Blinzeln beweist nichts mehr: KI-Video umgeht Gesichtserkennung

Am 26. Oktober trendete in den chinesischen sozialen Netzwerken die Meldung, KI-generierte Videos könnten inzwischen Gesichtserkennungssysteme täuschen. In den Kommentarspalten schrieb eine Person nach der anderen, ihr sei die Kopfhaut gefroren. Doch beunruhigend ist nicht die Technik. Beunruhigend ist die Frage, die unter diesem Trend niemand aussprach: Als ich das letzte Mal mein Gesicht scannen ließ — wer hat auf der anderen Seite des Bildschirms eigentlich bestätigt, dass ich es bin? Ich, oder ein fünfzehnsekündiger Clip?

Ein Fall, den das Zwischengericht von Hangzhou in diesem Jahr veröffentlicht hat, legt die Antwort offen auf den Tisch. Zwei Personen sammelten im Netz Fotos von Fremden, ließen sie per KI zu nickenden, den Kopf schüttelnden und blinzelnden Videos animieren und manipulierten anschließend die Kameradaten. Das genügte, um die Gesichtsprüfung einer Shopping-Plattform zu passieren und die persönlichen Daten aus den Konten herauszuziehen.

Vor dem Bezirksgericht Yuhua in Changsha lag eine noch deutlichere Variante. Ein Student kaufte auf einer illegalen Seite das Know-how für „KI-Gesichtsfälschungsvideos“, erzeugte daraus ein Bewegtbild eines fremden Gesichts, setzte dessen Zahlungspasswort zurück und ergaunerte sich in weniger als vier Monaten über 50.000 Yuan. Kein Serverraum wie im Hackerfilm, kein Insider. Eine Person, ein Zimmer im Studentenwohnheim.

Das „Blinzeln Sie mal“ war immer nur ein Provisorium

Lebendigkeitsprüfung heißt übersetzt nichts anderes, als die Kamera dazu zu bringen, einen echten Menschen vor dem Objektiv zu bestätigen. Frühe Verfahren setzten auf Blinzeln, Mundöffnen, Kopfschütteln. Später kamen Lichtwechsel, Bildschirmreflexionen und Infrarottiefe hinzu, danach die Randomisierung der Aufgaben: Das System verlangt, den Kopf nach links zu drehen oder eine Ziffernfolge vorzulesen.

Hinter dem ganzen Aufbau steht eine unausgesprochene Annahme: Ein Gesicht zu fälschen, das sich bewegt, sei weit schwieriger, als ein starres Gesicht zu fälschen.

Diese Annahme ist 2026 eingestürzt. Man gibt einem heutigen Videomodell ein einziges Frontalbild, und nach einigen Dutzend Sekunden kommt ein Clip heraus, der Mikromimik, Atembewegung und ein leichtes Schwanken des Kopfes enthält. Sagt man ihm, es soll nicken, nickt es; sagt man ihm, es soll blinzeln, blinzelt es. Und die Kosten? Der vom Global Times befragte Experte nannte eine Zahl: ein paar Dutzend Yuan und gut zehn Sekunden Audio reichen, um jeden Menschen zu „replizieren“.

Die Lücke sitzt nicht im Modell, sondern in der Verteilung

Das sollte man deutlich sagen: Solche Angriffe zielen selten darauf, den fortgeschrittensten Algorithmus zu überwinden. Sie treffen das dünnste Glied in der Kette.

Das erste Glied ist die Herkunft der Daten. Niemand muss eine Datenbank hacken, um an Ihr Gesicht zu kommen. Ein scharfes Frontalbild genügt — aus einem Moments-Post, von einem Jobportal, als Avatar auf einem Gebrauchtwarenmarkt, oder als Kopie des Ausweises, die auf einem Paketschein klebt. Im Hangzhouer Fall bestand die Methode der Verdächtigen schlicht im „Sammeln im Internet“.

Das zweite Glied ist die Verlässlichkeit der Kameradaten. Kameradaten zu manipulieren klingt anspruchsvoll; in der Praxis behandeln viele Clients das, was die Kamera liefert, als vertrauenswürdige Eingabe, ohne Signaturprüfung dazwischen. Das Schloss ist solide, der Türrahmen ist Pappe.

