Gesichtserkennung soll Grenzübertritte beschleunigen, Passkeys sicherer machen und digitale Finanzgeschäfte absichern. Zugleich verbinden Unternehmen biometrische Daten mit Zugangsrechten, Risikobewertungen und staatlichen Kontrollsystemen. Die Entwicklungen der ersten Oktoberhälfte zeigen: Die entscheidende Frage lautet nicht mehr nur, ob ein System ein Gesicht erkennt – sondern wer die daraus folgende Entscheidung kontrolliert.
Am Flughafen kann ein Gesichtsscan den Weg durch eine Kontrolle verkürzen. Am Arbeitsplatz soll er sicherstellen, dass die Person am gemeinsam genutzten Rechner tatsächlich die berechtigte Beschäftigte ist. Bei digitalen Finanzdiensten kann eine Identitätsprüfung darüber mitentscheiden, ob eine Transaktion ausgeführt wird. Die biometrische Technik mag in diesen Fällen ähnlich sein. Ihre Aufgabe verändert sich jedoch: Sie wird zunehmend mit Entscheidungen über Zugang, Bewegung und Handlungsbefugnis verknüpft.
Darin liegt der gemeinsame Nenner der Entwicklungen aus der ersten Oktoberhälfte 2026. Biometrie wird nicht mehr nur als einzelnes Erkennungsverfahren eingesetzt. Sie wandert in umfassendere Systeme – und hängt damit von immer mehr Faktoren ab: von der Qualität der Kamera, der Sicherheit des Endgeräts, den Datenwegen, den Zugriffsrechten und der menschlichen Kontrolle.
Identität wird zum laufenden Dienst
Im Finanzbereich rückt die Prüfung einer Identität näher an die eigentliche Transaktion. Socure integriert seine Plattform RiskOS in Arc, die Blockchain des Zahlungsunternehmens Circle. Nutzer, die über Arc Onramp USDC mit Fiatgeld erwerben, können dabei je nach Anbieter und Risikosituation unterschiedliche Prüfungen durchlaufen: von der Dokumenten- und biometrischen Verifikation bis zu weiteren Kontrollen. RiskOS soll Identitätsprüfung, Betrugserkennung und Risikobewertung in einem gemeinsamen Ablauf zusammenführen.
Der Ansatz reagiert auf ein Problem, das über die Kontoeröffnung hinausgeht: Eine einmalige Prüfung belegt nicht, dass Monate später noch die berechtigte Person auf ein Konto zugreift oder eine Zahlung auslöst. Socure sieht deshalb digitale Identität als Bestandteil laufender Finanzaktivitäten. Das Unternehmen verweist zudem auf seine Betrugs- und Identitätssignale aus einem Netzwerk mit mehreren tausend Kunden. Eine solche Verknüpfung kann Risiken früher sichtbar machen. Sie wirft aber auch die Frage auf, wie weit Identitätssignale zwischen verschiedenen Diensten geteilt werden und welche Kontrolle Betroffene darüber haben.
Seventh Sense setzt bei einem anderen Sicherheitsproblem an. Die Plattform SenseCrypt verbindet einen Passkey mit einer lokalen Gesichtsprüfung und einem kryptografischen Nachweis. Nach Angaben des Unternehmens werden Gesichtsbilder, biometrische Geheimnisse oder wiederverwendbare Gesichtsvorlagen nicht gespeichert. Stattdessen soll der Server eine signierte Antwort prüfen. Damit will Seventh Sense nicht nur den Besitz eines registrierten Geräts bestätigen, sondern auch, dass die berechtigte Person handelt – etwa bei einer sensiblen Änderung, die über einen Helpdesk veranlasst wird.
Der Ansatz ist für gemeinsam genutzte Arbeitsplätze in Krankenhäusern, Fabriken oder im Einzelhandel gedacht. Eine Anmeldung könnte dort nachweisen, dass eine bestimmte Person tatsächlich am Rechner sitzt. Der Anbieter weist zugleich auf eine Schwachstelle hin: Auf einem ungesicherten Gerät könnte ein manipulierter Browser einen Kamerastream vortäuschen. Der Schutz hängt also nicht allein von der Gesichtserkennung ab, sondern auch von der Sicherheit des Geräts und des Wegs, auf dem das Bild erfasst wird.
Nicht jede Entwicklung im Zugangsmanagement ist biometrisch. HID beschreibt eine Beschäftigtenkarte, die Zutritt zu Räumen, Anmeldung am Arbeitsplatz und die Freigabe sicherer Druckaufträge verbindet. Ändert sich die berufliche Rolle, sollen sich auch die Berechtigungen anpassen; beim Ausscheiden müssen sie entzogen werden. Das Beispiel zeigt, wie eng Identitätsprüfung und Rechteverwaltung zusammenrücken: Entscheidend ist nicht allein, wer eine Person ist, sondern worauf sie zu welchem Zeitpunkt zugreifen darf.
