Video-Ident-Check: 38 Mal ausgetrickst, dann riss seine Maske.
Vor der Webcam hält eine Hand einen gefälschten Personalausweis, ruhig, ohne Zittern. Bunte Glühbirnen in gewöhnlichen Zimmerlampen lassen auf dem Plastik genau jenes Blitzen aufscheinen, das echte Hologramme im Tageslicht zeigen. Das Gesicht hinter dem Ausweis gehört nicht dem Mann, der ihn hält: Eine Software hat in Echtzeit eine fremde Identität über sein eigenes Gesicht gelegt, eine digitale Maske, gebaut für genau den Moment, in dem ein Video-Ident-Check das Gesicht vor der Kamera mit dem Foto auf dem Dokument abgleicht. Die Maske hält, bis sie für einen einzigen Wimpernschlag reißt. Ein echtes Gesicht blitzt durch, im nächsten Bild ist der Fehler schon wieder korrigiert. Am anderen Ende der Leitung aber sitzt in genau diesem Moment jemand, der hinschaut.
Der Fall
So oder so ähnlich muss es sich in einer Wohnung in Murcia abgespielt haben, bevor die spanische Polizei dort vor Kurzem einen Mann festnahm. Mit dieser selbstgebauten Fälscherwerkstatt aus Wohnzimmerlampen, VPN-Verschleierung und Deepfake-Software versuchte er, den Video-Ident-Check eines Zertifikatsanbieters auszutricksen, um an digitale Signaturen zu kommen und darüber Finanzbetrug zu begehen. 38 Versuche zählte die Polizei, gerichtet gegen mehr als 30 Bürger. Wie viele davon erfolgreich waren, verriet sie nicht. Aufgeflogen ist der Mann nicht durch eine wachsame Kontrolle, sondern durch einen technischen Zufall: einen einzigen Frame, in dem die Maske ruckelte. Ohne diesen Wimpernschlag Pech säße er vermutlich heute noch vor seiner Lampenkonstruktion.
Das Problem
Der Video-Ident-Check ist längst kein Randphänomen für ein paar Bankneugründungen mehr, er ist eine tragende Säule digitaler Verwaltung geworden. Wer online ein Konto eröffnet, einen Kredit aufnimmt, eine Signatur beantragt oder einen Behördengang erledigt, bestätigt seine Identität in aller Regel genauso: mit einem Gesicht vor einer Kamera. Baumarktlampen und handelsübliche Software reichten in Murcia aus, um genau diesen Check zu überlisten. Was ist ein ganzer Stapel Unterschriften, Verträge und Kontoeröffnungen noch wert, wenn schon das Fundament darunter, ein Gesicht vor der Kamera, sich mit Wohnzimmertechnik nachbauen lässt?
Neu ist das Grundproblem nicht, nur sein Tempo. Als in den USA nach dem Bürgerkrieg bis zur Hälfte des umlaufenden Papiergelds gefälscht war, reichte es dem Staat nicht mehr, Bürger und Banken zur Wachsamkeit zu ermahnen. 1865 gründete er eigens eine Behörde dafür: den Secret Service, dessen erste und lange einzige Aufgabe die Jagd auf Falschgeld war. Was damals die Banknote war, ist heute das Gesicht, eine Währung des Vertrauens, die plötzlich beliebig kopierbar geworden ist. Allerdings verbirgt sich die Fälscherwerkstatt diesmal nicht in einer Hinterhofdruckerei, sondern ist prinzipiell in jedes Laptop mit Internetzugang eingebaut.
Lösungsansätze
Immerhin schläft die Gegenseite nicht. Ein Forschungsteam der University of California in Riverside hat ein Werkzeug namens SAGA entwickelt, kurz für Source Attribution of Generative AI. Das Werkzeug prüft, ob ein Video künstlich erzeugt wurde, und bestimmt zugleich, welches KI-Modell dahintersteckt. Jedes Modell hinterlasse, so die These der Forscher, winzige zeitliche Spuren darin, wie sich Bildpunkte von einem Einzelbild zum nächsten verändern, eine Art digitaler Fingerabdruck, unsichtbar fürs menschliche Auge, auffindbar für ein trainiertes System.
