Eine Code-Analyse von WIRED legte im Juni 2026 offen: In Metas KI-App lag eine vollständige Gesichtserkennung für die Ray-Ban-Brillen, installiert auf Millionen Geräten. Offiziell dachte Meta damals „noch darüber nach“, die Funktion einzuführen. Für Unternehmen im DACH-Raum ist die Technik trotzdem schon ein DSGVO-Problem.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 5 Abschnitte
Die Gesichtserkennung für Metas KI-Brillen lag im Juni 2026 bereits auf den Handys von über 50 Millionen Menschen, ohne dass die Nutzer davon wussten. Stellen Sie sich vor, ein Fremder im Zug sieht Sie an, und seine Brille flüstert ihm Ihren Namen ins Ohr. Das System dafür lag einsatzbereit in einer längst ausgelieferten App.
Das Wichtigste in Kürze
- Die Gesichtserkennung „NameTag“ lag nach der WIRED-Analyse vom Juni 2026 einsatzbereit in Metas KI-App; ihre drei KI-Modelle liefen komplett auf dem Handy.
- Die App rechnet jedes Gesicht in einen Faceprint um, ein biometrisches Gesichtsprofil aus 2.048 Zahlenwerten, und gleicht ihn lokal per Kosinus-Ähnlichkeit ab.
- Nicht erkannte Gesichter landen zugeschnitten in einem Ordner namens „NameTagsPending“.
- Nach Artikel 9 DSGVO ist die Verarbeitung biometrischer Daten ohne ausdrückliche Einwilligung verboten; auch die KI-Verordnung der EU (AI Act) zieht hier eine Grenze.
Was steckt wirklich im Code?
Der unabhängige Forscher Buchodi und die EFF fanden in der App drei funktionsfähige KI-Modelle mit zusammen rund 100 Megabyte, wie die Code-Analyse von WIRED belegt. Ein Modell findet Gesichter, ein zweites schneidet sie zu, ein drittes verwandelt jedes in einen Vektor aus 2.048 Zahlenwerten.
Laut der Analyse lief der Abgleich vollständig auf dem Telefon. Eine kleine Datenbank mit Vektorsuche verglich jeden neuen Faceprint per Kosinus-Ähnlichkeit mit den gespeicherten. Erkannte das System niemanden, wanderte das zugeschnittene Gesicht samt Faceprint in den Ordner „NameTagsPending“. Lesen konnte diesen Ordner nur die App, und selbst ein Neustart löschte ihn nicht.
Das erste Modell findet Gesichter.
Das zweite Modell schneidet jedes gefundene Gesicht zu.
Das dritte Modell verwandelt jedes Gesicht in einen Zahlenvektor mit 2.048 Werten.
Eine Vektorsuche misst per Kosinus-Ähnlichkeit, wie sehr der Faceprint den gespeicherten Faceprints gleicht.
Warum spricht Meta von „keiner zentralen Datenbank“?
Meta-Sprecher Ryan Daniels betonte, man baue „keine zentrale Gesichtsdatenbank“. Technisch trifft die Aussage zu, und doch trügt der Schein. Weil der Abgleich auf jedem Gerät einzeln läuft und die Faceprints laut WIRED von Metas Servern auf die Telefone wandern sollen, entsteht keine zentrale Datenbank, sondern eine verteilte, die sich auf über 50 Millionen Handys erstreckt.
Mit Gesichtsdaten hatte Meta schon früher Ärger: 2021 löschte der Konzern über eine Milliarde Faceprints und zahlte 650 Millionen Dollar an Nutzer aus Illinois, 2024 folgten 1,4 Milliarden Dollar an den Bundesstaat Texas. Dass Metas KI-Systeme heikle Daten preisgeben können, zeigte schon der Meta-KI-Vorfall um gekaperte Konten.
Dezentral heißt nicht harmlos. Ob mein biometrisches Profil auf Metas Server liegt oder auf dem Handy eines Fremden neben mir, einwilligen durfte ich in beides nie.
Michael Dobler, Herausgeber Dr. Web
Was bedeutet das für Unternehmen im DACH-Raum?