Auch digitale Nachweise entwickeln sich in diese Richtung. Die elf ASEAN-Staaten arbeiten daran, digitale Identitäten und sogenannte Verifiable Credentials über Grenzen hinweg prüfbar zu machen. Solche Nachweise sollen einzelne Angaben gezielt teilbar machen, statt bei jeder Nutzung die vollständige Identität offenzulegen. Thailand gilt dabei als Vorreiter; Demonstrationen zeigten, dass Nachweise aus einem Land innerhalb weniger Minuten in einem anderen geprüft werden können. Die offenen Standards OpenID und mdoc werden auch in europäischen Ländern, US-Bundesstaaten, Indien, Japan, Australien und Neuseeland erprobt.
Die Technik ist jedoch nur ein Teil der Aufgabe. Staaten müssen sich auf Vertrauensregeln, Identitätsnachweise und Sicherheitsstufen verständigen. Das gilt ebenso für digitale Wallets. NIST hat eine Informationsplattform zur Umsetzung seiner Digital Identity Guidelines veröffentlicht. Sie enthält unter anderem FAQs, Konformitätskriterien in maschinenlesbaren Formaten und Hinweise zu nutzerkontrollierten Wallets. Die Plattform schafft keine neuen Anforderungen und ist keine Zertifizierung. Sie soll Behörden und Anbietern helfen, bestehende Vorgaben in konkrete Systeme zu übersetzen.
Grenzkontrollen werden beweglicher
Die Ausweitung biometrischer Verfahren ist besonders deutlich im Reiseverkehr. SITA hat mit RTX eine Vereinbarung zur Übernahme von Collins Aerospace Airport Solutions geschlossen. Collins bringt Systeme für Passagierabfertigung, Gepäck und Flughafenbetrieb ein. SITA würde damit biometrische Verfahren stärker mit weiteren Stationen der Reise verknüpfen. Der Abschluss wird – vorbehaltlich der üblichen Bedingungen – für die erste Hälfte 2027 erwartet; die finanziellen Konditionen wurden nicht veröffentlicht.
An der US-amerikanischen Landgrenze testet die Grenzschutzbehörde CBP Lösungen von NEC, Paravision und AiFi für biometrische Fußgängerpassagen. Die Technologie soll Kontrollen ermöglichen, ohne dass Reisende an jeder Station anhalten müssen. CBP hat nach eigenen Angaben seit dem Aufbau seines biometrischen Ein- und Ausreisesystems bereits die Gesichtsdaten von einer Milliarde Reisenden verarbeitet. Zugleich bleiben Fußgängerübergänge eine Lücke im System.
Weitere Vorhaben zeigen, wie breit die Entwicklung angelegt ist. Idemia will seine Gesichtserkennungskorridore, die mehrere Personen gleichzeitig erfassen können, im asiatisch-pazifischen Raum anbieten; SmartLanes werden dort bereits erprobt. In Großbritannien sollen erneuerte eGates an Flughäfen die Gesichtserkennung bei der Rückkehr ins Land ohne Vorzeigen des Passes ermöglichen. Indien will nach einem jüngsten Terroranschlag die Gesichtserkennung von Beschäftigten an Flughäfen und bei Fluggesellschaften ausweiten. In Westafrika bereitet die Wirtschaftsgemeinschaft ECOWAS eine gegenseitige Anerkennung biometrischer ENBIC-Ausweise für den grenzüberschreitenden Reiseverkehr vor; ein entsprechendes Ziel ist für Dezember gesetzt.
Mit der Ausweitung wächst auch die staatliche Nutzung biometrischer Informationen jenseits klassischer Grenzschalter. In den USA werden von Ermittlern des Heimatschutzministeriums erfasste Daten – darunter Ergebnisse von Gesichtserkennung bei Beobachtungen im Umfeld von ICE-Einsätzen – über Palantir-Software an Grenzbeamte weitergegeben. Sie können damit Personen einer erweiterten Kontrolle unterziehen, wenn Ermittler sie als sicherheitsrelevant einstufen. Der Branchenverband IBIA fordert zugleich eine Ausweitung biometrischer Kontrollen an Landgrenzen, aber auch durchsetzbare Grenzen für Profiling. Der US-Kongress hat zudem empfohlen, Reiseprofile aufzubauen. Wie solche Profile begrenzt und kontrolliert würden, ist damit eine zentrale offene Frage.
