Gesichtserkennung: Was muss sie leisten?

Am Berliner Südkreuz führt die Bundespolizei seit Sommer 2017 ein Pilotprojekt zu Gesichtserkennung durch. Auf Einkaufsplattformen können Bürger ein neues Haustürschloss kaufen, mit dem sie ihre Haus- oder Wohnungstür quasi auflächeln können. Laptops erlauben die Anmeldung per Blick in die Webcam. Wer das neue iPhone erwirbt, muss ein Gesichtserkennungssystem mitkaufen. Und Millionen Flugreisende weltweit können sich per Blick in die Kamera an der automatisierten Grenzkontrolle in eGates authentifizieren.

Datenschützer schlagen Alarm. Sicherheitsbehörden hingegen halten Gesichtserkennung für eine Art Wundermittel, mit dem flächendeckend Sicherheit für alle erzeugt werden kann. Welche Sichtweise ist realistisch? Wie so oft im Leben, ist die Antwort ein „Es kommt darauf an“.

Nutzerkomfort durch Gesichtserkennung

Für den Nutzer kann die biometrische Authentifikation ein sehr bequemes Werkzeug sein. Sie gelingt etwa, wenn im wortwörtlichen Sinn „augenblicklich“ Smartphone-Besitzer ihr Gerät entsperren, die Anmeldung am Laptop erfolgt oder die Haustür aufgeht. Voraussetzung ist ein gutes Design, also eine bedienerfreundliche Oberfläche der Anwendung. Es gibt – und wird sie geben – viele Anwendungen, die geeignet sind, einen Benutzer anhand seines Gesichts zu erkennen. Da die Algorithmen immer besser, die Rechenleistung stets billiger sowie Kameras oder andere geeignete Sensoren immer weiter verbreitet sein werden, bekommt man ein bequemes Authentifikationsverfahren zukünftig fast geschenkt.

Sicher genug?

Bei der Sicherheit hat die Gesichtserkennung – genau wie jeder andere Zugriffskontrollmechanismus – ihre Grenzen. Schlüssel kann man verlieren, sie können gestohlen werden oder zerbrechen. Und das gilt sinngemäß für alle besitzbasierten Verfahren. Natürlich kann und sollte man sichere Passwörter verwenden, aber die kann man irgendwann wieder vergessen, wenn man sie selten benutzt. Jedes Verfahren passt an der einen Stelle gut, an der anderen weniger. So auch die Biometrie und damit die Gesichtserkennung.

Datenschutz: Ja, das geht!

Bleibt der Datenschutz. Die seit Jahrzehnten verankerten und akzeptierten Prinzipien der Transparenz, Datensparsamkeit, Zweckbindung und Angemessenheit sind heute noch wichtiger geworden. Kann man Gesichtserkennung so verwenden, dass sie diese Prinzipien unterstützt? Einfache Antwort: Ja, das geht. Es gibt beispielsweise keinen Zwang, Bilder oder extrahierte Merkmale länger zu speichern, als sie benötigt werden. Wird eine Anwendung so designt, dass nur die beabsichtigte Nutzung der biometrischen Daten möglich ist, kann Missbrauch erschwert werden.

Wenn ein Einzelhändler seinen Kunden passend zu ihrem Alter und Geschlecht personalisierte Werbung über einen Bildschirm anbieten will, so ist die Verwendung der Daten „Alter“ und „Geschlecht“ nicht zwingend verwerflich. Insbesondere dann nicht, wenn keinerlei Verknüpfung mit anderen Daten erfolgt. Ist die Anwendung so konzipiert, dass sie die aus der Kamera kommenden Bilder sofort nach der Bestimmung von Alter und Geschlecht verwirft, können auch keine anderen Daten gewonnen werden. Hier sind allerdings – zumindest bis man darauf vertrauen kann, dass die Softwarehersteller ihre Systeme tatsächlich spezifikationsgetreu konzipiert haben – die Dienste unabhängiger Prüfer hilfreich.

Privacy by Design

Entwickler, die von Anfang an daran denken, datenschutzgerechte Funktionalität zu entwickeln (dieses Prinzip wird „Privacy by Design“ genannt), machen damit ihr Projekt nicht notwendigerweise teurer. Eine Nachrüstung ist schwieriger und kostet mehr Geld. In der EU gibt es inzwischen viele Forschungen und Fördergelder zu „Privacy by Design“. Sobald die ersten nach diesem Prinzip entwickelten Systeme erhältlich sind, können die Anwender entscheiden, wie wichtig ihnen der Umgang mit ihren Daten ist. Sind datenschutzfreundliche Systeme bei den ersten großen Kunden installiert, steigt der Druck auf deren Konkurrenten, mitzuziehen.

Für einen Busfahrer etwa ist es nicht wichtig zu wissen, wer in seinen Bus einsteigt. Wichtig ist für ihn nur, dass es die Person ist, auf die die vorgezeigte personengebundene Monatskarte ausgestellt wurde. Dies kann Gesichtserkennung komfortabel leisten. Beim Kauf oder bei der erstmaligen Benutzung der Monatskarte würde ein Gesichtsbild erfasst und aus diesem ein Merkmalsvektor für ein passendes Vergleichsverfahren extrahiert und gespeichert. Dieser Vektor ist so beschaffen, dass mit ihm eine genaue Benutzerprofilbildung ohne weitere Daten schwer möglich ist. Das geht, wenn ein ausreichend hoher Anteil der Bevölkerung zu diesem Merkmalsvektor „passen“ würde. Damit könnten dann zwar theoretisch ziemlich viele Personen diese Monatskarte benutzen – welche das sind, ist jedoch nicht vorher bestimmbar. Eine beliebige Weitergabe der Karte funktioniert also nicht. In einer Bedrohungsanalyse findet der Anbieter heraus, wie „gut“ – und damit auch wie teuer – die biometrische Komponente arbeiten muss. „Schwächere“ Merkmalsvektoren benötigen weniger Platz, „schwächere“ Vergleichsverfahren weniger Rechenleistung.

DSGVO stärkt Datenhoheit

Heutige Technologie ermöglicht leistungsfähige Gesichtserkennungssysteme, die für viele Anwendungen ein passendes Sicherheitsniveau erlauben und dabei datenschutzfreundlich implementiert werden können. Dass Letzteres auch geschieht, sollte der mündige Verbraucher von seinen Technologielieferanten einfordern. Wenn es genügend Kunden tun, wird die Industrie liefern. Womöglich gilt das auch für die Politik. In Brüssel hat man zumindest erkannt, dass „Privacy by Design“ keine leere Sprachhülse ist. Die europäische Datenschutz-Grundverordnung (DSGVO) wird dabei helfen, das Recht auf Datenhoheit zu stärken.