Liveness Detection und Gesichtsverifizierung beim Selfie-KYC

Gesichtsverifizierung mit Liveness Detection ist die Prüfung, bei der ein live aufgenommenes Selfie mit dem Foto in Ihrem Ausweisdokument verglichen wird, um zu bestätigen, dass Sie die Person sind, der das Dokument gehört. Die Liveness Detection (Lebenderkennung) ist der Schritt, der diese Prüfung erst aussagekräftig macht: Sie stellt sicher, dass das Selfie von einem echten, vor der Kamera anwesenden Menschen stammt und nicht von einem ausgedruckten Foto, einer Bildschirmwiedergabe, einer Maske oder einem Deepfake. Zusammen ist das gemeint, wenn bei der Kontoeröffnung an einer Krypto-Börse, bei einer Bank oder in einer Fintech-App von „Selfie-Verifizierung“ oder „biometrischer Verifizierung“ die Rede ist.

Dieser Leitfaden erklärt, wie die Prüfungen funktionieren, worin sich aktive und passive Liveness unterscheiden, wie Anbieter nach ISO/IEC 30107-3 getestet werden, warum Deepfakes und Injection-Angriffe derzeit das zentrale Schlachtfeld sind, was das Datenschutzrecht zu Ihren Gesichtsdaten sagt und was Sie tun können, wenn die Prüfung immer wieder fehlschlägt.

Was Gesichtsverifizierung ist und was nicht

Gesichtsverifizierung ist ein Eins-zu-eins-Abgleich: Ist dieses Gesicht dieselbe Person wie auf jenem Ausweisfoto? Davon zu unterscheiden ist die Gesichtsidentifizierung, also die Eins-zu-viele-Suche eines Gesichts in einer Datenbank, um herauszufinden, wer jemand ist. Die Unterscheidung ist rechtlich ebenso relevant wie technisch. Die EU-KI-Verordnung (AI Act) führt biometrische Fernidentifizierungssysteme in Anhang III als Hochrisiko-Systeme, nimmt aber die biometrische Verifizierung aus, deren einziger Zweck die Bestätigung ist, dass eine bestimmte Person die ist, die sie zu sein vorgibt.

Im Alltag überschneiden sich die Begriffe:

Biometrische Verifizierung ist der Oberbegriff für die Bestätigung der Identität anhand eines körperlichen oder verhaltensbezogenen Merkmals. Beim Online-Onboarding ist das fast immer das Gesicht.
Selfie-Verifizierung beschreibt das Nutzererlebnis: Sie nehmen in der App ein Selfie oder ein kurzes Video auf.
Face Matching ist der Vergleichsalgorithmus, der einen Ähnlichkeitswert zwischen Selfie und Dokumentfoto berechnet.
Liveness Detection, in den Normen als Presentation Attack Detection (PAD) bezeichnet, prüft, ob das Gesicht vor der Kamera echt und anwesend ist.

So läuft eine Selfie-Verifizierung ab

Der genaue Ablauf hängt vom Anbieter ab, eine typische Online-Prüfung verläuft aber in dieser Reihenfolge:

Dokumenterfassung. Sie fotografieren Ihren Reisepass, Personalausweis oder Führerschein. Die Software liest die Daten aus, prüft Sicherheitsmerkmale und extrahiert das Porträt.
Selfie- oder Videoaufnahme. Die App öffnet die Frontkamera und leitet Sie an, Ihr Gesicht richtig ins Bild zu bringen, teils mit Aufforderungen.
Liveness Detection. Die Software analysiert die Aufnahme auf Anzeichen einer Täuschung, etwa Papierstruktur, Bildschirmspiegelungen, Maskenränder oder synthetische Artefakte.
Face Match. Wird die Aufnahme als lebendig eingestuft, wird das Gesicht mit dem Dokumentporträt verglichen und ein Ähnlichkeitswert ermittelt.
Entscheidung. Eindeutige Treffer werden automatisch freigegeben. Grenzfälle gehen an eine Prüferin oder einen Prüfer, eindeutige Fehlschläge werden abgelehnt oder zu einem neuen Versuch zurückgeschickt.

Die Gesichtsverifizierung ist nur eine Ebene des KYC, nicht das Ganze. Dasselbe Onboarding umfasst in der Regel Dokumentenprüfungen, Sanktions- und PEP-Screening und manchmal einen Adressnachweis. Unser Beitrag dazu, was KYC bei Krypto bedeutet, beschreibt den gesamten Prozess.

