Deepfake einer Schülerin: Fotozugang ist keine Einwilligung

Stand: 10. Oktober 2026

Die polnische Datenschutzbehörde UODO wandte sich nach Medienberichten über die KI-basierte Bildmanipulation einer minderjährigen Schülerin durch eine andere Minderjährige an die Polizeiführung in Krakau. Eine Mitteilung vom 24.06.2026 betrifft diese behördliche Intervention, kein rechtskräftiges Urteil. Der Kern dieses Falls betrifft den grundlegenden Unterschied zwischen dem bloßen Zugriff auf ein Bild und der Berechtigung zu dessen Nutzung. Die Künstlichkeit eines Bildes entbindet keineswegs von der Verantwortung für dessen Erstellung und Verbreitung.

Chronologie

1. 24.06.2026 - Mitteilung über das behördliche Eingreifen.
2. 22.09.2026 - Weiterführende Stellungnahme zu Deepfakes und rechtswidrigen Inhalten, kein Urteil im konkreten Krakauer Fall.

Erkenntnisse aus dem Vorgehen

Ablauf: Vom Medienbericht zur behördlichen Reaktion

Ausgangspunkt waren Berichte in den Medien. Die Aufsichtsbehörde stellte klar, dass die öffentliche Zugänglichkeit eines Fotos keineswegs automatisch eine Rechtsgrundlage für eine derartige Weiterverarbeitung darstellt. UODO, 24.06.2026. Dies ist eine entscheidende Differenzierung: Die technische Möglichkeit, eine Datei herunterzuladen, regelt lediglich den Abruf, entscheidet aber nicht über die rechtliche Zulässigkeit der weiteren Verwendung. Die Frage lautet daher nicht allein, woher eine Aufnahme stammt, sondern vor allem, was damit geschieht.

Analyse: Manipuliertes Bild, reale Verantwortung

Authentizität und Verletzung von Persönlichkeitsrechten müssen getrennt voneinander bewertet werden. Die Feststellung, dass ein Bild manipuliert wurde, klärt lediglich dessen Realitätsgehalt. Sie beantwortet jedoch nicht, ob die unbefugte Verwendung eines fremden Erscheinungsbildes die Grenzen der betroffenen Person verletzt. Ein aufgezwungener Kontext, der Verlust der Kontrolle über die eigene Darstellung und das Ausgesetztsein vor Dritten bleiben relevante Kriterien, selbst wenn Außenstehende die Manipulation sofort durchschauen. Ein Bild muss nicht echt wirken, um echten Schaden anzurichten.

Das Argument der öffentlichen Zugänglichkeit verschiebt die Verantwortung in die falsche Richtung. Wer ein Bild teilt, müsste demnach im Vorfeld jede erdenkliche Zweckentfremdung einkalkulieren, während Nutzer von KI-Werkzeugen ihre Handlungen nicht rechtfertigen müssten. Ein sinnvollerer Ausgangspunkt ist die Prüfung der Handlung selbst: Zweck, Umfang der Nutzung sowie Art und Weise der Weitergabe. Die Vorsicht der abgebildeten Person ersetzt nicht die Verantwortung desjenigen, der Bilddaten verarbeitet.

Künstliche Intelligenz ist hierbei nur das Werkzeug, nicht die Begründung, die von individuellen Entscheidungen entbindet. Das Auswählen des Ausgangsmaterials, die Neukontextualisierung und die anschließende Weiterverbreitung sind getrennte Schritte. Diese Differenzierung ist notwendig, da das Verhindern weiterer Bearbeitungen nicht identisch damit ist, den Umlauf bestehenden Materials einzudämmen. Wer sich rein auf die technische Erkennung konzentriert, vergisst die Frage, wie mit bereits kursierenden Inhalten umzugehen ist.

Gleichzeitig muss die Meldung eines Vorfalls strikt von einer erneuten Veröffentlichung getrennt werden. Empörte Kommentare ändern nichts daran, dass weiteren Empfängern eine zusätzliche Kopie zugespielt wird. Gute Absichten genügen als Maßstab nicht: Entscheidend ist, ob das Bild gezielt an zuständige Stellen weitergeleitet wird. Eine Warnung kann ein Fehlverhalten klar benennen, ohne das problematische Bildmaterial erneut zu zeigen. Auf Details zu verzichten bedeutet nicht, ein Problem kleinzureden, sondern zu verhindern, dass man selbst zur weiteren Verbreitung beiträgt.

Gewinner und Verlierer: Bilanz und Potenzial

In diesem Verfahren gibt es keine Grundlage für eine klassische Bilanz von Gewinnern und Verlierern. Die offizielle Behördenmitteilung belegt weder die Wiedererlangung der Kontrolle über das Bild noch eine vollständige Unterbindung der Verbreitung. Sichtbar werden jedoch potenzielle Vor- und Nachteile strukturierter Reaktionsmuster. Betroffene profitieren von klar definierten Meldeprozessen, die es ihnen erlauben, Hilfe zu suchen, ohne erneut öffentlich im Mittelpunkt zu stehen. Das ist das Ziel solch organisatorischer Maßnahmen, kein nachgewiesenes Ergebnis der Intervention in Krakau.

Unternehmen, Bildungseinrichtungen oder Gruppenadministratoren können durch klare Zuständigkeiten gewinnen. Meldungsannahme, Entscheidungsfindung und Rückmeldung dürfen nicht dem Zufall oder beliebigen Empfängern überlassen bleiben. Ein solcher Rahmen erfordert Arbeitszeit und verlangt die Übernahme von Verantwortung. Ein schneller Prozess stiftet echten Nutzen, wenn er den Schaden begrenzt, nicht wenn er nur dazu dient, ein internes Ticket rasch zu schließen.

