Eingabedaten und Informationsquellen
Ausweis und Kamerabild legt die Person selbst vor, und das kann auch jemand sein, der sich als eine andere ausgibt. Das System verarbeitet Gesichtsbild, Name und Ausweisdaten der Person.
Biometrische Verifizierung und Video-Ident
Englisch: Biometric verification and remote identity proofing
Das System prüft, ob eine Person die ist, die sie zu sein angibt, etwa indem es ihr Livebild mit dem Foto im Ausweis vergleicht.
Den Anwendungsfall verstehen
Was macht diesen Anwendungsfall aus?
Die Person zeigt ihren Ausweis und ihr Gesicht in die Kamera. Das System vergleicht beide Bilder und prüft, ob ein Mensch vor der Kamera steht und kein Foto, keine Maske oder eingespieltes Video. Grenzkontrollen und Verwaltungsportale nutzen das, für Video-Ident gibt das BSI eine Technische Richtlinie heraus.
Die Seite beschreibt einen typischen Aufbau. Die tatsächlichen Datenwege und Befugnisse ergeben sich aus Ihrer Umsetzung.
- Bauform
- Auswertung und Verarbeitung
- Handlungsmacht
- Handlungsrechte je nach Einbindung
- Einsatzfelder
- Grenzkontrolle, digitale Verwaltung
- Auch bekannt als
- Gesichtsabgleich mit Ausweis, Liveness-Prüfung, Videoidentifizierung, eGate
Funktionsweise und Ablauf
Aufbau und Datenwege
Eingabedaten
Die Person legt ihren Ausweis vor oder fotografiert ihn und zeigt ihr Gesicht in die Kamera.
Ausweis und Kamerabild legt die Person selbst vor, und das kann auch jemand sein, der sich als eine andere ausgibt. Beim Video-Ident prüft das System Livebild, Ausweisbild und oft Ton gemeinsam.
Verarbeitung
Das System prüft, ob ein lebender Mensch vor der Kamera steht, und vergleicht das Gesicht mit dem Lichtbild im Ausweis.
Das System vergleicht ein erfasstes biometrisches Merkmal mit der Referenz einer behaupteten Identität. Anders als bei einer Suche im gesamten Personenbestand geht es um die Bestätigung dieses einzelnen Identitätsanspruchs. Eine Lebenderkennung kann ein zusätzlicher Prüfschritt sein, sofern sie eingebunden ist.
Ergebnisse
Das System meldet, ob beide Bilder dieselbe Person zeigen, meist mit einem Übereinstimmungswert.
Das Ergebnis beschreibt die definierte Modellaufgabe. Ein Treffer, eine Kategorie oder eine Prognose erhält seine fachliche Bedeutung erst zusammen mit den zugrunde liegenden Daten und dem vorgesehenen Verwendungszweck.
Nutzung und Auswirkungen
Bei Übereinstimmung öffnet sich die Sperre, das Konto wird eröffnet oder die Anmeldung freigeschaltet, sonst prüft ein Mensch weiter.
Die Einbindung bestimmt, ob das Ergebnis lediglich angezeigt, nach Freigabe übernommen oder direkt in ein Fachverfahren geschrieben wird. Diese Varianten unterscheiden sich in ihren Datenwegen und Befugnissen.
Aufbau aktiv erkunden: Wählen Sie einen Baustein, um seine Aufgabe, die ein- und ausgehenden Daten und die Einbindung im Anwendungsfall zu sehen. Der geführte Ablauf erläutert jede Phase. Mit Ja, Offen und Nein können Sie anschließend Ihre konkrete Systemvariante abbilden.
13 zuerst zu prüfen4 zu klären7 Grundlagen
- Vorhanden
- Hängt von Ihrem System ab
- Nicht vorhanden
- Zuerst zu prüfen
- Zu klären
So nutzen Sie das Modell
Das Bild zeigt den Anwendungsfall, wie er typischerweise gebaut ist. Wählen Sie einen Baustein, um zu sehen, was dort geschieht, und stellen Sie seine Merkmale auf Ihr System um. Mit „Analysehinweise“ sehen Sie anschließend, welche Prüfkandidaten zu diesem Aufbau gehören. Die Prüfliste der Seite bleibt auf den typischen Fall bezogen.
