Zoom und World ID: Iris-Scan gegen Deepfakes im Video-Call
20. Oktober 2026
KI-generiert, redaktionell von 8thsense ausgewählt, geprüft und freigegeben. EU AI Act, Art. 50
Wer im Video-Call sitzt, soll künftig beweisen können, dass er ein echter Mensch ist: Das Projekt World, mitgegründet von OpenAI-Chef Sam Altman, bietet mit „World ID for Zoom” eine Verifizierung per Iris-Scan an. Verifizierte Teilnehmer bekommen im Meeting ein sichtbares Abzeichen. Hintergrund sind Deepfake-Angriffe, bei denen Betrüger sich in Videokonferenzen als Chefs oder Kollegen ausgeben. Für Geschäftsführer im Mittelstand stellt sich die Frage: Braucht es dafür Biometrie, oder reichen bessere Regeln?
So funktioniert World ID im Zoom-Meeting
Laut der Ankündigung von World vom 18. Oktober läuft die Verifizierung in drei Schritten (Quelle: world.org). Zuerst lässt man an einem „Orb”, einem etwa fußballgroßen Gerät, die Iris scannen und erhält damit einen sogenannten Proof of Human. Danach verknüpft man in der World-ID-App sein Zoom-Konto. Fordert ein Host im Meeting eine Bestätigung an, tippt der Teilnehmer auf eine Benachrichtigung am Smartphone und macht ein Selfie. Das System gleicht drei Bilder ab: das beim Scan signierte Orb-Bild, das Selfie und ein Einzelbild aus dem laufenden Zoom-Video. Passt alles, erscheint auf der Kachel ein „Human Badge”. Hosts können festlegen, wie lange das Abzeichen gültig bleibt. Ein Warteraum, in dem man sich schon vor dem Betreten verifiziert, ist laut World erst „bald” verfügbar.
Wer es nutzen kann und was offen bleibt
World nennt als Zielgruppe ausdrücklich Zoom-Enterprise-Kunden. Die Integration steht im Zoom Marketplace, als erste Partner nennt World unter anderem Bain Capital und VanEck. Diese Firmen stellen Orbs in ihren Büros auf, damit Mitarbeiter sich vor Ort registrieren können (Quelle: fortune.com). Fortune schreibt allerdings, Zoom-Teilnehmer würden sich „bald” verifizieren können, während World von einer bereits verfügbaren Integration spricht. Preise nennt keine der Quellen, Interessenten sollen eine Demo anfragen. Auch t3n weist darauf hin, dass konkrete Angaben zu Kosten und Verfügbarkeit fehlen (Quelle: t3n.de). Für einen Betrieb mit 30 Mitarbeitern ist das derzeit also kein Produkt, das man am Montag einfach bucht.
Das Problem ist real: Zahlen zu Deepfake-Angriffen
World stützt sich auf eine Gartner-Umfrage aus dem Jahr 2025. Darin gaben 62 Prozent von 302 befragten Sicherheitsverantwortlichen in Nordamerika, Europa und Asien an, ihre Organisation sei im vorangegangenen Jahr Ziel eines Deepfake-Angriffs gewesen (Quelle: infosecurity-magazine.com). Gemeint sind Social Engineering, das Vortäuschen einer Person in Video- oder Telefonaten und das Austricksen von Gesichts- oder Stimmerkennung. Wichtig zur Einordnung: Befragt wurden vor allem größere Organisationen mit eigener Security-Abteilung, und „Ziel eines Angriffs” heißt nicht „erfolgreich betrogen”. Das BSI bestätigt die technische Grundlage: Gesichtstausch funktioniert inzwischen teilweise in Echtzeit, und für das Training reichen wenige Minuten Videomaterial der Zielperson (Quelle: bsi.bund.de).
Datenschutz: Iris-Daten sind ein heikles Pfand
World betont, es gebe keine zentrale Datenbank, die Identitätsdaten seien so verschlüsselt, dass das Unternehmen sie selbst nicht lesen könne. Der Protokollcode sei Open Source. Für die Zoom-Integration werde nur Video ausgewertet, kein Ton und kein Transkript. In Europa hat das Projekt allerdings eine Vorgeschichte: Das Bayerische Landesamt für Datenschutzaufsicht verpflichtete das Unternehmen im Dezember 2024, Iris-Codes zu löschen, die 2023 ohne ausreichende Rechtsgrundlage erhoben worden waren, und ein DSGVO-konformes Löschverfahren einzuführen. World hat dagegen Rechtsmittel eingelegt (Quelle: idtechwire.com). Wer Mitarbeiter bittet, ihre Iris scannen zu lassen, verarbeitet besonders geschützte biometrische Daten im Beschäftigungsverhältnis. Ohne Datenschutzbeauftragten und gegebenenfalls Betriebsrat sollte man das nicht anfangen.
Was gegen Deepfake-Betrug tatsächlich hilft
Bemerkenswert ist, was Gartner-Analyst Akif Khan selbst empfiehlt: Zahlungsfreigaben sollten nicht per Zuruf im Call erfolgen, sondern in der Finanzanwendung, in die sich die Führungskraft selbst mit sicherer Mehr-Faktor-Anmeldung einloggt. Erkennungstools in Teams oder Zoom seien dagegen neu und kaum großflächig erprobt. Auch das BSI nennt Schulung als zentrale Maßnahme und warnt, dass automatische Erkennung in der Regel keinen vollständigen Schutz bietet. Daraus ergeben sich Regeln, die jeder Betrieb ohne neue Hardware umsetzen kann:
Rückruf über bekannte Nummer: Jede ungewöhnliche Zahlungs- oder Datenanforderung wird über eine gespeicherte Nummer gegengeprüft, nie über die im Call genannte.
Vier-Augen-Prinzip: Überweisungen ab einem festen Betrag brauchen eine zweite Freigabe im Banking oder in der Buchhaltungssoftware.
Kein Druck akzeptieren: „Dringend und vertraulich” ist ein Warnsignal, kein Grund zur Eile.
Codewort für Notfälle: Ein vereinbartes Wort zwischen Geschäftsführung und Buchhaltung.
Kurze Schulung: Einmal im Jahr typische Maschen durchgehen, gern mit echten Beispielen.
Was das für Unternehmen bedeutet
World ID for Zoom ist ein interessantes Signal, aber für die meisten mittelständischen Betriebe derzeit nicht die passende Antwort. Die Lösung zielt auf Enterprise-Kunden, Preise sind unbekannt, und der Iris-Scan wirft im Beschäftigungsverhältnis datenschutzrechtliche Fragen auf, die ein Pflegedienst, eine Tanzschule oder ein Handwerksbetrieb nicht nebenbei klären will. Der größere Hebel liegt in den eigenen Abläufen: Wer Zahlungen nur über die Banking-App mit zweiter Freigabe auslöst und bei ungewöhnlichen Anweisungen grundsätzlich zurückruft, macht einen Deepfake im Video-Call weitgehend wirkungslos.
Ein pragmatischer Start kostet kaum Geld: Die Geschäftsführung legt in einer Stunde mit der Buchhaltung Freigabegrenzen und Rückrufregeln fest, schreibt sie auf eine Seite und bespricht sie im nächsten Teammeeting. Wer ohnehin gerade prüft, wo Künstliche Intelligenz im eigenen Betrieb Chancen und Risiken bringt, kann das Thema Deepfakes in einen KI-Potenzial-Check aufnehmen. Biometrische Verifizierung lohnt einen zweiten Blick erst dann, wenn sie bezahlbar, datenschutzrechtlich geklärt und in die genutzten Tools eingebaut ist.