Im Vereinigten Königreich hat das Innenministerium Regeln für den Einsatz von Live-Gesichtserkennung durch die Einwanderungsbehörde festgelegt. Beobachtungslisten müssen an einen definierten Einsatzzweck, Ort und Zeitraum gebunden sein; ihre Nutzung soll notwendig und verhältnismäßig sein. Über ein weiteres Vorgehen nach einem Treffer muss ein Mensch entscheiden. Bilder von Personen ohne Alarm sollen automatisch und dauerhaft gelöscht werden. Einsätze sind nicht nur an Häfen und Flughäfen, sondern auch an Verkehrsknotenpunkten, entlang von Reiserouten und bei Veranstaltungen möglich. Für die Technik nennt die Behörde eine Falsch-Alarm-Rate von im Allgemeinen höchstens 0,1 Prozent in den meisten Szenarien. Dieser Richtwert sagt jedoch nicht, wie Fehler in einer konkreten Einsatzumgebung verteilt sind oder welche Folgen sie haben.
Auch die Alterskontrolle im Internet erhält einen verbindlicheren rechtlichen Rahmen. Ein US-Berufungsgericht hat eine einstweilige Verfügung gegen Floridas Social-Media-Gesetz aufgehoben. Das Gesetz kann während des weiteren Rechtsstreits durchgesetzt werden: Bestimmte Plattformen dürfen keine Konten für Kinder unter 14 Jahren zulassen; bei 14- und 15-Jährigen ist die Zustimmung der Eltern erforderlich. Eine biometrische Methode zur Altersprüfung schreibt das Gesetz nicht ausdrücklich vor. Die Entscheidung betrifft dennoch ein Feld, in dem digitale Identitäts- und Altersnachweise weiter an Bedeutung gewinnen dürften.
Die Prüfung beginnt vor und hinter der Kamera
Wie schwierig eine verlässliche Identitätsprüfung sein kann, zeigt das Programm RIVR des US-Heimatschutzministeriums. Es testet, ob Software echte und gefälschte Ausweise anhand von Smartphone-Aufnahmen unterscheiden kann. Für eine Untersuchung wurden 2.032 echte, von Freiwilligen bereitgestellte Ausweise sowie gefälschte Dokumente aus Ermittlungsbeständen verwendet. Die Ausweise wurden unter anderem mit einem iPhone 14, einem Google Pixel 7 und einem Samsung Galaxy S22 fotografiert.
DHS erfasst falsche Annahmen und Zurückweisungen ebenso wie technische Verarbeitungsfehler. Die Ergebnisse variierten je nach Smartphone und Ausweisherkunft. Der Test beschränkte sich auf sichtbares Licht; spezielle Dokumentenleser sowie UV- und Infrarotmerkmale blieben außen vor. Selbst hochwertige Fälschungen, die laut DHS für 50 bis 100 US-Dollar erhältlich sein können, stellen eine Herausforderung dar. Als Leistungsbenchmark setzte die Behörde zunächst eine Fehlerquote von höchstens zehn Prozent an; langfristig soll sie unter ein Prozent sinken. Eine individuelle Rangliste der Anbieter veröffentlicht DHS nicht. Die Unternehmen können ihre Systeme jedoch anhand der staatlich kuratierten Testdaten verbessern.
NIST verschärft parallel die Zugangsvoraussetzungen für seine Evaluation von 1. Ab dem 30. November muss mindestens ein Algorithmus neuer Teilnehmer zunächst in der 1:1-Verifikation einen Mindestwert erreichen: Die Falsch-Nichtübereinstimmungsrate darf auf dem Visa-Border-Datensatz höchstens 2,5 Prozent betragen, bei einer Falschübereinstimmungsrate von eins zu einer Million. Ein guter Wert beim Vergleich zweier Gesichter ist jedoch kein Beleg für gute Leistung bei der Suche in einer großen Galerie; NIST bewertet beide Aufgaben getrennt.
Die Behörde ergänzt die Evaluation um Datensätze mit unterschiedlichen Kameras, variierender Bildqualität und längeren Abständen zwischen den Aufnahmen. Für Einreichungen in den 1:1- und 1 gilt künftig außerdem eine Grenze von weniger als zwei Sekunden für die Erstellung einer Gesichtsvorlage pro Bild. NIST schließt die Annahme von 1 am 30. Oktober vorübergehend und will die Evaluation am 30. November mit den neuen Vorgaben wieder öffnen.
