Shahid Hanif, CEO und Mitgründer von Shufti – Interview-Serie

Shahid Hanif, CEO und Mitgründer von Shufti, ist ein Technologie-Unternehmer mit umfangreicher Erfahrung in der Entwicklung von Identitätsverifizierung, Finanztechnologie, Blockchain und dezentralen Software-Plattformen. Er gründete Shufti 2017 und verbrachte mehr als sieben Jahre als Chief Technology Officer, wo er die Entwicklung der künstlichen Intelligenz-getriebenen biometrischen und Dokumenten-Verifizierungstechnologie leitete, bevor er 2024 zum CEO wurde. Hanif ist auch der Gründer von Developers Studio, einem Blockchain-Entwicklungsunternehmen mit über 100 Spezialisten, und war zuvor CTO von Quickbit, wo er half, die Kryptowährungs-Zahlungstechnologie vor dem Börsengang des Unternehmens zu entwickeln. Zuvor gründete er Programmers Force und half, das Software- und Datenwissenschafts-Unternehmen auf über 500 Mitarbeiter in zehn Büros auf drei Kontinenten auszubauen.

Shufti ist eine künstliche Intelligenz-gestützte Identitätsverifizierungsplattform, die Organisationen hilft, Vertrauen aufzubauen, Betrug zu verhindern und die Anforderungen von Know Your Customer, Know Your Business und Anti-Geldwäsche zu erfüllen. Ihre Plattform kombiniert Dokumenten- und biometrische Verifizierung, elektronische Identitätsverifizierung, NFC-basierte Überprüfungen, Geschäftsverifizierung, Alterssicherung, Betrugsbekämpfung, laufende Überwachung und Fallmanagement über eine einheitliche Infrastruktur. Das Unternehmen unterstützt Tausende von Dokumententypen und über 150 Sprachen in über 240 Ländern und Territorien, sodass Unternehmen Kunden und Organisationen über eine einzige globale Integration verifizieren können. Die Technologie untersucht die Echtheit von Dokumenten, biometrische Lebendigkeit, Geräteintelligenz und andere Risikosignale, um gefälschte Dokumente, Deepfakes, Kontenmanipulation und koordinierte Identitätsangriffe zu erkennen.

Als Sie Shufti 2017 mitgründeten, leiteten Sie zunächst die technologische Entwicklung des Unternehmens als Chief Technology Officer, bevor Sie 2024 zum CEO wurden. Welche Mängel in der digitalen Identitätsverifizierung haben Sie ursprünglich dazu veranlasst, die Plattform zu entwickeln, und wie hat sich Ihr Verständnis des Problems mit dem Aufkommen von generativer künstlicher Intelligenz verändert?

Als wir Shufti 2017 gründeten, waren die größten Herausforderungen langsame Verifizierung, zu viel manuelle Arbeit und Systeme, die nicht gut in verschiedenen Ländern funktionierten. Viele Identitätsverifizierungslösungen waren inkonsistent, insbesondere in Hochrisikobranchen. Sie hatten auch Schwierigkeiten, Dokumente in nicht-lateinischen Sprachen zu verifizieren und konnten Identitäten aus der ganzen Welt nicht zuverlässig verifizieren.

Heute hat die generative künstliche Intelligenz das Problem verändert. Es geht nicht mehr nur darum, ein Ausweisdokument zu lesen. Es geht darum, zu wissen, ob das Dokument und die Person, die es vorlegt, echt sind. Die künstliche Intelligenz hat Identitätsbetrug schneller, billiger und einfacher zu skalieren gemacht. Wir haben gelernt, dass die Verifizierung einer Person nur während der Onboarding-Phase nicht mehr ausreicht. Unternehmen benötigen jetzt künstliche Intelligenz, die sogar die fortschrittlichsten gefälschten Dokumente und Identitäten erkennen kann.

Die belgischen Behörden warnen kürzlich, dass mehr als 10.000 Menschen im vergangenen Jahr Opfer von Identitätsbetrug durch künstliche Intelligenz wurden. Was zeigt dieser Fall über die Geschwindigkeit, mit der Identitätskriminalität sich entwickelt, und warum sind künstlich erzeugte Kopien von echten Dokumenten besonders schwer zu erkennen?

