Foto ohne Gesicht

Wo Informationen über uns oder gar Fotos mit unserem Konterfei auftauchen, haben wir kaum noch im Griff. Doch künftig könnte sich wenigstens verhindern lassen, dass wir als Unbeteiligte auf Fotos in anderer Leute Facebook-Auftritt erscheinen. Die Technik dafür hat ein Team um Paarijaat Aditya, Rijurekha Sen und Peter Druschel vom Max-Planck-Institut für Softwaresysteme in Saarbrücken entwickelt.

Text: Tim Schröder

Es ist ein Kulturwandel, den wir durchmachen: Smartphones haben unser alltägliches Verhalten gründlich verändert, nicht zuletzt beim Fotografieren: Bilder schießen wir heute nicht mehr nur im Urlaub und bei Familienfesten, sondern auch beim Einkaufen, in der Kneipe oder beim Spazierengehen. Denn mit dem Smartphone hat man den Fotoapparat immer dabei. Die Qualität der eingebauten Kameras ist inzwischen so gut, dass man kaum noch eine andere braucht. Und keine Kamera ist so schnell zur Hand wie das Handy in der Hosentasche.

Den Trend zum Handyfoto bestätigen auch die Ergebnisse des Branchenverbandes der Internetindustrie Bitkom: Sieben von zehn Deutschen schießen im Urlaub Bilder mit ihrem Smartphone – und sechs von zehn Hobbyfotografen teilen die Fotos sogleich über Facebook, Whatsapp und andere Dienste. Keine Frage, das Fotografieren mit dem Smartphone ist allgegenwärtig.

Doch genau das kann zum Problem werden, wenn nicht nur Freunde und Bekannte geknipst werden, sondern auch Unbeteiligte, die aus Versehen im Bild zu sehen sind. Viele fühlen sich unwohl, wenn sie wissen, dass sie von Unbekannten abgelichtet werden, nicht zuletzt, weil man in Zeiten sozialer Medien nie genau weiß, wo die Bilder später auftauchen. Da wäre es beruhigend, wenn Unbeteiligte auf Fotos gar nicht zu erkennen wäre.

Das ungute Gefühl, von Fremden abgelichtet zu werden

Das dachten sich auch Paarijaat Aditya und Peter Druschel vom Max-Planck-Institut für Software-Systeme in Saarbrücken. Die beiden haben zusammen mit Kollegen vom benachbarten Max-Planck-Institut für Informatik eine Technik entwickelt, die Gesichter unbeteiligter Personen auf Bildern verpixelt und damit unkenntlich macht, die Gesichter von absichtlich abgelichteten Personen aber scharf darstellt. I-Pic haben sie ihr Verfahren genannt, das dereinst als Spezialfunktion in Smartphones verbaut werden könnte.

„Was das Fotografieren angeht, sind viele Menschen heute um ihre Privatsphäre besorgt“, sagt Paarijaat Aditya. „Bevor wir mit der Entwicklung von I-Pic anfingen, haben wir eine eigene Umfrage gestartet und zum Beispiel herausgefunden, dass es unter anderem sehr auf die Situation ankommt: Als besonders unangenehm empfinden es Leute zum Beispiel, wenn sie im Krankenhaus, beim Sport oder am Strand abgelichtet werden.“ Generell stellten die Forscher fest, dass verschiedene Menschen in der gleichen Situation unterschiedliche Bedürfnisse an das Recht am eigenen Bild haben, so wie auch die Ansprüche eines Einzelnen sehr von der Situation abhängen. Damit war klar, dass I-Pic unbedingt in der Lage sein sollte, die Wünsche einzelner Personen je nach Situation zu berücksichtigen.

Derzeit existiert I-Pic als Prototyp. In einem Video auf Youtube zeigt Paarijaat Aditya, wie der funktioniert: Er macht ein Selfie und knipst dabei auch Menschen, die im Bildhintergrund stehen. Dann erscheint das Foto auf der Kamera – jene Personen, die nicht abgelichtet werden wollen, erscheinen verpixelt. Die anderen sind klar zu sehen. Auf den ersten Blick wirkt I-Pic ganz simpel. Doch wer einen Moment darüber nachdenkt, dürfte stutzen: Wie in aller Welt, kann die Kamera wissen, wer fotografiert werden will und wer nicht? Und schnell wird klar, dass es I-Pic in sich hat.

