, dadurch lassen sich nachträgliche Manipulationen ausschließen. Auch kann zur Wahrung des Datenschutzes eine Zurückgewinnung des Fingerabdruckbilds aus dem Token mit hoher Sicherheit ausgeschlossen werden.

Realisierung

Zur Erprobung des Funktionsprinzips wurde eine Prototypen-DVD mit kompletter Software und dem Lehrgangsinhalt "Arbeitsrecht" in Form von Videos und Begleitmaterial (Folien und Schriftdokumente) erstellt und von mehreren Fachanwälten einem Test unterzogen.

Als Benutzeroberfläche für das Abspielen des Lehrgangs und die Information des Teilnehmers bot sich der Internetexplorer an. Mit Hilfe einer eigens entwickelten ActiveX-Komponente erfolgte die Integration des Windows Media-Players 6.4 sowie der Fingerprintkomponenten in eine lokale HTML-Seite, so dass der Benutzer wie gewohnt mit dem Internet Explorer arbeiten kann. Als Scriptsprache kam VBS zum Einsatz. Sämtliche Installationen (Sensortreiber, Fingerprintsoftware) wurden ebenfalls über den Internetexplorer abgewickelt.

Zur Fingerprinterkennung kam das BioIDENTICA® Device SDK 2.0 zum Einsatz. Zur Vereinfachung der Programmierung wurden die dazugehörigen ActiveX-Komponenten genutzt, was eine Fertigstellung der kompletten Prototypen-Entwicklung innerhalb von 3 Wochen ermöglichte.

Lösungsansatz mit Hilfe des Internets

Funktionsprinzip

Für die Internetlösung wurde ein modifiziertes Funktionsprinzip entwickelt. Der Fachanwalt ruft bei diesem Verfahren die Internetadresse eines Online-Anbieters auf, meldet sich mit seinen Teilnehmerdaten an (natürlich kann dies auch biometrisch geschehen) und startet einen Vortrag als Video mit Ton. Hierzu reicht eine normale DSL-Verbindung. Während ein Vortrag bei der DVD-Lösung in kleine Teile aufgespalten wurde, läuft er hier kontinuierlich ab, kann bei Bedarf aber immer mal für eine kurze Zeit unterbrochen werden. Die Fingerabdruckabfrage erfolgt deshalb zu zufälligen Zeitpunkten ohne Unterbrechung des Vortrags. Erfolgt die Authentifikation rechtzeitig, gilt dies als Beweis einer aktiven Teilnahme. Der Online-Dienstleister sammelt die erfolgreichen Rückmeldungen und verfügt somit über alle Daten zur Ausstellung des Teilnahmenachweises. 

Beide Lösungsansätze haben unterschiedliche Vorteile. Während ein Onlineangebot einfacher aktuell zu halten ist, zählt bei der DVD-Lösung die Unabhängigkeit vom Internet und die Möglichkeit, sich seinen Kurs auch ins Regal stellen zu können.

Realisierung

Bei der Internetlösung wurde versucht, mit marktgängigen Biometriekomponenten ohne eigens entwickelte Software für den Kursteilnehmer auszukommen. Als Biometriekomponente kommt hier wieder die FingerTIP ID Mouse von Cherry zusammen mit der standardmäßig mitgelieferten Software "PasswordCenter" zum Einsatz. Das PasswordCenter reagiert auf hochpoppende Passwortfenster und füllt diese automatisch bei erfolgreicher Erkennung des Fingerabdrucks mit den erforderlichen Daten, die zu Anfang ein einziges Mal vom Teilnehmer eingetragen wurden. Über diese Daten, bestehend aus User-ID und Passwort, kann der Online-Dienstleister per Vergleich die erforderliche Information über die Anwesenheit des Anwalt gewinnen. Der Hauptaufwand liegt bei diesem Verfahren nicht bei der Programmierung der DVD, sondern des Online-Angebots - nebst Bereitstellung der notwendigen Webserver. 

Ein internetbasiertes Testsystem wurde von der Firma Online-Congress (http://www.onlinecongress.de/) in Zusammenarbeit mit Advobildung (http://www.advobildung.de/) erstellt.

Sicherheit

Durch die Fingerabdruckerkennung soll sichergestellt werden, dass der Kursteilnehmer dem Abspielen der Lehrgangs-DVD hörend persönlich beiwohnt. Deshalb stellt sich hier die Frage, wie leicht man das System "hintergehen" kann. Dabei interessiert nicht primär, wie leicht eine Umgehung ist, sondern ob der Anreiz zum "Schummeln" höher und aufwändiger ist als bei Präsenzveranstaltungen.

Bei Präsenzveranstaltungen bestätigt der Teilnehmer seine Anwesenheit durch Unterschrift (also auch biometrisch, nur dass die Unterschrift selten geprüft wird). Die Unterschrift kann während der Veranstaltung auch mehrfach erhoben werden. Ob der Teilnehmer allerdings mit seinen Gedanken beim Thema ist oder irgend wo anders, wird nicht überprüft. Dabei ist andererseits wieder zu berücksichtigen, dass die Weiterbildungsveranstaltungen in der Regel ein so hohes Niveau aufweisen, dass es für den Teilnehmer einen entsprechend hohen Anreiz zur aktiven Teilnahme gibt.

Das gilt inhaltlich erst recht für DVD- oder Online-Kurse, so dass der Anreiz zum Mogeln recht niedrig ausfällt. Trotzdem sollen hier die zwei wichtigsten Möglichkeiten zum Umgehen des Systems am Beispiel der DVD-Lösung diskutiert werden:

  1. Der Teilnehmer beauftragt seine Sekretärin, den Kurs für ihn zu absolvieren. Risiko für den Mogler: Bei einer Stichprobenkontrolle wird der Fingerabdruck des Anwalts nicht zu dem des Token passen.
  2. Der Teilnehmer lässt sich einen Stempel von seinem Fingerabdruck anfertigen und beauftragt einen Vertrauten, den 10-stündigen Lehrgang zu absolvieren und auf Anforderung den Stempel an Stelle des Fingerabdrucks zu präsentieren. Risiko für den Mogler: Dieses Vorgehen macht ihn erpressbar und gefährdet seine Zulassung, da es auf Grund des hohen betriebenen Aufwands auf eine hohe kriminelle Energie schließen lässt.