Die Warnung der belgischen Behörden über 10.000 Opfer ist nur die Spitze des Eisbergs. Sie zeigt, dass Kriminelle von grundlegender Dokumentenbearbeitung zu vollständiger Identitätssynthese übergegangen sind.

Künstlich erzeugte Kopien sind schwer zu erkennen, weil sie Regierungsvorlagen mit pixelgenauer Präzision nachahmen können. Traditionelle OCR (Optical Character Recognition) konzentriert sich auf die Extraktion von Text, ignoriert aber die visuelle Integrität des Bildes. Die künstliche Intelligenz kann jetzt Sicherheitsmerkmale replizieren, die zuvor eine physische Präsenz erforderten, um sie zu verifizieren, was ein flaches Bild eines Dokuments zu einer Haftung statt zu einem Identitätsnachweis macht.

Wie unterscheidet sich eine künstlich erzeugte Kopie eines gestohlenen Identitätsdokuments von einer herkömmlichen Fälschung, einem manipulierten Dokument und einer vollständig synthetischen Identität?

Es ist wichtig, zwischen diesen Methoden zu unterscheiden:

Her Kömmliche Fälschung: Ein physisches gefälschtes Dokument.

Manipuliertes Dokument: Ein echter Ausweis, bei dem bestimmte Felder (wie ein Name oder ein Geburtsdatum) geändert wurden.

Synthetische Identität: Eine “Frankenstein”-Persona, die durch Kombination von gestohlenen echten Daten (wie einer Sozialversicherungsnummer) mit erfundenen Details erstellt wird.

Künstlich erzeugte Kopie: Ein Deepfake-Dokument, das von Grund auf oder aus einem gestohlenen Vorlagen mithilfe von Generative Adversarial Networks (GANs) erstellt wird. Diese fehlen oft an digitaler Historie und enthalten forensische Artefakte wie Sensor-Noise-Inkonsistenzen, die das menschliche Auge nicht sehen kann.

Shufti geht davon aus, dass Dokumenten-Deepfakes in diesem Jahr um fast 3.900 % zunehmen könnten. Welche Aktivität treibt diese Prognose an, und welche Annahmen oder Einschränkungen sollten Organisationen verstehen, wenn sie diese Prognose interpretieren?

Wir erwarten eine Zunahme von 3.900 % bei Dokumenten-Deepfakes, weil die künstliche Intelligenz den Betrug viel einfacher zu erstellen und zu skalieren gemacht hat. Kriminelle sind nicht mehr nur Gesichter in Fotos austauschbar. Sie können jetzt ganze gefälschte Identitätsdokumente erstellen, die oft an älteren Verifizierungssystemen vorbeikommen.

Es ist wichtig zu verstehen, dass diese Prognose die Geschwindigkeit widerspiegelt, mit der künstliche Intelligenz-gestützter Betrug wächst, und nicht nur, wie viele gefälschte Dokumente existieren. Die größte Herausforderung ist, dass viele Identitätsverifizierungssysteme vor Jahren entwickelt wurden und nicht in der Lage sind, fortschrittliche künstlich erzeugte Fälschungen zu erkennen, wie realistische Hologramme oder Gesichts-Morphing. Als Ergebnis können gefälschte Identitäten die Überprüfungen passieren und in Unternehmensdatenbanken versteckt bleiben.

Viele Unternehmen behandeln noch immer ein Foto oder eine Scans eines Identitätsdokuments als ausreichenden Nachweis der Identität. Welche Signale sollte ein modernes Verifizierungssystem über die sichtbaren Informationen auf dem Dokument hinaus untersuchen?

Der größte Wandel ist, dass Unternehmen nicht mehr auf traditionelle Dokumentenprüfungen vertrauen können. Sie benötigen, was wir “Digitales Auge”-Ansatz nennen. Anstatt nur die Informationen auf einem Ausweis zu lesen, muss das System prüfen, ob das Dokument selbst echt ist.

