Fingerabdruck-Authentifizierung unter Debian (Fingerprint)

Überblick

Dieser Artikel beschreibt die Einrichtung und Nutzung der Fingerabdruck-Authentifizierung unter Debian mit fprintd und PAM. Die Anleitung entspricht der offiziellen Debian-Dokumentation und ist für GNOME (GDM), sudo und Screen-Unlock geeignet. Passwort bleibt immer als Fallback erhalten.

Voraussetzungen

Debian mit systemd
Unterstützter Fingerabdrucksensor (z. B. Goodix / ELAN)
Lokaler Benutzer (kein reiner LDAP-Only-User)

Benötigte Pakete installieren

apt update
apt install fprintd libpam-fprintd

Fingerabdrucksensor prüfen

fprintd-list <BENUTZER>

Erwartete Ausgabe:

Gerät wird gefunden
Hinweis, dass noch keine Finger eingelernt sind

Fingerabdruck einlernen

fprintd-enroll <BENUTZER>

Hinweise:

Finger mehrfach auf den Power-Button / Sensor legen
Unterschiedliche Winkel verwenden
Meldungen wie „retry“ oder „remove-and-retry“ sind normal
Erfolgreich bei „enroll-completed“

PAM-Integration systemweit aktivieren

Empfohlener Weg unter Debian:

pam-auth-update

Im Dialog:

„Fingerprint authentication“ aktivieren
alle anderen Optionen unverändert lassen
bestätigen

Fingerprint für sudo aktivieren (optional, explizit)

Standardmäßig kann sudo Fingerprint nutzen, wenn PAM korrekt gesetzt ist. Falls nicht, manuelle Ergänzung:

nano /etc/pam.d/sudo

Ganz oben einfügen:

auth sufficient pam_fprintd.so

Darunter muss weiterhin stehen:

@include common-auth

Funktion testen

sudo -k
sudo id

Hinweis:

Unter GNOME/Wayland erscheint oft kein Text
Sobald sudo „hängt“, Finger auf den Sensor legen
Bei Fehlschlag erfolgt Passwort-Fallback

Screen-Lock (nach Login)

Bildschirm sperren (Super+L)
Finger auf Sensor legen

Erwartung:

Entsperren per Fingerabdruck

Login-Screen (GDM)

Wichtige Einschränkung:

Fingerprint funktioniert häufig NICHT beim ersten Login nach dem Boot
Das ist kein Fehler der Konfiguration
GNOME/GDM limitiert Fingerprint aus Sicherheitsgründen

Prüfen:

gsettings get org.gnome.login-screen enable-fingerprint-authentication

Erwartet:

true

Trotzdem kann der Login weiterhin nur per Passwort möglich sein. Das entspricht dem Debian- und GNOME-Design.

NOPASSWD und Fingerprint

Wenn sudo mit NOPASSWD konfiguriert ist:

sudo fragt weder Passwort noch Fingerprint ab
PAM wird nicht aufgerufen
Fingerprint greift dort nicht

Nach Entfernen von NOPASSWD:

PAM greift wieder
Fingerprint kann genutzt werden

Sicherheitshinweise

Fingerprint ist Komfort, kein Ersatz für Passwörter
Passwort-Fallback sollte immer aktiv bleiben
Keine erzwungene Fingerprint-only-Konfiguration empfohlen

Typische Fehler

Fingerprint funktioniert bei sudo nicht → pam_fprintd.so fehlt in PAM
Keine Ausgabe bei fprintd → fprintd/libpam-fprintd nicht installiert
Sensor wird erkannt, aber Login geht nicht → GDM-Einschränkung, kein Bug

Fazit

Fingerprint unter Debian ist offiziell unterstützt
sudo und Screen-Unlock funktionieren zuverlässig
Erst-Login per Fingerprint ist nicht garantiert
Konfiguration entspricht Debian Best Practice

Debian Fingerprint

Inhaltsverzeichnis