Wenn Menschen in Deutschland feiern, werden sie vielleicht bald genau beobachtet. Kameras sollen aufzeichnen, wer wo tanzt, quatscht, knutscht oder kotzt. Laut der SPD-Bundestagsfraktion „brauchen wir Videoüberwachung an Kriminalitätsschwerpunkten und bei großen Menschenansammlungen wie Volksfesten oder Konzerten.“ Dazu soll der Einsatz von Biometrie geprüft werden.

Mit ihren Koalitionspartnern hat die Fraktion des Kanzlers bereits den Plan formuliert, dass Polizei und Ausländerbehörden künftig auch Inhalte aus dem Netz mittels biometrischer Gesichtserkennung durchsuchen sollen. In mehreren Bundesländern nutzt die Polizei bereits automatisierte Gesichtserkennung mit mobilen Kameras, Fachleuten zufolge ohne rechtliche Grundlage. Das Gesichtserkennungssystem des Bundeskriminalamts arbeitet mit polizeilich erstellten Bildern von rund fünf Millionen Menschen, vergangenes Jahr wurden damit etwa 3.800 Personen identifiziert.

Die Zahl der Kameras wächst. Die visuellen Datenkollektoren arbeiten im öffentlichen Nahverkehr, bei der polizeilichen Überwachung von Demonstrationen, in Geschäften, auf bestimmten Plätzen und in jedem Mobiltelefon. Und die Systeme zur biometrischen Erkennung von Amazon, Microsoft oder anderen Anbietern werden zunehmend besser. Gesichtserkennung, dieses dystopische Überwachungsinstrument, mit dem man auch Handys entsperren, Grenzkontrollen vornehmen, Fluggäste abfertigen und Menschen stalken kann, ist auf dem Weg zur Omnipräsenz.

In China ist sie besonders weit. Dort machen die hunderttausenden Kameras im öffentlichen Straßenland ausgewählte Menschen verfolgbar und warnen die Behörden automatisch vor unerwünschten Unterschriftensammlungen oder Demonstrationen. Auch das Scheinparlament wird mit Gesichtserkennung überwacht. Es gibt Berichte von Toiletten, die per Gesichtserkennung jeder Person eine Ration von 60 Zentimeter Klopapier zuweisen sollen. Eine Stadt outete mittels Gesichtserkennung Menschen, die in der Öffentlichkeit Pyjamas trugen wegen „unzivilisierte Verhaltens“. Ampeln prangern Menschen an, die bei Rot die Straße kreuzen und ziehen automatisch Punkte vom Social Score ab.

Der persönlichkeitsrechtliche Wert von Atemschutzmasken

Wer angesichts der vielen Linsen und Erkennungssysteme im öffentlichen Raum seine Privatsphäre schützen will, kann etwa sein Gesicht für die Geräte unkenntlich machen. Denn: „Jedes Gesicht ist einmalig. Und wie ein Auto das Nummernschild tragen wir es zur ständigen Identifizierung offen mit uns herum“, sagt der Bildwissenschaftler Roland Meyer, der ein Buch über Gesichtserkennung und Gegenmaßnahmen geschrieben hat, das 2021 veröffentlicht wurde.

In den vergangenen Jahren entstanden zahlreiche Versuche, das eigene Gesicht vor der biometrischen Erfassung zu schützen. Sie machen anschaulich, wie kreativ und experimentierfreudig der Widerstand gegen die Technologie ist – und wie sehr dahinter ein Katz- und Mausspiel steckt.

Einen gewissen Schutz vor automatisierter Identifizierung biete, so Meyer, das Tragen einer FFP2-Maske. Eine Studie des US-amerikanischen National Institute of Standards and Technology (NIST) von Juli 2020 zeigte, dass die getesteten Gesichtserkennungssysteme anhand von Mund-Nase-Bedeckungen Fehlerraten von bis zu 50 Prozent auf­wiesen. Schwarze Masken verhinderten dabei die Gesichtserkennung noch gründlicher als hellblaue.

