Versatile AI Risk Assessment
Biometrie und Emotionserkennung

Biometrische Fernidentifizierung (Gesichtserkennung)

Englisch: Remote biometric identification and facial recognition

Das System gleicht Gesichter aus Kamerabildern oder Fotos mit einer Datenbank ab, um unbekannte Personen zu identifizieren.

Interaktives Modell erkunden

Handout exportieren

Eine kompakte PDF mit Funktionsweise, Datenwegen und Prüfansätzen zum Weitergeben.

Die Erläuterungen und Maßnahmen beschreiben den typischen Aufbau. Viele eigene Änderungen ergänzen einen Anhang.

Den Anwendungsfall verstehen

Was macht diesen Anwendungsfall aus?

Die Person wirkt dabei nicht mit: Das System sucht ihr Gesicht unter vielen gespeicherten Bildern und nennt die ähnlichsten Treffer. Das Bundeskriminalamt gleicht Bilder so im laufenden Betrieb nachträglich ab, am Bahnhof Berlin Südkreuz wurde der Abgleich in Echtzeit getestet.

Die Seite beschreibt einen typischen Aufbau. Die tatsächlichen Datenwege und Befugnisse ergeben sich aus Ihrer Umsetzung.

Bauform
Auswertung und Verarbeitung
Handlungsmacht
Handlungsrechte je nach Einbindung
Einsatzfelder
Polizei
Auch bekannt als
Gesichtserkennung, Lichtbildabgleich, Gesichtssuchmaschine

Funktionsweise und Ablauf

Aufbau und Datenwege

  1. Eingabedaten

    Am Anfang steht ein Foto oder Kamerabild einer unbekannten Person.

    Kamerabilder, Fahndungsfotos und Bilder aus dem Internet stammen nicht von der Stelle, die das System betreibt. Das System verarbeitet Gesichtsbilder bestimmbarer Personen und verknüpft sie mit ihrer Identität.

  2. Verarbeitung

    Das System berechnet aus dem Gesicht ein Merkmalsprofil und vergleicht es mit den gespeicherten Bildern.

    Das System erkennt ein biometrisches Merkmal in einer Aufnahme und erzeugt daraus eine vergleichbare Merkmalsdarstellung. Diese wird mit einem Referenzbestand abgeglichen, um mögliche Identitäten zu finden. Die Qualität der Aufnahme, der Referenzbestand und die Entscheidungsschwelle beeinflussen die Treffer.

  3. Ergebnisse

    Das System nennt die ähnlichsten Personen mit ihren Ähnlichkeitswerten.

    Das Ergebnis beschreibt die definierte Modellaufgabe. Ein Treffer, eine Kategorie oder eine Prognose erhält seine fachliche Bedeutung erst zusammen mit den zugrunde liegenden Daten und dem vorgesehenen Verwendungszweck.

  4. Nutzung und Auswirkungen

    Sachverständige oder Einsatzkräfte prüfen die Treffer und entscheiden über Ermittlung, Kontrolle oder Festnahme.

    Die Einbindung bestimmt, ob das Ergebnis lediglich angezeigt, nach Freigabe übernommen oder direkt in ein Fachverfahren geschrieben wird. Diese Varianten unterscheiden sich in ihren Datenwegen und Befugnissen.

Aufbau aktiv erkunden: Wählen Sie einen Baustein, um seine Aufgabe, die ein- und ausgehenden Daten und die Einbindung im Anwendungsfall zu sehen. Der geführte Ablauf erläutert jede Phase. Mit Ja, Offen und Nein können Sie anschließend Ihre konkrete Systemvariante abbilden.

8 zuerst zu prüfen10 zu klären7 Grundlagen

EingangVerarbeitungErgebnisWirkung Zugangvon außen 04 Eingabe 40 InhalteDritter 00 KI-Modell 00 Dienst einesAnbieters 12 Dokumenten-sammlung 11 Gedächtnis 00 Training undRückmeldung 11 WeitereKI-Agenten 00 Werkzeuge undSchnittstellen 00 Ergebnis 00 Fachanwendungoder Anlage 01 Mensch 10 BetroffenePerson 00 KI-Diensteohne Freigabe 01 Zugangvon außen 04 Eingabe 40 InhalteDritter 00 KI-Modell 00 Dienst einesAnbieters 12 Dokumenten-sammlung 11 Gedächtnis 00 Training undRückmeldung 11 WeitereKI-Agenten 00 Werkzeuge undSchnittstellen 00 Ergebnis 00 Fachanwendungoder Anlage 01 Mensch 10 BetroffenePerson 00 KI-Diensteohne Freigabe 01
  • Vorhanden
  • Hängt von Ihrem System ab
  • Nicht vorhanden
  • Zuerst zu prüfen
  • Zu klären
Aufbau als Liste

Abgrenzung zu ähnlichen Anwendungsfällen

Daten und Informationen

Eingabedaten und Informationsquellen

Kamerabilder, Fahndungsfotos und Bilder aus dem Internet stammen nicht von der Stelle, die das System betreibt. Das System verarbeitet Gesichtsbilder bestimmbarer Personen und verknüpft sie mit ihrer Identität.

