Google-Konto per Selfie-Video, so sicher ist der neue Login wirklich

Google baut eine neue Möglichkeit ein, wieder ins eigene Konto zu kommen, ein kurzes Selfie-Video. Gedacht ist es für den Fall, dass du ausgesperrt bist und dein gewohntes Handy oder den Rechner nicht zur Hand hast. Beim Einrichten filmst du dich und machst ein paar geführte Kopfbewegungen, damit das System mehrere Winkel deines Gesichts speichert. Sperrst du dich später aus, nimmst du ein neues Video auf, das mit dem gespeicherten abgeglichen wird. Das Verfahren läuft seit dem 23. Juli gestaffelt an, ob dein Konto dabei ist, siehst du unter g.co/signin-selfie.

Ein Ersatz fürs Passwort ist es nicht

Wichtig zur Einordnung, das Selfie-Video ersetzt weder Passwort noch Passkey. Es ist eine zusätzliche Wiederherstellungsmethode und reiht sich neben Wiederherstellungskontakte und andere Wege ein. Google empfiehlt selbst, mehrere davon einzurichten. Ausgeschlossen sind Workspace-Konten, Kinderkonten und Konten im Advanced Protection Program, also ausgerechnet die Nutzer mit dem höchsten Schutzbedarf. Das gespeicherte Video liegt verschlüsselt, wird standardmäßig nur zum Anmelden genutzt und lässt sich jederzeit löschen. Nur wenn du zustimmst, darf Google es zusätzlich verwenden, um seine Erkennung zu verbessern.

Erkennt Google wirklich Deepfakes?

Google wirbt mit mehreren Schutzschichten gegen gefälschte Fotos und Videos. Der Kern ist die Lebend-Erkennung. Du sollst kleine Bewegungen ausführen, damit klar wird, dass da ein echter Mensch vor der Kamera sitzt und kein Foto. Das stimmt für einfache Angriffe, ein ausgedrucktes Foto oder ein altes Video fällt damit durch.

Der Haken liegt woanders. Ein modernes Deepfake blinzelt, nickt und dreht den Kopf auf Kommando mit. Und die gefährlichste Angriffsart umgeht die Kamera ganz. Bei einer sogenannten Injection wird das gefälschte Live-Video direkt in die App eingespeist, als käme es von der Kamera. Genau diese Klasse hebeln Bewegungs-Checks nicht aus. Eine viel beachtete Studie auf der USENIX-Sicherheitskonferenz hat schon 2022 gezeigt, dass sich kommerzielle Lebend-Erkennungen automatisiert austricksen lassen. Die üblichen Prüfsiegel wie ISO 30107-3, iBeta oder FIDO testen zudem Angriffe vor der Kamera, nicht das Einspeisen. Sicherheitsfirmen melden für solche Injection-Angriffe seit zwei Jahren stark steigende Zahlen.

Was du daraus mitnehmen solltest

Der US-Sicherheitsstandard NIST sagt es klar, Biometrie sollte nie allein stehen, sondern immer mit einem zweiten Faktor und einer nicht-biometrischen Alternative. Und dein Gesicht kannst du nicht austauschen wie ein Passwort. Praktisch heißt das, als eine von mehreren Wiederherstellungsoptionen ist das Selfie-Video brauchbar und immer noch besser als eine Wiederherstellung per SMS, die über SIM-Swapping angreifbar ist. Für die eigentliche Anmeldung bleiben Passkey und Hardware-Schlüssel die stärkere Wahl. Wer ein besonders lohnendes Ziel ist, sollte auf das Gesichts-Video verzichten, Google schließt diese Gruppe mit dem Advanced Protection Program ohnehin aus.