Aktive vs. passive Liveness Detection

Liveness-Prüfungen gibt es in zwei grundlegenden Varianten, und viele Produkte kombinieren beide.

Aktive Liveness fordert Sie zu einer Handlung auf: blinzeln, lächeln, den Kopf drehen, einem Punkt folgen oder Zahlen laut vorlesen. Die Aufforderungen sind oft zufällig, damit ein vorab aufgenommenes Video sie nicht vorwegnehmen kann. Sie erhöhen den Aufwand und können für manche Menschen mit Behinderungen oder mit älteren Smartphones schwieriger sein.

Passive Liveness arbeitet im Hintergrund anhand eines einzelnen Bildes oder eines kurzen Videos, ohne dass Sie etwas Besonderes tun müssen. Sie analysiert Merkmale wie Textur, Tiefe, Beleuchtung und Reflexionen. Sie ist schneller, hängt aber vollständig von der Qualität des Modells ab.

In der Praxis kombinieren Anbieter beide Ansätze und ergänzen eine Deepfake-Erkennung. Der biometrische Verifizierungsdienst von iDenfy beschreibt zum Beispiel aktive Aufforderungen, eine passive 3D-Tiefen- und Texturanalyse sowie ein separates Deepfake-Erkennungsmodul im selben Ablauf. Wenn Sie einen Anbieter auswählen, gibt unser Vergleich von KYC-Software-Anbietern für Krypto einen Überblick über den Markt.

Wie Liveness getestet wird: ISO/IEC 30107-3, iBeta und NIST

Da jeder Anbieter hohe Genauigkeit für sich beansprucht, suchen Käufer nach unabhängigen Tests. Drei Referenzen tauchen immer wieder auf.

ISO/IEC 30107-3. Die internationale Norm für das Testen der Presentation Attack Detection ist ISO/IEC 30107-3:2023, „Biometric presentation attack detection, Part 3: Testing and reporting“. Die aktuelle zweite Ausgabe erschien im Januar 2023 und ersetzte die Fassung von 2017. Sie legt Grundsätze und Methoden zur Bewertung von PAD fest, regelt die Berichterstattung über Ergebnisse und enthält eine Klassifizierung bekannter Angriffsarten. Wichtig ist ihr Anwendungsbereich: Sie erfasst Angriffe am Erfassungsgerät während der Präsentation, also etwas, das vor die Kamera gehalten wird. Andere Angriffe liegen außerhalb ihres Geltungsbereichs.

PAD-Tests von iBeta. iBeta ist ein unabhängiges Prüflabor mit NVLAP-Akkreditierung des NIST, deren Umfang ISO 30107-3 einschließt. Seine veröffentlichten Teststufen unterscheiden sich darin, wie viel Zeit, Fachwissen und Geld einem Angreifer unterstellt wird. Level 1 verwendet gängige Materialien mit Kosten von bis zu 30 $ pro Artefakt, Level 2 aufwendigere Artefakte wie Masken mit Kosten von bis zu 300 $. iBeta stellt klar, dass seine Bestätigungsschreiben die Konformität mit der Testmethodik nach ISO 30107-3 für eine bestimmte Produktkonfiguration belegen; sie sind keine Produktzertifizierung. Wenn ein Anbieter mit „iBeta Level 2“ wirbt, fragen Sie nach dem Schreiben und prüfen Sie, welche Produktversion und welches Gerät es abdeckt.

NIST FATE PAD. Das US-amerikanische National Institute of Standards and Technology hat passive, softwarebasierte Face-PAD-Algorithmen in NIST IR 8491 bewertet, veröffentlicht im September 2023. Getestet wurden 82 Algorithmen von 45 Entwicklern, mit dem Ergebnis, dass die Genauigkeit je nach Algorithmus und Angriffsart stark schwankte. Angriffe mit ausgedruckten Fotos und Bildschirmwiedergaben sowie einige Maskentypen wurden von mehreren Entwicklern gut erkannt, während andere Angriffsarten bei allen getesteten Implementierungen hohe Fehlerraten verursachten. Viele Algorithmen schnitten bei Video besser ab als bei einem einzelnen Standbild.

Deepfakes und Injection-Angriffe

Die oben genannten Hinweise zum Anwendungsbereich zeigen die derzeit größte Lücke. Ein Präsentationsangriff findet vor der Kamera statt. Ein Injection-Angriff umgeht die Kamera vollständig: Der Angreifer speist ein vorab aufgenommenes oder KI-generiertes Video direkt in den Videostream der App ein, etwa über eine virtuelle Kamera, einen Emulator oder eine manipulierte App. ISO/IEC 30107-3 behandelt Angriffe außerhalb der Präsentation am Erfassungsgerät als nicht erfasst, und der NIST-Bericht äußert sich nicht zu Injection-Angriffen. Ein bestandener PAD-Test belegt also für sich allein nicht, dass ein Produkt eingespeisten Deepfakes standhält.

