Gesichtserkennung: Warum ein Biometrie-Leck irreversibel ist

Gesichtserkennung ist längst Infrastruktur: Sie ersetzt Bordkarten, kontrolliert Stadionbesucher und scannt Unbeteiligte. Der datenschutzpolitisch brisanteste Fall spielt jedoch nicht am Stadiontor, sondern bei der Altersverifikation. Discord hat die Zusammenarbeit mit dem Anbieter Persona beendet, nachdem auf einem staatlich autorisierten Endpoint 2.456 öffentlich zugängliche Dateien offenlagen. Ein Datenleck bei biometrischen Daten lässt sich nicht zurücksetzen – das unterscheidet es von jedem Passwortvorfall.

Gesichtserkennung als Zugangstechnik: Bordkarte, Stadion, Altersprüfung

Der Betriebsmodus, um den es geht, ist der one-to-many-Abgleich: eine Referenzdatenbank, viele Kameras. Für London werden rund eine Million Kameras genannt, für New York mehr als 30.000. In dieser Konstellation wird nicht nur geprüft, ob eine Person zugangsberechtigt ist – es wird jeder Passant gegen jede Referenz gehalten, sofern die Infrastruktur es hergibt. Genau das macht den Unterschied zwischen einer Zugangskontrolle und einem Überwachungsnetz.

Die zweite Ebene ist die kommerzielle Verifikation. Wer ein altersbeschränktes Angebot nutzen will, muss sein Gesicht scannen lassen; der Abgleich läuft über einen Dienstleister, nicht über die Plattform selbst. Discord kündigte eine global verpflichtende Altersverifikation per Biometrie-Scan an, um altersbeschränkte Features freizuschalten. Damit verschiebt sich die Regulierungsfrage von „Wer darf scannen?“ zu „Wer speichert, was der Scan ergibt – und wie lange?“

Die Technik ist dabei fehleranfällig: Verdeckungen durch Haare oder Kopfbedeckung senken die Trefferquote deutlich, Abgleich und Kategorisierung gelingen dann nur mit hoher Fehlerrate. Wer von „scannt Unbeteiligte“ spricht, muss diese Grenze mitdenken. Sie mindert die Treffsicherheit, nicht aber den Umstand, dass erfasst wird.

Der Fall Persona: 2.456 Dateien und ein bestrittener Befund

Am 16. Februar 2026 berichteten Forscher in einem Blogpost auf X, dass Dateien auf einem staatlich autorisierten Endpoint offenlagen. Nach den Funden sollen es 53 Megabyte Daten auf einem FedRAMP-Endpoint gewesen sein, darunter Berichte mit Codenamen aus laufenden Nachrichtendienstprogrammen. Ein beteiligter Forscher wird mit dem Satz zitiert: „We didn’t even have to write or perform a single exploit; the entire architecture was just on the doorstep.“

Die Reichweite ist erheblich: Discord gibt über 200 Millionen monatliche Nutzer an. Die Partnerschaft mit Persona hielt weniger als einen Monat und ist beendet – das bestätigten beide Seiten. Es ist nicht der erste Vorfall: Im Oktober 2025 waren über 70.000 Regierungsausweise über den damaligen Drittanbieter 5CA exponiert, auch damals endete die Zusammenarbeit.

Die Dateien sollen zudem ein Screening belegen, das weit über die Altersprüfung hinausgeht: Abgleich des Selfies gegen Watchlist-Fotos, 14 Kategorien „adverse media“, Auswertung von IP-Adressen, Browser- und Device-Fingerprints, Ausweisnummern, Telefonnummern, Namen und Selfie-Hintergründen, Aufbewahrung bis zu drei Jahren. Diese Angaben sind nicht unabhängig bestätigt.

Persona-CEO Rick Song nannte die Dateien „not a security vulnerability“, sondern „uncompressed files of a front end that’s already on every single person’s device“. Er bestreitet eine Verknüpfung von Gesichtsbiometrie mit Finanz- oder Strafverfolgungsdatenbanken ebenso wie jede Verbindung zu Palantir, der US-Regierung oder ICE. Persona strebe eine FedRAMP-Autorisierung an, Kunden müssten nicht alle 269 Check-Typen nutzen, und Daten würden unmittelbar nach der Verifikation gelöscht.

