Gesichtserkennung durch KI im Strafverfahren: Die Technik ist da, das Recht (noch) nicht

Der Einsatz von Gesichtserkennungssoftware ist eigentlich nichts Neues. Das Bundeskriminalamt setzt nach eigenen Angaben die Software "GES" bereits seit 2008 ein. Innerhalb von weniger als einer Sekunde kann der Abgleich eines Bildes gegen die INPOL-Datenbank mit einer Million Einträgen erfolgen.

Auch die rasante Weiterentwicklung Künstlicher Intelligenz (KI) macht vor den Möglichkeiten für die Strafverfolgung nicht Halt: Während Gesichtserkennung früher vor allem auf einfachen biometrischen Merkmalen beruhte, zum Beispiel Gesichtsform oder Abstand der Augen, können heute in Echtzeit hunderte Gesichtsmerkmale auch bei schlechten Lichtverhältnissen oder teilweiser Verdeckung analysiert werden. Selbst wechselnde Frisuren oder Alterungsprozesse stellen dank selbstlernender Systeme keine große Herausforderung mehr dar.

Doch mit den Fortschritten steigen auch die Gefahren. Die Qualität von KI-Systemen hängt entscheidend von der Qualität der Trainingsdaten und der Güte des Trainingsprozesses ab: Sind diese verzerrt, wirkt sich das negativ auf die Richtigkeitswahrscheinlichkeit aus. Anders gesagt: Lernt die KI zum Beispiel vor allem anhand von Bildern weißer Männer, ist die Fehlerquote bei Frauen, POC und nicht-binären Personen deutlich höher. Hinzu kommt, dass eine wirklich "explainable AI" nicht gibt – selbst die Expert:innen können nicht erklären, wie die KI zu ihrem Ergebnis kommt. Daher spricht man hier auch von der "Black Box".

KI-Einsatz zur Strafverfolgung

Gleichwohl ist die Technik für die Strafverfolgung natürlich sehr interessant. Massive Datenmengen lassen sich in kürzester Zeit verarbeiten und können so unzählige Ermittlungsansätze liefern. Das hilft bei Fahndungen und fördert außerdem die internationale Zusammenarbeit – vor allem bei Echtzeitidentifizierungen.

Würde man den Einsatz von KI jedoch grenzenlos zulassen, wie z.B. bei Chinas Skynet-System zur quasi flächendeckenden Überwachung auf öffentlichen Plätzen, würden die Grundrechte offensichtlich massiv eingeschränkt.

Besonders betroffen wäre das Recht auf informationelle Selbstbestimmung aus Art. 2 Abs. 1 i.V. m. Art. 1 Abs. 1 Grundgesetz. Das gilt aufgrund der Streubreite angesichts der sehr hohen Anzahl von Personen, deren Gesichter in den Abgleichsbildern enthalten sind, auch dann, wenn der Abgleich keinen Treffer liefert und das Bild sofort wieder gelöscht wird. Es droht also, dass Menschen auf die Ausübung eines Rechts verzichten, um sich keinen Ermittlungsmaßnahmen auszusetzen.

Erheblicher Grundrechtseingriff

Intensitätsmindernd wirkt zwar, dass die Vergleichsdaten entweder aus öffentlich zugänglichen Bereichen im Internet oder polizeilichen Datenbanken stammen, so dass nur öffentliche oder der Strafverfolgung ohnehin bekannte Daten betroffen sind. Auch sind weder Privatsphäre oder gar Kernbereich betroffen. Und das Vertraulichkeitsinteresse ist bei öffentlichen Daten ebenfalls vernachlässigbar.

Trotzdem handelt es sich um einen qualitativ erheblichen Eingriff, schließlich ist das Gesicht das primäre visuelle Identifizierungsmerkmal mit entsprechend starkem Personenbezug. Angesichts der Anlasslosigkeit bei einer undifferenzierten Kontrolle, der Gefahr einer Diskriminierung durch "false positives" (= falscher Alarm) und der Intransparenz von KI-Beweisen, liegt ein erheblicher Eingriff in die Grundrechte vor. Eine spezifische Rechtsgrundlage wäre daher erforderlich.