In Europa müssen qualifizierte Vertrauensdiensteanbieter, die Identitäten aus der Ferne prüfen, bis Ende 2026 biometrische Tests nach ETSI TS 119 461 erfüllen. Geprüft werden drei unterschiedliche Risiken: Täuschungen vor der Kamera, eingeschleuste oder manipulierte biometrische Daten hinter der Kamera und die Genauigkeit des eigentlichen Abgleichs. Die Spezifikation verweist dafür auf ISO/IEC 19989-3, CEN/TS 18099 und ISO/IEC 19795-1. Einheitliche numerische Grenzwerte für alle Anbieter gibt sie nicht vor; die Anbieter müssen ihre Leistungsziele begründen und nachweisen.
Sicherheit endet nicht beim Erkennungswert
Zwei Prüfungen der US-Transportsicherheitsbehörde TSA lenken den Blick auf die Organisation hinter der Technik. Ein Bericht des Generalinspekteurs beanstandete die Verwaltung privilegierter Nutzerkonten, nicht genehmigte Dienstkonten und die verspätete Deaktivierung von Konten ausgeschiedener Beschäftigter. Ein separater Bericht hatte zuvor Mängel bei der Aufsicht über einen Auftragnehmer offengelegt, der im Zusammenhang mit biometrischer Kontrolltechnik auf Passagierdaten zugreifen konnte. Die Prüfungen belegen weder, dass die Schwachstellen ausgenutzt wurden, noch dass Daten kompromittiert worden sind. Sie zeigen jedoch, dass biometrischer Datenschutz von Zugriffsverwaltung, Protokollierung und unabhängiger Kontrolle abhängt.
Auch die Kontrolle über die technische Lieferkette wird zum strategischen Thema. Der US-Anbieter ROC will biometrische Identifizierung, Zutrittskontrolle, Videoanalyse und digitale Beweismittel auf einer gemeinsamen Plattform bündeln. Ein achtjähriger Auftrag des US-Justizministeriums im Wert von bis zu 64,3 Millionen US-Dollar soll eine Plattform für digitale Beweismittel unterstützen. Sie wird in der Microsoft-Azure-Umgebung des Ministeriums betrieben. ROC-Chef Scott Swann wirbt außerdem für mehr technologische Souveränität bei biometrischen Systemen und verweist auf mögliche Risiken in KI-Modellen. Seine Aussagen sind die Position eines Marktteilnehmers; die Debatte über Lieferketten und Kontrolle sicherheitsrelevanter KI reicht jedoch über sein Unternehmen hinaus.
Der Markt sortiert sich dabei nicht geradlinig. SITA will durch die geplante Übernahme von Collins Aerospace Airport Solutions wachsen. Prove verklagt das Start-up KYXStart wegen angeblicher Patentverletzungen und Vertragsbeeinflussung. Prove wirft ehemaligen Beschäftigten vor, geschützte Technologie für konkurrierende Produkte zur Identitätsprüfung und Betrugsprävention verwendet zu haben. Die Vorwürfe sind nicht gerichtlich festgestellt. Der Sensoranbieter Next Biometrics kündigte an, Insolvenz zu beantragen, nachdem die Finanzierung seiner strategischen Neuausrichtung gescheitert war. Die Entwicklung seines Fingerabdrucksensors für Displays solle dennoch bis zum Prototypenstadium fortgesetzt werden.
Der nächste Maßstab ist die kontrollierbare Entscheidung
Die Richtung ist erkennbar: Biometrie wandert von der punktuellen Gesichtskontrolle in vernetzte Identitätsdienste, Finanzabläufe und öffentliche Kontrollsysteme. Je stärker diese Systeme ineinandergreifen, desto weniger genügt die Frage, ob ein Algorithmus ein Gesicht korrekt erkennt.
Die nächste Entwicklungsphase dürfte daher von drei Anforderungen geprägt sein. Erstens müssen unabhängige Prüfungen wie RIVR, NIST-Evaluationen und die europäischen ETSI-Tests in nachvollziehbare Beschaffungs- und Betriebskriterien münden. Zweitens müssen digitale Wallets und überprüfbare Nachweise zeigen, ob sie Identität mit weniger wiederholter Datenerhebung bestätigen können. Dafür sind gemeinsame Vertrauensregeln zwischen Staaten und Anbietern nötig. Drittens wird die Kontrolle über die technische Infrastruktur entscheidend: Wer hält die Daten, verwaltet Berechtigungen, prüft Softwareänderungen und trägt Verantwortung, wenn ein System versagt?
Flughäfen integrieren mehr Stationen der Reise, Unternehmen verbinden physische und digitale Zugänge, Finanzplattformen beziehen Identitätsprüfungen in laufende Transaktionen ein. Doch technische Integration ist noch kein Vertrauensbeweis. Der entsteht erst, wenn Entscheidungen überprüfbar bleiben, Fehler begrenzt werden und sich die Verarbeitung persönlicher Daten wirksam kontrollieren lässt. [cn]
