Seit einer Woche wird heiss über die zukünftige biometrische Verfolgung der Bahnhofsbesucher diskutiert. Hier ein paar Bemerkungen und Fragen zum «KundenFrequenzMessSystem 2.0» aus technischer Sicht.
Im K-Tipp vom 12. Februar 2023 wurden die SBB beschuldigt, ab September die Kunden mittels «Gesichtserfassung» zu verfolgen. Weitere Medien nahmen den Artikel auf und die SBB dementierten umgehend. Gestern hat Adrienne Fichter hier eine medienkritische Auswertung publiziert, welche auch den Umgang der Medien mit Spekulationen rund um das SBB-Vorhaben kritisiert. Bei allem Echo sind aber einige technische Fragen offen geblieben. Ein Versuch der Klärung.
Inhalte
ToggleErfordert Alterserkennung Gesichtserkennung?
Die SBB erwarten in der Ausschreibung u.a. das Erkennen von Altersklasse und Geschlecht. Beides ist — nur aus äusserlichen Merkmalen alleine — nicht perfekt möglich. Eine Ausweiskontrolle oder Gentest aller Bahnhofsbesucher ist weder juristisch noch praktisch umsetzbar. Das heisst, wir sind auf Mutmassungen angewiesen.
Wohl jede und jeder von uns ist schon einmal beim Schätzen des Alters eines Gegenübers gewaltig ins Fettnäpfchen getappt. Oder hat sich im Geschlecht geirrt, nicht nur bei androgynen oder nicht-binären Personen. Es wäre also verwunderlich, wenn das perfekt ginge.
Meine Erfahrung bei einer automatisierten Klassierung von tausenden von KI-generierten Gesichtern ist, dass die von mir verwendete Open-Source-Software bei etwa einem Drittel der Personen falsch lag, zum Teil massiv: Z.B. dass 15-jährige Männer gerne als 50-jährige Frauen klassiert werden oder umgekehrt, zum Teil trotz Bart.
Es gibt sicher andere Systeme, welche bessere Erkennungsquoten liefern. Gleichzeitig ist aber in einer Bahnhofsumgebung ist auch mit Kapuze, Maske, schlechten Lichtverhältnissen oder sich gegenseitig verdeckenden Köpfen zu rechnen und die Besucherinnen werden auch nicht perfekt in die unauffällig montierten Kameras lächeln.
Also: Alters- und Geschlechtserkennung aufgrund von Gesichtern funktioniert nur mit z.T. hohen Fehlerquoten.
Natürlich gibt es noch weitere Informationsquellen, die eine Korrelation zu Alter und Geschlecht aufweisen: Lange Haare und Zöpfe finden sich häufiger bei Frauen, Bärte und Glatzen bei Männern; rosa Einhornpullis eher bei jüngeren Zeitgenossinnen; Hüte oder schleppender Gang eher bei älteren Personen. Aus diesen Informationsquellen alleine ist eine gute Zuordnung schwer möglich; sie kann aber bei unklaren Resultaten der Gesichtsanalyse zu besseren Ergebnissen führen.
Ein gutes Bild des Gesichts scheint also Voraussetzung für eine gute Einschätzung von Alter und Geschlecht zu sein.
Unter Gesichtserkennung im engeren Sinne versteht man die Zuordnung eines Gesichts zu einer Indentität (häufig Name, z.B. Personensuche) oder die Verifikation, ob eine Idenität zu einem Gesicht passt (z.B. Zugangskontrolle). Dies ist nicht notwendig, “bloss” ein (relativ) hoch auflösendes Bild und eine biometrische Analyse darauf.
Wird bereits jetzt biometrische Analyse eingesetzt?
Dies ist unklar. Die SBB sagen, dass das neue System nur Gleiches leisten soll, einfach mit höherer Qualität. Daraus könnte man schliessen, dass bereits bisher eine derartige Auswertung vorgenommen wird, diese aber die gewünschten Qualitätskriterien nicht (mehr) erfüllt.
Systeme, welche solche Analysen machen, scheinen in Einkaufszentren und ausländischen Bahnhöfen im Einsatz zu sein. Aber wir wissen nicht, ob das die SBB dies aktuell bereits einsetzt.