Eine weitere NIST-Studie aus dem November 2020 zeigte allerdings, dass die Programme zur Gesichtserkennung zunehmend besser im Erkennen von maskierten Gesichtern wurden. Raul Vicente Garcia vom Fraunhofer-Institut für Produktionsanlagen und Konstruktionstechnik, Abteilung Maschinelles Sehen, sagt: „Masken sind kein großes Problem, weil moderne Gesichtserkennung die obere Gesichtshälfte stärker zur Identifikation heranzieht.“

Ein iPhone 14 lässt sich auch mit Maske problemlos per Gesichtserkennung entsperren. Das Mobiltelefon im netzpolitik.org-Test gibt allerdings auf, wenn die zu erkennende Person neben der FFP2-Maske auch noch eine Sonnenbrille trägt. Sonnenbrille oder Maske allein: Sofort erkannt. Trägt die Person beides auf einmal, kann das Gerät sie offensichtlich nicht mehr mit ausreichender Sicherheit identifizieren.

Problem Vermummungsverbot

Auf jeden Fall gilt: Ist auf einem Bild oder in einer Videosequenz der bedeckte Teil des Gesichts groß genug, scheitert naturgemäß auch die ausgefeilteste Gesichtserkennungstechnologie. Der Bildwissenschaftler Roland Meyer sagt: „Da ist dann nur die Frage, inwieweit meine Mitmenschen die Maskerade akzeptieren.“

Während man beim Bahnfahren mit Sturmhaube vermutlich nur komisch angeschaut wird, kann der entsprechend maskierte Besuch einer Demonstrationen mit bis zu einem Jahr Haft bestraft werden. Seit 1985 ist die Vermummung bei Versammlungen oder Veranstaltungen unter freiem Himmel – mit Ausnahme traditioneller Feste wie Fasching – in den meisten Bundesländern eine Straftat, allein das Mitführen von Vermummungsutensilien kann eine Geldbuße von bis zu 500 Euro nach sich ziehen.

Amnesty International kritisiert das Vermummungsverbot. Es gäbe für Protestierende eine ganze Reihe legitimer Gründe, ihr Gesicht zu verhüllen: Zum Schutz vor Identifizierung durch die ständig wachsende, auch biometrische, Überwachung von Demonstrationen, gegen Tränengas, oder auch – zum Beispiel mit Politikermasken – als Protestform.

Naturgetreue Latexmasken gegen Gesichtserkennung

Es gibt auch ohne Vermummung Wege, das eigene Gesicht für automatisierte Gesichtserkennung unkenntlich zu machen. Man muss nur die Form ausreichend verändern. Idealerweise so, dass die Veränderung anderen Menschen gar nicht auffällt. Florian Berkowsky, Geschäftsführer der Maskenbildnerschule Hasso von Hugo in Berlin, sagt: „Eine simple Lösung bieten Beauty Stripes, eine Art Klebestreifen mit Gummizug. Damit werden normalerweise Falten glattgezogen, aber man könnte sie auch verwenden, um zum Beispiel Augenbrauen zu heben oder die Mund- oder Augenform zu verändern. Zusätzlich könnte man Nase und Wangen mit Wattebäuschen, wie man sie vom Zahnarzt kennt, ausstopfen.“

Gesichtsveränderungen mit Silikon seien ebenfalls möglich, aber viel aufwändiger. „Zuerst scannen Sie Ihr Gesicht in 3D, dann verändern sie es am Computer, bis sie nicht mehr identifizierbar sind: Wangenknochen höher, Kinn verbreitern und so weiter. Das realistische Modellieren ist eine sehr hohe Kunst – wenn da was nicht stimmig ist, erkennen das alle.“

Anschließend könne man ein Gesichtspositiv und die veränderte Version ausdrucken und die Zwischenräume mit Silikon ausgießen. „Das Ergebnis müssen Sie kolorieren, um eine glaubhafte Hautoberfläche zu erhalten. Anschließend folgt noch das Stechen der Haare.“

Die so entstandenen Silikonteile werden mit einem speziellen Kleber auf dem Gesicht befestigt. „Bei der Veränderung der Merkmale sollten Sie nicht übertreiben, denn wenn der Silikonauftrag zu dick ist, wird die Mimik nicht mehr natürlich übertragen“, sagt Berkowsky.