Das bedeutet, nach subtilen Anzeichen zu suchen, die Menschen nicht leicht erkennen können, wie z.B., ob das Bild von einem Bildschirm aufgenommen wurde, ungewöhnliche Pixelmuster, inkonsistente Beleuchtung oder Spuren, die von künstlicher Intelligenz-Bildgeneratoren hinterlassen wurden. Wir prüfen auch, ob Teile des Dokuments kopiert, verschoben oder digital verändert wurden, sowie Inkonsistenzen in Metadaten und Bildqualität. Wenn man all diese Signale kombiniert, ist man viel wahrscheinlicher, fortschrittliche künstlich erzeugte Dokumente zu erkennen, die ältere Verifizierungssysteme einfach als echt akzeptieren würden.

Sie haben argumentiert, dass Identitätssicherheit kontinuierlich und nicht nur auf die Kunden-Onboarding-Phase beschränkt sein sollte. Wie würde kontinuierliche Verifizierung in der Praxis aussehen, und wie können Unternehmen sie umsetzen, ohne übermäßige Überwachung, Datenschutzrisiken oder Kundenfriction zu introduzieren?

Die Ära der “einmaligen Überprüfung” ist vorbei. Kontinuierliche Identitätssicherheit bedeutet, dass die Benutzer-Risiken gegen 1.700+ Watchlists so häufig wie alle 15 Minuten aktualisiert werden, um “retroaktive Non-Konformität” zu verhindern.

Um dies ohne Reibung oder Datenschutzrisiken umzusetzen, verwenden wir biometrisch gebundene wiederverwendbare Identitäten (FastID). Sobald ein Benutzer verifiziert ist, kann er sich für hochrisikoreiche Aktionen (wie große Abhebungen) in unter zwei Sekunden mit nur einer Gesichtsscan-Verifizierung erneut verifizieren. Dies eliminiert die Notwendigkeit wiederholter Dokumenten-Uploads, während es gleichzeitig eine hohe Sicherheitsposition aufrechterhält.

Betrüger können jetzt synthetische Dokumente mit Gesichtsaustausch, Deepfake-Videos, Injection-Angriffen und gestohlenen persönlichen Informationen kombinieren. Wie sollten Identitätsplattformen Dokumenten-Integrität, biometrische Lebendigkeit, Geräteintelligenz und Verhaltensanalyse verbinden, um diese koordinierten Angriffe zu erkennen?

Betrüger werden immer raffinierter. Anstatt nur eine Technik zu verwenden, kombinieren sie jetzt künstlich erzeugte Dokumente, Gesichtsaustausch und Injection-Angriffe, um Identitätsprüfungen zu umgehen. Deshalb müssen Unternehmen das gesamte Bild betrachten, anstatt sich auf einen einzelnen Verifizierungsschritt zu verlassen.

Bei Shufti tun wir dies durch kontextbewusste Risikobewertung. Wir analysieren das Gerät, das verwendet wird, um Emulatoren oder headless-Browser zu erkennen, verifizieren, dass der Benutzer physisch anwesend ist, mit iBeta Level 2-zertifizierter passiver Lebendigkeitserkennung, und suchen nach verdächtigen Mustern über Konten hinweg, indem wir Identitätsdaten, Geräte-Fingerabdrücke und Benutzerverhalten analysieren. Die Kombination dieser Signale macht es viel einfacher, Betrug vor seinem Schaden zu erkennen.

Generative Modelle werden weiter verbessert, während Betrüger absichtlich komprimieren, scannen oder synthetische Medien ändern können, um Manipulationsartefakte zu verstecken. Wie testen Verifizierungsanbieter, ob ihre Erkennungssysteme gegen neue und zuvor unbekannte Angriffsmethoden wirksam bleiben?

Die Herausforderung ist, dass künstlich erzeugter Betrug viel schneller evolviert als traditionelle Sicherheitstestzyklen. Verifizierungsanbieter müssen ihre Systeme kontinuierlich gegen neue Angriffstechniken testen, anstatt sich auf historische Datensätze zu verlassen. Das bedeutet, mit synthetischen Dokumenten, rekompilierten Bildern, Bildschirm-Neuaufnahmen, Injection-Angriffen und anderen manipulierten Medien zu testen, die darauf ausgelegt sind, offensichtliche Artefakte zu verstecken. Immer mehr konzentriert sich der Fokus darauf, Inkonsistenzen über mehrere Signale hinweg zu erkennen, da diese tendenziell für Angreifer schwerer zu replizieren sind, wenn die generative künstliche Intelligenz verbessert wird.

