Was bedeutet „Gesichtserkennung“?

Gesichtserkennung bezeichnet die technische Analyse eines Gesichts, bei der Gesichtsmerkmale erfasst, in eine biometrische Vorlage überführt und mit Referenzdaten verglichen werden. Dabei entstehen biometrische Gesichtsdaten. Je nach Verfahren dient Gesichtserkennung der Verifikation einer behaupteten Identität im 1:1-Abgleich oder der Identifikation einer Person im 1:n-Abgleich. Die englischen Begriffe Facial Recognition und Face Recognition bezeichnen im Regelfall dieselbe Technologie.

Ein System, das lediglich feststellt, ob sich ein Gesicht in einem Bild befindet, identifiziert noch keinen Menschen. Biometrische Gesichtserkennung liegt im engeren Sinn vor, wenn technisch erfasste Gesichtsmerkmale mit Referenzdaten verglichen werden, um eine Identität zu bestätigen oder festzustellen.

Gesichtserkennung lokalisiert oder analysiert ein Gesicht. Verifikation bestätigt eine behauptete Identität. Identifikation sucht eine Person in einer Gruppe oder Datenbank.

Wie funktioniert Gesichtserkennung?

Moderne Gesichtserkennung misst nicht nur einzelne Abstände zwischen Augen, Nase und Kiefer. Das System verarbeitet zahlreiche visuelle Merkmale und Muster in mehreren Schritten:

• Erfassung: Eine Kamera oder ein vorhandenes Foto liefert das Gesichtsbild. Beleuchtung, Blickwinkel, Auflösung und Bewegung beeinflussen die Qualität der Aufnahme.
• Lokalisierung: Das System erkennt das Gesicht im Bild und trennt den relevanten Bereich vom Hintergrund.
• Merkmalsextraktion: Ein AlgorithmusEin Algorithmus ist im Grunde genommen eine Schritt-für-Schritt-Anleitung, die ein bestimmtes Problem löst oder eine Aufgabe erledigt. Stell dir vor, du möchtest einen Kuchen... Klicken und mehr erfahren berechnet charakteristische Merkmale und Beziehungen innerhalb des Gesichts.
• Biometrische Vorlage: Die Merkmale werden in eine mathematische Repräsentation übersetzt. Diese biometrische Vorlage ist kein gewöhnliches Foto, bleibt aber eine besonders schützenswerte Repräsentation körperbezogener Merkmale.
• Vergleich: Das System vergleicht die neue Vorlage mit einer oder mehreren gespeicherten Vorlagen und berechnet einen Ähnlichkeitswert.
• Entscheidung: Ein festgelegter Schwellenwert bestimmt, ob das Ergebnis als Übereinstimmung gilt. Der Schwellenwert beeinflusst die Fehlerquoten.

Gesichtserkennung liefert keine absolute Gewissheit, sondern einen Ähnlichkeitswert. Ob der Wert für einen Türzugang, eine Smartphone-Entsperrung oder eine Identitätsprüfung ausreicht, hängt vom Risiko und den Folgen einer Fehlentscheidung ab.

Gesichtserkennung: Verifikation und Identifikation unterscheiden

Verifikation durch einen 1:1-Abgleich

Bei der Verifikation behauptet eine Person eine bestimmte Identität. Das System vergleicht das aktuell erfasste Gesicht ausschließlich mit der Vorlage, die dieser Identität zugeordnet ist. Die technische Frage lautet: Stimmt das erfasste Gesicht mit der hinterlegten Vorlage überein?

Typische Beispiele sind die Smartphone-Entsperrung oder eine biometrisch unterstützte Benutzerauthentifizierung. Entscheidend ist, ob die biometrische Vorlage lokal auf dem Gerät oder zentral gespeichert wird, wie das System Angriffe mit Fotos oder Masken erkennt und welche Alternative bei einer Ablehnung verfügbar ist.

Identifikation durch einen 1:n-Abgleich

Bei der Identifikation wird das erfasste Gesicht mit vielen Einträgen in einer Datenbank verglichen. Das System sucht nach einer möglichen Übereinstimmung, ohne dass die betroffene Person zuvor eine bestimmte Identität behauptet hat. Ein 1:n-Abgleich kann beispielsweise bei der Suche nach einer Person in einer großen Bildsammlung eingesetzt werden.