Ist diese biometrische Verfolgung notwendig?
Mit Hilfe der Zähldaten können Reinigungsintervalle, Informationsanzeigen, Sitzgelegenheiten und Verkaufsangebot optimiert und sich ändernden Benutzerzahlen und/oder -bedürfnissen angepasst werden. Auch können die Daten für die Dimensionierung von Durchgängen bei Umbauprojekten und für Personenflussstudien zur Vermeidung von Hindernissen und Engpässen genutzt werden.
In Kürze: Datenschutz mit neuem Kundenfrequenzmesssystem gewährleistet (SBB, 2023-02-15)
In der Antwort der SBB auf den K-Tipp-Artikel wird der Fokus auf “Zähldaten”, “Reinigungsintervalle”, “Informationsanzeigen”, “Sitzgelegenheiten” und der “Dimensionierung von Durchgängen” sowie der “Vermeidung von Hindernissen und Engpässen” gelegt. Alles sehr rühmliche Ziele, zwischen denen noch irgendwo unauffällig das “Optimieren des Verkaufsangebots” eingebettet ist. Interessant ist auch, dass genau hinter dieser Optimierung, nämlich der Maximierung der von der SBB erzielten Mieteinnahmen, ein wichtiger Fokuspunkt des K-Tipp-Artikels liegt.
Wenn es den SBB nur um “Zähldaten”, “Hindernisse” und “Dimensionierung” gehen würde, liesse sich das Problem nämlich auch ohne Informationen zu Alter und Geschlecht lösen: Das System könnte die von den Köpfen zurückgelegten Wege analysieren, auch ohne je einen guten Blick auf das Gesicht zu erhaschen.
Gleichzeitig lassen sich die Bedürfnisse der in ihrer Mobilität eingeschränkten Personen besser anhand ihrer Geschwindigkeit und den allfällig genutzten Umwegen um Treppen herum analysieren als dies durch eine Einschätzung des Alters möglich ist: Ein 20-Jähriger mit Gipsbein ist z.B. weniger mobil als eine rüstige Rentnerin.
Erfolgt damit eine Identifikation?
Grundsätzlich scheint es nicht vorgesehen, die Bewegungsmuster und Gesichter mit spezifischen Personen zu verbinden. Allerdings ist aufgrund einer genügenden Anzahl Bewegungsmustern (welche Wege eine Person wann nimmt) schon eine starke Einschränkung des Personenkreises möglich, auch ohne dass das Gesicht mit einer Datenbank abgeglichen wird.
So dürfte beispielsweise die Geschäftsführerin der Bahnhofsapotheke alleine durch ihre potenzielle Ankunft oder ihren Weggang ausserhalb der Öffnungszeiten der Apotheke recht gut zu identifizieren sein.
Bei anderen Personen reicht dies alleine noch nicht; eine Identifikation (oder De-Anonymsierung) liesse sich—je nach Systemeigenschaften—wohl in vielen weiteren Fällen durch wenige Zusatzdaten (Kartenzahlungen, FairTiq-Nutzung, Mobilfunknutzung, …) vornehmen.
Schlussfolgerungen
- Es scheint keinen Grund zu geben, für die in der SBB-Medienmitteilung genannten Hauptziele rund um die Dimensionierung auf Alter und Geschlecht angewiesen zu sein.
- Damit lässt sich aus diesen Zielen auch keine Begründung für detaillierte Gesichtsbilder und ihre biometrische Analyse herauslesen.
- Daher könnte sich die SBB auch für eine deutlich privatsphärefreundlichere und damit weniger kontroverse Lösung entscheiden.
- Ausser: Es gibt neben den betonten Dimensionierungsgründen noch andere wichtige Gründe für die biometrische Analyse und Verfolgung.
Demografie killt Privatsphäre
[Kapitel neu 10:50] Braucht es denn überhaupt Kameras?
Für die von den SBB erbetene Demografie (Alter, Geschlecht) ist nicht nur irgendein Kamerabild, sondern sogar ein hochauflösendes Bild des Gesichts notwendig, relativ flach aufgenommen, gut ausgeleuchtet.
Wenn die SBB auf die Demografie verzichten würden, reichten niedrig auflösende Kameras, die die Räume von oben betrachten und die so nie Gesichter sehen müssten.