Die Aufsichtsbehörden haben das registriert. In der Warnmeldung FIN-2024-Alert004 vom 13. November 2024 erklärte das US-amerikanische Financial Crimes Enforcement Network, seit 2023 eine Zunahme von Verdachtsmeldungen festgestellt zu haben, in denen Deepfake-Medien für Betrug eingesetzt wurden, häufig um die Identitätsprüfung zu umgehen. Zu den genannten Warnsignalen gehören:

ein Kundenfoto, das in sich widersprüchlich ist oder nicht zu den übrigen Angaben passt, etwa zum Geburtsdatum;
die Nutzung eines Webcam-Plug-ins eines Drittanbieters während einer Live-Verifizierung;
wiederholte „technische Störungen“ oder Bitten, während einer Live-Prüfung den Kommunikationsweg zu wechseln;
ein Foto oder Video, das von einer Deepfake-Erkennungssoftware markiert wird oder einer Online-Galerie KI-generierter Gesichter entspricht;
Standort- oder Gerätedaten, die nicht zu den Ausweisdokumenten passen.

Zur Abwehr reicht ein besseres Gesichtsmodell nicht aus: Nötig sind Integritätsprüfungen von Gerät und Kamera, die Erkennung virtueller Kameras und Emulatoren sowie der Abgleich mit weiteren Signalen wie Dokumentdaten und Geräteverlauf. Deepfakes gehören auch zu den Werkzeugen hinter synthetischem Identitätsbetrug.

Datenschutz: Was mit Ihren Gesichtsdaten geschieht

In der EU gehören Gesichtsdaten, die zur Verifizierung genutzt werden, zu den am stärksten geschützten personenbezogenen Daten. Die DSGVO definiert biometrische Daten in Artikel 4(14) als mit speziellen technischen Verfahren gewonnene personenbezogene Daten zu den physischen, physiologischen oder verhaltenstypischen Merkmalen einer Person, die deren eindeutige Identifizierung ermöglichen oder bestätigen, und nennt Gesichtsbilder als Beispiel. Artikel 9 verbietet die Verarbeitung biometrischer Daten zur eindeutigen Identifizierung einer Person, sofern keine Ausnahme greift, etwa eine ausdrückliche Einwilligung oder ein auf Gesetz beruhendes erhebliches öffentliches Interesse.

Eine Plattform sollte Ihnen mitteilen, wer Ihr Selfie verarbeitet (oft ein Verifizierungsanbieter im Auftrag der Börse), auf welcher Rechtsgrundlage und wie lange. Das Geldwäscherecht verpflichtet die Börse zudem, Unterlagen zur Sorgfaltsprüfung noch jahrelang nach Ende der Geschäftsbeziehung aufzubewahren, was Bilder einschließen kann. Fragen Sie bei der Plattform nach und lesen Sie unseren Leitfaden dazu, was mit Ihren KYC-Daten passiert, um die Aufbewahrungsregeln kennenzulernen.

Warum Krypto-Börsen Gesichtsverifizierung einsetzen

Krypto-Börsen nehmen Kunden aus der Ferne auf, oft in vielen Ländern, und die Geldwäschevorschriften verpflichten sie, diese Kunden zu identifizieren und ihre Identität zu überprüfen. Ein Selfie mit Liveness Detection ist der gängigste Weg, einen Antragsteller aus der Ferne mit seinem Ausweisdokument zu verknüpfen. Es schreckt zudem Kontoübernahmen ab, ebenso Money Mules, die ihre verifizierten Konten verkaufen, und Betrüger, die Konten mit gestohlenen oder synthetischen Identitäten eröffnen.

Bei Non-Custodial-DeFi ist das anders. Die Apps von JewelSwap auf MultiversX, Sui und Radix sind nicht verwahrend und führen selbst keine Identitätsprüfungen durch; siehe KYC in DeFi erklärt.