Software soll selbst Silikon erkennen

Die Herstellung von naturgetreuen Gesichtsteilen aus Silikon sei ein viele tausend Euro teurer Prozess, der mehrere Wochen dauert. Die entstandene Maskierung sei nur einmal einsetzbar, dann seien die feinen Ränder defekt, mit denen der Übergang zwischen Silikon und Haut kaschiert wird. Maximal acht Stunden könne man die Maske tragen, dann habe für gewöhnlich der Schweiß den Kleber gelöst.

Ebenfalls mehrere tausend Euro teuer, aber weit simpler und auch mehrfach nutzbar, sei eine Silikon-Vollmaske. „Die sehen inzwischen so authentisch aus, dass Sie das aus zwei Metern Entfernung nicht mehr von einem echten Gesicht unterscheiden können“, sagt Berkowsky. Einzig die Partie um die Augen falle auf, was sich aber mit einer Sonnenbrille kaschieren lasse.

Allerdings entwickeln Anbieter von Gesichtserkennungssoftware wohl inzwischen auch Systeme, die über die Reflektion des Lichts Silikon von Haut unterscheiden können. Berkowsky sagt, ein Gesichtserkennungsanbieter habe bei ihm Kurse zur Herstellung von Silikonmasken gebucht, um damit ein Erkennungssystem für Silikonmasken zu trainieren.

Salzlösungen und kosmetische Operationen

Benjamin Maus, Professor im Fachbereich New Media der Universität der Künste in Berlin, hat künstlerisch mit Gesichtserkennung gearbeitet. Er kennt eine Variante der Gesichtsveränderung, die dem Silikonscanner nicht auffallen würde: „Man kann Teile des Gesichts mit Salzlösung unterspritzen. Das ist nach ein paar Tagen wieder weg. Aber so könnte man für eine Grenzkontrolle, bei der das Gesicht biometrisch erfasst wird, wie beispielsweise an den Grenzen von Japan, China oder der USA, ein anderes Gesicht tragen und sich dann mit dem eigenen Gesicht im Land aufhalten.“

Man könnte noch einen Schritt weitergehen und sich einer plastischen Operation mit beispielsweise Implantaten oder Knochenstrukturveränderungen unterziehen. „Aber irgendwann wird auch dieses neue Gesicht mit Ihrem Namen verknüpft werden“, sagt Benjamin Maus.

Make-up gegen Gesichtserkennung

Auch mit Make-up kann man sich unter Umständen vor bestimmten Gesichtserkennungsystemen schützen. Aber dafür muss man sein Gesicht schon umfassend verzieren. 2010 veröffentlichte der Künstler Adam Harvey sein Projekt CV Dazzle. Darin entwickelte er Styles, die einen damals aktuellen Algorithmus dazu brachten, Gesichter nicht mehr als solche zu erkennen. Dazu gehörten wild drapierte Haarsträhnen, Schminke in geometrischen Mustern und Signalfarben.

Moderne Gesichtserkennungssysteme haben mit den Stylingtipps von damals allerdings keine Probleme mehr, sagt der Bildwissenschaftler Roland Meyer. „Alle Gegenwehr-Maßnahmen werden auch dazu genutzt, die Software so zu verbessern, dass sie darauf nicht mehr hereinfällt.“

2020 hat Harvey eine neue Version von CV Dazzle aufgelegt, diesmal eine Art Metallic-Tarnfleckbemalung. Doch auch die ist vermutlich inzwischen überholt. Für Harvey ist CV Dazzle deshalb explizit „ein Konzept, kein Produkt oder Muster“. Er ermuntert auf seiner Website dazu, eigene Tarnungen zu entwickeln und gegen gängige Gesichtserkennung zu testen.

