Deepfake-Videos, synthetische Identitäten und generative KI machen es zunehmend schwieriger, festzustellen, ob die Person auf der anderen Seite eines Bildschirms tatsächlich echt ist. Unternehmen, die auf biometrische Identitätsprüfung setzen, benötigen die Gewissheit, dass ihre Systeme auch immer raffiniertere Betrugsversuche erkennen und abwehren können.

Im akkreditierten Testlabor für biometrische Prüfungen nach ISO/IEC 17025 und ISO/IEC 19989 von KPMG in Zürich simulieren wir reale Angriffsszenarien unter kontrollierten Bedingungen. Wir prüfen biometrische Systeme auf Präsentationsangriffe, Deepfake-Angriffe, Virtual-Camera-Angriffe und manipulierte Datenströme, um zu bewerten, wie wirksam die Systeme biometrische Manipulationen erkennen und abwehren können.

Das Ergebnis sind unabhängige Nachweise zur Widerstandsfähigkeit Ihrer biometrischen Lösung unter realistischen Angriffsbedingungen. Unsere Bewertungen helfen dabei, Schwachstellen zu identifizieren und zu beurteilen, ob bestehende Sicherheitskontrollen Manipulationsversuche erkennen und verhindern können.

Unsere Spezialisten und Spezialistinnen für unabhängige biometrische Prüfungen helfen Ihnen gerne weiter.

Jetzt kontaktieren
Reto Grubenmann
Reto P. Grubenmann

Director, Leiter der Zertifizierungsstelle

KPMG Switzerland

Matthias Bossardt
Matthias Bossardt

Partner, Leiter Cyber & Digital Risk Consulting

KPMG Switzerland

biometric attack mark
swiss accreditation sts 0789
ilac mra mark

Lassen Sie Ihre KI-Governance zertifizieren

Nebst der Prüfung Ihrer biometrischen Lösungen zertifizieren wir auch KI-Lösungen nach ISO/IEC 42001.

Mehr zu KI-Zertifizierung erfahren
sresi

Warum unabhängige biometrische Prüfungen wichtig sind

Biometrische Systeme werden heute breit für digitales Onboarding, die Fernidentifikation und Vertrauensdienste eingesetzt. Mit ihrer zunehmenden Verbreitung wächst auch die Notwendigkeit, Sicherheit, Widerstandsfähigkeit und Zuverlässigkeit dieser Systeme zu bewerten.

Unternehmen nutzen unabhängige Prüfungen, um:

  • Sicherheit und Resilienz objektiv zu bewerten
  • Schwachstellen zu identifizieren, bevor eine Lösung eingeführt oder zertifiziert wird
  • Zertifizierungs- und Konformitätsbewertungsverfahren zu unterstützen
  • Unabhängige Sicherheit und Transparenz gegenüber Kundschaft, Auditoren und Regulierungsbehörden nachzuweisen
  • Beschaffungsentscheidungen und Due-Diligence-Prozesse zu stärken


Ein akkreditiertes biometrisches Testlabor unterstützt Technologieanbieter dabei, nachzuweisen, dass ihre Sicherheitskontrollen wie vorgesehen funktionieren, und schafft zusätzliche Sicherheit im Rahmen von Kundenbewertungen.

Ist eine biometrische Prüfung für Ihr Unternehmen relevant?

Biometrische Prüfungen können relevant sein, wenn Ihr Unternehmen biometrische Technologien zur Identitätsprüfung, Authentifizierung oder für andere sicherheitskritische Prozesse entwickelt, anbietet oder einsetzt.

Dies umfasst unter anderem:

  • Anbieter biometrischer Technologien und Identitätsprüfungen, die Lösungen zur Verifikation biometrischer Identitäten, Identitätsdokumente oder anderer Nachweise in digitalen Dienstleistungen evaluieren
  • Finanzinstitute und andere Unternehmen, die Biometrie für digitales Onboarding, Authentifizierung oder elektronische Transaktionen einsetzen
  • Qualified Trust Service Providers (QTSPs), die digitale Vertrauens- und Sicherheitsdienste unterstützen
  • Behörden und Teilnehmende des EUDI-Wallet-Ökosystems, die sich auf Anforderungen im Bereich digitale Identität und Compliance vorbereiten
Factsheet: Protecting biometric systems

Factsheet: Schutz biometrischer Systeme

Schützen Sie Ihre biometrischen Systeme vor Betrug und Deepfakes (auf Englisch)

Factsheet downloaden

Warum das Testlabor von KPMG?

  • Mehr als 20 Jahre Erfahrung in den Bereichen digitale Identität und digitale Vertrauensdienste

    Seit mehr als zwei Jahrzehnten bewertet und zertifiziert KPMG digitale Identitätssysteme, Vertrauensdienste und sicherheitskritische Technologien.