Die Kunst, viele Techniken zu vereinen

 „Die Leistung besteht darin, dass wir hier etliche anspruchsvolle Techniken miteinander verknüpft haben, um das ganze System zum Laufen zu bringen“, sagt Paarijaat Aditya. Voraussetzung für einen wirksamen Schutz vor ungewollten Statistenrollen auf Fotos ist, dass das Smartphone des Fotografen und die Smartphones der Umstehenden allesamt mit der I-Pic-Technik ausgestattet sind. Und natürlich müssen die Smartphones aller Personen, die auf einem Bild zu sehen sind, mit dem Gerät des Fotografen kommunizieren können – um mitzuteilen, ob ihre Besitzer erkennbar sein wollen oder nicht. Bei I-Pic funktioniert das über Bluetooth, einen klassischen Funkstandard, mit dem Geräte über eine Distanz von wenigen Metern Daten austauschen können.

In der Software stellt jeder Nutzer zunächst seine persönliche Präferenz ein: ob er in verschiedenen Situationen oder an verschiedenen Orten von Fremden fotografiert werden will oder nicht. Diese Information sendet jedes mit I-Pic ausgestattete Telefon permanent aus. Das Smartphone des Fotografen erhält damit über Bluetooth von allen Smartphones in der Nähe die Information, welche Person damit einverstanden ist, dass sie auf dem soeben geschossenen Foto zu erkennen ist und welche nicht.

Natürlich erhält das Smartphone auch die Bluetooth-Signale von Personen, die nicht im Bild zu sehen sind – etwa von Unbeteiligten, die etwas abseits stehen. Das Smartphone des Fotografen muss also zuordnen können, welches Bluetooth-Signal zu welcher Person gehört beziehungsweise, ob es von den Personen stammt, die auf dem Bild zu sehen sind.

I-Pic lernt das Gesicht des Besitzers kennen

Zu diesem Zweck wird I-Pic, bevor man es seinen Dienst tun kann, zunächst mit Porträtfotos des Smartphone-Besitzers gefüttert. Schon nach etwa zehn Fotos hat I-Pic das Gesicht seines Besitzers kennengelernt und die Charakteristika des Gesichts abgespeichert. Alle Handys, die mit I-Pic ausgestattet sind, senden permanent die Gesichtsinformation in die Umgebung aus – auch zum Smartphone einer Person, die in Bluetooth-Reichweite vielleicht gerade ein Foto macht. So kann das Smartphone des Fotografen die Gesichter auf dem gerade geschossenen Bild mit den Gesichtsinformationen der Menschen in der Umgebung abgleichen.

Zusätzlich mit den Gesichtsdaten erhält das Smartphone des Fotografen die Präferenzen der beteiligten Personen „Will zu erkennen sein/Will nicht zu erkennen sein“ – und kann dann die entsprechenden Gesichter unkenntlich machen.

Für die Gesichtserkennung musste das Entwickler-Team leistungsfähige Algorithmen in die Software einbauen, sogenannte Classifier, die Gesichter schnell und sicher erkennen – selbst bei schlechter Belichtung, Schatten oder Gegenlicht. Forscher um Bernt Schiele, Direktor am Max-Planck-Institut für Informatik haben für die Erkennung eine Software entwickelt, de ausgesprochen gut funktioniert.

„Allerdings ist der Austausch persönlicher Daten wie zum Bespiel von Gesichtsinformationen zwischen Smartphones im Hinblick auf den Datenschutz ausgesprochen kritisch“, sagt Peter Druschel, Direktor am Max-Planck-Institut für Software-Systeme. Deshalb haben die Forscher I-Pic zusätzlich mit anspruchsvoller Verschlüsselungstechnik ausgestattet. Alle Daten, die hin und hergeschickt werden, wandelt I-Pic zunächst in kryptische Zeichenkombinationen um. Die Informationen zum Gesicht werden also nicht einfach als jpg-Bild oder in einem ähnlichen Format übertragen. Vielmehr verschlüsselt I-Pic die vielen Charakteristika eines Gesichtes in einem sogenannten hochdimensionalen Vektor.