Tipps, wenn der Selfie-Check immer wieder scheitert

Beleuchten Sie Ihr Gesicht von vorn. Vermeiden Sie ein Fenster oder eine Lampe hinter sich sowie harte Schatten.
Nehmen Sie Hut, Brille und Maske ab, sofern sie nicht auf Ihrem Ausweisfoto zu sehen sind, und halten Sie die Haare aus dem Gesicht.
Nutzen Sie direkt die Kamera des Geräts. Schließen Sie Apps für virtuelle Kameras, Filter oder Bildschirmfreigabe; sie können die Erkennung von Injection-Angriffen auslösen.
Sorgen Sie für eine stabile Verbindung. Starke Videokompression kann für passive Modelle wie eine Täuschung aussehen.
Prüfen Sie das Dokumentfoto. Wenn sich Ihr Aussehen stark verändert hat oder das Dokument beschädigt ist oder bald abläuft, fragen Sie beim Support nach einer manuellen Prüfung oder der Verwendung eines anderen Dokuments.

Verwenden Sie niemals das Gesicht oder Dokument einer anderen Person oder Werkzeuge zur Umgehung der Prüfung, auch nicht, um zu „helfen“: Das ist Betrug. Weitere praktische Hinweise finden Sie in unseren Tipps zur Identitätsprüfung bei Krypto-Börsen.

Häufig gestellte Fragen

Was ist der Unterschied zwischen Gesichtsverifizierung und Gesichtserkennung?

Gesichtsverifizierung ist eine Eins-zu-eins-Prüfung, die bestätigt, dass ein live aufgenommenes Gesicht zu einem bestimmten Ausweisfoto passt. Gesichtserkennung oder -identifizierung gleicht ein Gesicht mit vielen gespeicherten Gesichtern ab, um herauszufinden, wer jemand ist. Beim KYC-Onboarding wird die Verifizierung eingesetzt.

Was ist Liveness Detection?

Liveness Detection, auch Presentation Attack Detection, prüft, ob ein Selfie von einer echten, vor der Kamera anwesenden Person stammt und nicht von einem Foto, einer Bildschirmwiedergabe, einer Maske oder einem Deepfake. Sie läuft vor oder parallel zum Face Match.

Was ist der Unterschied zwischen aktiver und passiver Liveness?

Aktive Liveness fordert Sie zu Handlungen wie Blinzeln oder Kopfdrehen auf. Passive Liveness analysiert ein einzelnes Bild oder ein kurzes Video im Hintergrund, ohne besondere Handlung. Viele Produkte kombinieren beides und ergänzen eine Deepfake-Erkennung.

Was bedeuten ISO 30107-3 oder iBeta Level 2?

ISO/IEC 30107-3 ist die internationale Norm für das Testen der Presentation Attack Detection. iBeta ist ein akkreditiertes Labor, das Produkte danach testet; Level 2 unterstellt einen versierteren Angreifer mit teureren Artefakten als Level 1. Ein Schreiben belegt die Konformität einer bestimmten Produktkonfiguration, keine allgemeine Zertifizierung, und die Norm selbst deckt keine Injection-Angriffe ab.

Warum scheitert meine Selfie-Verifizierung immer wieder?

Häufige Ursachen sind schlechte Beleuchtung oder Gegenlicht, Brille oder Hut, die nicht auf dem Ausweisfoto sind, eine wackelnde Kamera, eine schwache Verbindung, Apps für virtuelle Kameras oder Filter sowie ein beschädigtes oder veraltetes Dokumentfoto. Wenn es weiterhin scheitert, bitten Sie den Support um eine manuelle Prüfung.

Werden meine Gesichtsdaten nach der Verifizierung gespeichert?

Oft, für einen bestimmten Zeitraum. In der EU sind biometrische Daten nach der DSGVO besondere Kategorien personenbezogener Daten, und das Geldwäscherecht verpflichtet Plattformen, Unterlagen zur Sorgfaltsprüfung noch jahrelang nach Ende der Geschäftsbeziehung aufzubewahren. Die Datenschutzerklärung der Plattform sollte angeben, wer sie speichert, wie lange und zu welchem Zweck.

Weiterlesen

Dieser Artikel dient der Information und ist keine Rechts- oder Finanzberatung. Die Verweise auf Normen, Prüflabore und Regulierung wurden am 8. Oktober 2026 anhand von ISO, iBeta, NIST IR 8491, der FinCEN-Warnmeldung FIN-2024-Alert004, der DSGVO und der EU-KI-Verordnung geprüft, die im Text verlinkt sind. Anbieter werden zur Veranschaulichung genannt, nicht als Empfehlung.

Viktor Vostrikov

Co-Founder

About the author.

Co-Founder at JewelSwap & Chief Strategy Officer at iDenfy. Viktor brings his successful track record of superb development & project management.