Abweichungen vom typischen Fall
Noch keine. Jede Umstellung erscheint hier.
Wo die meisten Bedrohungen ansetzen
- 5 zuerst zu prüfen
- 5 zuerst zu prüfen
- 1 zuerst zu prüfen, 1 zu klären
- 1 zuerst zu prüfen, 1 zu klären
Im gezeigten Aufbau: 13 zuerst zu prüfen, 4 zu klären, 7 Grundlagen.
Aufbau als Liste
Zugang von außen: Vorhanden
Zuerst prüfen
Eingabe: Gehört zu jedem KI-System
Zuerst prüfen
- Adversariale Eingaben Prüfschwerpunkt
- Multimodale Angriffe Prüfschwerpunkt
- Privacy-Angriffe
- Offenlegung sensibler Informationen
- Exfiltration aus der ML-Anwendung
Inhalte Dritter: Vorhanden
KI-Modell: Gehört zu jedem KI-System
Grundlage für jedes KI-System
Dienst eines Anbieters: Vorhanden
Zuerst prüfen
Zu klären
Training und Rückmeldung: Vorhanden
Zuerst prüfen
Zu klären
Ergebnis: Gehört zu jedem KI-System
Zuerst prüfen
- Unsicherer Umgang mit Modellausgaben Prüfschwerpunkt
Fachanwendung oder Anlage: Hängt von Ihrem System ab
Zu klären
Mensch: Gehört zu jedem KI-System
Grundlage für jedes KI-System
Betroffene Person: Vorhanden
KI-Dienste ohne Freigabe: Hängt von Ihrem System ab
Zu klären
Lieferkette und technische Basis: 5 Grundlagen, die für jedes KI-System gelten
Grundlage für jedes KI-System
Abgrenzung zu ähnlichen Anwendungsfällen
Biometrische Fernidentifizierung (Gesichtserkennung)
Sucht eine unbekannte Person unter vielen gespeicherten Gesichtern, ohne dass sie mitwirkt
Daten und Informationen
Verarbeitung und Betriebsumgebung
Gesichtsabgleich und Lebenderkennung kaufen Betreiber in der Regel bei spezialisierten Anbietern ein, bei GOV.UK One Login etwa von iProov.
Speicherung und weitere Nutzung
Protokollierung, Speicherfristen und eine mögliche Verwendung für Training müssen für die konkrete Umsetzung geklärt werden.
Ergebnisse und Datenweitergabe
Je nach Verfahren schaltet ein positives Ergebnis ein Konto direkt frei oder ein Mensch bestätigt es erst. Prüft ein Anbieter in seiner Cloud, verlassen Gesichtsbild und Ausweisdaten die eigene Umgebung.
Ein eingebundener Anbieter legt den Verarbeitungsort nicht automatisch fest. Speicherort, Unterauftragnehmer, Löschfristen und die Nutzung für Training sind im konkreten Betrieb zu prüfen.
Risiken einordnen und Maßnahmen festlegen
Vom Systemverständnis zur Risikoanalyse
- System abgrenzen
Daten, Beteiligte, Schnittstellen und Rechte erfassen. Offene Merkmale im Modell klären.
- Bedrohungen untersuchen
Prüfkandidaten auf die tatsächlichen Datenwege beziehen: Was könnte passieren und wer wäre betroffen?
- Risiko bewerten
Auswirkungen und Eintrittswahrscheinlichkeit im Einsatzkontext bewerten. Die Anzahl der Prüfkandidaten ist kein Risikowert.
- Maßnahmen nachweisen
Geeignete Kontrollen auswählen, Verantwortliche und Wirksamkeitsprüfungen festlegen. Restrisiken und Freigaben dokumentieren.