    Unsere Spezialistinnen und Spezialisten verbinden akkreditierte Prüffähigkeiten mit fundierter Expertise in den Bereichen Digital Trust, Regulierung und Konformitätsbewertung.

  • Von der Produktvalidierung bis zur Zertifizierungsreife

    Die Prüfanforderungen unterscheiden sich je nach Produkt, Markt und Zielsetzung.

    KPMG unterstützt Sie bei der Wahl des geeigneten Prüfansatzes, unabhängig davon, ob Ihr Fokus auf Markteinführung, Kundensicherheit, Zertifizierung oder regulatorischer Konformität liegt.

  • International akkreditierte biometrische Prüfungen

    KPMG bewertet biometrische Lösungen anhand international anerkannter Standards.

    Diese Bewertungen ermöglichen es Unternehmen, Sicherheit, Resilienz und Leistungsfähigkeit unter definierten Testbedingungen objektiv zu messen.

Was wir prüfen

  • Widerstandsfähigkeit gegen Spoofing-Angriffe

    Kann Ihr biometrisches System Versuche, den Sensor zu täuschen, erkennen und abweisen?

  • Widerstandsfähigkeit gegen Deepfake- und Injection-Angriffe

    Kann Ihr System manipulierte biometrische Daten erkennen, bevor diese den Authentifizierungsprozess erreichen?

  • Biometrische Genauigkeit und Zuverlässigkeit

    Wie präzise erkennt Ihr System berechtigte Nutzerinnen und Nutzer unter realen Betriebsbedingungen?

Was ist ein Präsentationsangriff?

Bei einem Präsentationsangriff wird der biometrische Sensor direkt angegriffen.

Anstelle einer tatsächlich anwesenden Person präsentiert ein Angreifer einer Kamera, einem Fingerabdrucksensor oder einem anderen Sensor eine gefälschte biometrische Probe.

Häufige Beispiele sind:

  • Gedruckte Fotos, die einer Kamera präsentiert werden
  • Video-Replay-Angriffe, die über ein anderes Gerät abgespielt werden
  • Silikon- oder 3D-gedruckte Masken, die einer legitimen Person ähneln
  • Künstliche Fingerabdrücke und andere physische Spoofing-Artefakte

Presentation Attack Detection (PAD), auch als biometrische Spoofing-Erkennung bezeichnet, bewertet, ob ein System solche Angriffe erkennen und abweisen kann und gleichzeitig legitimen Nutzerinnen und Nutzern eine erfolgreiche Authentifizierung ermöglicht.

Bei Gesichtserkennungssystemen helfen moderne Liveness-Detection-Verfahren festzustellen, ob tatsächlich eine lebende Person anwesend ist und nicht lediglich ein Foto, ein abgespieltes Video oder eine andere betrügerische Darstellung. Je nach Anwendungsfall und Technologie kann die Lebenderkennung aktiv oder passiv erfolgen.

PAD-Tests, einschliesslich Face-Liveness-Tests, wo anwendbar, bewerten die Wirksamkeit dieser Kontrollen gegen Präsentationsangriffe.

Was ist ein Injection-Angriff und warum sind Deepfakes relevant?

Im Gegensatz zu Präsentationsangriffen umgehen Injection-Angriffe den physischen Sensor vollständig. Stattdessen werden biometrische Daten innerhalb der Software, Hardware oder Kommunikationskanäle manipuliert oder eingeschleust, die für Registrierung oder Verifikation genutzt werden.

Typische Beispiele sind:

  • Deepfake-generierte biometrische Proben, einschliesslich Face-Swap-Inhalten
  • Virtual-Camera-Angriffe
  • Manipulierte Videodatenströme
  • Mobile-App-Hooking
  • Synthetische biometrische Daten, die während Registrierung oder Verifikation eingebracht werden

Ein Deepfake-Injection-Angriff kann manipulierte biometrische Daten direkt in den Authentifizierungsprozess einschleusen. Da der physische Sensor umgangen wird, erkennen Kontrollen gegen Präsentationsangriffe diese Bedrohungsart möglicherweise nicht.

Injection Attack Detection (IAD) bewertet, ob manipulierte biometrische Daten innerhalb des Verarbeitungsprozesses erkannt werden können. IAD-Tests, einschliesslich Deepfake-Erkennungstests, messen die Wirksamkeit dieser Kontrollen bei der Identifikation und Abwehr von Injection-Angriffen.

So bewerten wir Ihr biometrisches System in vier Schritten

  • Verständnis Ihrer Technologie und Ziel

    Wir analysieren Ihre biometrische Lösung, den Anwendungsfall und die Evaluationsziele. Anschliessend definieren wir die relevanten Angriffsszenarien, anwendbaren Standards und das erforderliche Sicherheitsniveau.

