Das Muster, das Überwachungskameras blendet: 31 Millionen Tests, um elf Algorithmen gleichzeitig zu schlagen

Ein Forscher verbrachte ein Jahr und führte über 31 Millionen Tests durch, um zu etwas zu kommen, das wie eine Erfindung klingt: ein Muster, das Überwachungskameras so verwirrt, dass sie aufhören, einen Menschen, ein Fahrzeug oder ein Gesicht darunter zu erkennen. Bill Swearingen nannte das Projekt noRecognition, und auf der Sicherheitskonferenz Def Con in Las Vegas führte er es an seinem eigenen Auto vor - einem Toyota Yaris von 2009.

Wichtig ist zu verstehen, was das Muster tatsächlich tut, denn es ist kein Tarnmantel. Die Kamera zeichnet weiter auf. Was aufhört zu funktionieren, ist der Algorithmus, der aus der Aufnahme einen Schluss ziehen soll - dass das dort ein Auto ist, dass dies ein Kennzeichen ist, dass jene Form ein menschliches Gesicht ist. Swearingen beschreibt es mit einem Bild, das die ganze Pointe trägt: Der Mensch wird wieder zur „Nadel im Heuhaufen".

Wie er zu dem Muster kam, unterscheidet diese Geschichte von den klassischen Privatsphäre-Tricks. Es geht nicht um jemanden, der eine Lücke fand und sie ausnutzte. Swearingen nutzte verstärkendes Lernen - er ließ ein Modell Muster erzeugen, gegen Open-Source-Erkennungsalgorithmen testen, sehen, was durchkommt und was nicht, und das Millionen Mal, bis es trainiert war. Am Ende funktionierte ein einziges Muster gleichzeitig gegen elf verschiedene Algorithmen, darunter die Software hinter den Kennzeichenlesern von Flock, den Körperkameras von Axon und den Systemen von Clearview AI. Das sind, um genau zu sein, einige der am weitesten verbreiteten automatischen Erkennungssysteme von heute.

Die Demonstration in Las Vegas funktionierte - die Kameras von Flock erkannten das Fahrzeug nicht. Swearingen räumt ein, dass die Räder beim Testen ein Problem waren, und das ist der Satz, der einen überzeugt, dass der Mann das wirklich gemacht hat und nicht nur davon erzählt.

Was folgt, ist interessanter als die Technologie selbst. Swearingen veröffentlicht seine fortgeschrittensten Muster absichtlich nicht. Der Grund ist praktisch, nicht mysteriös: Sobald die Kamerahersteller sie sehen, werden sie ihren Systemen beibringen, sie zu erkennen. Öffentlich geht daher die schwächere Version, während das Modell, das sich ständig weitertrainiert, stärkere hervorbringt. Ein Wettlauf, in dem jeder veröffentlichte Erfolg auch eine Anleitung für die Gegenseite ist - derselbe Mechanismus, der die Cybersicherheit seit dreißig Jahren in Bewegung hält.

Das Projekt hat inzwischen auch eine kommerzielle Seite: eine Crowdfunding-Kampagne, die Kleidung mit den Mustern verkauft, geplant sind auch Fahrzeugaufkleber. „Privatsphäre ist ein Grundrecht", sagt Swearingen und erklärt, es gehe darum, dass ein Mensch sich „aus der Verfolgung ausklinken" kann.

Genau dieser Satz ist die Stelle, an der die Geschichte auch uns berührt. Automatische Erkennung von Kennzeichen und Gesichtern existiert längst nicht mehr nur in amerikanischen Städten - Kameras sind billig, die Software wird fertig gekauft, und die Frage, wer die Aufnahmen sieht und wie lange er sie speichert, bekommt bei kaum einem Betreiber eine klare Antwort. Swearingens Antwort ist technisch: Ist ein System ohne dein Einverständnis installiert, mach dich für es unlesbar. Ob das eine Lösung ist oder nur eine bessere Position in einem endlosen Wettlauf, ist eine andere Frage.