Wichtige Bedrohungen im Anwendungskontext
- 3 besonders wichtig
- 10 üblich
- 4 je nach System
- 7 weitere bei jedem KI-System
Insgesamt kommen bei diesem Anwendungsfall 24 Bedrohungen aus dem Bedrohungskatalog infrage.
Außerdem prüfen: ob das System Gruppen benachteiligt
Prüfen Sie, ob Auswahl, Rangfolge oder Bewertung Menschen mit geschützten Merkmalen benachteiligen, etwa nach Geschlecht, Alter oder Herkunft.
Vorrangige Prüfansätze
Wer sich als eine andere Person ausgeben will, hält ein Foto, eine Maske oder ein künstlich erzeugtes Video vor die Kamera. Überlistet das die Lebenderkennung, eröffnet das System ein Konto oder öffnet die Sperre für die falsche Person.
Unsicherer Umgang mit Modellausgaben
Das Ergebnis der Prüfung gilt im nachgelagerten Verfahren als bestätigte Identität. Wird es ohne weitere Kontrolle übernommen, kann ein einziger Fehler zu einem Konto oder Zugang unter falschem Namen führen.
Wer ein künstlich erzeugtes Video direkt in den Kamerastrom einspeist, umgeht die Lebenderkennung, ohne vor der Kamera zu stehen. Das System bestätigt dann eine Identität, die niemand vorgezeigt hat.
10 weitere Prüfkandidaten im typischen Aufbau
Weitere relevante Bedrohungen
Gezielte Datenvergiftung / Label-Vergiftung
Wer die Kennzeichnungen in den Trainingsdaten fälscht, kann die Ergebnisse des Modells gezielt verschieben.
Steht hier wegen dieser Eigenschaft
- Lernt aus Beispielen mit richtiger Antwort
Über Trainingsdaten oder ein übernommenes Grundmodell kann das Modell versteckte Auslöser für Fehlverhalten enthalten.
Steht hier wegen dieser Eigenschaft
- Nutzt ein Modell eines anderen Anbieters
Wer das Modell abfragen kann, kann es mit vielen Abfragen nachbauen. Selbst trainierte Gewichte lassen sich über den Netzzugang stehlen.
Steht hier wegen dieser Eigenschaft
- Ist für Menschen außerhalb der Organisation nutzbar
Denial-of-Service auf das Modell
Aufwendige oder massenhafte Eingaben können die Rechenleistung des Modells erschöpfen.
Steht hier wegen dieser Eigenschaften
- Ist für Menschen außerhalb der Organisation nutzbar
- Verarbeitet Text, Bild und Sprache gemeinsam
Cost Harvesting / Zweckentfremdung
Kostenpflichtige oder öffentlich auslösbare Abfragen lassen sich missbrauchen, um Rechenleistung und Geld zu verbrauchen.
Steht hier wegen dieser Eigenschaft
- Ist für Menschen außerhalb der Organisation nutzbar
Mit gezielten Abfragen lassen sich personenbezogene und schutzbedürftige Trainingsdaten teilweise aus dem Modell zurückgewinnen.
Steht hier wegen dieser Eigenschaften
- Verarbeitet personenbezogene Daten
- Verarbeitet vertrauliche Daten
- Erkennt oder vergleicht Personen an Körpermerkmalen
Offenlegung sensibler Informationen
Vertrauliche Inhalte können in Antworten, im mitgegebenen Kontext oder in Protokollen auftauchen.
Steht hier wegen dieser Eigenschaften
- Verarbeitet personenbezogene Daten
- Verarbeitet vertrauliche Daten
Exfiltration aus der ML-Anwendung
Schutzbedürftige Daten können über Werkzeuge, Netzverbindungen, Speicher oder Innentäter abfließen.
Steht hier wegen dieser Eigenschaft
- Verarbeitet vertrauliche Daten
Denial-of-Service auf die Anwendung
Ist die Anwendung über das Netz erreichbar, können massenhafte Anfragen sie lahmlegen.
