Gesichtsmanipulation und Lebenderkennungsumgehung: Die wahre Bedrohung für die Gesichtserkennung

Die Gesichtserkennung hat die Authentifizierung von Nutzern in Unternehmen grundlegend verändert. Ein Blick aufs Smartphone ersetzt Passwort, Token oder physischen Ausweis. Doch dieselbe Technologie, die das Onboarding beschleunigt hat, birgt auch ein neues Betrugspotenzial, gegen das die herkömmliche Lebenderkennung nie ausreichend Schutz bieten konnte.

Anfang 2024 überwies ein Finanzmitarbeiter des Ingenieurbüros Arup 25 Millionen US-Dollar, nachdem er per Deepfake-Videoanruf den Finanzchef des Unternehmens imitiert hatte. Im Jahr 2025 dokumentierte das auf Bedrohungsanalysen spezialisierte Unternehmen Group-IB 8,065 solcher Fälle. biometrischen Injektionsangriff Angriffe gegen ein einzelnes Finanzinstitut in nur acht Monaten. Bis 2026 Gartner prognostiziert, dass 30 % Unternehmen werden der eigenständigen Identitätsprüfung gegenüber KI-gesteuerter Identitätsfälschung nicht mehr vertrauen.

Dies ist die neue Landschaft der Gesichtsfälschung. Fotos und Silikonmasken allein reichen nicht mehr aus. Deepfake-Videos werden direkt in den Kamerastream eingespeist, virtuelle Kameras liefern vorab aufgezeichnete Streams an KYC-Apps, und synthetische Identitäten werden vollständig von generativer KI erstellt. Dieser Leitfaden erklärt, wie die heutigen Angriffe funktionieren, welche Schutzmaßnahmen sie tatsächlich stoppen und wie Sie testen können, ob Ihre Liveness-Lösung wirklich vor Hackern schützt.

Wie nutzen Kriminelle die Gesichtserkennung aus?

1. Face Spoofing (Präsentationsangriffe)

Spoofing liegt vor, wenn Betrüger versuchen, andere zu täuschen. Gesichtserkennung Systeme, die künstliche visuelle Darstellungen verwenden. Die zwei Haupttypen:

• 2D-Angriffe: Gedruckte Fotos, Bildschirmaufnahmen oder Videos, die einer Kamera gezeigt werden.
• 3D-Angriffe: Silikonmasken, 3D-gedruckte Köpfe oder Roboterrepliken, die Gesichtsbewegungen imitieren

Während 2D-Angriffe historisch gesehen häufiger vorkamen, sind 3D-Angriffe mit den Fortschritten im Druck- und Roboterbereich immer häufiger geworden. Deepfakes erhöhen die Komplexität zusätzlich durch hochwertige synthetische Videos, die das menschliche Auge täuschen können.

2. Liveness-Bypass (Systemausnutzung)

Umgehungsangriffe zielen darauf ab, den Informationsfluss zwischen dem Gerät und der Gesichtserkennungstechnologie auszunutzen, indem sie:

• Einschleusen vorab aufgezeichneter Videos mithilfe kompromittierter Geräte
• Abfangen oder Ersetzen biometrischer Daten während der Übertragung
• Das Hacken des Backends dient dazu, Ergebnisse zu manipulieren

Diese Methoden nutzen häufig Schadsoftware. Deepfake-Toolsoder ungesicherte Datenkanäle.

Group-IB verzeichnete allein zwischen Januar und August 2025 8,065 Versuche biometrischer Einschleusungsangriffe gegen ein einzelnes Finanzinstitut, bei denen stets KI-generierte Deepfake-Bilder über virtuelle Kameras eingeschleust wurden.

Reale Fälle von Lebenderkennungsumgehung

Die genannten Fälle veranschaulichen die Vorgehensweise heutiger Angreifer. Jeder Fall demonstriert eine andere Ebene der Bedrohung, z. B. Deepfake-Videoanrufe, massenhaftes Einschleusen von Schadsoftware und die hybride Umgehung von Dokumenten und Gesichtern.