Wenn sogar nur die Personenströme oder die Nutzung der Sitzgelegenheiten etc. alleine erfasst werden müssten, würden Personenzähler und Sitzkontakte oder Ultraschall-Abstandsmessgeräte ausreichen. (Auch Personenzähler sind heute mit Kameras ausgestattet, aber sie funktionieren eher wie eine optische Computermaus: Auch diese nimmt ein Bild der Mausunterlage auf, das eigentliche Bild ist ihr aber egal, sie versucht nur aus den Veränderungen des Bildes die Bewegungsrichtung zu erschliessen.)
Also: Die Grundinformationen liessen sich relativ leicht und vollständig anonym erfassen. Die (mutmasslich relativ stabile) Demografie liesse sich auch mit Stichproben und Zählungen erreichen. Aber das von den SBB gewünschte «Sahnehäubchen» der dauerhaft erfassten Demografie lässt sich eigentlich nur mit biometrischer Gesichtsauswertung erreichen. Ein klassisches Beispiel für die 80/20-Regel.
Oder eben in diesem Fall: Der Wunsch nach konstanter Demografie killt die Privatsphäre.
Aber…, die Sicherheit‽
Kein Kriterium für die aktuelle Ausschreibung ist die erhöhte Sicherheit durch Kameraüberwachungen. Da die Sicherheitsdiskussion in dem Zusammenhang jedoch immer wieder aufkam: Eine Studie von 2014 über die Auswirkungen der Installation von Überwachungskameras beim Bahnhof Luzern kam—wie ähnliche Studien zuvor im Ausland—zum Schluss, dass Kameraüberwachung nicht die erwünschte Wirkung zeigt:
- Es wurde (netto) kein abschreckender Effekt festgestellt.
- Es gab sogar eine leichte Zunahme, die aber auf Drogendelikte beschränkt war.
- Es gab eine leichte Verlagerung auf andere Bereiche.
- Das subjektive Sicherheitsempfinden hat sich nicht verbessert, im Gegenteil, der beobachtete Bereich wird sogar neu als Problemregion wahrgenommen.
- Im Vergleich dazu hat ein anderes Gebiet in Luzern, in dem keine Überwachungskameras installiert wurden, aber die personelle Präsenz der Polizei erhöht wurde, zu einem starken Rückgang von erfasstem Delikten geführt.
Nachtrag 2023-03-05
- Pascal Sigg: Kundenüberwachung: SBB wollen Daten auch für «wirksame Werbung», Infosperber, 2023-03-03.
Zielgruppenspezifische Werbung ist doch ein Ziel der SBB und die SBB waren dem EDÖB gegenüber nicht so transparent, wie sie das früher darstellten.
HAL-9000-Auge auf dem Artikelbild von Wikipedia-User Cryteria unter einer CC BY 3.0-Lizenz, aufgesetzt auf ein Craiyon-Bild mit Prompt «Red Swiss SBB train without windows» (Fenster waren doch da, mussten übermalt werden). Eine frühere Version dieses Beitrags erschien auf marcel-waldvogel.ch.
13 Antworten
«Unter Gesichtserkennung im engeren Sinne versteht man die Zuordnung eines Gesichts zu einem Namen (Personensuche) oder die Verifikation, ob ein Name zu einem Gesicht passt (Zugangskontrolle).»
Dem widerspreche ich. Name und Identität sind nicht dasselbe. Wenn ich dieselbe Person aus den Daten an mehreren Orten erkennen kann, ist das eine Personenerkennung, egal ob ich den Namen aus dem Pass weiss oder nicht. Und wenn die gespeicherten Daten dazu ausreichen, dann ist das schon eine Verletzung der Privatsphäre. Auch, wenn die Daten nur kurz in der Kamera gespeichert und verarbeitet werden und nicht in einer permanenten, zentralen Datenbank landen.
Identität und Name sind nicht dasselbe. Das ist ein philosophischer Kategorienfehler. Das wird in Deutschland und der Schweiz oft verwechselt, weil eine Person hier irgendwie einen mehr oder weniger offiziellen staatlichen Namen hat.
