ProtectPhoto: Gesichtserkennung bei Gruppenfotos technisch austricksen
Software zur biometrischen Gesichtserkennung wird immer häufiger verwendet, um der Privatsphäre von Internetnutzern den Garaus zu machen. Das zeigte sich nicht nur beim Einsatz der Technik gegen Demonstranten in Hamburg, Hongkong oder den USA.
Schlagzeilen machten in diesem Jahr auch die Geschäftsmodelle von Unternehmen wie Clearview und PimEyes. Diese sammeln digitale Porträtfotos ohne die Einwilligung der Betroffenen in Datenbanken, vermessen sie biometrisch und können auf diese Weise Profile der abgebildeten Personen erstellen.
Algorithmen lassen sich aber nicht nur dazu nutzen, die Privatsphäre im Netz auszuhöhlen, sondern auch für das Gegenteil. So spezialisierte sich etwa das Berliner Startup Brighter AI darauf, die Technik für die Anonymisierung von Gesichtern und Kfz-Kennzeichen in Bilddaten zu verwenden. Die Firma machte ihre bisher nur auf Geschäftskunden ausgerichtete Lösung nun unter dem Namen ProtectPhoto auch für die breite Öffentlichkeit in eingeschränkter Version verfügbar.
Die Handhabe ist einfach: Jeder kann ein Gruppenfoto, das er etwa in sozialen Netzwerken posten möchte, über die Website www.protect.photo(öffnet im neuen Fenster) hochladen und anonymisieren. Bald soll dafür auch eine App für iOS und Android bereitstehen. In wenigen Sekunden rechnet die Software dahinter dann die einzigartigen Attribute zur Gesichtserkennung heraus, behält jedoch Haut- und Augenfarbe, Geschlecht und Alter bei. Auf den angepassten Fotos fallen Menschen im Idealfall nur geringe Unterschiede zum Original auf. Maschinen sollen die Gesichter aber so gut wie nicht mehr einer Person zuordnen können.
"Bei unserer Deep Natural Anonymization werden künstliche Gesichter generiert und irreversibel über die ursprünglichen gelegt,"erklärt Marian Gläser, Gründer von Brighter AI, das Prinzip Golem.de. So werde die Identität von Personen auf Aufnahmen durch eine künstliche Maske geschützt. Das Verfahren funktioniere unabhängig von Kameraeinstellungen, Auflösung und Lichtverhältnissen, der Datenschutz stehe dabei im Vordergrund.
Die Bilder lägen in einem geschützten Docker-Container auf einem Server des Microsoft-Cloud-Diensts Azure in der EU, versichert der Unternehmer. Das Speicherangebot werde ausschließlich für die Nutzung von ProtectPhoto gemietet und nicht geteilt. Die Anmeldung auf dem Server ist Gläser zufolge nur per SSH-Key möglich, die Festplatte mit 256-Bit-AES (Advanced Encryption Standard) verschlüsselt. Es gebe keinen Weg, einfach auf die Bilddaten zuzugreifen. Es würden auch keine Nutzerdaten erhoben, und es gebe keine Trackingdienste in der Anwendung.
"Die Originalbilder werden gelöscht, sobald die Gesichter ersetzt wurden und nur noch das geschützte Bild vorliegt,"sagt Gläser. Dieses werde nach dem Download ebenfalls gelöscht. Wenn ein Nutzer das umgewandelte Foto nicht herunterlade, werde es nach maximal 24 Stunden automatisch entfernt.
Grundsätzlich funktioniert die Lösung Gläser zufolge etwa bei dem kostenpflichtigen Angebot des Unternehmens für Firmenkunden auch dann, wenn nur eine Person oder ein Kennzeichen zu sehen ist. Das Showcase ProtectPhoto habe man aber bewusst auf Gruppenfotos eingeschränkt. Der Service solle dazu dienen, etwa Demonstranten zu schützen. Es gehe nicht darum, gezielt einzelne Identitäten austauschbar zu machen.
Deepfakes sollen ausgeschlossen werden
"Wir wollen ausschließen, dass es zu einer Verwechslung mit Deepfakes kommt,"begründet der Firmenchef die begrenzte Funktionalität in der öffentlichen Gratisversion. Dabei würden ähnliche Basistechnologien zur bewussten Manipulation etwa politischer Inhalte missbraucht. Zugleich will Brighter AI so offenbar auch verhindern, dass sich Passfotos herstellen lassen, bei denen das künstlich erzeugte Bild zwar optisch dem des Inhabers des Ausweisdokuments ähnelt, automatische Gesichtserkennung aber hinters Licht führt.