Der 1:n-Abgleich ist in der Regel risikoreicher als der 1:1-Abgleich. Mit wachsender Datenbank steigen die Anforderungen an Fehlertoleranzen, Zugriffsschutz, Datenqualität und menschliche Kontrolle. Ein möglicher Treffer darf bei folgenreichen Entscheidungen nicht ungeprüft übernommen werden.

Gesichtserkennung ohne Identitätsabgleich

Eine Kamera kann ein Gesicht erkennen, ohne eine Identität festzustellen. Funktionen wie automatische Schärfeeinstellung, Gesichtsunschärfe oder das Zählen sichtbarer Gesichter benötigen nicht zwingend eine Identitätsdatenbank. Trotzdem können solche Anwendungen personenbezogene Daten verarbeiten und müssen nach Zweck, Datenfluss und Speicherung bewertet werden.

Gesichtserkennung und DSGVO: Biometrie und rechtliche Grenzen

Die rechtliche Bewertung von Gesichtserkennung beginnt mit einer präzisen Beschreibung des Verfahrens. Ein gewöhnliches Porträtfoto ist nicht allein wegen des sichtbaren Gesichts automatisch ein biometrischer Identifikator im Sinne der besonderen Schutzkategorie. Entscheidend ist die spezifische technische Verarbeitung von Gesichtsmerkmalen zur eindeutigen Identifizierung oder Authentifizierung eines Menschen.

Für KMU ist eine weitere Trennung wichtig: Die DSGVOGDPR steht für General Data Protection Regulation und bezeichnet dasselbe EU-Regelwerk, das auf Deutsch Datenschutz-Grundverordnung oder kurz DSGVO heißt. Zwischen GDPR und DSGVO besteht... Klicken und mehr erfahren regelt die Verarbeitung personenbezogener Daten. Der EU AIKünstliche Intelligenz ist der Oberbegriff für digitale Systeme, die aus Daten Muster erkennen und Aufgaben übernehmen, für die sonst menschliche Wahrnehmung, Einschätzung oder Entscheidung... Klicken und mehr erfahren Act bewertet zusätzlich bestimmte KI-Systeme und Einsatzformen. Je nach Anwendung können beide Regelwerke gleichzeitig gelten. Eine vertiefende Einordnung bietet unsere Entscheidungslogik zu DSGVO und EU AI Act für KMU.

Gesichtserkennung und DSGVO Artikel 9

Biometrische Daten zur eindeutigen Identifizierung gehören zu den besonderen Kategorien personenbezogener Daten. DSGVO Artikel 9 untersagt deren Verarbeitung grundsätzlich, sofern keine der dort vorgesehenen Ausnahmen greift.

Eine Ausnahme nach Artikel 9 reicht nicht automatisch für jede Verarbeitung. Zusätzlich braucht die Verarbeitung insbesondere eine passende Rechtsgrundlage nach Artikel 6 DSGVO. Auch die allgemeinen Datenschutzgrundsätze müssen eingehalten werden:

• Zweckbindung: Der betriebliche Zweck muss vor der Einführung eindeutig feststehen.
• Notwendigkeit und Verhältnismäßigkeit: Gesichtserkennung darf nicht allein deshalb eingesetzt werden, weil sie technisch möglich oder bequem ist.
• Datenminimierung: Es dürfen nur die Daten verarbeitet werden, die für den konkreten Zweck erforderlich sind.
• Begrenzte Speicherfristen: Biometrische Vorlagen dürfen nicht unbegrenzt aufbewahrt werden.
• Zugriffs- und Angriffsschutz: Übertragung, Speicherung, Protokollierung und Berechtigungen müssen dem Schadenspotenzial entsprechen.
• Transparenz: Betroffene Menschen müssen verständlich erfahren, welche Daten zu welchem Zweck verarbeitet werden.
• Löschkonzept: Das Unternehmen muss festlegen, wann Vorlagen in Produktivsystemen, Sicherungen und Systemen externer Anbieter gelöscht werden.

Diese Anforderungen sollten vor der Auswahl eines Systems geklärt werden. Privacy by Design berücksichtigt Zweck, Datenflüsse, Speicherorte und Schutzmaßnahmen bereits bei der Planung.

Ist eine Einwilligung ausreichend?