Kleidung und Accessoires gegen Gesichtserkennung

Es gibt auch Kleidung gegen Gesichtserkennung, doch auch hier passen Anbieter ihre Erkennungssysteme beständig auf neue Abwehrmaßnahmen an. Die Firma capable.design hat beispielsweise eine Kollektion entwickelt, die mit psychedelischen Mustern oder repetitiven Tierdrucken Gesichtserkennungssysteme davon ablenken möchte, dass sich oberhalb der Kleidung noch ein Gesicht befindet.

Einen anderen Ansatz fahren verschiedene Gadgets, die versprechen, durch Abstrahlung oder Reflektion Kameras zu überfordern. Die Brillen von Reflectacles beispielsweise sind speziell dazu konzipiert, Gesichtserkennung zu verhindern, die mit Infrarot-Licht und -Sensoren arbeitet. Die Schals von ISHU reflektieren Licht so stark, dass Kameras mit Blitzlicht angeblich keine zuverlässigen Aufnahmen mehr machen können. Die Infrarot-LEDs der Privacy Visor-Brillen blenden, wenn eingeschaltet, Überwachungskameras. Diese Projekte sind allerdings schon älter und eventuell ebenfalls von der Gesichtserkennungstechnologie überholt worden.

Der „handfeste“ Zugang

Demonstrant*innen in Hongkong versteckten sich 2019 hinter Schirmen, verwendeten Laserpointer zum Blenden von Kameras und setzten auch Farbspray gegen sie ein. Teils brachten sie sogar mit Sägen und Seilen Straßenlaternen zu Fall, in denen sie Kameras vermuteten. Roland Meyer sagt: „Das ist natürlich ein sehr, sehr handfester Zugang.“

Bei den Protesten sei es vor allem um die staatlich aufgestellten Kameras im öffentlichen Raum gegangen. „Aber bei aktuellen Demonstrationen gibt es ja auch jede Menge von Privatleuten aufgenommene Bilder, da braucht man nicht unbedingt eine Überwachungskamera, um festzustellen, wer da möglicherweise beteiligt war.“

Gesichtserkennung mit Bildmaterial aus dem Internet

Wenn Privatpersonen auf Demonstrationen filmen oder fotografieren, und das Ergebnis online stellen, können auch diese Bilder Gegenstand von biometrischer Gesichtserkennung werden. Firmen wie Clearview AI und PimEyes leben davon, dass sie Fotos aus dem Netz sammeln und mit  Gesichtserkennung durchsuchbar machen.

Clearview AI nutzt das, um für Sicherheitsbehörden Menschen zu identifizieren. Bei PimEyes können Menschen Fotos von Gesichtern hochladen und über die verlinkten Fundstellen im Netz weitere Bilder und Informationen zu der abgebildeten Person erhalten. Das klappt natürlich nur, wenn auch übereinstimmende Gesichter in der Datenbank sind. Roland Meyer sagt: „Wenn ich nirgendwo mit meinem Bild auftauche, kann ich unbehelligt bleiben. Die Frage ist aber, ob das möglich und realistisch und plausibel ist.“

Von den meisten Menschen dürfte es Bildmaterial im Internet geben. Wie man versuchen kann, Fotos von sich offline nehmen zu lassen, hat die Stiftung Warentest ausprobiert. Naiara Bellio von AlgorithmWatch empfiehlt zudem, Institutionen, die Gesichtserkennung anbieten oder nutzen, per DSGVO dazu zu zwingen, die eigenen Bilder aus der Datenbank zu löschen.

Gesichter digital verändern

Die Firmen hinter den Apps Fawkes und LowKey versprechen, Gesichter auf Fotos so zu verändern, dass Gesichtserkennungssysteme sie nicht mehr identifizieren können, während sie für Menschen problemlos erkennbar bleiben. Der Bildwissenschaftler Roland Meyer geht aber davon aus, dass die Hersteller von Gesichtserkennungssystemen inzwischen ausreichend Zeit hatten, ihre Programme auf die Gegenmaßnahme vorzubereiten.

