Google hat damit begonnen, eine neue Methode zur Wiederherstellung des Zugriffs auf Ihr Konto einzuführen, falls Sie Ihr Smartphone verloren oder Ihr Passwort vergessen haben: eine Verifizierungsoption per „Selfie-Video“.
Nachdem Sie während der Einrichtung ein kurzes Video von Ihrem Gesicht aufgenommen haben, können Sie später im Rahmen der Kontowiederherstellung ein weiteres Video einreichen, um zu bestätigen, dass Sie die Person sind, für die Sie sich ausgeben, und so wieder Zugriff auf Ihr Konto zu erhalten.
Auf dem Papier klingt dies nach einer benutzerfreundlichen Lösung für Kontosperrungen. In der Praxis wirft dies jedoch neue Fragen hinsichtlich Sicherheit und Datenschutz auf. Zudem gibt es Bedenken hinsichtlich deepfakes es entsteht ein weiterer Speicherort für sensible biometrische Daten, der im Falle einer Kompromittierung zum Ziel werden könnte.
So funktioniert es: Sie melden sich bei Ihrem Google-Konto an, gehen zu „Sicherheit und Anmeldung“, wählen „Selfie-Video“ aus und folgen den Anweisungen, um ein kurzes Video mit Ihrem Gesicht und einigen einfachen Bewegungen aufzunehmen. Google speichert dieses Registrierungsvideo und vergleicht es später mit neuen Videos, die Sie bei der Anmeldung oder bei der Kontowiederherstellung einreichen, um Ihre Identität zu bestätigen.
Das mag zwar nach einer guten Idee klingen, ist aber ein Paradebeispiel dafür, wie man langfristige Sicherheit und Privatsphäre gegen kurzfristigen Komfort eintauscht.
Google bietet zudem mehrere Datenschutzgarantien. Laut den in den Medienberichten zitierten Aussagen von Google werden die Videos im Ruhezustand verschlüsselt, „sicher“ gespeichert und können über die Sicherheitseinstellungen gelöscht werden. Sie können der Verwendung der Videos zur Verbesserung der Verifizierungssysteme von Google widersprechen, und Google versichert, dass diese nicht an Dritte weitergegeben werden. Die Funktion wird als Ausweichlösung vermarktet und macht Ihr Gesicht praktisch zu einem Ersatzschlüssel für Ihr digitales Leben.
Mehrere Einwände
Sicherheit
Jedes Gesicht ist einzigartig, doch Gesichtserkennungssysteme vergleichen Fotos nicht direkt miteinander. Laut Bewertungen des US-amerikanischen National Institute of Standards and Technology (NIST) können erstklassige Gesichtserkennungsalgorithmen unter kontrollierten, hochwertigen Bedingungen eine Genauigkeit von über 99 % erreichen. Das klingt beeindruckend, bedeutet aber dennoch, dass es zu Fehlalarmen und Fehlnegativen kommt, und die Leistung nimmt ab, wenn sich die Lichtverhältnisse, die Kameraqualität und der Aufnahmewinkel verschlechtern.
Bei der Gesichtserkennung wird kein tatsächliches Foto gespeichert. Stattdessen wird eine mathematische Darstellung (Embedding) Ihrer Gesichtsmerkmale gespeichert. Bei der Anmeldung oder Verifizierung berechnet das System ein neues Embedding und vergleicht es mit dem gespeicherten. Die Authentifizierung wird akzeptiert, wenn der Ähnlichkeitswert über einem festgelegten Schwellenwert liegt. Jedes von Google verwendete System muss normale Veränderungen des Aussehens berücksichtigen, darunter Alterung, Gewichtsveränderungen, Beleuchtung, Kamerawinkel, Brillen oder Gesichtsbehaarung.
Schon allein deshalb ist die Verwendung eines Gesichts (oder eines Selfie-Videos) als eigenständiges, besonders sicherheitsrelevantes Authentifizierungsmittel – insbesondere zur Kontowiederherstellung – ein von Natur aus risikobehafteter Ansatz.