EU-Datenschutzrichtlinie

Biometrische Merkmale werden durch die europäische Gesetzgebung besonders geschützt. Zunächst insbesondere durch Art. 10 der RL 2016/680/EU (Datenschutzrichtlinie). Zudem sind die §§ 45 ff. Bundesdatenschutzgesetz (BDSG), welche auf der Richtlinie basieren, auch für Strafverfolgungsbehörden sowie (nach überwiegender Auffassung) für Strafgerichte anwendbar.

Auch wenn der präzise Anwendungsbereich des § 48 BDSG, der Art. 10 der EU-Richtlinie umsetzt, umstritten ist: Jedenfalls muss die KI-Gesichtserkennung für den jeweils angestrebten Erkenntnisgewinn im Strafverfahren zwingend notwendig sein und die Behörden müssen spezifische (Daten-)Schutzmaßnahmen zugunsten der verarbeiteten biometrischen Daten ergreifen (§ 48 Abs. 2 BDSG). 

Nach § 54 BDSG, der ebenfalls eine Richtlinienvorschrift umsetzt, sind überdies nachteilhafte Entscheidungen verboten, wenn diese allein durch eine Maschine, ohne "echte" inhaltliche Kontrolle der Entscheidung durch einen Menschen, getroffen werden. Darunter fallen solche mit Außenwirkung wie die Anordnung weiterer Ermittlungsmaßnahmen, aber auch bereits die Annahme eines Tatverdachts durch eine KI.

Europäische KI-Verordnung

Auch die neue KI-Verordnung der EU ("AI-Act") stellt Regeln auf und differenziert zwischen retrograder und Echtzeitidentifikation. Erstere Anwendung ist eine Hochrisiko-KI i, Sinne von Art. 6 Abs. 2 i.V.m. Anhang III, für die Anforderungen an die Richtigkeitswahrscheinlichkeit, Nachvollziehbarkeit und Transparenz der eingesetzten KI-Systeme aufgestellt werden.

Die Echtzeitfernidentifizierung ist hingegen eine grundsätzlich verbotene Praktik, allerdings zur Verfolgung schwerwiegender Straftaten mit einer Höchststrafe von mindestens vier Jahren ausnahmsweise in den Fällen des Anhangs II der Verordnung zulässig.

Positiv in diesem Kontext: Der Einsatz muss auf das unbedingt erforderliche Maß beschränkt werden. Ein nicht zielgerichteter, d.h. anlassloser Einsatz wäre unzulässig. Auch ist die Kontrolle durch mindestens zwei natürliche Personen zwingend vorgeschrieben. Andererseits: Der Genehmigungsvorbehalt durch Gericht bzw. Staatsanwaltschaft nach Art. 26 Abs. 10 der KI-Verordnung greift gerade nicht bei erstmaliger Identifizierung eines Tatverdächtigen auf Grundlage objektiver und überprüfbarer Tatsachen.

Und auch eine weitere Schutzmaßnahme entfaltet nicht die erhoffte Wirkung: So dürfen Datenbanken zwar nicht durch ungezieltes Auslesen von Gesichtsbildern aus dem Internet oder Überwachungskameras erstellt oder erweitert werden. Aber eben nur, wenn es sich dabei um KI handelt, die Software also anpassungsfähig sein kann. Tatsächlich werden derartige Datenbanken durch sogenannte Crawler aufgebaut, die automatisiert das öffentlich zugängliche Internet nach Bildern durchsuchen. Dafür braucht es aber gerade keine KI. Vielmehr kann diese Leistung auch durch "klassische" Programme erreicht werden, welche dann nicht unter das Verbot fallen.

