LinkedIn Verifizierung mit Persona als Sozius – auf dem Weg zu "open data"?

Ich hole mal ein Thema hoch, was durch einen Blog-Leser aufgeworfen wurde. Es geht um die von Microsoft betriebene Plattform LinkedIn – scheinbar bei einigen Leute "hoch im Kurs". Es gibt sogar Leute, die ihre Identität auf LinkedIn verifizieren lassen. Kann man tun, wenn man seine Daten verschleudern und mit dem Drittanbieter Persona teilen möchte. Ist ein weiterer Punkt, wo sich LinkedIn-Teilnehmer vielleicht mal Gedanken über den Umgang mit ihren Daten und vielleicht einen Exit machen sollten.

Vorwort: LinkedIn und die Kneifzange

Gelegentlich schicken mir Leute aus der Leserschaft ja Links auf Artikel bei LinkedIn, das "berufliche" (asoziale) Netzwerk für alle, die noch was werden wollen – also nix für mich als Blogger. Manchmal kann ich ja sogar einen Artikel, der mir per Link avisiert wurde, lesen. Oft muss ich aber dumm sterben, weil ein Zugriff nur mit LinkedIn-Anmeldung möglich ist. Denn ich habe keinen LinkedIn-Account, eigentlich noch nie angelegt, und doch ein LinkedIn-Konto gehabt.

Gut, ich bin nicht ganz neutral gegenüber LinkedIn – nicht nur, weil das zu Microsoft gehört, aber auch, weil es zu Microsoft gehört. Das hat eine tieferen Grund: Vor über einem Jahrzehnt habe ich kurz bei video2brain Video-Trainings gemacht. Dort war meine berufliche E-Mail-Adresse auf deren Plattform hinterlegt. Soweit in Ordnung. Dann wurde video2brain von Lynda.com übernommen, und mein Konto samt E-Mail-Adresse wanderte mit. War noch halbwegs in Ordnung, begeistert war ich nicht und hatte mich bei diesem Konto nie angemeldet.

Dann wurde Lynda.com von LinkedIn übernommen und meine E-Mail-Adresse wanderte wieder mit, was arg halbseiden war. Lag aber noch vor dem Inkrafttreten der DSGVO und LinkedIn war ein US-Unternehmen. Ich konnte den "Begeisterungsstürmen", jetzt ein LinkedIn-Konto zu haben, nicht viel abgewinnen. Und es kam, wie es kommen musste: Es gab in der Zeit der Übernahme durch LinkedIn einen Hack bei Lynda.com, bei dem 55.000 Konten betroffen waren (LinkedIn: Hack bei Lynda.com, ca. 55.000 Konten betroffen), und mein Konto war darunter. Dann gab es kurz darauf das Gerücht und später die Meldung, dass Microsoft die Plattform LinkedIn übernommen habe. Aber da war LinkedIn auf Grund dieser Geschichte für mich bereits längst verbrannt.

Seit dieser Zeit verfolge ich am Rande, was mit LinkedIn so passiert – die Links am Artikelende auf weitere Blog-Beiträge zeichnen ein klares Bild – habe aber immer einen weiten Bogen um diese Plattform gemacht. Ich sage es mal so: Wer von Recuitern im Darknet gefunden werden will, für den wäre ein LinkedIn-Profil eine gute Wahl. Gleiches gilt, wenn man auf Fake-Personalvermittler, Bot-Konten und KI generierte Inhalte steht und auch nichts dagegen hat, seine Daten dem Microsoft KI-Training zu übereignen, ja dann ist LinkedIn ein richtig kuscheliges Plätzchen. Sicherheitsforscher warnen sogar explizit vor den Risiken der Plattform (Trend Micro: Cyber-Risiko LinkedIn; Unternehmen und Nutzer sollten aufpassen).

Der Leserschaft hatte ich im Herbst 2025 in den Artikeln Microsoft trainiert AI ab Nov. 2025 mit deinen LinkedIn-Inhalten und LinkedIn: Exit zum AI-Training gewählt? zumindest den Exit zum AI-Training nachgelegt. Und im Beitrag Filtert LinkedIn Nachrichten? Facebook-Filterung kaputt; Zeit zum Exit? folgte dann die Empfehlung, die Finger eher von LinkedIn zu lassen und auszusteigen. So viel als Vorbemerkung zu nachfolgender Episode.

Jemand braucht ein blaues Häkchen bei LinkedIn

Um zwischen den vielen Fake-Konten aufzufallen, kann man sich bei LinkedIn verifizieren und bekommt "ein blaues Häkchen" im Profil, habe ich gelernt. Ich kann zwar nicht verstehen, warum man das braucht, aber es gibt Leute, die das wichtig finden. Blog-Leser Visitator hatte sich die Tage im Diskussionsbereich mit einem "Lesetipp" zu "Linkedin & Persona" zu Wort gemeldet. Der Leser verlinkte auf den Artikel In drei Minuten in den Datenschutz-Wahnsinn bei Golem.