Wenn mensch allerdings auf alle Gesichtsbilder, die ins Internet wandern, Smileys oder Katzenköpfe photoshoppen oder gimpen würde, gäbe es für die Algorithmen nichts mehr zu finden. Man könnte das eigene Gesicht auch einfach extrem unscharf stellen. Der Messenger Signal bietet eine Funktion, die das automatisch macht. Die App Anonymous Camera ermöglicht, nicht nur auf Bildern, sondern auch in Videos Gesichter zu blurren oder zu verdecken.

Mit der Open-Source-Software Deep-Live-Cam kann man sich das Gesicht einer beliebigen Person, von der man ein Foto besitzt, digital überstülpen, das fremde Gesicht wird dann, beispielsweise in Videokonferenzen, analog der eigenen Mimik bewegt. Roland Meyer sagt: „Wenn ich mein Gesicht wirklich unkenntlich mache, ist das effektiv. Aber die Firmen, die solche Software entwickeln, haben dann natürlich Ihre Gesichtsdaten.“

Fotomanipulation im Reisepass

An vielen Flughäfen gibt es inzwischen automatisierte Gesichtserkennung, auch in der EU, wenn man aus einem Drittstaat einreist. „Dabei wird das auf einem Chip im Ausweis gespeicherte Bild mit einem Bild abgeglichen, das eine Kamera vor Ort aufnimmt“, erklärt Raul Vicente Garcia vom Fraunhofer-Institut für Produktionsanlagen und Konstruktionstechnik, Abteilung Maschinelles Sehen.

Vicente Garcia hat bis Mitte 2020 an einem Projekt mitgeforscht, das sich ANANAS nennt. Darin ging es um „Anomalie-Erkennung zur Verhinderung von Angriffen auf gesichtsbildbasierte Authentifikationssysteme“. Untersucht wurde ein ganz spezieller Angriff auf die Gesichtserkennung zur Grenzkontrolle: die digitale Zusammenführung von Bildern einigermaßen ähnlich aussehender Menschen. Damit könnten mehrere Personen einen gemeinsamen Pass nutzen.

„Wenn Sie einen Pass beantragen, dürfen Sie das biometrische Bild dazu in vielen Ländern auf der Welt ja selbst anfertigen. Das macht nicht die Behörde, was die Möglichkeit zur Manipulation erheblich reduzieren würde, sondern sie können das einliefern und vor der Abgabe modifizieren“, sagt Vicente Garcia.

Auf einem Bild, das mit digitalen Mitteln mit dem Bild einer anderen Person zusammengeführt wurde, sind mit menschlichem Auge beide Personen zu erkennen, wie Beispielfotos auf der Projektwebsite zeigen. So lassen sich laut Vicente Garcia auch automatisierte Gesichtserkennungssysteme täuschen.

Bildmanipulationen erkennen

Vicente Garcia sagt: „Die neuronalen Netze ziehen sich selbstständig Eigenschaften aus den Bildern, die eine Identifikation von Personen möglich machen. Da kann es um Charakteristika von Details gehen, aber auch von größeren Gesichtsbereichen. Die werden in einen Merkmalsvektor übersetzt, eine lange Reihe von Zahlen.“ Dieser Merkmalsvektor müsse bei Bildern der gleichen Person möglichst ähnlich sein, auch wenn das Licht sich ändert oder der Ausdruck.

„Wenn Sie da einen Schwellenwert hinreichender Ähnlichkeit erreichen, kommen Sie damit durch“, sagt Vicente Garcia. Die Gesichtserkennungssysteme würden nämlich so eingestellt, dass die Zahl der Fehlalarme einigermaßen gering ist. Somit seien sie in vielen Fällen bereit, auch gewisse Abweichungen von der perfekten Übereinstimmung zu akzeptieren.

Vicente Garcia und Kolleg*innen haben nach Möglichkeiten gesucht, Bilder zu erkennen, die Eigenschaften mehrerer Gesichter in einem Bild präsentieren. Was sie herausgefunden haben, sagt aber auch viel über den Stand der Erkennung von digitalen Bildmanipulationen allgemein.

