Deepfake-Gesetze erklärt: Globale Vorschriften und rechtliche Risiken

Es wird erwartet, dass generative KI-gestützter Finanzbetrug über $ 40 Milliarden 2027Der Markt für Deepfakes ist von 12.3 Milliarden US-Dollar im Jahr 2023 auf über 100 Milliarden US-Dollar angewachsen. Ein Großteil dieses Wachstums ist auf Deepfakes zurückzuführen. KI-generierte Videos, Audiodateien und Bilder imitieren reale Personen mittlerweile so überzeugend, dass sie selbst einfachste Identitätsprüfungen umgehen können. Die Regulierungsbehörden haben dies erkannt. Gesetze zur Bekämpfung der Erstellung, Verbreitung und Erkennung von Deepfakes sind in den USA, Großbritannien, der EU und im asiatisch-pazifischen Raum bereits in Kraft, und bis 2026 werden weitere erwartet.

Für Compliance-Teams und Betrugsmanager in regulierten Unternehmen ist dies kein theoretisches Risiko mehr. Gesetze gegen Deepfakes begründen konkrete rechtliche Verpflichtungen und in einigen Ländern sogar strafrechtliche Konsequenzen. Dieser Leitfaden bietet einen Überblick über die weltweiten Gesetze zu Deepfakes und erläutert deren Bedeutung für Unternehmen, die auf Identitätsprüfung angewiesen sind.

Was sind Deepfake-Gesetze?

Deepfake-Gesetze Es handelt sich dabei um Gesetze und Verordnungen, die die Erstellung, Verbreitung und Nutzung von KI-generierten synthetischen Medien regeln. Meistens sind damit Videos, Audiodateien oder Bilder gemeint, die reale Personen in fiktiven Szenarien darstellen. Sie bewegen sich an der Schnittstelle von KI-Regulierung, Datenschutzrecht und Betrugsprävention.

Die meisten Gesetze gegen Deepfakes lassen sich bisher in zwei Kategorien einteilen. Die erste Kategorie zielt auf schädliche Inhalte ab und umfasst nicht einvernehmlich erstellte intime Bilder, politische Desinformation und Identitätsbetrug. Die zweite Kategorie zielt auf die kommerzielle und institutionelle Nutzung von KI-generierten Medien ab und schreibt Kennzeichnung, Einwilligungsmechanismen und Transparenz vor, wenn KI Inhalte über reale Personen generiert.

Beide Arten von Verstößen haben Compliance-Folgen für regulierte Unternehmen. Ein Finanzinstitut, das Identitätsprüfungen ohne Kontrollmechanismen zur Erkennung synthetischer Gesichter durchführt, kann gemäß der zweiten Art behördlichen Prüfungen ausgesetzt sein und gemäß der ersten Art sogar strafrechtlich verfolgt werden, wenn diese Gesichter mit Nötigung oder Betrug in Verbindung gebracht werden.

das Verständnis der technische Mechanismen des Wie Deepfakes Arbeiten bietet einen nützlichen Kontext, bevor im Folgenden die rechtlichen Rahmenbedingungen erläutert werden.

Wie werden Deepfakes weltweit reguliert?

Die Gesetze gegen Deepfakes unterscheiden sich bis 2026 weltweit erheblich hinsichtlich Umfang, Zielgruppe und Durchsetzung. Einige Länder konzentrieren sich auf die strafrechtliche Haftung für schädliche Inhalte. Andere legen den Fokus auf zivilrechtliche Offenlegungspflichten für KI-generierte Medien im kommerziellen Kontext. Einige wenige gehen noch weiter und integrieren technische Erkennungsstandards direkt in die Gesetzgebung. Allen gemeinsam ist die klare Entwicklung: Die Ära unregulierter synthetischer Medien neigt sich dem Ende zu.

Deepfake-Gesetze in den Vereinigten Staaten

Die US-Gesetze gegen Deepfakes gelten sowohl auf Bundes- als auch auf Landesebene. Mitte 2025 hatten 47 US-Bundesstaaten entsprechende Gesetze erlassen.82 % dieser Gesetze wurden in den letzten zwei Jahren verabschiedet – das schnellste Gesetzgebungstempo bei allen KI-nahen Themen in diesem Zeitraum.

Auf Bundesebene ist die TAKE IT DOWN-GesetzDas im Mai 2025 unterzeichnete Abkommen stellt die Veröffentlichung intimer Deepfake-Bilder ohne Einwilligung unter Strafe. Die Gesetze der einzelnen Bundesstaaten gehen darüber hinaus.

