Fingerabdrücke auf Selfies: So schützt du deine Biometrie

Du hältst zwei Finger ins Selfie, die Kamera ist scharf, das Foto landet öffentlich. Moderne Smartphone-Kameras und KI können daraus das Muster deiner Fingerkuppen rekonstruieren. Das sind biometrische Daten: Merkmale, die zu dir gehören wie ein Fingerabdruck oder dein Gesicht. Anders als ein Passwort kannst du sie nicht einfach ändern.

Das BSI zur Biometrie warnt genau davor. Gemeinsam mit der Hochschule Bonn-Rhein-Sieg prüft es solche Angriffe im Biometrie-Evaluations-Zentrum.

Was auf dem Foto passiert

Die Fingerkuppe steht vorn, das Licht ist gut, die Auflösung hoch. Dann werden die feinen Linien sichtbar. Je mehr solcher Bilder öffentlich liegen, desto vollständiger lässt sich das Fingermuster zusammensetzen – auch über mehrere Beiträge hinweg.

Mit dem rekonstruierten Muster können Täter versuchen, ein gestohlenes Handy zu entsperren oder an Apps zu kommen, die nur den Finger verlangen. Moderne Geräte erkennen oft, ob ein echter Finger vor dem Sensor liegt und nicht ein Foto oder eine Attrappe. Ältere Modelle und billige Schlösser tun das schwächer. Der Aufwand ist höher als bei einer Fake-Mail. Trotzdem gilt: Einmal im Netz, bleibt das Merkmal draußen.

Verwandt, aber nicht dasselbe: Doxing sammelt Fotos, um dich bloßzustellen. Hier geht es um das Fingermuster selbst, das Geräte und Konten öffnen kann. Beides kann in Identitätsdiebstahl münden.

Welche Aufnahmen riskant sind

• Peace-Zeichen oder Victory-Zeichen nah an der Linse.
• Daumen hoch oder Winken mit der Hand im Vordergrund.
• Kleinanzeigen-Foto, auf dem du den Gegenstand hältst und die Fingerkuppe scharf mit drauf ist.
• Ausweis, Ticket, Schlüssel oder Karte in der Hand – oft sind Finger und Dokument zusammen zu sehen.
• Viele scharfe Handfotos auf offenen Profilen. Ein einzelnes verwackeltes Bild reicht selten.

Gruppenfotos aus größerer Distanz sind unproblematischer als ein Selfie, bei dem die Finger die Kamera fast berühren.

So groß ist das Risiko wirklich

Phishing, Datenlecks und schwache Passwörter bleiben der häufigere Weg in dein Konto. Ein Fingerabdruck aus einem Foto ist eher ein gezielter Angriff: Es braucht brauchbare Bilder, oft körperliche Nähe zum Gerät und Zeit.

Ein Alltagsszenario: Du verkaufst etwas über Kleinanzeigen, die Hand ist auf dem Foto, später kennt die Gegenseite deine Adresse für die Abholung. Dann wird aus dem öffentlichen Bild plötzlich ein Hebel. Deshalb lohnt Sorgfalt bei Fotos, ohne in Panik zu geraten.

KI macht die Rekonstruktion leichter – dasselbe Technikfeld wie bei Deepfakes. Gesicht und Stimme können ebenfalls aus öffentlichen Aufnahmen nachgebaut werden.

So schützt du dich

1. Fingerkuppen nicht scharf zeigen. Peace-Zeichen und Daumen hoch weglassen oder die Hand weiter weg halten.
2. Auflösung senken, bevor du postest. Was fürs Handy-Display reicht, muss nicht in voller Kameraqualität ins Netz.
3. Relevante Stellen weichzeichnen, wenn die Hand trotzdem im Bild sein soll.
4. Profile auf privat stellen. Öffentliche Alben sind die einfachste Sammelstelle.
5. Biometrie nicht allein nutzen. Beim Entsperren von Banking, Firmenzugang oder dem Passwortmanager zusätzlich PIN oder Passwort verlangen. Details: Zwei-Faktor-Authentifizierung und Passkeys.
6. Unterschiedliche Finger, wo das Gerät es zulässt: einen fürs Display, einen anderen für die Banking-App.
7. Keine fremden Finger auf deinem Gerät hinterlegen.
8. Ausweisfotos nicht verschicken, auch nicht „zur Identitätsprüfung“ per Mail-Link – das ist klassisches Phishing.

Der Fingerabdruck auf dem Gerät gibt einen Passkey frei. Das ist etwas anderes, als dasselbe Muster öffentlich auf Fotos zu zeigen.

Was du nicht tun musst

Du musst auf Familienfotos keine Handschuhe tragen. Weichzeichnen, Abstand und eine extra PIN bei Geld-Apps bringen mehr als Verbote für jedes Gruppenbild.

Wer dir am Telefon deinen Fingerabdruck „vorlesen“ oder per Foto schicken lassen will, will Betrug. Dasselbe gilt für Ministeriums-Mails, die ein Selfie-Video und den Ausweis verlangen – siehe Behörden-Phishing.

Nachricht oder Link prüfen

Will jemand ein Selfie, ein Ausweisfoto oder einen Login-Link von dir, kopiere die Nachricht, die Nummer oder die Adresse in den FAKE-Checker. Der prüft Text und Kontakte – nicht das Foto selbst. Mehr zum Missbrauch deines Namens: Identitätsdiebstahl erkennen und abwehren.