Wer auf ein Weitersenden verzichtet, bedient zwar nicht die Neugier anderer, verhindert aber ein zusätzliches Kettenglied in der Zirkulation. Das ist keine öffentlichkeitswirksame Rolle und liefert keinen demonstrativen Nachweis von Engagement. Genau deshalb sollten Reaktionen an ihren realen Folgen gemessen werden, nicht an ihrer Sichtbarkeit. Das bewusste Nichtverbreiten dient Betroffenen oft besser als öffentliche Empörung, die mit dem Vorzeigen des Bildes einhergeht.

Leitlinien für Organisationen und Anwender

Ein funktionierender Ablauf verlangt von Betroffenen oder Meldern nicht, vorab technische Details zum eingesetzten KI-Tool oder konkrete Gesetzesparagrafen zu benennen. Der Prozess muss ermöglichen, den Vorfall zu schildern und notwendige Basisinformationen bereitzustellen. Die Fähigkeit, Deepfakes formal nachzuweisen, darf keine Voraussetzung für die Annahme einer Meldung sein. Organisationen benötigen verbindliche Pfade, Anwender wiederum eine einfache Möglichkeit, Meldungen ohne öffentliche Verbreitung einzureichen.

• Unternehmen sollten dedizierte Meldekanäle definieren und Verantwortliche benennen. Der Zugriff auf solche Vorgänge sollte zweckgebunden auf die Bearbeiter beschränkt bleiben, statt im gesamten Team zu zirkulieren.
• Eingangsbestätigungen sollten klar zwischen dem Beginn der Prüfung und einer Lösung unterscheiden. Zusagen über eine vollständige Löschung im Netz erfordern verifizierbare Grundlagen, nicht bloße Absichtserklärungen.
• Nutzer sollten jede Weiterleitung unterlassen, Speicherort und Zeitpunkt der Sichtung dokumentieren und den Vorfall direkt an die Plattform sowie zuständige Stellen melden.
• Falls Unklarheit über benötigte Nachweise besteht, sollten Sie direkt beim zuständigen Ansprechpartner nachfragen, anstatt eigenmächtig Kopien an Dritte zu verteilen.

Praxisbeispiel: Meldung in einer internen Kommunikationsgruppe

Nehmen wir an, in einer internen Arbeitsgruppe taucht ein KI-generiertes Bild eines Mitarbeiters auf. Dieses Beispiel dient der Verdeutlichung der Leitlinien, bildet jedoch nicht den konkreten Krakauer Fall nach. Das erste Problem betrifft die Warnung der Kollegen: Sollte man das Bild teilen, damit alle wissen, worum es geht, oder das Fehlverhalten ohne das Material benennen? Der richtige Schritt ist ein klarer Hinweis auf das Weiterleitungsverbot und die Übergabe an die zuständige Stelle. Ein Team muss das Bild nicht gesehen haben, um zu wissen, wie man sich verhält.

Die zweite Frage betrifft die Dokumentation. Administratoren benötigen Belege, um den Vorfall zu prüfen. Das bedeutet jedoch keineswegs, dass die manipulierte Datei an den gesamten Führungskreis verteilt werden muss. Zeitstempel und Kontext lassen sich erfassen; weitere Details werden bilateral mit den Prüfverantwortlichen abgestimmt. Ziel ist zielgerichtetes Handeln, nicht die Schaffung eines internen Archivs für kompromittierende Aufnahmen. Das Entfernen aus dem Feed und die interne Dokumentation müssen strikt getrennt abgewickelt werden.

Zuletzt bleibt die Kommunikation mit der betroffenen Person. Eine Rückmeldung sollte eingeleitete Schritte und Kontaktpersonen benennen, ohne voreilig zu versichern, dass keine Kopien mehr existieren. Eine vorschnelle Erfolgsmeldung entlastet zwar den Administrator, spiegelt aber selten die Realität wider. Das Beispiel zeigt die praktische Grenze auf: Den Zugriff so weit wie möglich einschränken, handlungsfähig bleiben, transparent informieren, aber keine unüberprüfbaren Garantien abgeben.

Offene Punkte

Der weitere Verlauf und die tatsächliche Reichweite des Materials bleiben unbekannt. UODO, 24.06.2026. Es wäre verfehlt, diese Informationslücken durch Spekulationen über Motive der Beteiligten zu füllen. Die wesentlichen Unterscheidungen sind dennoch eindeutig: Bloßer Zugriff bedeutet keine Erlaubnis zur Weiterverarbeitung, mangelnde Authentizität schließt einen realen Schaden nicht aus, und eine behördliche Meldung ist noch kein Urteil. An diesen Maßstäben sollten sich Melderichtlinien und das tägliche Handeln orientieren. Weitere Analysen finden Sie in der Reihe KI-Fallstudien.

Hinweise für Zeugen

Wer auf manipulierte Darstellungen stößt, benötigt klare Verhaltensregeln: Nicht weiterleiten, Fundort sichern und den vorgesehenen Meldekanal nutzen. Die Meldung sollte nicht verlangen, den gesamten Vorfall im Teamchat breitzutreten. Sinnvolle Richtlinien sehen vor, dass auch Zeugen Vorfälle melden können, wenn Betroffene den Schritt nicht selbst gehen möchten.

Quellen

• UODO: Fall Krakau - 24.06.2026.
• UODO: Deepfakes und illegale Inhalte - 22.09.2026.