Mehrere Bundesstaaten haben Gesetze erlassen, die auf Deepfakes abzielen, welche zur Wahlbeeinflussung, zum Finanzbetrug und zum Identitätsdiebstahl eingesetzt werden. Texas, Kalifornien und New York verfolgen jeweils separate Strafverfolgungswege für unterschiedliche Schadenskategorien.

Die Strafverfolgung ist in den einzelnen Bundesstaaten nicht einheitlich. Die Strafen reichen von zivilrechtlichen Schadensersatzforderungen bis hin zu strafrechtlichen Anklagen, abhängig von der Absicht und der Art der synthetischen Inhalte.

Britische Deepfake-Gesetze

Das wichtigste britische Gesetz gegen Deepfakes ist Abschnitt 138 des Data (Use and Access) Act 2025.Das Gesetz, das am 6. Februar 2026 in Kraft trat, stellt die Erstellung von KI-generierten intimen Bildern ohne Einwilligung unter Strafe und macht Großbritannien damit zu einem der wenigen Länder, die nicht nur die Verbreitung, sondern auch die Erstellung solcher Bilder kriminalisieren.

Darüber hinaus übt Ofcom die Regulierungsbefugnis über Online-Plattformen gemäß dem Online-Sicherheitsgesetz 2023Plattformen müssen Systeme implementieren, um Deepfake-Inhalte zu erkennen und zu entfernen, bevor diese die Nutzer erreichen. Für regulierte Finanzdienstleistungsunternehmen hat die FCA in ihren Aufsichtsrichtlinien signalisiert, dass biometrische Onboarding-Kontrollen speziell die Umgehung von Deepfake-Liveness-Filtern verhindern sollen.

Die Europäische Union und das KI-Gesetz

Der EU-KI-Gesetzentwurf stellt den umfassendsten derzeit geltenden Regulierungsrahmen für Deepfakes dar. Artikel 50 des Gesetzes verpflichtet KI-Systeme, die synthetische Medien erzeugen, zur Transparenz. Dazu gehört die Pflicht, offenzulegen, wenn Inhalte KI-generiert sind. Diese Verpflichtungen gelten für Anbieter und Anwender von allgemeinen KI-Modellen, die Deepfakes erzeugen können.

Die Geldbußen bei Nichteinhaltung der Transparenzbestimmungen betragen bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. gemäß den Transparenzbestimmungen des EU-KI-GesetzesDie Transparenzregeln für Anbieter von KI-generierten Inhalten sind seit August 2026 durchsetzbar.

Für Identitätsprüfung Für Anbieter und deren Kunden besteht die einschlägige Verpflichtung in der Kennzeichnung und Offenlegung, wenn synthetische Inhalte in einem Arbeitsablauf verwendet werden, einschließlich der Pflicht, KI-generierte Eingaben während des Onboardings zu erkennen und zu kennzeichnen.

Asien-Pazifik und darüber hinaus

China betreibt den strengsten Rahmen für die Kennzeichnung von Deepfakes im asiatisch-pazifischen Raum. Die seit Januar 2023 geltenden Vorschriften zur Deep-Synthese schreiben unter anderem die Einwilligung vor dem Training von KI-Modellen anhand des Abbilds einer Person, die obligatorische Kennzeichnung synthetischer Inhalte mit einem Wasserzeichen sowie die Überprüfung der echten Namen von Nutzern auf Plattformen vor, die synthetische Medien hosten.

Australien hat 2024 ein spezielles Gesetz gegen die Schädlichkeit von Deepfakes verabschiedet und sein Online-Sicherheitsgesetz erweitert, um auch KI-generierte intime Inhalte unter Strafe zu stellen. In Singapur fallen Äußerungen im Zusammenhang mit Deepfakes unter das Gesetz zum Schutz vor Online-Falschinformationen und Manipulation (POFMA), das Gerichten die Möglichkeit gibt, die Entfernung gefälschter Inhalte anzuordnen. Die Strafen für Unternehmen können bis zu einer Million Singapur-Dollar betragen.

Was bedeuten Deepfake-Gesetze für Unternehmen?

Gesetze gegen Deepfake-KI üben zwei unterschiedliche Anforderungen auf Organisationen aus, die Identitätsdaten verarbeiten oder KI-generierte Inhalte erstellen. Zum einen besteht die Pflicht zur Offenlegung und Kennzeichnung, zum anderen die Pflicht zur Erkennung und Kontrolle solcher Deepfakes. Compliance-Teams sind nun für beides zuständig, und die meisten Organisationen befinden sich derzeit in einer Lücke zwischen rechtlicher Verpflichtung und technischer Umsetzung.