Eine ausdrückliche Einwilligung kann je nach Anwendung eine Ausnahme nach Artikel 9 darstellen, ist aber keine pauschale Erlaubnis. Die Einwilligung muss informiert, eindeutig, freiwillig und widerrufbar sein. Zusätzlich braucht die Verarbeitung eine Rechtsgrundlage nach Artikel 6 DSGVO.

Freiwilligkeit ist besonders kritisch, wenn ein Abhängigkeitsverhältnis besteht oder die betroffene Person ohne Zustimmung einen Nachteil hat. Wird Gesichtserkennung für den Zugang zu einem Arbeitsplatz eingesetzt, ist ein gleichwertiger Zugang per Karte, Schlüssel oder PIN ein wesentlicher Teil der Bewertung. Eine deutlich umständlichere, langsamere oder stigmatisierende Alternative kann die tatsächliche Freiwilligkeit infrage stellen.

Wann ist eine Datenschutz-Folgenabschätzung nötig?

Eine Datenschutz-Folgenabschätzung ist nach Artikel 35 DSGVO vor der Verarbeitung erforderlich, wenn das geplante Verfahren unter Berücksichtigung seiner Art, seines Umfangs, seines Kontexts und seines Zwecks voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen verursacht.

Biometrische Identifikation, systematische Überwachung, die Erfassung großer Personengruppen oder Entscheidungen mit erheblichen Folgen sind relevante Risikosignale. Ob eine Datenschutz-Folgenabschätzung im Einzelfall verpflichtend ist, sollte mit dem Datenschutzbeauftragten oder einer qualifizierten Datenschutzberatung geklärt werden. Die Prüfung und ihre Begründung müssen dokumentiert werden.

Welche Grenzen setzt der EU AI Act?

Der EU AI Act behandelt biometrische Anwendungen nicht einheitlich. Artikel 5 verbietet seit dem 2. Februar 2025 unter anderem bestimmte Formen der biometrischen Kategorisierung anhand sensibler Merkmale sowie Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen. Dabei sind die gesetzlichen Abgrenzungen und Ausnahmen zu beachten.

Die biometrische Echtzeit-Fernidentifizierung in öffentlich zugänglichen Räumen zu Strafverfolgungszwecken ist grundsätzlich verboten und nur unter engen gesetzlichen Voraussetzungen zulässig. Eine biometrische Fernidentifizierung erkennt Menschen typischerweise ohne ihre aktive Mitwirkung und aus einer gewissen Entfernung. Daraus folgt kein pauschales Urteil darüber, ob jede Form der Gesichtserkennung durch private Unternehmen erlaubt oder verboten ist.

Bestimmte Systeme zur biometrischen Fernidentifizierung oder Kategorisierung können als Hochrisiko-KI eingestuft werden. Dann gelten besondere Anforderungen an Risikomanagement, Datenqualität, Dokumentation, Genauigkeit und menschliche AufsichtHuman Oversight ist der risikobasierte organisatorische und technische Rahmen, in dem kompetente Menschen KI-Ergebnisse verstehen, prüfen, freigeben, korrigieren oder stoppen können. Für KMU bedeutet... Klicken und mehr erfahren. Die Anwendungstermine sind gestaffelt und wurden 2026 teilweise angepasst. Der rechtliche Prüfstand dieses Beitrags ist der 1. September 2026.

Wie genau ist Gesichtserkennung?

Die Genauigkeit hängt vom Algorithmus, von den Referenzdaten, der Kamera, der Beleuchtung, dem Blickwinkel, der Datenbankgröße und dem gewählten Entscheidungsschwellenwert ab. Ein Herstellerwert unter idealen Laborbedingungen zeigt daher nicht automatisch, wie zuverlässig das System am tatsächlichen Einsatzort arbeitet.

Falsch-Akzeptanzrate und Falsch-Ablehnungsrate

• Falsch-Akzeptanzrate: Das System akzeptiert irrtümlich eine unberechtigte Person. Bei einer Zutrittskontrolle könnte dadurch jemand Zugang zu einem geschützten Bereich erhalten.
• Falsch-Ablehnungsrate: Das System weist eine berechtigte Person zurück. Im Betrieb kann das zu Wartezeiten, Ausschluss oder ungerechtfertigten Verdachtsmomenten führen.