Steht hier wegen dieser Eigenschaft
- Ist für Menschen außerhalb der Organisation nutzbar
Gezielte Abfragen können verraten, wie das Modell gebaut und geschützt ist.
Steht hier wegen dieser Eigenschaft
- Ist für Menschen außerhalb der Organisation nutzbar
Je nach Aufbau Ihres Systems kommen bis zu 4 weitere hinzu. Neun Bedrohungen prüfen Sie bei jedem KI-System. Zwei davon sind hier besonders wichtig und stehen deshalb oben.
Systemmerkmale und offene Fragen
Jedes Ja setzt weitere Bedrohungen auf Ihre Prüfliste, insgesamt bis zu 4. Können Sie eine Frage noch nicht beantworten, prüfen Sie die Bedrohungen mit.
- Kommt mit diesem Ja hinzu
Wie Ihr System gebaut ist
- Verändert Daten oder löst Vorgänge aus1 Bedrohung
- Steuert Vorgänge in der physischen Welt1 Bedrohung
- Lernt aus Ihren eigenen Daten1 Bedrohung
- Verwertet Rückmeldungen aus dem Betrieb1 Bedrohung
Wie Sie das System betreiben
Wie Ihr System gebaut ist
Kann das System selbst etwas verändern, etwa Daten speichern, Nachrichten senden, Buchungen auslösen oder Rechte vergeben?
Je nach Verfahren schaltet ein positives Ergebnis ein Konto direkt frei oder ein Mensch bestätigt es erst.
Wenn ja, kommt hinzu
Bewegt oder steuert das System unmittelbar etwas in der physischen Welt, etwa Motoren, Ventile, Fahrzeuge oder Temperaturen?
An der automatischen Grenzkontrolle öffnet ein positives Ergebnis die Sperre.
Wenn ja, kommt hinzu
Trainiert oder verfeinert Ihre Organisation das Modell selbst mit eigenen Daten?
Wenn ja, kommt hinzu
Fließen Rückmeldungen oder Ergebnisse aus dem Betrieb später in Auswertung oder Training ein?
Wenn ja, kommt hinzu
Wie Sie das System betreiben
Diese Fragen stellen sich bei fast jedem KI-System.
Teilt sich das System Server oder Rechenleistung mit anderen Kunden oder Anwendungen?
Wenn ja, kommt hinzu
Nutzen Beschäftigte für diese Aufgabe auch KI-Dienste, die Ihre Organisation nicht freigegeben hat?
Wenn ja, kommt hinzu
Maßnahmen und Umsetzung
Maßnahmen zu den Prüfschwerpunkten sind direkt geöffnet. Die verlinkten Maßnahmen erläutern jeweils die Umsetzung.
PrüfschwerpunktAdversariale Eingaben2 Maßnahmen
PrüfschwerpunktUnsicherer Umgang mit Modellausgaben3 Maßnahmen
PrüfschwerpunktMultimodale Angriffe2 Maßnahmen
Gezielte Datenvergiftung / Label-Vergiftung3 Maßnahmen
Backdoor im ML-Modell2 Maßnahmen
Modell-Diebstahl3 Maßnahmen
Denial-of-Service auf das Modell3 Maßnahmen
Cost Harvesting / Zweckentfremdung3 Maßnahmen
Privacy-Angriffe3 Maßnahmen
Offenlegung sensibler Informationen3 Maßnahmen
Exfiltration aus der ML-Anwendung3 Maßnahmen
Denial-of-Service auf die Anwendung3 Maßnahmen
Modell-Reconnaissance3 Maßnahmen
Maßnahmen gegen die übrigen Bedrohungen finden Sie auf deren Seiten im Bedrohungskatalog.
Vorschriften der KI-Verordnung
-
Art. 4: KI-Kompetenz
Für jedes KI-System Gilt seit dem 2. Februar 2025.