Die Ray-Ban-Meta-Brillen verkaufen sich auch in Deutschland, und die Bundesdatenschutzbeauftragte warnte schon im Juni 2026 vor den Datenschutzrisiken der Brillen. Ein Faceprint zählt nach Artikel 9 DSGVO zu den besonders geschützten biometrischen Daten. Die Verarbeitung solcher Daten bleibt verboten, solange keine ausdrückliche Einwilligung vorliegt, und die erteilt ein gefilmter Passant nicht, weil ihn niemand fragt.
Seit dem 2. Februar 2025 zieht die KI-Verordnung eine zusätzliche Grenze: Das ungezielte Auslesen von Gesichtsbildern zum Aufbau von Gesichtserkennungsdatenbanken ist ausnahmslos verboten, und der Ordner „NameTagsPending“ dürfte darunter fallen. Hart durchgegriffen haben die Aufseher bei Clearview AI: Behörden in Italien, Frankreich und den Niederlanden verhängten gegen den Anbieter Bußgelder in zweistelliger Millionenhöhe. Wie weit flächendeckende Bildanalyse anderswo reicht, zeigt Südkoreas KI-Bildscan.
Ohne ausdrückliche Einwilligung ist die Verarbeitung biometrischer Daten verboten.
Seit diesem Tag ist das ungezielte Auslesen von Gesichtsbildern für Gesichtserkennungsdatenbanken verboten.
Behörden in Italien, Frankreich und den Niederlanden verhängten gegen den Anbieter Bußgelder in zweistelliger Millionenhöhe.
Für Metas deutsche Niederlassung ist die Hamburger Datenschutzbehörde zuständig.
Am besten regeln Sie das Tragen von Datenbrillen in Ihren Räumen per Hausordnung, bevor sich ein Kunde beschwert. Bei jedem Anbieter, der mit „läuft lokal“ wirbt, lohnt trotzdem ein Blick auf die Rechtsgrundlage nach Artikel 9 DSGVO. Im Blick behalten sollten Sie zudem die Hamburger Datenschutzbehörde, die für Metas deutsche Niederlassung zuständig ist.
FAQ: Metas versteckte Gesichtserkennung
Was ist NameTag in Metas KI-App?
NameTag ist eine Gesichtserkennung für Metas Ray-Ban-Brillen, die laut einer Code-Analyse von WIRED einsatzbereit in Metas KI-App lag. Drei KI-Modelle mit zusammen rund 100 Megabyte finden Gesichter, schneiden sie zu und rechnen sie in Faceprints um, also biometrische Gesichtsprofile (Stand: Juni 2026).
Auf wie vielen Handys lag die Gesichtserkennung im Juni 2026?
Die App mit der Gesichtserkennung lag im Juni 2026 auf den Handys von über 50 Millionen Menschen. Offiziell dachte Meta zu diesem Zeitpunkt noch darüber nach, die Funktion einzuführen.
Speichert Meta die Faceprints zentral?
Meta-Sprecher Ryan Daniels betonte, der Konzern baue keine zentrale Gesichtsdatenbank. Der Abgleich läuft auf jedem Gerät einzeln, und laut WIRED sollen die Faceprints von Metas Servern auf die Telefone wandern. So entsteht eine Datenbank, die sich auf über 50 Millionen Handys verteilt.
Was passiert mit Gesichtern, die das System nicht erkennt?
Unbekannte Gesichter landen zugeschnitten samt Faceprint im Ordner „NameTagsPending“. Lesen kann den Ordner nur die App, und auch ein Neustart löscht ihn nicht.
Darf eine solche Gesichtserkennung in der EU laufen?
Ohne ausdrückliche Einwilligung nicht: Ein Faceprint zählt nach Artikel 9 DSGVO zu den besonders geschützten biometrischen Daten. Seit dem 2. Februar 2025 verbietet die KI-Verordnung der EU zudem das ungezielte Auslesen von Gesichtsbildern für Gesichtserkennungsdatenbanken.
Was sollten Unternehmen tun?
Unternehmen können das Tragen von Datenbrillen in ihren Räumen per Hausordnung regeln und bei Anbietern, die mit „läuft lokal“ werben, trotzdem die Rechtsgrundlage nach Artikel 9 DSGVO prüfen. Im Blick behalten sollten sie zudem die Hamburger Datenschutzbehörde, die für Metas deutsche Niederlassung zuständig ist.
Mehr Newshunger?