Die Bundesregierung treibt bereits die Sorge um, dass immer mehr solche "gemorphten" Bildkreationen den Weg in die hoheitlichen Papiere finden. Sie hat daher Anfang Juni einen Gesetzentwurf auf den Weg gebracht, wonach Fotos für Personalausweise und Reisepässe künftig manipulationssicher aufgenommen werden müssen.
Bei Tests mit Fotos von Protestkundgebungen, die Golem.de durchführte, wirkten gerade die Personen im Vordergrund teils für das menschliche Auge nicht mehr ganz natürlich. Augen sind etwa deutlich verkleinert, Gesichtszüge etwas verzerrt, teils auch Nasen geplättet. Ein Schönheitswettbewerb lässt sich damit auf jeden Fall nicht mehr gewinnen.
Lösungen zum "Aufhübschen" oder Manipulieren, wie viele Nutzer sie etwa von Snapchat oder Instagram kennen, "sind dafür ausgelegt, nur auf Einzelpersonen und Bildern mit hoher Auflösung zu funktionieren,"erläutert Gläser. "Bei uns bietet sich durch die Anforderungen eine ganz andere Komplexität. Dennoch sehen die geschützten Gesichter noch so gut aus, dass auf Fotos Emotionen wahrnehmbar sind."
Bei industriellen Anwendungen auf Basis Künstlicher Intelligenz (KI) wie dem autonomen Fahren oder Datenanalysen in Smart Cities "haben die natürlich anonymisierten Bilddaten auf Grund ihrer hohen Qualität keinerlei negativen Einfluss auf Entwicklung oder Betrieb intelligenter Systeme", führt der Insider aus. Dabei gelte es etwa auszumachen, ob sich eine Person in der Nähe eines Autos befinde und auf die Straße schaue. Eine solche reibungslose Integration der Anonymisierungstechnik sei zuvor mit "schwarzen Balken" oder anderen Formen des Verpixelns nicht möglich gewesen. Wenn eine KI mit derlei Daten trainiert würde, könnten sie einen echten Menschen in freier Wildbahn gar nicht mehr erkennen. Viele Anbieter hätten daher den Datenschutz einfach ignoriert.
Interessierten Nutzern will Brighter AI auf Anfrage über die Firmenwebseite auch einen Zugang zur ProtectPhoto-Lösung etwa per Programmierschnittstelle (API) zur Verfügung stellen. Die zugrundeliegende Software wird ähnlich bereits in der Automobilindustrie und bei der Bahn eingesetzt, wo ebenfalls Bilddaten von Personen im öffentlichen Raum anfallen und anonymisiert werden müssen.
"Komplett neue, künstlich generierte Objekte auf die Gesichter"
Eine Art zweites Gesicht schaffen mit ähnlichen Verschleierungsalgorithmen auch die Algorithmen von Fawkes aus den USA oder D-ID aus Israel. Den technischen Unterbau dazu liefern Generative Adversarial Networks (GANs) in Form neuronaler Netze, die ein Nullsummenspiel durchführen und sich dabei gegenseitig auszutricksen versuchen. Sie sind also bestrebt, Ergebnisse zu erzeugen, die das zweite Netzwerk nicht unterscheiden kann. GNAs werden oft herangezogen, um über photorealistische Bilder Gegenstände zu visualisieren, Bewegungsmuster in Videos darzustellen oder 3D-Modelle von Objekten zu erstellen.
Im Gegensatz zu Systemen der Konkurrenz "nehmen wir keine Mikroveränderungen an den Gesichtern vor, sondern legen komplett neue, künstlich generierte Objekte auf die Gesichter,"verweist Gläser dabei auf einen wichtigen Unterschied. Dadurch handle es sich nicht um eine Systematik, die von einer besser werdenden Gesichtserkennung "geknackt" werden könne.
Nachweis durch Audits von Datenschützern
"Bei uns ist es sogar umgekehrt" macht der Gründer klar. "Je besser die Gesichtserkennung wird, desto seltener gibt es unsichere 'Matches' von Personen." Algorithmen könnten Personen zwar auch teils schon anhand anderer Eigenschaften wie dem Gang identifizieren. Der Stand der Technik liege hier aber noch weit hinter dem bei der Gesichtserkennung zurück. Dennoch habe Brighter AI solche Entwicklungen auf dem Radar und bereite dazu bereits "weiterführende Forschungen" vor.
Der Nachweis, dass durch das Verfahren tatsächlich gängige Gesichtserkennungssysteme überlistet werden können, ist laut Gläser insbesondere durch Audits von Datenschützern großer Kunden, Behörden und Investoren erbracht. Darüber hinaus werde die Technik kontinuierlich anhand von Lösungen wie Microsoft Azure Facial Recognition und einschlägigen Open-Source-Systemen validiert.
- Anzeige Hier geht es zu Deepfakes: The Coming Infocalypse bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.