  • Festlegung des Prüfkonzepts

    Wir entwickeln einen Prüfplan auf Grundlage des vereinbarten Umfangs, einschliesslich Angriffsvektoren, Prüfmethode und technischer Anforderungen.

  • Simulation realer Angriffe

    Wir führen die vereinbarten Bewertungen anhand anerkannter Methoden durch und prüfen, wie das System auf Präsentationsangriffe, Injection-Angriffe und weitere relevante Bedrohungen reagiert.

  • Auswertung der Ergebnisse

    Sie erhalten einen detaillierten Evaluationsbericht mit Umfang, Methodik, Ergebnissen und Feststellungen. Falls anwendbar, stellen wir zusätzlich eine Konformitätserklärung aus.

Was Sie erhalten

Nach Abschluss der Evaluation erhalten Sie dokumentierte Ergebnisse, die aufzeigen, wie Ihre Lösung in den vereinbarten Testszenarien abgeschnitten hat.

Je nach Umfang können die folgenden Ergebnisse bereitgestellt werden:

  • Ein akkreditierter Evaluationsbericht mit Prüfumfang, Methodik und Ergebnissen
  • Detaillierte Feststellungen zu Schwachstellen und Verbesserungspotenzialen
  • Auswertung anhand definierter Bewertungskriterien für relevante Angriffsszenarien
  • Unterstützende Dokumentation für Zertifizierungs- oder Konformitätsbewertungs-verfahren, sofern anwendbar
  • Eine Statement of Conformity (SoC), sofern anwendbar

Standards, nach denen wir prüfen

Unsere Bewertungen folgen international anerkannten Standards für biometrische Sicherheit, Angriffserkennung und Leistungstests.

Relevante Standards sind:

  • ISO/IEC 30107-3:2023

    Prüfung und Berichterstattung zur Presentation Attack Detection (PAD)

  • ISO/IEC 19989-3:2020

    Bewertungsmethoden für PAD

  • CEN/TS 18099:2025

    Biometric Injection Attack Detection (IAD), Injection Attack Methods (IAM) und Injection Attack Instruments (IAI)

  • ISO/IEC 19795-1:2021

    Biometrische Leistungstests und Berichterstattung (PERF)

Häufig gestellte Fragen (FAQ)

Die geeignete Evaluationsstufe hängt von Ihrem biometrischen System, dem Anwendungsfall, dem Risikoprofil und den Zertifizierungszielen ab. Im Rahmen der Scoping-Phase unterstützt KPMG bei der Festlegung des geeigneten Ansatzes.

Akkreditierte Evaluationsberichte können unabhängige Nachweise für umfassendere Konformitäts- und Zertifizierungsaktivitäten liefern, einschliesslich Initiativen im Zusammenhang mit ETSI TS 119 461 und der Fernidentifikation nach eIDAS 2.0.

Zeitaufwand und Kosten hängen von der Lösung, dem Umfang, den anwendbaren Standards, den Angriffsszenarien und dem erforderlichen Sicherheitsniveau ab.

Nach Festlegung des Umfangs erstellt KPMG eine detaillierte Offerte.

Die Anforderungen variieren je nach Lösung und Evaluationsumfang.

Typische Inputs umfassen Softwarekomponenten, technische Dokumentation, Testumgebungen und weitere für die Prüfung erforderliche Informationen.

Die Evaluationsergebnisse zeigen Bereiche mit Verbesserungsbedarf auf und liefern Erkenntnisse, die helfen können, Schwachstellen vor einer erneuten Bewertung zu beheben.

Die Prüfungen werden in einer sicheren Umgebung und unter strengen Vertraulichkeitsanforderungen durchgeführt.

Der Zugriff auf Systeme, Software, Dokumentation und Testdaten ist auf die unmittelbar an der Evaluation beteiligten Personen beschränkt.

Sind Sie bereit, Ihr biometrisches System bewerten zu lassen?

Oder sind Sie noch unsicher, welche Prüfungen oder Standards für Ihre biometrische Lösung relevant sind?

Sprechen Sie mit unseren Spezialistinnen und Spezialisten über Ihr System, relevante Angriffsszenarien und den geeigneten Evaluationsansatz.

Jetzt Kontakt aufnehmen

Ihre Ansprechpersonen

Reto Grubenmann
Reto P. Grubenmann

Director, Leiter der Zertifizierungsstelle

KPMG Switzerland

Matthias Bossardt
Matthias Bossardt

Partner, Leiter Cyber & Digital Risk Consulting

KPMG Switzerland

Verwandte Artikel und weitere Informationen

ISO/IEC 42001: Compliance und Risikomanagement für KI-Systeme. Erfahren Sie, wie Schweizer Unternehmen profitieren.
Weiterlesen