Basis für den Golem-Beitrag ist der US-Artikel I Verified My LinkedIn Identity. Here's What I Actually Handed Over. von Februar 2026, erschienen im Blog The Local Stack. Der Artikelautor wollte das blaue Häkchen auf LinkedIn. Dieses sollte ihn inmitten einer Flut von falschen Personalvermittlern, Bot-Konten und KI-generierten Profilbildern  als "echten", aber vielleicht etwas naiven, Menschen ausweisen.

Die Verifikation erfolgt mittels Video-Ident-Verfahren mittels Personalausweis bzw. Reisepass, der gescannt und hochgeladen werden muss. Hochgeladen bedeutet, dass die Verifizierung der Person anhand des Ausweises über den Dienstleister Persona erfolgt.

Ich habe mal das Web befragt: Persona (offiziell Persona Identities Inc.) ist ein US-amerikanisches Tech-Unternehmen aus San Francisco, das eine flexible Identity-Verification-Plattform anbietet. LinkedIn hat eine Partnerschaft mit Persona, um Nutzern eine offizielle Identitätsverifizierung auf ihrem Profil zu ermöglichen.

Die Identitätsverifizierung erfolgt in der LinkedIn-App im Profil  über Verifizieren. Der Nutzer wird zu Persona weitergeleitet, wo er dann einen NFC-fähigen Reisepass oder ein unterstütztes ID-Dokument eines Landes erfassen muss. Die Identifizierung umfasst laut Angaben im Internet typischerweise den Scan oder ein Anfertigen des Fotos des Ausweisdokuments, die Anfertigung eines Selfie zur Gesichtserkennung (Liveness-Check, um Deepfakes etc. zu verhindern) und dann der Abgleich mit dem LinkedIn-Namen.

Alles ist kostenlos und in wenigen Minuten erledigt. Und für die digital naiven unter den LinkedIn-Profilbesitzern hätte ich sogar noch die Artikelreihe Karten und Ausweise mittels Smartphone (NFC) und App lesen – Teil 1, die verklickert, wie das mit der Technik und dem deutschen Ausweis funktioniert (die LinkedIn-App müsste es unterstützen). Das Ganze soll in vielen Ländern (u. a. große Teile der EU, UK, etc.) verfügbar sein oder wird demnächst ausgerollt.

Soll ich aber wirklich höchst sensitive Ausweisdaten zu einem unbekannten Anbieter in den USA hochladen? Persona gibt zwar an, dass biometrische und FaceID-Daten sofort nach der Verarbeitung gelöscht würden. Andere Daten werden bis zu 30 Tage aufbewahrt und dann gelöscht. Es gibt aktuell aber die Kritik in Medien und Communities (z. B. auf Reddit, Mashable, Social Media Today), dass Persona angeblich viele zusätzliche Checks (Cross-Referenzen mit anderen Datenquellen) durchführt. Und die Privacy Policy von Persona erlaubt in manchen Fällen das Teilen von Daten mit Subprozessoren oder Partnern.

Der oben erwähnte Artikel thematisiert dann den Alptraum Datenschutz, weil LinkedIn auf Persona als Dienstleister zurück greift. Der Autor seziert, wo seine Daten über Persona überall landen: Sein Gesicht bzw. die biometrischen Daten werden zum AI-Training genutzt, und die Liste der "Subprozessoren" führt alles auf, was an Datenkraken, von Anthropic über Google Cloud bis hin zu Snowflake und Stripe genutzt werden könnte. Manches ist "Mandatory", also Pflicht, anderes wird von Persona von Fall zu Fall (Conditional) zum Abgleich genutzt.

Was soll schon schief gehen, wir leben eh im Zeitalter von "open data", denn die Informationen werden abfließen. Aber die von mir skizzierte "Vorgeschichte" sollte bereits vermitteln: "Wer LinkedIn nutzt, hat die Kontrolle über sein digitales Leben eh verloren". Da macht die Verifizierung durch Personas den Bock auch nicht mehr fett. Die Kritik ist, dass Persona während der Verifizierung sensible Daten wie Passfoto, Selfie, biometrische Gesichtsdaten, die per NFC-Chip gelesenen Ausweisdaten, wie Name, Geburtsdatum, Nationalität etc., aber auch zusätzlich technische Daten (IP, Gerät, etc.) sammelt.

LinkedIn  stuft Persona zwar als vertrauenswürdig ein. Aber innerhalb der EU sollten Leute, die auf Datenschutz und DSGVO wert legen, eher die Finger von dem gesamten Zeugs lassen. Das Internet behauptet aber, dass "viele Nutzer in Deutschland, Österreich und der Schweiz" diese Verifizierung trotzdem vornehmen und so sensible Dokumente an ein externes Unternehmen außerhalb der EU weitergeben. Und das alles nur, um ein blaues Häkchen zu bekommen.