Selbst Rohit Kundu, der Doktorand hinter dem Projekt, kommt trotz täglicher Beschäftigung mit dem Thema kaum noch hinterher, echte von gefälschten Videos zu unterscheiden. Kein Wunder: Deepfakes tauchen längst auch in Vorstellungsgesprächen auf, und der Marktforscher Gartner rechnet damit, dass bis 2028 jede vierte Bewerbung gefälscht sein könnte.
SAGA bleibt vorerst ein Forschungspapier, vorgestellt auf einer Fachkonferenz, kein Dienst, den ein Sachbearbeiter am Freitagabend anruft, wenn ein Kunde verdächtig blinzelt. Die EU immerhin hat reagiert: Seit dem 2. August 2026 gilt eine Kennzeichnungspflicht für kommerziell genutzte KI-Videos. Das hilft dem ehrlichen Anbieter, der sein Label brav einblendet. Gegen den Betrüger aus Murcia, der ohnehin schon fälscht, hilft es naturgemäß nichts. Was nützt der beste Werkzeugkasten der Welt, wenn niemand befugt und ausgebildet ist, ihn im Ernstfall auch zu benutzen?
Was wäre die Konsequenz?
Als Konsequenz braucht es eine staatliche oder polizeiliche Instanz mit echter Durchgriffskraft: eine Stelle, die verdächtige Videos schnell, effizient und vor allem verlässlich prüft, die ihre Ergebnisse den betroffenen Bürgern direkt zugänglich macht und im Zweifel selbst den nächsten Schritt geht: die Sperrung eines Zertifikats, die Warnung der Betroffenen, die Meldung an die Staatsanwaltschaft. Schnell heißt dabei: innerhalb von Stunden statt nach einem Vierteljahr Aktenlauf.
Verlässlich heißt: ein eindeutiger Befund, auf den sich ein Arbeitgeber, eine Bank oder eine einzelne Person tatsächlich verlassen kann. Natürlich lauert hier auch die nächste Gefahr: eine behäbige Behörde, die für ein Gutachten drei Monate braucht, oder schlimmer, eine Stelle, deren Prüfmacht irgendwann politisch zweckentfremdet wird. Genau deshalb muss der Gesetzgeber eine solche Instanz von Anfang an eng begrenzen, unabhängig kontrollieren lassen und mit klaren Fristen ausstatten. Private Zertifikatsanbieter und einzelne Bürger allein mit dem Problem zu lassen, verschiebt den Kontrollverlust bloß von der einen Stelle zur nächsten.
Was nicht zu vergessen ist: In dieser Kette müssen Menschen stehen. Volle Automatisierung wäre bei einer gestohlenen Identität die falsche Antwort. Doch mit irgendeinem Menschen ist wenig gewonnen. Es braucht Fachleute, die den Fälschern und ihren Werkzeugen auf Augenhöhe begegnen. Die bleiben einer Behörde aber nur treu, wenn sich ihr Gehalt mit dem einer vergleichbaren Stelle in der Wirtschaft messen kann. Bildet der Staat seine besten Forensiker aus, nur damit sie nach zwei Jahren zu genau jenen Konzernen wechseln, deren Modelle sie gerade noch geprüft haben, wird aus der Behörde ein teurer Durchlauferhitzer für die Wirtschaft.
So gesehen hat der amerikanische Staat schon 1865 verstanden, dass eine Vertrauenskrise beim Geld eine eigene Behörde braucht, mit eigenem Personal und eigenem Tempo. Ein gefälschtes Gesicht vor einer Webcam ist die nächste Währung, die diesen Schutz braucht. Vertrauen lässt sich nicht outsourcen, schon gar nicht an einen zufälligen Fehler.