Verarbeitung und Betriebsumgebung

Die Erkennungsverfahren stammen in der Regel von spezialisierten Anbietern.

Speicherung und weitere Nutzung

Das System sucht das Gesicht in einem Bestand gespeicherter Lichtbilder und gibt die ähnlichsten zurück.

Ergebnisse und Datenweitergabe

Je nach Betrieb löst ein Treffer selbst eine Meldung an Einsatzkräfte aus oder geht erst an Sachverständige zur Prüfung.

Ein eingebundener Anbieter legt den Verarbeitungsort nicht automatisch fest. Speicherort, Unterauftragnehmer, Löschfristen und die Nutzung für Training sind im konkreten Betrieb zu prüfen.

Risiken einordnen und Maßnahmen festlegen

Vom Systemverständnis zur Risikoanalyse

  1. System abgrenzen

    Daten, Beteiligte, Schnittstellen und Rechte erfassen. Offene Merkmale im Modell klären.

  2. Bedrohungen untersuchen

    Prüfkandidaten auf die tatsächlichen Datenwege beziehen: Was könnte passieren und wer wäre betroffen?

  3. Risiko bewerten

    Auswirkungen und Eintrittswahrscheinlichkeit im Einsatzkontext bewerten. Die Anzahl der Prüfkandidaten ist kein Risikowert.

  4. Maßnahmen nachweisen

    Geeignete Kontrollen auswählen, Verantwortliche und Wirksamkeitsprüfungen festlegen. Restrisiken und Freigaben dokumentieren.

Wichtige Bedrohungen im Anwendungskontext

  • 3 besonders wichtig
  • 5 üblich
  • 10 je nach System
  • 7 weitere bei jedem KI-System

Insgesamt kommen bei diesem Anwendungsfall 25 Bedrohungen aus dem Bedrohungskatalog infrage.

Außerdem prüfen: ob das System Gruppen benachteiligt

Prüfen Sie, ob Auswahl, Rangfolge oder Bewertung Menschen mit geschützten Merkmalen benachteiligen, etwa nach Geschlecht, Alter oder Herkunft.

Vorrangige Prüfansätze

  1. Übermäßiges Vertrauen in das KI-System

    Das System nennt den ähnlichsten Treffer, auch wenn die gesuchte Person gar nicht im Bestand ist. Verlassen sich Ermittlerinnen und Ermittler darauf, gerät eine unbeteiligte Person unter Verdacht, wie die Vorfälle in Detroit zeigen.

  2. Adversariale Eingaben

    Brillen, Schminke, Masken oder bearbeitete Fotos verändern die Merkmale, die das System vergleicht. Die gesuchte Person bleibt dann unerkannt, oder das System hält sie für eine andere.

  3. Privacy-Angriffe

    Wer das System wiederholt mit Bildern abfragt, kann aus den Antworten schließen, ob eine bestimmte Person im Bestand gespeichert ist. Schon diese Auskunft kann verraten, dass gegen jemanden ermittelt wurde.

5 weitere Prüfkandidaten im typischen Aufbau

Weitere relevante Bedrohungen

  1. Gezielte Datenvergiftung / Label-Vergiftung

    Wer die Kennzeichnungen in den Trainingsdaten fälscht, kann die Ergebnisse des Modells gezielt verschieben.

    Steht hier wegen dieser Eigenschaft

    • Lernt aus Beispielen mit richtiger Antwort

  2. Backdoor im ML-Modell

    Über Trainingsdaten oder ein übernommenes Grundmodell kann das Modell versteckte Auslöser für Fehlverhalten enthalten.

    Steht hier wegen dieser Eigenschaft

    • Nutzt ein Modell eines anderen Anbieters

  3. Offenlegung sensibler Informationen

    Vertrauliche Inhalte können in Antworten, im mitgegebenen Kontext oder in Protokollen auftauchen.

    Steht hier wegen dieser Eigenschaften

    • Verarbeitet personenbezogene Daten
    • Verarbeitet vertrauliche Daten

  4. Exfiltration aus der ML-Anwendung

    Schutzbedürftige Daten können über Werkzeuge, Netzverbindungen, Speicher oder Innentäter abfließen.

    Steht hier wegen dieser Eigenschaft

    • Verarbeitet vertrauliche Daten

  5. RAG-spezifische Angriffe (Document Poisoning)

    Was in die abrufbare Wissenssammlung gelangt, kann Antworten und nächste Schritte beeinflussen.