NIST verwendet in aktuellen technischen Dokumenten vor allem die präziseren Begriffe False Match Rate und False Non-Match Rate. Die verbreiteten Bezeichnungen Falsch-Akzeptanzrate und Falsch-Ablehnungsrate beschreiben ähnliche Fehlerfolgen, können aber je nach Systemebene anders abgegrenzt sein. Nach der NIST Special Publication 800-63B beeinflusst der gewählte Akzeptanzschwellenwert das Verhältnis zwischen den Fehlerarten.

Ein strengerer Schwellenwert kann falsche Übereinstimmungen reduzieren, zugleich aber mehr berechtigte Personen ablehnen. Ein niedrigerer Schwellenwert erleichtert die Akzeptanz, erhöht jedoch das Risiko falscher Übereinstimmungen. Der passende Wert muss deshalb anhand des Einsatzkontexts und der möglichen Folgen festgelegt werden.

Bias und ungleiche Fehlerraten

Bias bezeichnet systematische Verzerrungen, die einzelne Personengruppen benachteiligen können. Ursachen sind unter anderem unausgewogene Trainings- und Testdaten, unterschiedliche Aufnahmebedingungen, schlechte Bildqualität oder Entscheidungsschwellen, die nicht zum Einsatzkontext passen.

Die laufenden Face Recognition Technology Evaluations des NIST zeigen Unterschiede bei Falsch-Positiv- und Falsch-Negativ-Raten zwischen Algorithmen und demografischen Gruppen. NIST weist außerdem darauf hin, dass Falsch-Negativ-Raten stark von der Bildqualität abhängen können.

Eine allgemeine Trefferquote reicht für die Bewertung eines Systems nicht aus. Erforderlich sind Testergebnisse für den konkreten Anwendungsfall, relevante Personengruppen, reale Aufnahmebedingungen und beide Fehlerarten. Wenn Fehlentscheidungen den Zugang, eine Leistung oder eine faire Behandlung beeinflussen, braucht es eine schnelle menschliche Kontrolle und einen alternativen Prozess.

Typische Anwendungen und ihre Risiken

• Smartphone-Entsperrung: Meist handelt es sich um einen 1:1-Abgleich. Eine lokale Verarbeitung auf dem Gerät kann datensparsamer sein als eine zentrale Vorlagendatenbank.
• Zutrittskontrolle: Gesichtserkennung kann Schlüssel oder Karten ergänzen, ist aber nicht automatisch sicherer. Ausfallsicherheit, Manipulationsschutz, Fehlerraten und Alternativen müssen gemeinsam bewertet werden.
• Identitätsprüfung: Bei einer digitalen Registrierung kann das Gesicht mit einem Ausweisdokument verglichen werden. Das Risiko steigt, wenn automatisierte Ergebnisse ohne menschliche Prüfung über Zugang oder Leistungen entscheiden.
• Videoüberwachung: Eine gewöhnliche Kameraaufnahme ist von einem automatisierten Identitätsabgleich zu unterscheiden. Sobald Gesichter mit Referenzdatenbanken abgeglichen werden, verändern sich Zweck, Eingriffsintensität und rechtliches Risiko erheblich.
• Marketing: Biometrische Analyse, Personenerkennung oder Emotionserkennung zu Werbezwecken sind rechtlich und ethisch besonders sensibel. Für typische KMU sind solche Verfahren meist weder notwendig noch verhältnismäßig. Weitere Hintergründe bietet unser Beitrag über biometrische Daten im Marketing.

Weniger invasive Alternativen für KMU

In meiner Beratungspraxis kläre ich vor der Technikauswahl, welcher betriebliche Engpass gelöst werden soll und ob dafür eine dauerhafte biometrische Verarbeitung erforderlich ist.

Für kleine Betriebe sind weniger invasive Alternativen häufig günstiger, verständlicher und leichter zu kontrollieren:

• Zutritt zu Räumen: Schlüsselkarte, persönlicher Code, Smartphone-Schlüssel oder klassischer Schlüssel.
• Anmeldung an Geräten: Passwortmanager, Sicherheitsschlüssel, PIN oder eine lokale biometrische Gerätefunktion ohne zentrale Datenbank.
• Identitätsprüfung: Ausweiskontrolle durch eine geschulte Person oder ein klar begrenzter Dokumentenabgleich.
• Zeiterfassung: Persönliche Karte, App oder Terminal mit individuellem Code statt einer Gesichtsdatenbank.
• Besucheranalyse: Anonyme Zähltechnik oder aggregierte Nutzungsdaten statt der Identifikation einzelner Personen.
• Marketingforschung: Freiwillige Befragungen, Nutzertests und bewusst bereitgestellte Angaben statt biometrischer Beobachtung.