Beides kann gleichzeitig zutreffen: Ein Frontend-Leak ist technisch etwas anderes als ein Datenbankeinbruch – und dennoch zeigen die exponierten Dateien, welche Art von Prüfungen im Hintergrund läuft. Die teilweise Finanzierung über den Founders Fund, der dem Palantir-Mitgründer Peter Thiel zugerechnet wird, lädt die Debatte zusätzlich auf, trägt für die Sicherheitsfrage selbst aber nichts aus.

Aufsicht mit offenem Ausgang: PimEyes und die Durchsetzungslücke

Die Aufsicht hat den Fall Gesichtserkennung aufgegriffen – zumindest bei den Suchdiensten. Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg hat ein Verfahren gegen das Unternehmen PimEyes eröffnet, das Gesichter über eine Suchfunktion auffindbar macht. LfDI Brink wird mit dem Satz zitiert: „Es droht nicht weniger als der Verlust der Anonymität.“ Ein Abschluss des Verfahrens ist nicht dokumentiert; Rechtsgrundlage, möglicher Bußgeldrahmen und Verfahrensstand sind offen.

Darin zeigt sich die strukturelle Lücke: PimEyes ist ein Fall für die Aufsicht, weil das Geschäftsmodell sichtbar ist. Die Verifikationsbranche ist schwerer greifbar – sie sitzt zwischen Plattformen, Veranstaltern und Airlines und arbeitet über Auftragsverarbeitung. Wer einmal erfasst wurde, kann nicht zurückgesetzt werden: Ein Passwort lässt sich ändern, ein Gesicht nicht. Aus dieser Irreversibilität folgt der politische Kern. Der Schaden tritt mit dem Leck ein und wächst mit jedem weiteren Datensatz, in dem das Gesicht auftaucht: „You get one face. You get one government ID number. When those leak—and they will leak—the damage is permanent.“

Synthetische Gesichter lösen das Leakage-Problem nicht

Synthetische Gesichtsdaten gelten als privacy-freundliche Alternative für Training und Tests. Auch sie weisen jedoch „identity leakage“ auf: Samples können Bildern aus dem Trainings- oder Konditionierungs-Set des Generators zu ähnlich sein (Untersuchung, Oktober 2026). Bisherige Messmethoden seien unzuverlässig, weil sie stark vom Klassifikator abhängen und Leakage teils auch gegenüber Datensätzen melden, die gar nicht zum Training genutzt wurden – „Phantom Leakage“, mit 100 Prozent Leakage-Rate bei einer False-Match-Rate von 0,1 Prozent über mehrere Modell- und Datensatzpaare. Die neue Metrik „Scaled Overlap“ lokalisiert echte Fälle: Von neun untersuchten synthetischen Datensätzen wurden CemiFace, SFace2 und IDNet als leakend identifiziert, am stärksten CemiFace durch die Konditionierungsprozedur des Generators. Die Mehrheit der synthetischen Bilder stammt dabei von mehreren Identitäten statt von einer einzelnen.

Das ist kein Nebenaspekt. Wer biometrische Verifikation mit dem Argument verteidigt, man könne die Daten ja durch synthetische ersetzen, muss erklären, wie die Nähe zum Original begrenzt wird – und wie die Aufsicht davon überzeugt werden soll.

Fazit: Der Druck wächst, die Rechtslage bleibt offen

Die praktische Konsequenz liegt weniger im einzelnen Leck als in der Kette: Plattformen führen verpflichtende Altersverifikation ein, die Verifikation wird ausgelagert, und die dabei entstehenden Daten sind nicht revozierbar. Die Aufsicht bearbeitet den sichtbaren Teil – das PimEyes-Verfahren in Baden-Württemberg –, während der Fall Persona zeigt, wie schnell ein einzelner Dienstleister zum Flaschenhals für Millionen Nutzer werden kann. Ob daraus eine Regulierung der Verifikationsbranche folgt, ist offen: Eine Bewertung nach DSGVO und KI-Verordnung liegt für den Persona-Fall nicht vor, und ob eine Altersverifikation per Gesichtsscan als eigener Hochrisiko-Einsatz zu gelten hat, ist nicht entschieden. Für Nutzer bleibt vorerst die Wahl, welche Verifikation sie akzeptieren – und welche nicht.

Quellen