    Steht hier wegen dieser Eigenschaft

    • Durchsucht eine eigene Sammlung von Dokumenten

Je nach Aufbau Ihres Systems kommen bis zu 10 weitere hinzu. Neun Bedrohungen prüfen Sie bei jedem KI-System. Zwei davon sind hier besonders wichtig und stehen deshalb oben.

Systemmerkmale und offene Fragen

Jedes Ja setzt weitere Bedrohungen auf Ihre Prüfliste, insgesamt bis zu 10. Können Sie eine Frage noch nicht beantworten, prüfen Sie die Bedrohungen mit.

Wie viele Bedrohungen bei Ja hinzukommen
  • Kommt mit diesem Ja hinzu
  • Braucht zusätzlich ein Ja auf eine andere Frage

Wie Ihr System gebaut ist

  1. Lernt aus Ihren eigenen Daten1 Bedrohung, 1 weitere nur zusammen mit weiteren Merkmalen
  2. Verändert Daten oder löst Vorgänge aus1 Bedrohung
  3. Ein Suchspeicher für mehrere Berechtigungsgruppen1 Bedrohung
  4. Verwertet Rückmeldungen aus dem Betrieb1 Bedrohung

Wie Sie das System betreiben

  1. Ist für Menschen außerhalb der Organisation nutzbar5 Bedrohungen
  2. Nimmt Anfragen direkt über eine Schnittstelle an4 Bedrohungen
  3. Ist über ein Netzwerk erreichbar2 Bedrohungen, 1 weitere nur zusammen mit weiteren Merkmalen
  4. Verursacht mit jeder Anfrage Kosten1 Bedrohung
  5. Teilt Rechenleistung mit anderen Kunden oder Anwendungen1 Bedrohung
  6. Neben KI-Diensten ohne Freigabe im Einsatz1 Bedrohung

Wie Ihr System gebaut ist

Kann das System selbst etwas verändern, etwa Daten speichern, Nachrichten senden, Buchungen auslösen oder Rechte vergeben?

Je nach Betrieb löst ein Treffer selbst eine Meldung an Einsatzkräfte aus oder geht erst an Sachverständige zur Prüfung.

Wenn ja, kommt hinzu

Liegen Dokumente mehrerer Kunden, Abteilungen oder Berechtigungsgruppen im selben Suchspeicher?

Bei kommerziellen Diensten durchsuchen viele Kundinnen und Kunden denselben Bildbestand.

Wenn ja, kommt hinzu

Fließen Rückmeldungen oder Ergebnisse aus dem Betrieb später in Auswertung oder Training ein?

Wenn ja, kommt hinzu

Wie Sie das System betreiben

Diese Fragen stellen sich bei fast jedem KI-System.

Nutzen Beschäftigte für diese Aufgabe auch KI-Dienste, die Ihre Organisation nicht freigegeben hat?

Laden Ermittlerinnen und Ermittler Bilder in eine frei verfügbare Gesichtssuchmaschine, geschieht das außerhalb jeder Freigabe.

Wenn ja, kommt hinzu

Maßnahmen und Umsetzung

Maßnahmen zu den Prüfschwerpunkten sind direkt geöffnet. Die verlinkten Maßnahmen erläutern jeweils die Umsetzung.

PrüfschwerpunktÜbermäßiges Vertrauen in das KI-System3 Maßnahmen
PrüfschwerpunktAdversariale Eingaben2 Maßnahmen
PrüfschwerpunktPrivacy-Angriffe3 Maßnahmen
Gezielte Datenvergiftung / Label-Vergiftung3 Maßnahmen
Backdoor im ML-Modell2 Maßnahmen
Offenlegung sensibler Informationen3 Maßnahmen
Exfiltration aus der ML-Anwendung3 Maßnahmen
RAG-spezifische Angriffe (Document Poisoning)3 Maßnahmen

Maßnahmen gegen die übrigen Bedrohungen finden Sie auf deren Seiten im Bedrohungskatalog.

Vorschriften der KI-Verordnung

Wann die Vorschriften der KI-Verordnung gelten
  1. Art. 4: KI-Kompetenz

    Für jedes KI-System Gilt seit dem 2. Februar 2025.

  2. Art. 5 Abs. 1 Buchst. e, f, g, h: Verbotene biometrische Praktiken

    Bei typischem Einsatz Prüfanlass seit dem 2. Februar 2025.

  3. Anhang III Nr. 1 Buchst. a: Biometrische Fernidentifizierung

    Bei typischem Einsatz Prüfanlass ab dem 2. Dezember 2027.

  4. Anhang III Nr. 6: Strafverfolgung

    Je nach Einsatz Prüfanlass ab dem 2. Dezember 2027.

  5. Anhang III Nr. 7: Migration, Asyl und Grenzkontrolle

    Je nach Einsatz Prüfanlass ab dem 2. Dezember 2027.