Eine lokale Smartphone-Entsperrung kann beispielsweise eine Sicherheitsfunktion bereitstellen, ohne dass ein Arbeitgeber eine zentrale Sammlung biometrischer Vorlagen aufbaut. Für die Bewertung ist der gesamte Datenfluss entscheidend: Erfassung, Verarbeitung, Speicherung, Zugriff und Löschung.

Entscheidungscheck vor dem Einsatz

Bevor Du ein System auswählst oder einen Anbieter beauftragst, solltest Du die folgenden Fragen schriftlich beantworten.

Zweck und Notwendigkeit

• Welcher konkrete Zweck soll erreicht werden?
• Ist Gesichtserkennung notwendig oder lediglich bequemer?
• Welche weniger invasiven Alternativen wurden geprüft und warum reichen sie nicht aus?
• Handelt es sich um Verifikation, Identifikation, Kategorisierung oder Emotionserkennung?

Recht, Daten und Anbieter

• Welche Rechtsgrundlage und welche Ausnahme nach DSGVO Artikel 9 sollen die Verarbeitung tragen?
• Ist eine Datenschutz-Folgenabschätzung erforderlich?
• Wo werden Fotos und biometrische Vorlagen verarbeitet und gespeichert?
• Greifen Unterauftragnehmer oder Anbieter außerhalb der EU auf die Daten zu?
• Wann und wie werden die Daten vollständig gelöscht?

Fehlerfolgen und Kontrolle

• Welche Falsch-Akzeptanzrate und Falsch-Ablehnungsrate erreicht das System unter realen Bedingungen?
• Wurden unterschiedliche Personengruppen und relevante Aufnahmebedingungen getestet?
• Welche Folgen hat eine Fehlentscheidung für die betroffene Person?
• Kann ein Mensch die Entscheidung schnell prüfen und korrigieren?
• Gibt es einen gleichwertigen Weg ohne Gesichtserkennung?

Komfort allein rechtfertigt keine Verarbeitung schwer ersetzbarer Körpermerkmale. Ein vertretbarer Einsatz braucht einen legitimen Zweck, Verhältnismäßigkeit, Transparenz und wirksame Schutzmaßnahmen.

Praxisliste für Südtiroler KMU

• Beschreibe Zweck, betroffene Personengruppen und betriebliche Notwendigkeit.
• Prüfe zuerst organisatorische und weniger invasive technische Alternativen.
• Beziehe Datenschutzberatung und gegebenenfalls den Datenschutzbeauftragten frühzeitig ein.
• Prüfe Anbieter, Unterauftragnehmer, Hosting, Datenübermittlungen und Löschverfahren.
• Kläre die Pflicht zu einer Datenschutz-Folgenabschätzung vor der Einführung.
• Lege Rollen, Zugriffsrechte, Speicherfristen und einen Prozess für Datenschutzvorfälle fest.
• Teste Fehlerraten unter den tatsächlichen Bedingungen des Betriebs.
• Schaffe eine gleichwertige Alternative und benenne eine zuständige Person für die menschliche Kontrolle.
• Überprüfe regelmäßig, ob Zweck und Notwendigkeit weiterhin bestehen.

Fragen und Antworten zur Gesichtserkennung

Ist die Entsperrung eines Smartphones Gesichtserkennung?

Ja, üblicherweise vergleicht das Smartphone Dein aktuell erfasstes Gesicht im 1:1-Abgleich mit einer hinterlegten biometrischen Vorlage. Wie datensparsam das Verfahren ist, hängt unter anderem davon ab, ob die Vorlage ausschließlich lokal und in einem geschützten Bereich des Geräts verarbeitet wird.

Ist jedes Gesichtsfoto automatisch ein biometrisches Datum?