Diese Gleichsetzung fällt aber schnell zusammen, wenn in andere Länder geht. In 46 Staaten der USA kann man gültig seinen Namen ändern, indem man einfach einen neuen Namen verwendet. Man muss weder zu einer Behörde noch zu einem Gericht gehen. Die Identität bleibt natürlich dieselbe.
Und wenn wir in andere Kulturen gehen, wird es mit den Namen noch viel komplizierter …
Wie aus dem Folgesatz klar wird, war das Beispiele für Nicht-Ziele. Aber ja, für sich alleine war das nicht korrekt; angepasst.
Vielen Dank.
Dabei habe ich ganz vergessen, den Artikel und das Blog insgesamt zu loben. Bitte weitermachen! 🙂
Danke, machen wir gerne. Macht auch Spass hier mit den engagierten Leserinnen und Lesern!
Danke!
super Artikel! sehr logische Schlussfolgerungen.
Was sind die Vorteile einer Gesichtserkennung beim Tracken von Leuten ? Man kommt mit viel weniger Kameras durch. Wenn man alternative Features einsetzt, zB grauer Mantel, braune Haare, dunkelblaue Hosen, und 4 von denen kommen grad nacheinander zusammen zB die Rolltreppe hoch, muessen die Positionen durchgaengig erfasst werden, um sie auseinander zu halten. Mit einer Gesichtserkennung benoetigt man nur dort Kameras, wo’s interessant wird.
Ein Gesicht wiederzuerkennen braucht eine relativ hohe Auflösung des Gesichts. Also muss die Person sehr nahe an die Kamera (=viele Kameras) oder die Kamera muss eine sehr hohe Auflösung haben, bei guter Ausleuchtung des Gesichts. Und die Person muss mehr oder weniger in Richtung der Kamera schauen. D.h. eine Person, die ein paar Dutzend Meter von der Kamera entfernt quer zur Beobachtungsrichtung läuft, kann nur schlecht erkannt werden.
Wenn die Kamera aber von oben herab einen Überblick hat, kann sie die Bewegung der Köpfe von Bild zu Bild immer gut verfolgen und es reichen auch relativ wenige Pixel pro Kopf für gute Resultate.
Ich frage mich immer noch, auf Basis welcher Grundlage die (im Staatsbesitz befindliche) SBB sich, anstelle auf den (staatlich beauftragten?) Hauptjob der Beförderung von Personen und Dingen zu fokussieren, Mieteinnahmen optimieren und Verkaufsangebote verbessern will. Offenbar besitzt die SBB zu viel Grundeigentum, das nicht (mehr) dem Hauptzweck der Unternehmung (Beförderung) dient und den Besitzer wechseln könnte.
Ich bin mal etwas provokativ und behaupte, dass die Post (ebenfalls im Staatsbesitz) ein ähnliches Phänomen aufweist: Warum muss der Staat unter dem Mantel der Post (Beförderung von Briefen und Paketen) Finanzdienstleistungen anbieten? Spätestens mit der Einführung von IBAN und letztens der QR-Code-Rechnung, die direkte Zahlungen an Empfängerkonten ohne Umwege über ein Postkonto der Empfängerbank ermöglicht braucht es das eigentlich nicht mehr.
@Rolf Wilhelm
Da bin ich gleicher Meinung. Warum hat sich die Post so ins Finanzgeschäft hineingemischt, obschon vieles dann gar nicht richtig klappt und wesentlich teurer ist!
Die Post hat übrigens neben Brief-, Paket-, Personen- (PostAuto), und Finanztransport (PostFinance ganz viele Tochtergesellschaften im eGovernment-Bereich: Identifizierung, Signaturen, Patientendossiers, Verwaltungsabläufe, eVoting, uvam.
Danke für den interessanten Artikel. Naja, in meinen Augen finde ich es grenzwertig, dass der Staat oder ein staatnahes Unternehmen sich solchen Machenschaften bedient. Gesichtserkennung geht da meiner Meinung nach einen Schritt zu weit.. Gut, dass ihr das aufdeckt.
Inzwischen rudert die SBB ja zurück; wir (und andere) werden das aber weiterhin beobachten.
PS: Den Offenen Brief kann man weitehin mitunterzeichnen…