Gilt für jedes KI-System

Art. 4: KI-Kompetenz

Greift, wenn Beschäftigte oder Beauftragte KI-Systeme betreiben oder nutzen.

Gilt seit dem 2. Februar 2025.

Pflichten und Einzelheiten
Wer die Pflichten trägt
Anbieter, Betreiber, Produkthersteller, Anbieter eines KI-Modells mit allgemeinem Verwendungszweck

Die Pflichten im Einzelnen

Kann beim üblichen Einsatz greifen

Art. 5 Abs. 1 Buchst. e, f, g, h: Verbotene biometrische Praktiken

Greift, wenn Gesichtsbilder ungezielt aus dem Internet oder aus Videoaufnahmen gesammelt werden, um den Bestand aufzubauen, oder wenn die Polizei Personen im öffentlichen Raum in Echtzeit identifiziert.

Gilt seit dem 2. Februar 2025.

Pflichten und Einzelheiten
Allgemein lautet die Bedingung
Greift, wenn das System eines davon tut: Gesichtsbilder ungezielt aus dem Internet oder aus Videoaufnahmen sammeln, Gefühle am Arbeitsplatz oder in Bildungseinrichtungen erkennen, Personen biometrisch nach sensiblen Merkmalen einordnen oder Personen im öffentlichen Raum zur Strafverfolgung in Echtzeit identifizieren.
Ausnahme
Gefühle am Arbeitsplatz und in Bildungseinrichtungen zu erkennen ist aus medizinischen Gründen und aus Sicherheitsgründen erlaubt. Für die Echtzeit-Identifizierung zur Strafverfolgung gibt es eng begrenzte Ausnahmen.
Wer die Pflichten trägt
Anbieter, Betreiber, Einführer, Händler, Bevollmächtigter, Produkthersteller, Anbieter eines KI-Modells mit allgemeinem Verwendungszweck

Die Pflichten im Einzelnen

Anhang III Nr. 1 Buchst. a: Biometrische Fernidentifizierung

Greift, wenn das System Personen anhand ihres Gesichts aus der Ferne identifiziert, auch nachträglich anhand gespeicherter Aufnahmen.

Gilt ab dem 2. Dezember 2027.

Pflichten und Einzelheiten
Allgemein lautet die Bedingung
Greift, wenn das System Personen aus der Ferne anhand biometrischer Merkmale identifiziert.
Ausnahme
Systeme, die nur bestätigen, dass eine Person die ist, die sie zu sein angibt.
Wer die Pflichten trägt
Anbieter, Betreiber, Produkthersteller

Die Pflichten im Einzelnen

Kann bei bestimmtem Einsatz greifen

Anhang III Nr. 6: Strafverfolgung

Greift, wenn Strafverfolgungsbehörden die Treffer nutzen, um Beweismittel oder Personen in einem Ermittlungsverfahren zu bewerten.

Gilt ab dem 2. Dezember 2027.

Pflichten und Einzelheiten
Allgemein lautet die Bedingung
Greift, wenn Strafverfolgungsbehörden oder Stellen in ihrem Auftrag das System einsetzen, etwa um Beweismittel oder Personen einzuschätzen.
Wer die Pflichten trägt
Anbieter, Betreiber, Produkthersteller

Die Pflichten im Einzelnen

Anhang III Nr. 7: Migration, Asyl und Grenzkontrolle

Greift, wenn Grenzbehörden das System einsetzen, um Personen zu erkennen oder zu identifizieren, und dabei über die Prüfung von Reisedokumenten hinausgehen.

Gilt ab dem 2. Dezember 2027.

Pflichten und Einzelheiten
Allgemein lautet die Bedingung
Greift, wenn das System bei der Prüfung von Asyl-, Visa- oder Aufenthaltsanträgen oder bei Grenzkontrollen eingesetzt wird.
Wer die Pflichten trägt
Anbieter, Betreiber, Produkthersteller

Die Pflichten im Einzelnen

Ihr System im Schnellprüfer einordnen Alle Pflichten im Pflichtenkompass

Übergreifende Bedrohungen

Diese Bedrohungen prüfen Sie bei jedem KI-System, egal wofür es eingesetzt wird.

Warum diese Bedrohungen immer dazugehören

Abweichende Systemmerkmale

15 weitere Fragen ansehen

Trifft eine dieser Fragen bei Ihrem System doch zu, kommen die genannten Bedrohungen hinzu.

Quellen

Verwandte Anwendungsfälle

Ebenfalls im Einsatzgebiet Biometrie und Emotionserkennung

Oft zusammen eingesetzt mit

Stand: 30. September 2026. Regelwerk der Prüfliste in Fassung 0.3.2, Bedrohungskatalog in Fassung 2026.10.24.2. Wie diese Seiten aufgebaut sind