Nein. Ein gewöhnliches Foto ist nicht allein wegen des sichtbaren Gesichts automatisch ein biometrischer Identifikator im Sinne von DSGVO Artikel 9. Entscheidend ist die spezifische technische Verarbeitung zur eindeutigen Identifizierung oder Authentifizierung; als personenbezogenes Datum kann das Foto dennoch der DSGVO unterliegen.

Darf ein Unternehmen Gesichtserkennung mit Einwilligung einsetzen?

Eine ausdrückliche Einwilligung kann je nach Fall eine Voraussetzung erfüllen, macht den Einsatz aber nicht automatisch zulässig. Die Einwilligung muss freiwillig, informiert und widerrufbar sein. Betroffene sollten außerdem eine gleichwertige Alternative ohne Gesichtserkennung erhalten.

Ist Gesichtserkennung bei Videoüberwachung erlaubt?

Eine Kameraaufnahme und ein automatisierter Identitätsabgleich sind rechtlich und technisch nicht dasselbe. Sobald ein System Gesichter extrahiert und mit Referenzdaten vergleicht, müssen insbesondere Zweck, Rechtsgrundlage, Notwendigkeit, Transparenz, Risiken und mögliche Alternativen bewertet werden.

Kann Gesichtserkennung für Marketing eingesetzt werden?

Eine technische Analyse von Gesichtern oder vermeintlichen Emotionen ist möglich, der Marketingeinsatz ist jedoch rechtlich und ethisch besonders sensibel. Für typische KMU sind Befragungen, freiwillige Nutzertests und bewusst bereitgestellte Informationen meist verhältnismäßiger.

Wie muss eine biometrische Vorlage gelöscht werden?

Ein Löschkonzept sollte Produktivsysteme, mobile Geräte, Protokolle, Sicherungskopien und Systeme externer Anbieter erfassen. Das Unternehmen sollte dokumentieren, wann die Vorlage gelöscht wurde und wie eine unkontrollierte Wiederherstellung oder erneute Verwendung verhindert wird.

Welche Rechte haben betroffene Personen?

Je nach Verarbeitung und Rechtsgrundlage können unter anderem Rechte auf Information, Auskunft, Berichtigung, Löschung, Einschränkung und Widerspruch bestehen. Bei folgenreichen automatisierten Entscheidungen sollte ein verständlicher Weg zur menschlichen Überprüfung und Anfechtung vorgesehen sein.

Ist Gesichtserkennung sicherer als PIN oder Schlüsselkarte?

Das lässt sich nicht pauschal beantworten. Die Sicherheit hängt von Sensor, Algorithmus, Schwellenwert, Manipulationsschutz, Speicherung und Einsatzkontext ab. Eine Kombination mehrerer Faktoren kann sinnvoll sein, sollte aber erst nach einer Risikoanalyse ausgewählt werden.

Fazit: Gesichtserkennung braucht einen nachvollziehbaren Zweck

Gesichtserkennung kann Verifikation und Identifikation vereinfachen, verarbeitet dabei aber körperbezogene Merkmale, die sich nicht wie ein Passwort austauschen lassen. Für KMU sind deshalb der legitime Zweck, die Notwendigkeit der Verarbeitung und der Schutz der betroffenen Menschen entscheidend.

In meiner Arbeit mit KMU prüfe ich vor der Auswahl eines Systems, ob der betriebliche Engpass auch mit einer Schlüsselkarte, PIN, einem lokalen Geräteabgleich oder einer menschlichen Prüfung gelöst werden kann. Eine zentrale Gesichtsdatenbank ist nur dann vertretbar, wenn weniger invasive Alternativen den klar dokumentierten Zweck nicht angemessen erfüllen und die rechtlichen sowie technischen Schutzmaßnahmen nachweisbar greifen.

Quellen

1. Verordnung (EU) 2016/679, Artikel 9 — eur-lex.europa.eu (2016)
2. Verordnung (EU) 2016/679, Artikel 35 — eur-lex.europa.eu (2016)
3. Verordnung (EU) 2024/1689, EU AI Act — eur-lex.europa.eu (2024)
4. Verordnung (EU) 2026/1744 zur Anpassung von Anwendungsterminen — eur-lex.europa.eu (2026)
5. NIST Face Recognition Technology Evaluation: Demographic Effects — pages.nist.gov (2026)
6. NIST Special Publication 800-63B — pages.nist.gov (2025)