KI-Gesichtserkennung im Strafverfahren: Warum die Rechtslage für Betroffene gefährlich unklar ist

Ein Journalist findet in 30 Minuten, was Ermittlern 30 Jahre lang nicht gelang

Im Februar 2024 wurde Daniela Klette festgenommen – eine Frau, die seit mehr als drei Jahrzehnten untergetaucht war und der Verbindungen zur Roten Armee Fraktion vorgeworfen werden. Aufgespürt hatte sie nicht die Polizei, sondern ein investigativer Journalist, der eine kommerziell verfügbare Gesichtserkennungssoftware nutzte. Die Suche soll keine halbe Stunde gedauert haben.

Dieser Fall steht sinnbildlich für das, was sich gegenwärtig im Strafverfahrensrecht abspielt: Technologien, die in Minuten leisten, wofür Ermittlungsbehörden Jahrzehnte brauchten, werden eingesetzt – ohne dass eine klare gesetzliche Grundlage existiert. Für Beschuldigte und Betroffene ist das eine beunruhigende Situation.

Was KI-Gesichtserkennung im Strafverfahren überhaupt bedeutet

Moderne Gesichtserkennungssysteme arbeiten mit sogenannten tiefen neuronalen Netzen. Aus einem Foto wird ein mathematisches Profil des Gesichts erstellt und mit einer Datenbank verglichen. Treffer werden anhand von Ähnlichkeitswerten gemeldet. Das klingt präzise – und ist es unter Laborbedingungen auch: Erkennungsraten von über 99 Prozent werden bei optimalen Aufnahmen erreicht.

In der Praxis sieht das anders aus. Seitliche Aufnahmewinkel, schlechte Ausleuchtung, veraltete Referenzbilder oder niedrige Bildauflösung senken die Zuverlässigkeit erheblich. Noch gravierender: Studien des US-amerikanischen Normungsinstituts NIST und der EU-Grundrechteagentur belegen, dass Erkennungsfehler je nach Hautfarbe, Geschlecht und Alter deutlich variieren. Das bedeutet: Bestimmte Bevölkerungsgruppen werden vom System systematisch häufiger falsch identifiziert.

Im deutschen Strafverfahren werden biometrische Gesichtserkennungssysteme in mehreren Varianten eingesetzt: beim Abgleich unbekannter Gesichter aus Überwachungskameras mit polizeiinternen Datenbanken wie INPOL, bei der digitalen Verfolgung von Verdächtigen über Kameranetzwerke, bei der Echtzeit-Lokalisierung in öffentlichen Räumen sowie beim Abgleich von Fahndungsfotos mit öffentlich zugänglichen Internetquellen.

Das Rechtsproblem: Es fehlt die gesetzliche Grundlage

Hier beginnt das eigentliche Problem. Die Strafprozessordnung enthält keine Norm, die den Einsatz KI-gestützter Gesichtserkennung hinreichend klar und bestimmt regelt. Behörden stützen sich teils auf allgemeine Ermittlungsbefugnisse wie die §§ 161, 163 StPO oder kombinieren verschiedene Spezialvorschriften miteinander.

Beides genügt verfassungsrechtlichen Anforderungen nicht. Das Bundesverfassungsgericht hat in seiner viel beachteten Entscheidung zur automatisierten Datenanalyse in Hessen und Hamburg vom 16. Februar 2023 (hessenDATA-Urteil, Az. 1 BvR 1547/19 und 1 BvR 2634/20) unmissverständlich festgehalten: Wer automatisiert Daten verknüpft, Verhaltensprofile erstellt und neues Wissen über Personen generiert, greift qualitativ anders in Grundrechte ein als herkömmliche Ermittlungsmaßnahmen. Dafür braucht es eine eigene, bereichsspezifische gesetzliche Grundlage.

