Liveness Detection

Viele Geräte entsperren sich heute per Gesicht oder Fingerabdruck. Das Gerät vergleicht dabei ein aufgenommenes Bild mit einem gespeicherten Muster. Ein Foto vom Gesicht sieht auf so einem Bild aber fast genauso aus wie das echte Gesicht. Liveness Detection ist die zusätzliche Prüfung, die genau diesen Unterschied erkennt. Sie beantwortet nicht die Frage „Wer ist das?“, sondern die Frage „Ist das überhaupt ein lebender Mensch?“. Erst beide Prüfungen zusammen machen eine Anmeldung per Körpermerkmal sicher.

Warum ein Foto sonst zum Generalschlüssel wird

Ohne diese Prüfung ist Gesichtserkennung erstaunlich leicht auszutricksen. Ein ausgedrucktes Foto, ein Video auf einem zweiten Handy oder eine Silikonmaske reichen oft schon. Solche Angriffe nennt man Spoofing, also Vortäuschen einer fremden Identität. Das Problem ist besonders heikel, weil Gesichter öffentlich sind. Ein Passwort kann man geheim halten, das eigene Gesicht steht in jedem sozialen Netzwerk.

Dazu kommt ein neues Risiko: Deepfakes, also mit KI erzeugte täuschend echte Videos von realen Personen. Wer ein Bankkonto per Videoident eröffnet, hält heute meist nur sein Gesicht und den Ausweis in die Kamera. Ein Angreifer könnte stattdessen ein künstlich erzeugtes Gesicht in den Videostream einspeisen. Liveness Detection ist die Technik, die solche Fälschungen abfangen soll.

Auch der Gesetzgeber spielt hier mit. Banken und Versicherungen müssen die Identität ihrer Kunden zuverlässig feststellen. Deutsche und europäische Aufsichtsbehörden verlangen für Online-Verfahren deshalb ausdrücklich einen Nachweis, dass eine echte Person anwesend war.

Aktive und passive Prüfverfahren

Man unterscheidet zwei Grundtypen. Beim aktiven Verfahren muss der Nutzer etwas tun: blinzeln, den Kopf drehen, lächeln oder eine Zahl vorlesen. Das System gibt die Aufgabe zufällig vor. Ein vorbereitetes Video kann darauf nicht spontan reagieren. Der Nachteil ist der Aufwand für den Nutzer, und viele brechen den Vorgang genervt ab.

Passive Verfahren laufen unsichtbar im Hintergrund. Sie werten Details aus, die eine Fälschung selten sauber hinbekommt. Echte Haut reflektiert Licht anders als Papier oder ein Display. Ein Gesicht ist dreidimensional, ein Foto flach. Manche Systeme messen sogar winzige Farbschwankungen der Haut, die vom Puls stammen. Für all das wird meist ein neuronales Netz trainiert, also ein lernendes Programm, das an vielen echten und gefälschten Beispielen den Unterschied gelernt hat.

Zusätzlich hilft besondere Hardware. Face ID von Apple projiziert rund 30.000 unsichtbare Infrarotpunkte auf das Gesicht und misst daraus dessen Form. Ein flaches Foto fällt dabei sofort durch. Solche Sensoren sind aber teuer, weshalb reine Software-Lösungen für gewöhnliche Handykameras verbreiteter sind.

Vom Handy-Entsperren bis zur Kontoeröffnung

Am häufigsten begegnet man der Technik beim Entsperren des Smartphones. Fast jedes moderne Gerät prüft im Hintergrund, ob wirklich ein Mensch davorsitzt. Beim Bezahlen per Gesicht im App-Store passiert dasselbe. Nutzer merken davon in der Regel nichts.

Sichtbarer wird es bei Online-Identifikation. Wer ein Konto eröffnet, eine SIM-Karte freischaltet oder einen Kredit beantragt, muss oft langsam den Kopf drehen oder das Gesicht in einen Rahmen bringen. Auch Grenzkontrollen mit automatischen Schleusen und Zugangssysteme in Firmen setzen darauf.

Ein verbreiteter Irrtum ist, Liveness Detection sei ein gelöstes Problem. Tatsächlich ist es ein Wettlauf: Angreifer entwickeln bessere Masken und Deepfakes, Anbieter trainieren ihre Modelle nach. Sicherheitsforscher überlisten regelmäßig auch kommerzielle Systeme. Fachleute empfehlen deshalb, biometrische Verfahren mit einem zweiten Faktor zu kombinieren, etwa einem Code auf einem anderen Gerät.