Mir fällt beim "blauen Häkchen" dann ein englisches Comic ein. Hatte ich als vielleicht 10-12 Jähriger in den 60er Jahren des vorigen Jahrhunderts von einer amerikanischen Familie bzw. deren Kindern bekommen. Ich hatte kaum Englisch-Kenntnisse und sollte wohl mit dem Comic diese Sprache lernen. Die Texte verstand ich nicht, aber die Bilder waren sprechend. Ein Enterich mit einem blauen Stern auf der Brust stand vor einer Maschine, sah wie der Sicherheitsscanner für Gepäck an Flughäfen aus. Am Ende des Förderbands fiel gerade eine Ente heraus, die ganz stolz einen frischen blauen Stern auf der Brust hatte und sich zur Gruppe der anderen Enten mit blauem Sternchen auf der Brust gesellte. Und vor der Maschine standen Enten ohne diesen blauen Stern auf der Brust. Der Enterich stand vor der Maschine und kassierte von den interessierten Enten ohne Stern Dollars, damit diese auf das Förderband der Maschine hüpfen, durchfahren und mit blauem Stern auf der Brust hinten aus der Maschine hüpfen konnten.

Als ich dann die Seite im Comic-Buch umblätterte, gab es die gleiche Szene, nur dass der Enterich plötzlich keinen blauen Stern mehr auf der Brust hatte. Rechts von der Maschine standen auch einige Enten mit weißer Brust, die waren "in". Vor der Maschine standen die Enten mit dem frischen blauen Stern auf der Brust an, um ihre Dollars abzudrücken und durch die Maschine zu dürfen, um den blauen Stern entfernt zu bekommen und zur Gruppe der Enten, die "in" waren, zu gehören.

Damals dachte ich so bei mir "wie doof kann man sein, der einzige, der gewinnt, ist doch der Enterich mit der Maschine". Gut, in den 60er Jahren gab es noch kein LinkedIn, kein KI und von Computern wusste ich auch nichts. Aber damals haben wir noch selbst gedacht – und die Geschichte aus dem Comic ist mir auch nach fast 60 Jahren im Gedächtnis geblieben.

Das Ganze wirft seine Schatten voraus, da die EU einerseits eine Alterskontrolle für Social Media Plattform für Jugendliche will, die eine Identifikation erfordert. Aber auch der digitale Identitätsnachweis mit EUID und Wallet ist ja in der Mache. Das wird noch lustig: Ende 2025 / Anfang 2026 wurde ein massives Datenleck bei IDMerit (einem US-amerikanischen Identity-Verification-Anbieter) bekannt. Eine ungeschützte MongoDB-Datenbank mit ca. 1 Milliarde Datensätzen aus 26 Ländern lag offen im Internet.

Eine Hackergruppe namens ByteToBreach hat um den 12./13. März 2026 Daten aus dem IT-System des schwedischen Dienstleister CGI Sverige AB veröffentlicht bzw. zum Verkauf angeboten (siehe). CGI betreibt und wartet Systeme für schwedische Behörden, darunter Teile der BankID (das nationale digitale Identifikationssystem, das fast alle Schweden für Online-Banking, Steuern, Behördengänge usw. nutzen) und andere e-Government-Plattformen.

Und zum 16. März 2026 wurde laut dieser Quelle bekannt, dass die britische Unternehmensdatenbank Company House seit Oktober 2025 durch eine Sicherheitslücke Daten öffentlich machte. Ich hatte im Beitrag Sicherheitsmeldungen: Fake VPN-Clients; Fake Claud Code-Seiten, Opfer der Oracle EBS Hacks und mehr berichtet.

Und dieser Artikel auf LinkedIn thematisiert die "LinkedIn Datenkrise 2025", weil 4,3 Milliarden Datensätze auf der Plattform quasi ungeschützt abfließen konnten. Geht man auf die Suche nach Datenlecks, die Datensätze mit ID-Informationen von Ausweisen etc. enthalten, wird man alle paar Monate fündig. Was soll also schon schief gehen, wenn jemand einen "blauen Haken" bei LinkedIn beantragt? Gegen Geld und gute Worte bekommt man den blauen Haken auch wieder weg, habe ich schon in den 60er Jahren des vorigen Jahrhunderts per Comic gelernt … aber wir haben ja gerade "vorösterliche Zeit", da müssen wir nachsichtig sein.

Ähnliche Artikel:
LinkedIn: Hack bei Lynda.com, ca. 55.000 Konten betroffen
Autsch: LinkedIn ändert Datenschutzregeln, Profile sollen mit Drittanbietern geteilt werden
LinkedIn Werbung an 18 Millionen fremde E-Mail-Empfänger
9 Millionen LinkedIn-Profile im Darknet abgreifbar
Datenleck: 500 Millionen LinkedIn-Nutzerdaten zum Verkauf in Untergrundforum
700 Millionen LinkedIn-Benutzerdatensätze in Untergrundforum angeboten
Trend Micro: Cyber-Risiko LinkedIn; Unternehmen und Nutzer sollten aufpassen
LinkedIn bekommt 310 Millionen Strafe von irischer Datenschutzbehörde
Microsoft trainiert AI ab Nov. 2025 mit deinen LinkedIn-Inhalten
LinkedIn: Exit zum AI-Training gewählt?