Moderne deepfakes mittlerweile so überzeugend, dass Forscher aktiv untersuchen, ob sie Gesichtserkennungssysteme täuschen können. Eine Studie aus dem Jahr 2025 zum Thema KI und Identitätssicherheit ergab, dass ausgeklügelte deepfake in kontrollierten Tests bei einigen kommerziellen Gesichtserkennungssystemen Erfolgsraten von über 78 % erzielten. Das lässt zwar nicht unbedingt Rückschlüsse auf die Umsetzung bei Google zu, zeigt jedoch, wie schnell sich dieser Bereich weiterentwickelt.
Privacy
Ich persönlich möchte nicht, dass Google mein Gesicht hat. Auch wenn es wahrscheinlich schon jede Menge Fotos von mir hat.
Abgesehen von den potenziellen Risiken durch Sicherheitslücken und Datenlecks sammelt Google bereits große Mengen an Verhaltensdaten. Nun fordert das Unternehmen die Nutzer dazu auf, im Rahmen der grundlegenden Kontoverwaltung hochauflösende Videoaufnahmen ihrer Gesichter und Kopfbewegungen hochzuladen. Selbst wenn Googles derzeitige Datenschutzpraxis angemessen ist (Verschlüsselung im Ruhezustand, Löschkontrollen, keine Weitergabe), stellt die bloße Existenz dieser Daten ein langfristiges Datenschutzrisiko dar.
Auch Privacy und die Verwendung von Produkten ändern sich im Laufe der Zeit. Was heute noch als „nicht weitergegeben“ gilt, könnte morgen schon „zur Betrugsaufdeckung verwendet“, „zur Verbesserung von Verifizierungssystemen genutzt“ oder aufgrund rechtmäßiger Anfragen offengelegt werden.
In der von einigen Quellen zitierten Dokumentation von Google heißt es: „Nutzer können der Verwendung der Daten für weitere Zwecke, wie beispielsweise die Verbesserung von Verifizierungsmethoden, auch widersprechen.“ Dies bedeutet, dass Ihre Daten – sofern Sie dem nicht widersprechen – zur Verbesserung der biometrischen Verifizierungssysteme von Google verwendet werden können. Mit anderen Worten: Es handelt sich hierbei nicht nur um eine einmalige Sicherheitsüberprüfung. Ihr Gesicht könnte dazu beitragen, die biometrischen Systeme, die Google in Zukunft einsetzt, zu trainieren oder zu verfeinern.
Was Nutzer stattdessen tun sollten
Falls Ihr Google-Konto die Anmeldung per Selfie-Video unterstützt (meines tut dies noch nicht), lautet meine Empfehlung ganz einfach: Aktivieren Sie diese Funktion nicht, und falls Sie sie bereits ausprobiert haben, löschen Sie Ihr Selfie-Video in den Sicherheitseinstellungen Ihres Kontos.
Sicherere Optionen, bei denen Sie die Kontrolle behalten:
- Verwenden Sie einen Passwort-Manager und ein langes, einzigartiges Passwort für Ihr Google-Konto.
- Aktivieren Sie die zweistufige Authentifizierung mit Hardware-Sicherheitsschlüsseln oder Passkeys anstelle von SMS-Codes.
- Bewahren Sie die Sicherungscodes in ausgedruckter Form oder offline an einem sicheren Ort auf.
- Überprüfen Sie regelmäßig Ihre E-Mail-Adresse und Telefonnummer für die Wiederherstellung und entfernen Sie alle Angaben, über die Sie keine Kontrolle mehr haben.
Diese Maßnahmen sind zwar nicht so spektakulär wie „Anmeldung per Gesichtserkennung“, aber sie haben sich bewährt, sind widerrufbar und für deepfake und Jäger biometrischer Daten weitaus weniger attraktiv.
Stöbern Sie, als würde niemand zusehen.
Malwarebytes Privacy VPN Ihre Verbindung und protokolliert niemals Ihre Aktivitäten, sodass Sie sich beim Lesen des nächsten Artikels nicht persönlich angesprochen fühlen müssen.Kostenlos testen →