Identitätsverifizierungssysteme können schwerwiegende Konsequenzen haben, wenn sie legitime Benutzer fälschlicherweise ablehnen. Wie sollten Entwickler falsche Positivergebnisse, demografische Leistung und Zugänglichkeit neben der Genauigkeit der Betrugsbekämpfung messen?

Genauigkeit sollte nicht nur darin bestehen, die “bösen Jungs” zu fangen; es geht darum, einen reibungslosen Weg für die “guten Jungs” zu gewährleisten. In unserer Branche konzentrieren wir uns auf die Failure to Extract Rate (FTXR) – die misst, wie oft ein System einfach nicht in der Lage ist, ein Gesicht oder ein Dokument zu “lesen” – und die False Non-Match Rate (FNMR), bei der echte Benutzer fälschlicherweise abgelehnt werden. Laut den Quellen zeigte die Leistung von Shufti im DHS RIVR 2025-Benchmark einen Ausbeuteversagen von 0 % über mehrere Geräte und eine FNMR unter 0,68 %.

Entwickler müssen über “Labordurchschnittswerte” hinausgehen und die Leistung gegen “schlechteste” demografische Ergebnisse messen. Das bedeutet, speziell für Konsistenz über verschiedene Hauttöne, Gesichtsstrukturen und kulturelle Bekleidung zu testen. Wir erreichen dies, indem wir unsere künstliche Intelligenz auf global diversen Datensätzen mit Millionen von Frames trainieren. Eine robuste Bewertung ist nicht abgeschlossen, bis Sie bewiesen haben, dass Ihr System für einen Benutzer in einer ländlichen Region mit schlechter Beleuchtung genauso genau ist wie in einer kontrollierten Büroumgebung. Das Ziel ist eine einheitliche Identitätsebene, die fair, inklusiv und für jeden zugänglich ist.

Blickt man in die Zukunft, werden Technologien wie staatlich unterstützte digitale Identitäts-Wallets, kryptografisch verifizierbare Anmeldeinformationen und biometrisch gebundene Identitäten schließlich das Hochladen von Dokumenten-Bildern veralten lassen, oder werden sie nur eine neue Reihe von Angriffsoberflächen schaffen?

Wir bewegen uns definitiv in Richtung einer Zukunft, in der Menschen nicht mehr so oft Fotos ihrer Identitätsdokumente hochladen müssen. Staatlich unterstützte digitale Identitäts-Wallets und vertrauenswürdige digitale IDs machen es viel schneller und sicherer, die Identität nachzuweisen, da sie es ermöglichen, Informationen direkt zu verifizieren, anstatt auf ein Bild eines Dokuments zu vertrauen. Sie schaffen auch ein nahtloseres Benutzererlebnis, indem sie die Zeit verkürzen, die zum Abschließen der Verifizierung benötigt wird.

Das sagte, schafft jede neue Technologie neue Möglichkeiten für Kriminelle. Anstatt Dokumente zu fälschen, könnten Angreifer versuchen, digitale Anmeldeinformationen zu stehlen, Konten zu übernehmen oder vertrauenswürdige Identitäten zu kapern. Deshalb ist es wichtig, zu bestätigen, dass die Person, die die Identität verwendet, der rechtmäßige Besitzer ist, zum Beispiel durch biometrische Verifizierung und Lebendigkeitserkennung. Die Zukunft der Identitätsverifizierung wird wahrscheinlich vertrauenswürdige digitale Anmeldeinformationen mit Biometrie kombinieren, um mehrere Schutzschichten zu schaffen, anstatt auf eine einzelne Methode zu vertrauen.

Vielen Dank für das großartige Interview. Leser, die mehr erfahren möchten, sollten Shufti besuchen.