Das dritte Glied ist die Wiederverwendung. Eine Vorlage lässt sich im Batch auf Dutzende Personen legen, und wer gesperrt wird, wechselt einfach die Hülle. Die Grenzkosten liegen nahe null. Wenn Fachleute von „extrem niedriger Einstiegshürde, serienfertig kopierbaren Vorlagen, nach Sperrung neue Hülle“ sprechen, beschreiben sie keine Technologie. Sie beschreiben die Stückkosten eines Geschäfts.

Vorgelagert ist ein weit lukrativeres Geschäft

50.000 Yuan abzuräumen, das ist die Größenordnung eines Strafverfahrens. Das eigentliche Volumen liegt am anderen Ende.

Am 18. Oktober meldete sich die Schauspielerin Wu Yue zu Wort: Ein Konto nutzte KI, um ihr Gesicht und ihre Stimme zu fälschen und Hautpflege zu verkaufen. Screenshots, die sie sicherte, zeigen 16.492 verkaufte Einheiten und einen geschätzten Umsatz von über 1,3 Millionen Yuan. Am Ende des gefälschten Videos trat noch eine Nachahmung von Deng Yaping auf und verkaufte weiter.

Hier ein paar Dutzend Yuan Produktionskosten, dort Umsätze in Millionenhöhe. Diese Asymmetrie erklärt, warum solche Inhalte immer wiederkommen. Eine Kontosperre ist keine Strafe, sie ist ein Betriebskostenposten.

Parallel wurde die Aufsicht aktiv. Die Nationale Verwaltung für Radio und Fernsehen startete eine Sonderaktion gegen „KI-Umbauten“, mit Schwerpunkt auf unzulässigen Bearbeitungen der vier großen klassischen Romane, historischer Stoffe und Vorbildfiguren. Große Video-Plattformen löschten allein im September fast 13.000 beanstandete Videos. Wenn die Löschzahlen im fünfstelligen Bereich liegen, ist die Produktionskapazität auf der Angebotsseite längst im Überfluss.

Was normale Nutzer tun können, ist konkreter als gedacht

Die Ratschläge von CCTV sind praktisch genug, um sie abzuschreiben:

Bei einem Videoanruf bitten Sie das Gegenüber um eine bestimmte Handlung — dreimal hintereinander blinzeln, sich an die Nase fassen, mit der Hand vor dem Gesicht winken. Gesichtstausch scheitert am ehesten bei Verdeckung und schnellen Bewegungen: Das Bild verzögert sich, Kanten flirren, oder es verzieht sich unnatürlich.

Bei einem Anruf von unbekannter Nummer, bei dem am anderen Ende niemand spricht, sagen Sie nichts. Warten Sie drei Sekunden schweigend; ist es dann noch still, legen Sie auf. Stimmproben sind der Rohstoff für Klone, und jeder zusätzliche Satz ist ein weiteres Stück Material.

Ausweisnummer, Arbeitgeber, Wohnadresse und Position geben Sie nur preis, wenn es wirklich nötig ist. Gesicht, Fotos, Stimme und Fingerabdruck sollten möglichst nicht in Mini-Programmen unklarer Herkunft landen.

Für Plattformen wirken nicht ausgefeiltere Lebendigkeitstests, sondern drei Dinge: Signieren der Daten schon bei der Erfassung, damit „Kameradaten“ eine nachprüfbare Herkunft haben; eine zweite Prüfung bei risikoreichen Vorgängen erzwingen, statt den Gesichtsscan als einzigen Nachweis zu behandeln; und für generierte Inhalte einen Platz für Signaturen reservieren — welches Modell ihn erzeugt hat, wer ihn veröffentlicht hat, was die Plattform nach der Erkennung unternommen hat.

Eine unbequeme Schlussfolgerung bleibt

In dieser Debatte setzen viele auf Erkennungswerkzeuge. Doch Erkennung hinkt immer hinterher: Erst muss ein verdächtiges Video existieren, dann lässt es sich prüfen. Die Gesichtszahlung aber findet statt, bevor Sie das Video überhaupt sehen.

Die eigentliche Lösung liegt deshalb vermutlich nicht auf der Algorithmus-, sondern auf der Institutions- und Produktseite: das Gesicht von der alleinigen zur ergänzenden Legitimation herabstufen, große Überweisungen und Passwortänderungen zurück in die Mehrfaktorprüfung holen, die Kennzeichnung generierter Inhalte zum Standard statt zur Option machen.

Die Technik hat den Preis dafür, „echt auszusehen“, auf Ramschniveau gedrückt. Teuer wird als Nächstes die Neudefinition der Frage, was eigentlich belegt, dass ich es bin.