Verschlüsselte Bildinformation vergleichen

Dann gleicht I-Pic die Gesichter im Foto mit den Gesichtsinformationen ab, die das Smartphone des Fotografen per Bluetooth empfangen hat. Der Clou: Der Abgleich findet zwischen den verschlüsselten Dateien statt. Die Bildinformation liegt also zu keiner Zeit offen. „Das klingt eigenartig, aber tatsächlich ist es möglich, zwei verschlüsselte Dateien miteinander zu verarbeiten“, sagt Rijurekha Sen, ebenfalls Forscherin am Max-Planck-Institut für Softwaresysteme. „Wir nennen das eine homomorphe Verschlüsselung. Man kann damit feststellen, ob zwei Bilder gleich sind, ohne die Bilder als solche preisgeben zu müssen.“

Das Smartphone eines Fotografen speichert folglich niemals die realen Bilddaten einer Person, wenn diese ihre Präferenz auf ‚nicht erkennbar‘ eingestellt hat. Weder wird das Gesicht im gerade geschossenen Foto als solches dargestellt, noch sind die Bildinformationen auslesbar, die von den anderen Handys via Bluetooth übertragen wurden. Und das Gesicht im geschossen Bild ist bereits verpixelt, wenn das Foto erstmals auf dem Handy-Bildschirm erscheint.

Berechnungen in der Cloud

Doch Bluetooth, Gesichtserkennung und Verschlüsselungstechnik sind noch nicht alles. Denn bei der Entwicklung von I-Pic standen die Forscher vor einem weiteren Problem: Bei einer Verschlüsselung werden Daten stets mithilfe sehr komplexer Rechenverfahren sicher verpackt. Diese Kalkulationen benötigen sehr viel Arbeitsspeicher und sind wahre Stromfresser. An Orten, an denen viel fotografiert wird, wären viele I-Pic-Bildberechnungen nötig, sodass der Akku eines Handys schnell leergesaugt oder der Prozessor überfordert wäre.

Die Forscher haben I-Pic deshalb mit einer Technik ausgestattet, welche die Verschlüsselung und den Abgleich der Bildpaare via Mobilfunkverbindung in die Cloud auslagert. Die Berechnung der verschlüsselten Daten findet damit irgendwo auf einem großen Server statt, der das Ergebnis der Analyse ‚will im Foto erscheinen/will nicht im Foto erscheinen‘ zurück ans Smartphone schickt.

„Trotz der ganzen Komplexität funktioniert I-Pic-erstaunlich gut“, sagt Paarijaat Aditya, der I-Pic bereits auf internationalen Informatik-Konferenzen vorgestellt hat und dafür viel Lob erntete. Peter Druschel ergänzt: „Wir sind weltweit die ersten, die eine solche Applikation angedacht haben und trotz der Fülle an Techniken realisieren konnten. Und wir denken bereits über Erweiterungen nach.“

Ganz konkret geht es um die Frage, wie man Gesichter auf Bildern ästhetisch verfremden kann. Immerhin sehen Bilder mit verpixelten Gesichtern nicht besonders ansprechend aus. Peter Druschel möchte I-Pic daher um ein Software-Modul ergänzen, das Gesichter verändern kann, sie altern lässt oder die Hautfarbe, die Haarfarbe und andere Charakteristika gezielt manipuliert:Classifier „Auf dem Foto sind fremde Gesichter dann nicht mehr grob gepixelt. Stattdessen sind Menschen zu sehen, die es so in der Realität gar nicht gibt.“ 

Zwischen Präferenzen wählen

Und noch etwas ist zu bedenken: Die Präferenzen sollten sich in I-Pic detailliert einstellen lassen. Wer als Standard ‚will nie auf Bildern Fremder erscheinen‘ wählt, könnte Pech haben. Zum Beispiel, wenn auf großen Familienfeiern fotografiert wird. Dann wären Fotos vielleicht sogar willkommen. Doch wäre die Person auf den Bildern stets verpixelt. Die Saarbrücker entwickeln daher ein Set von Präferenzen, zwischen denen der Nutzer künftig wählen soll.

Eine Möglichkeit könnte sein, zum Beispiel den Kontakten im Telefonbuch des Handys zu erlauben, das Gesicht auf Fotos kenntlich zu machen. Auch sollen sich künftig die Präferenzen für verschiedene Orte festlegen lassen. Für das Büro oder das Fitness-Studie könnten Nutzer den Unkenntlichkeitssmodus wählen, für alle anderen Orte hingegen die unverpixelte Darstellung des eigenen Bildes zulassen.

Möglicherweise lässt sich die Technik von I-Pic auch auf vergleichbare Anwendungen übertragen, auf Videos etwa. „I-Pic ist jedenfalls so weit, dass es in Kürze bis zur Marktreife weiterentwickelt werden kann“, sagt Peter Druschel. „Es wäre zu wünschen, dass die Technik von Smartphone-Herstellern übernommen und standardmäßig in Handys verbaut wird – in Sachen Privatheit und Datensicherheit wäre damit viel gewonnen.“