Kennzeichnungs- und Offenlegungspflichten

Gemäß dem EU-KI-Gesetz und vergleichbaren, in Südkorea und Brasilien entwickelten Rahmenbedingungen müssen Unternehmen, die KI-Systeme zur Erzeugung synthetischer Inhalte einsetzen, diese Inhalte als KI-generiert kennzeichnen.

Für Marketing-, Kommunikations- und Content-Produktionsteams ergeben sich dadurch neue Workflow-Anforderungen, die Metadaten zur Offenlegung, Standards zur Herkunftsnachverfolgung von Inhalten und Prüfprotokolle für generierte Assets umfassen.

Für Unternehmen, die auf Identitätsprüfung angewiesen sind, gilt die umgekehrte Offenlegungspflicht. Ihr Onboarding-System muss KI-generierte Eingaben erkennen und ablehnen. Andernfalls riskieren Sie, Betrügern Zugang zu gewähren, während Sie Inhalte verarbeiten, für die Ihr Unternehmen keine dokumentierten Kontrollen hatte. Dies wird von den Aufsichtsbehörden in Großbritannien und der EU als Kontrollversagen gewertet.

Strafrechtliche Haftung und Risiko von Identitätsbetrug

Wie Betrüger die Gesichtserkennung umgehen Typischerweise handelt es sich dabei um Deepfake-Angriffe, bei denen vorab aufgezeichnetes oder KI-generiertes Videomaterial in den Kamerastream eingespeist wird, um eine Lebenderkennung zu fälschen. In den meisten Ländern mit Deepfake-Gesetzen stellt die Verwendung synthetischer Medien zur Vortäuschung einer Identität bereits Betrug gemäß den geltenden Strafgesetzen dar.

Die neuen Gesetze führen eine spezifische Strafverfolgung im Zusammenhang mit Deepfakes ein. Die Erstellung oder der Besitz synthetischer Medien zum betrügerischen Zweck kann nun strafrechtlich verfolgt werden, unabhängig von der eigentlichen Betrugsstraftat.

Für Compliance-Beauftragte ist dies von Bedeutung. Unternehmen, die KI-generierte Identitätseingaben verarbeiten oder ignorieren, können in einigen Rechtsordnungen haftbar gemacht werden, insbesondere wenn vorsätzliches Ignorieren nachgewiesen werden kann.

Wie Shufti regulierten Unternehmen bei der Überprüfung auf Deepfakes hilft

Die Regulierung von Deepfakes übt zwei unterschiedliche Anforderungen auf Finanzinstitute aus. Zum einen ist sie rechtlicher Natur. Die Offenlegungs- und Kennzeichnungspflichten des EU-KI-Gesetzes und vergleichbarer Rahmenwerke verpflichten Organisationen, KI-generierte Identitätseingaben zu erkennen und zu kennzeichnen. Zum anderen ist sie technischer Natur. Prüfer erwarten nun unter anderem, dass sie synthetische Gesichter ablehnen können, bevor diese einem menschlichen Gutachter vorgelegt werden.

Shuftis Deepfake-Erkennung und Gesichtsverifizierung Beides wird abgedeckt. Die Plattform schützt vor über 56 Angriffsvektoren für Spoofing, darunter KI-generierte Gesichter, 3D-Masken, Injection-Angriffe und Video-Replay, mit einer Falschakzeptanzrate (FAR) von unter 0.001. Dieser Wert wurde 2025 vom RIVR-Programm des US-Heimatschutzministeriums extern bestätigt, was bedeutet, dass weniger als einer von 1,000 Betrugsversuchen die biometrische Sicherheitsstufe passiert.

Die Architektur unterstützt die Bereitstellung vor Ort für Institutionen, bei denen biometrische Daten ihre eigene Infrastruktur nicht verlassen dürfen, sowie eine hybride KI-plus-menschliche Überprüfung für Sonderfälle, in denen eine automatisierte Entscheidungsfindung allein nicht ausreicht.

Für Compliance-Teams, die eine vertretbare Antwort auf Gesetze gegen Deepfake-KI entwickeln, FATF Horizon Scan-Bericht über Deepfakes beschreibt, was die Aufsichtsbehörden nun von den Kontrollmechanismen zur Aufdeckung von Krankheiten bei Finanzinstituten erwarten.