Die Gesichtserkennung geht noch weiter: Sie verarbeitet biometrische Daten – also Merkmale, die Menschen nicht verändern können und die sie ein Leben lang begleiten. Ein kompromittiertes biometrisches Datum bleibt dauerhaft kompromittiert. Zudem erfasst der Abgleich gegen große Internetdatenbanken potenziell die gesamte Bevölkerung, nicht nur konkret Verdächtige. Das erzeugt nach Ansicht des Bundesverfassungsgerichts einen Einschüchterungseffekt, der weit über den Einzelfall hinausgeht.

Der gescheiterte Gesetzentwurf und die neue EU-Verordnung

Im Zuge des sogenannten Sicherheitspakets 2024 legte das Bundesinnenministerium einen Entwurf für einen neuen § 98d StPO vor. Dieser hätte unter bestimmten Voraussetzungen den nachträglichen biometrischen Abgleich mit öffentlich zugänglichen Internetdaten erlaubt. Der Entwurf scheiterte im Bundesrat – allerdings nicht wegen zu weitreichender Eingriffsbefugnisse, sondern weil unionsregierten Ländern eine flankierende Vorratsdatenspeicherung fehlte.

Inhaltlich war der Entwurf nach überwiegender Einschätzung ohnehin nicht tragfähig. Denn seit dem 1. August 2024 gilt die EU-Verordnung über künstliche Intelligenz (KI-VO, VO (EU) 2024/1689). Sie schließt eine entscheidende Lücke: Das massenhafte Auslesen von Gesichtsbildern aus dem Internet zum Aufbau biometrischer Erkennungsdatenbanken ist nach Artikel 5 Absatz 1 der KI-VO ausnahmslos verboten – auch für staatliche Stellen. Dienste wie PimEyes oder Clearview AI, die genau solche Datenbanken mit Milliarden von Fotos betreiben, dürfen ihr Geschäftsmodell in der EU damit nicht mehr legal fortführen.

Ein Gutachten im Auftrag der Organisation AlgorithmWatch kommt zu dem Schluss, dass ein biometrischer Abgleich mit Internetbildern technisch zwingend solche Datenbanken voraussetzt. Damit steht das EU-Recht nationalen Vorhaben entgegen, die genau das ermöglichen wollen – also auch den Plänen im aktuellen Koalitionsvertrag von CDU/CSU und SPD, der eine sogenannte retrograde biometrische Fernidentifizierung unter eng definierten Voraussetzungen vorsieht.

Typische Irrtümer – was Betroffene häufig falsch einschätzen

Ein verbreiteter Irrtum lautet: „Wenn mich das System identifiziert hat, bin ich der Täter.“ Das ist falsch. Ein Systemtreffer ist kein Beweis. Die Zuverlässigkeit der Software hängt von Bildqualität, Datenbankgröße und Aufnahmebedingungen ab. Fehlerhafte Treffer kommen vor – und sie kommen nicht gleichmäßig verteilt vor, sondern bei bestimmten Personengruppen häufiger.

Ein zweiter Irrtum: „Das Ergebnis wurde ja von einem Beamten überprüft.“ Das reicht rechtlich nicht aus. § 54 BDSG verbietet nachteilige Entscheidungen, die allein auf automatisierter Datenverarbeitung beruhen. Die bloße formale Bestätigung eines Algorithmus-Ergebnisses durch einen Menschen erfüllt dieses Gebot nicht. Es braucht eine echte inhaltliche Kontrolle.

Ein dritter Irrtum: „Die Polizei darf das doch bestimmt, wenn es um schwere Straftaten geht.“ Auch das stimmt so nicht. Eingriffsintensität und gesetzliche Grundlage müssen zueinander passen. Je tiefer der Eingriff in Grundrechte, desto präziser und enger muss die gesetzliche Ermächtigung sein. Diese fehlt derzeit für wesentliche Einsatzformen der Gesichtserkennung.