Bislang keine Rechtsgrundlage in der StPO

Die Strafprozessordnung (StPO) enthält bislang keine taugliche Rechtsgrundlage für den Einsatz von KI-Gesichtserkennung. Da es sich um einen erheblichen Grundrechtseingriff handelt, können weder die Generalklauseln der §§ 161, 163 StPO noch § 98c StPO herangezogen werden. Bei letzterer kommt noch hinzu, dass die Norm keinerlei Eingriffsschwellen oder Schutzmechanismen über die Beschränkung auf vorhandene Daten und den Anfangsverdacht hinaus enthält.

Erst recht ausgeschlossen ist eine Begründung über §§ 163f, 100h StPO i.V.m. § 98a StPO: Dieser Versuch, das Fehlen einer spezifischen Rechtsgrundlage für die Gesamtmaßnahme zu umgehen, indem sie künstlich in zwei Einzelmaßnahmen – automatisierte Aufnahme (§§ 163f, 100h StPO) und automatisierter Abgleich (§ 98a StPO) – aufgeteilt wird, ist aufgrund des Verstoßes gegen den Bestimmtheitsgrundsatz und die Wesentlichkeitstheorie des Bundesverfassungsgerichts unzulässig.

Wohl deshalb wurde im Sicherheitspaket 2024 der Entwurf eines § 98d StPO vorgestellt. Darin war vorgesehen, den nachträglichen Abgleich von Gesicht und Stimme mit öffentlich zugänglichen Daten aus dem Internet via automatisierter Anwendung zur Datenverarbeitung zu erlauben. Obwohl der Entwurf durchaus sinnvolle Ansätze enthielt – darunter das Verbot des Echtzeitabgleichs und die Beschränkung auf besonders schwerwiegende Straftaten aus dem Katalog des § 100b Abs. 2 StPO –, genügt er den Anforderungen ebenfalls nicht.

Gesetzgeber gefordert

Insbesondere dürfen die technischen Rahmenbedingungen für die eingesetzte KI nicht in eine Rechtsverordnung verschoben werden. Schließlich handelt es sich um eine wesentliche Grundrechtsfrage, die vom parlamentarischen Gesetzgeber geklärt werden muss. Dafür reichen auch die Vorgaben der KI-Verordnung nicht. Zumal die von Art. 10 der Datenschutzrichtlinie vorgesehenen Schutzmaßnahmen für biometrische Daten – die in § 48 Abs. 2 BDSG bislang unzureichend umgesetzt sind – in die Neuregelung aufgenommen werden müssten.

Da nunmehr auch der Koalitionsvertrag von Union und SPD den Ausbau des Einsatzes von Gesichtserkennungssoftware vorsehen, ist der Gesetzgeber hier gefordert. Er muss über den bisherigen Entwurf des § 98d StPO-E hinaus an einer tauglichen Rechtsgrundlage arbeiten, die nicht nur den Anforderungen der KI-Verordnung und der Datenschutzrichtlinie, sondern auch des Grundgesetzes und der Rechtsprechung des Bundesverfassungsgerichts gerecht wird.

Andernfalls bleibt der Einsatz dieser vielversprechenden Technik durch die Strafverfolgung und vor Gericht weiterhin nicht rechtssicher möglich. 

 

Der Autor Prof. Dr. Christian Rückert ist Inhaber des Lehrstuhls für Strafrecht, Strafprozessrecht und IT-Strafrecht an der Universität Bayreuth. 

Bei dem Text handelt es sich um eine Zusammenfassung eines wissenschaftlichen Beitrags mit Literatur- und Rechtsprechungsbelegen, der in der Zeitschrift "StV – Strafverteidiger", Heft 5, 2025, erschienen ist. Die Zeitschrift wird wie LTO von Wolters Kluwer herausgegeben. Sie ist als Einzelausgabe hier und als Abo hier erhältlich.