Je nachdem, wie das Bild hergestellt wurde, gibt es verschiedene Anzeichen, an denen es sich verraten kann. Wenn das Bild zum Beispiel mit Photoshop aus zwei überlagerten Bildern gemischt wurde, gibt es oft feine Strukturen, die unnatürlich oder unscharf wirken: die Iris oder Haarsträhnen beispielsweise. Auf so etwas springe der Detektor, den Vicente Garcia und Kolleg*innen entwickelt haben, bei Versuchen mit Testdatensätzen mit einer Zuverlässigkeit von etwa 90 Prozent an.

Gutes Photoshop, schlechtes Photoshop

Auch Photoshop-Manipulationen an einem einzelnen Foto ließen sich mit der Software einigermaßen zuverlässig erkennen, so Vicente Garcia. Ein Problem dabei: „Es ist ja erlaubt und auch durchaus üblich, Passbilder zu photoshoppen und dabei zum Beispiel die Haut von Unreinheiten zu befreien. Deshalb muss man die Morph-Detektoren darauf trainieren, zulässige Retuschen durchzulassen. Sonst würde jedes zweite Bild einen Fehlalarm auslösen.“

Weit schwieriger wird laut Vicente Garcia die Manipulations-Detektion, wenn aus Bildern zweier Personen mit Hilfe von KI ein drittes Bild generiert wird. „Da sucht man eher nach Markern, ob das Bild synthetisch ist, zum Beispiel nach statistischen Regelmäßigkeiten oder besonderen Artefakten, die typisch für verschiedene neuronale Netze zur Bildgenerierung sind.“

Solche Manipulationen seien nicht so leicht zu erkennen. Laut der Datenbank „Face Recognition Vendor Test“ würden kommerzielle Softwares zur Gesichtserkennung bei qualitativ hochwertigen Manipulationen 40 bis 50 Prozent der manipulierten Bilder nicht als solche erkennen – zumindest wenn die Rate der fehlerhaft als Fälschung identifizierten Bilder so niedrig gehalten wird, dass man das System auch ohne ständigen Ärger an einem Flughafen einsetzen kann.

„Das Problem KI-generierter Gesichtsbilder ist bei Weitem noch nicht gelöst“, sagt Vicente Garcia. Dennoch sei die Implementierung der automatischen Manipulations-Detektion an Grenzkontrollen gesetzt. „Diese Technik wird auf jeden Fall zunehmend Anwendung finden“, sagt Vicente Garcia.

Die wichtigste Waffe gegen Gesichtserkennung

Was heute gegen Gesichtserkennung funktioniere, wirke bald vielleicht schon nicht mehr, sagt Roland Meyer. „Alle Techniken der Anonymisierung sind nur für einen bestimmten Stand der Biometrie geeignet. Wenn Gang-Analyse funktioniert oder Iris-Erkennung, dann nützt die Maske auch nichts mehr.“

Genau hier kommen all die Bemühungen an ihre Grenze: Biometrie betrifft eben längst nicht nur das eigene Gesicht, sondern potentiell alle weiteren maschinell erfassbaren Besonderheiten des Körpers. Deshalb sei, da sind sich Roland Meyer, Naiara Bellio und Benjamin Maus einig, die wichtigste Abwehrmaßnahme gegen biometrische Überwachung der Protest – der juristische Einspruch, der politische und zivilgesellschaftliche Widerstand. Meyer sagt: „Alles andere ist vorläufige Symptombekämpfung.“

Die Initiative Gesichtserkennung stoppen setzt sich auf bundesdeutscher Ebene gegen Gesichtserkennung ein und ermöglicht beispielsweise, mit nur einem Klick Protestmails an Abgeordnete zu schicken. Reclaim your Face kämpft auf EU-Ebene gegen Gesichtserkennung. Amnesty International fährt unter #UnscanMyFace eine internationale Kampagne dagegen.

Mehr Tipps zur digitalen Selbstverteidigung gibt es hier und unter netzpolitik.org/digitale-selbstverteidigung.