 

Arup-Deepfake-Betrug in Höhe von 25 Millionen US-Dollar (Hongkong, 2024)

Ein Finanzmitarbeiter des globalen Ingenieurbüros Arup wechselte 25 Mio. US$ an Betrüger nach einer Videokonferenz, an der jeder Teilnehmer teilnahm, Auch das Video des in Großbritannien ansässigen Finanzchefs des Unternehmens war ein Deepfake. Der Fall verdeutlichte, dass Deepfake-Videos mittlerweile eine Qualität erreicht haben, bei der eine Echtzeit-Überprüfung durch Menschen nicht mehr verlässlich ist und selbst hochvertrauliche Besprechungen vollständig inszeniert werden können.

 

Group-IB Single-Institution Case (2025)

Das auf Bedrohungsanalysen spezialisierte Unternehmen Group-IB dokumentierte 8,065 Angriffsversuche durch biometrische Dateneinschleusung gegen digitale Systeme. KYC-Ablauf von einem einzigen Finanzinstitut zwischen Januar und August 2025, wobei alle KI-generierte Deepfake-Bilder verwendeten, die über virtuelle Kameras eingefügt wurden, um die Lebendigkeitsprüfungen bei Kreditanträgen zu umgehen.

 

OnlyFake KYC Bypass auf Kryptobörsen (2024)

Die Ermittler wiesen nach, dass der Dokumentenfälschungsdienst OnlyFake in Kombination mit handelsüblichen Gesichtstausch-Tools die Lebendigkeitsprüfungen mehrerer großer Kryptowährungsbörsen umgehen konnte. Das Justizministerium erhob später Anklage gegen den Betreiber., der sich des Verkaufs von über 10,000 gefälschten Ausweisen schuldig bekannt hat.

Ähnliche Fälle von KI-gestützter Unternehmensinfiltration (3. Quartal 2025)

Resemble AI berichtete von 980 Fällen von Unternehmensinfiltration in einem einzigen Quartal, bei denen Angreifer Echtzeit-Deepfake-Videos in Zoom- und Teams-Anrufen nutzten, um sich als Führungskräfte auszugeben und betrügerische Handlungen zu autorisieren.

Wie kann man Face Spoofing und Bypass-Angriffe stoppen?

 

Bis 2026, so prognostiziert Gartner, werden 30 % der Unternehmen keine eigenständigen Systeme mehr in Betracht ziehen. Identitätsprüfung und Authentifizierungslösungen, die auch isoliert zuverlässig gegen KI-gesteuerte Identitätsdiebstahl sind

• 3D-Lebenderkennung

Systeme müssen Tiefe, Gesichtsstruktur und Mikroexpressionen wie Blinzeln oder Muskelbewegungen messen, um sicherzustellen, dass die Person vor der Kamera live und anwesend ist.

• Multi-Faktor-Authentifizierung (MFA)

Gesichtserkennung sollte nicht die einzige Verteidigungslinie sein, daher sollte eine zweite Ebene hinzugefügt werden, sei es ein Passwort, eine gerätebasierte Überprüfung oder Verhaltensdaten.

• Sichere Datenverarbeitung

Eine starke Ende-zu-Ende-Verschlüsselung für biometrische Daten ist während der Übertragung von entscheidender Bedeutung, um Wiederholungen zu verhindern. Man-in-the-Middle-Angriffe.

• Anti-Spoofing-KI

Maschinelles Lernen ist in der Lage, verschiedene Spoofing-Techniken, darunter Fotos, Masken und Deepfakes, durch Pixelanalyse zu erkennen.

• Echtzeitüberwachung

Ungewöhnliche Anmeldemuster, Verhaltensänderungen und Systemanomalien sind allesamt Anzeichen dafür, dass ein Angriff im Gange ist.

• Häufige Updates und Tests

Regelmäßige Systemaktualisierungen und Penetrationstests helfen dabei, Sicherheitslücken zu finden, bevor Angreifer sie entdecken. 

Auswahl einer sicheren Lebenderkennungslösung

Nicht alle Lebenderkennungslösungen Nicht alle Systeme sind gleichwertig, und die Unterschiede können beträchtlich sein. Viele einfache Systeme lassen sich schon durch Fotos, Videos oder Bildschirmaufnahmen täuschen. Deshalb sind Tests unter realen Bedingungen vor der Implementierung unerlässlich.

Einige Möglichkeiten zum Testen einer Liveness-Lösung sind:

• Platzieren Sie ein statisches Bild, entweder auf Papier oder auf einem Bildschirm, vor der Kamera. Jedes vernünftige System erkennt den Mangel an Tiefenschärfe und Gesichtsbewegungen.