-
Anhang III Nr. 7: Migration, Asyl und Grenzkontrolle
Je nach Einsatz Prüfanlass ab dem 2. Dezember 2027.
Gilt für jedes KI-System
Art. 4: KI-Kompetenz
Greift, wenn Beschäftigte oder Beauftragte KI-Systeme betreiben oder nutzen.
Gilt seit dem 2. Februar 2025.
Pflichten und Einzelheiten zu Art. 4: KI-Kompetenz
- Wer die Pflichten trägt
- Anbieter, Betreiber, Produkthersteller, Anbieter eines KI-Modells mit allgemeinem Verwendungszweck
Die Pflichten im Einzelnen
Kann bei bestimmtem Einsatz greifen
Anhang III Nr. 7: Migration, Asyl und Grenzkontrolle
Greift, wenn Grenzbehörden das System einsetzen, um Personen zu erkennen oder zu identifizieren, und dabei über die Prüfung von Reisedokumenten hinausgehen.
Gilt ab dem 2. Dezember 2027.
Pflichten und Einzelheiten zu Anhang III Nr. 7: Migration, Asyl und Grenzkontrolle
- Allgemein lautet die Bedingung
- Greift, wenn das System bei der Prüfung von Asyl-, Visa- oder Aufenthaltsanträgen oder bei Grenzkontrollen eingesetzt wird.
- Wer die Pflichten trägt
- Anbieter, Betreiber, Produkthersteller
Die Pflichten im Einzelnen
Greift in der Regel nicht
Anhang III Nr. 1 Buchst. a: Biometrische Fernidentifizierung
Das System bestätigt nur die Identität, die eine mitwirkende Person angibt. Eine solche Verifizierung nimmt Anhang III Nr. 1 Buchst. a ausdrücklich aus.
Pflichten und Einzelheiten zu Anhang III Nr. 1 Buchst. a: Biometrische Fernidentifizierung
- Allgemein lautet die Bedingung
- Greift, wenn das System Personen aus der Ferne anhand biometrischer Merkmale identifiziert.
- Ausnahme
- Systeme, die nur bestätigen, dass eine Person die ist, die sie zu sein angibt.
- Wer die Pflichten trägt
- Anbieter, Betreiber, Produkthersteller
Die Pflichten im Einzelnen
Ihr System im Schnellprüfer einordnen Alle Pflichten im Pflichtenkompass
Übergreifende Bedrohungen
Diese Bedrohungen prüfen Sie bei jedem KI-System, egal wofür es eingesetzt wird.
- Lieferkette: Infrastruktur
- Lieferkette: Modelle
- Lieferkette: Datensätze
- Adversariale Eingaben Prüfschwerpunkt: Adversariale Eingaben
- Unsicherer Umgang mit Modellausgaben Prüfschwerpunkt: Unsicherer Umgang mit Modellausgaben
- Anwendungs-Schwachstellen
- Übermäßiges Vertrauen in das KI-System
- Modell-Drift & -Degradation
- Middleware-Exploits (Angriffe auf AI-Frameworks)
Abweichende Systemmerkmale
16 weitere Fragen ansehen
Trifft eine dieser Fragen bei Ihrem System doch zu, kommen die genannten Bedrohungen hinzu.
Schreibt das System eigene Texte, etwa Antworten, Entwürfe oder Zusammenfassungen?
Das System meldet „passt“ oder „passt nicht“ mit einem Wert und schreibt keinen Text.
Wenn ja, kommt hinzu
Erzeugt oder verändert das System Bilder, Töne, Stimmen oder Videos?
Wenn ja, kommt hinzu
Schreibt oder gestaltet das System auf freie Anfrage neue Inhalte, die Menschen direkt lesen, sehen oder hören? Übersetzen, Vorlesen und Abschreiben zählen nicht.
Wenn ja, kommt hinzu
Kann man dem System in normaler Sprache Aufträge geben, die es dann ausführt?
Wenn ja, kommt hinzu
Sucht das System in einer eigenen Sammlung von Dokumenten oder Datensätzen nach passenden Inhalten?