Was eine rechtskonforme Regelung leisten müsste

Aus der verfassungsgerichtlichen Rechtsprechung und dem europäischen Rechtsrahmen ergibt sich ein klares Anforderungsprofil für eine künftige gesetzliche Grundlage. Sie müsste bereichsspezifisch und auf die biometrische Fernerkennung zugeschnitten sein – Generalklauseln reichen nicht. Sie müsste den Einsatz auf schwere Straftaten aus einem abschließenden Katalog beschränken und das Subsidiaritätsprinzip verankern, also den Einsatz nur erlauben, wenn andere Maßnahmen nicht zum Ziel führen.

Ein Richtervorbehalt wäre ebenso unverzichtbar wie eine echte menschliche Kontrollpflicht: Systemtreffer dürfen nicht unmittelbar als Ermittlungsgrundlage dienen. Darüber hinaus müssten Protokollierungs- und Benachrichtigungspflichten sowie eine gesetzliche Verpflichtung zur regelmäßigen Überprüfung auf diskriminierende Auswirkungen vorgesehen werden. Und vor allem: Der Abgleich dürfte nur gegen Datenbanken erfolgen, deren Aufbau nicht gegen das Verbot aus der KI-Verordnung verstößt. Ein Internetabgleich wäre damit von vornherein ausgeschlossen.

Was das konkret für Sie als Betroffene bedeutet

Wenn Sie erfahren, dass in einem Ermittlungsverfahren gegen Sie biometrische Gesichtserkennung eingesetzt wurde oder eingesetzt werden soll, sollten Sie das nicht ungeprüft hinnehmen. Die rechtliche Lage ist uneinheitlich, die Fehleranfälligkeit der Systeme real und die gesetzlichen Grundlagen für wesentliche Einsatzszenarien nach wie vor nicht vorhanden oder verfassungsrechtlich fragwürdig.

Konkret bedeutet das: Ergebnisse aus KI-gestützten Gesichtserkennungssystemen können im Verfahren angreifbar sein. Ob ein Systemtreffer als Grundlage für Ermittlungsmaßnahmen rechtmäßig verwendet wurde, ob eine taugliche Rechtsgrundlage bestand, ob die Ergebnisse qualifiziert menschlich überprüft wurden und ob Ihre Daten rechtmäßig verarbeitet wurden – all das sind Fragen, die im Einzelfall sorgfältig geprüft werden müssen.

Handeln Sie frühzeitig. Je früher im Verfahren anwaltliche Hilfe eingeholt wird, desto größer sind die Möglichkeiten, rechtswidrig erhobene oder verwendete Erkenntnisse aus dem Verfahren herauszuhalten.

Frühzeitige anwaltliche Prüfung schützt Ihre Rechte

Die rechtlichen Fragen rund um den Einsatz von KI-Systemen im Strafverfahren gehören zu den anspruchsvollsten Gebieten des modernen Strafprozessrechts. Sie verbinden technisches Grundverständnis mit verfassungsrechtlicher Analyse, europarechtlichen Anforderungen und strafprozessualer Praxis.

Dr. Maik Bunzel, Fachanwalt für Strafrecht, Fachanwalt für Verkehrsrecht und zertifizierter Berater für Steuerstrafrecht, verfügt über Erfahrung aus mehreren tausend Strafverfahren. Er kennt die Schwachstellen technologiegestützter Ermittlungsmethoden und weiß, wo sich verteidigungsrelevante Angriffspunkte ergeben – von der Frage der Rechtsgrundlage über die Verwertbarkeit von Systemtreffern bis hin zur datenschutzrechtlichen Bewertung biometrischer Datenverarbeitungen. Mit Kanzleistandorten in Cottbus, Berlin und Kiel vertritt er Mandanten bundesweit.

Wenn Sie den Verdacht haben, dass in einem Verfahren gegen Sie Gesichtserkennungssoftware oder andere KI-Systeme eingesetzt wurden, oder wenn Sie grundsätzliche Fragen zu Ihren Rechten in einem laufenden Ermittlungsverfahren haben, wenden Sie sich über das Kontaktformular auf strafverteidiger-cottbus.de an die Kanzlei. Eine frühzeitige Prüfung der Sachlage kann entscheidend sein.