• Versuchen Sie, die Authentifizierung mit geschlossenen Augen und ohne Gesichtsmuskelbewegungen durchzuführen. Korrekt Lebendigkeitsprüfungen Analyse von Blinzeln, Mikrobewegungen und Veränderungen der Hautstruktur.

• Testen Sie Deepfakes und 3D-Masken (dies ist besonders wichtig für Branchen, die einem hohen Betrugsrisiko ausgesetzt sind). Effektive Systeme können fehlerhafte Lichtreflexionen, mangelnde Hautelastizität und geringe Gesichtstiefe erkennen. 

Neben der Leistung ist es wichtig, die vorhandenen Sicherheitsprotokolle zu analysieren, wie zum Beispiel:

• Verwendet die Lösung eine Ende-zu-Ende-Verschlüsselung für die erfassten biometrischen Daten?
• Ist es nach Normen wie ISO/IEC 30107-3 für die Erkennung von Präsentationsangriffen zertifiziert?
• Haben sie unabhängige Prüfberichte veröffentlicht, die die Widerstandsfähigkeit ihres Systems gegen Spoofing belegen?

Eine gute Liveness-Lösung sollte technische Stärke mit Transparenz und regulatorischer Konformität verbinden können.

Wie bekämpft Shufti Betrug?

Das Gesichtserkennungssystem von Shufti ist für die Abwehr realer Bedrohungen (und nicht nur simulierter Szenarien) konzipiert. Es nutzt fortschrittliche KI, maschinelles Lernen und biometrische Verfahren, um sowohl Genauigkeit als auch Sicherheit zu gewährleisten.

• 3D-Lebenderkennung

Geht über oberflächliche Überprüfungen hinaus und erfasst Gesichtstiefe, Bewegung und räumliche Merkmale, um zu überprüfen, ob eine Person anwesend ist (und keine 2D- oder 3D-Maske trägt). 

• Mikroexpressionsanalyse

Das System erkennt subtile, unwillkürliche Gesichtsbewegungen wie Blinzeln, Augenzucken oder Muskelanspannung. Mit der aktuellen Technologie lassen sich diese Signale in Masken oder anderen Hilfsmitteln praktisch nicht nachbilden. Deepfakes.

• KI-Mapping

Nutzt tiefe neuronale Netze, um Gesichtsmerkmale mit hoher Genauigkeit zu identifizieren und abzugleichen, selbst bei suboptimalen Lichtverhältnissen, wechselnden Blickwinkeln oder geringfügigen Veränderungen im Gesicht.

• Flexible, skalierbare Integration

Lässt sich problemlos in bestehende Arbeitsabläufe in Web-, Mobil- und Desktop-Umgebungen integrieren, sodass die Qualität auch bei wechselnden Geräten erhalten bleibt. 

• Nachgewiesene Konformität und Sicherheit

Die Lebenderkennungssysteme von Shufti entsprechen vollständig den weltweiten Datenschutzbestimmungen wie z. B. Datenschutz, CCPA und ISO/IEC 30107-3. Es wird außerdem regelmäßig auf sich weiterentwickelnde Spoofing-Techniken getestet, darunter Deepfakes, synthetische Identitäten und hochentwickelte 3D-gedruckte Masken. 

Fazit

Gesichtserkennung hat die Authentifizierung revolutioniert; ihre Sicherheit hängt jedoch maßgeblich von den Schutzsystemen ab. Angesichts immer ausgefeilterer Spoofing-Methoden und Umgehungsmöglichkeiten der Lebenderkennung müssen Unternehmen von einfachen Gesichtsprüfungen zu intelligenten und sicheren Lösungen übergehen.

Der Weg dorthin ist klar: Man kombiniert fortschrittliche Lebenderkennung, KI-gestützte Betrugsprävention und strenge Teststandards. Ob es um die Verifizierung von Nutzern, die Sicherung von Zugängen oder die Verhinderung von Identitätsdiebstahl geht – die richtige Technologie macht den entscheidenden Unterschied.

Mit Werkzeugen wie Shuftis KI-gestütztes GesichtserkennungssystemUnternehmen können die Gesichtserkennung weiterhin bedenkenlos einsetzen (ohne dabei moderne Betrugsmaschen zu provozieren).