Das System vergleicht zwei Bilder derselben Person und durchsucht keinen Bestand von Gesichtern.
Wenn ja, kommt hinzu
Formuliert das System seine Antwort aus gefundenen Dokumenten?
Wenn ja, kommt hinzu
Nutzt das System ein Begriffsnetz (Wissensgraph), in dem Begriffe und ihre Beziehungen gespeichert sind?
Wenn ja, kommt hinzu
Merkt sich das System Inhalte aus früheren Gesprächen oder Aufgaben und nutzt sie später wieder?
Wenn ja, kommt hinzu
Ruft das System selbst andere Programme, Schnittstellen oder Suchdienste auf, auch wenn es dort nur liest?
Wenn ja, kommt hinzu
Legt das System seine nächsten Arbeitsschritte selbst fest, je nachdem, was vorher herauskam?
Wenn ja, kommt hinzu
Gibt das System Aufgaben an andere KI-Agenten weiter oder übernimmt es deren Ergebnisse?
Wenn ja, kommt hinzu
Ist das System über das Model Context Protocol (MCP) an Werkzeuge oder Datenquellen angebunden?
Wenn ja, kommt hinzu
Liegen Dokumente mehrerer Kunden, Abteilungen oder Berechtigungsgruppen im selben Suchspeicher?
Wenn ja, kommt hinzu
Erzeugt das System Programmcode, Skripte oder Datenbankabfragen, die weiterverwendet werden?
Wenn ja, kommt hinzu
Führt das System selbst Programme, Skripte oder Befehle aus?
Wenn ja, kommt hinzu
Soll das System eine vorgegebene Kennzahl möglichst verbessern, etwa Umsatz, Auslastung oder Klicks?
Wenn ja, kommt hinzu
Quellen
- Bericht über einen Einsatz
Bundespolizei, Teilautomatisierte Grenzkontrolle EasyPASS Nach Angabe des Betreibers
Die Bundespolizei beschreibt die teilautomatisierte Grenzkontrolle, bei der Reisende den Pass auflegen und in eine Kamera blicken.
- Register oder Fallsammlung
UK Algorithmic Transparency Record, GOV.UK One Login Liveness and Likeness Checks
Der Eintrag beschreibt einen Selfie-Abgleich mit Lebenderkennung für die staatliche Anmeldung.
- Rechtsakt, Norm oder Standard
BSI, Technische Richtlinie TR-03147
Das BSI regelt in dieser Richtlinie, wie die Identität von Personen aus der Ferne geprüft wird, etwa per Video-Ident.
- Rechtsakt, Norm oder Standard
KI-Verordnung, Anhang III Nr. 1 Buchst. a
Die Verordnung nimmt die reine Verifizierung, die nur eine behauptete Identität bestätigt, von der biometrischen Fernidentifizierung aus.
Verwandte Anwendungsfälle
Ebenfalls im Einsatzgebiet Biometrie und Emotionserkennung
- Biometrische Fernidentifizierung (Gesichtserkennung)Das System gleicht Gesichter aus Kamerabildern oder Fotos mit einer Datenbank ab, um unbekannte Personen zu identifizieren.
- EmotionserkennungAus Gesicht, Stimme oder Verhalten schließt das System auf Gefühle oder Absichten einer Person.
Oft zusammen eingesetzt mit
- Geldwäscheerkennung und SanktionsscreeningBanken durchsuchen Konten- und Zahlungsdaten nach Mustern der Geldwäsche und gleichen alle Beteiligten mit Sanktionslisten ab.
- Betrugserkennung im ZahlungsverkehrEin Modell bewertet jede Zahlung in Echtzeit auf Betrugsverdacht und hält auffällige Zahlungen an oder legt sie zur Prüfung vor.
Stand: 30. September 2026. Regelwerk der Prüfliste in Fassung 0.3.2, Bedrohungskatalog in Fassung 2026.10.24.2. Wie diese Seiten aufgebaut sind