Deblurring-Angriff: Definition für die Videoanonymisierung
Ein Deblurring-Angriff ist der Versuch, visuelle Informationen zu rekonstruieren, die absichtlich oder unbeabsichtigt durch Unschärfe verdeckt wurden. Bei der Bild- und Videoanonymisierung versucht ein Angreifer, Details innerhalb eines unscharf dargestellten Gesichts oder Kfz-Kennzeichens zu schätzen, etwa Gesichtsmerkmale, Zeichen oder die wahrscheinliche Identität einer Person.
Der Begriff umfasst mehr als die Umkehrung eines mathematischen Filters. Ein Angreifer kann die sichtbaren Pixel um den maskierten Bereich, andere Frames desselben Videos, ein hochauflösendes Ausgangsbild oder ein trainiertes Machine-Learning-Modell nutzen, um plausible fehlende Details abzuleiten. Ein rekonstruiertes Ergebnis kann überzeugend wirken, ohne die ursprünglichen Pixel präzise wiederherzustellen. Dieser Unterschied ist bei der Bewertung von Anonymisierungsrisiken wichtig.
Deblurring-Angriffe sind daher bei der Auswahl und Validierung von Methoden zur Weichzeichnung oder Verpixelung von Gesichtern und Kfz-Kennzeichen relevant. Eine Methode sollte nicht nur nach ihrem visuellen Erscheinungsbild beurteilt werden, sondern auch danach, wie wahrscheinlich eine Person oder ein Fahrzeug mithilfe des bearbeiteten Materials und weiterer vernünftigerweise verfügbarer Informationen einer Identität zugeordnet werden kann.
So funktioniert ein Deblurring-Angriff
Unschärfe wird häufig als Prozess der Bildverschlechterung modelliert. Ein vereinfachtes Modell geht davon aus, dass ein Originalbild mit einem Unschärfekern gefaltet und anschließend durch Rauschen beeinflusst wird. Der Angreifer versucht, das Originalbild, den Unschärfekern oder beides zu schätzen.
Die Standardformulierung lautet:
y = k * x + n
Symbol | Bedeutung
|
|---|---|
x | Originaler Bildbereich, etwa ein nicht weichgezeichnetes Gesicht oder Kfz-Kennzeichen |
k | Unschärfekern, der den Glättungsvorgang beschreibt |
* | Faltungsoperation |
n | Rauschen, Komprimierungsartefakte, Sensorrauschen oder andere Beeinträchtigungen |
y | Beobachteter unscharfer Bildbereich |
In der Praxis folgt die bei der Anonymisierung verwendete Unschärfe möglicherweise nicht diesem einfachen Modell. Videokodierung, Skalierung, Bewegung, wiederholter Export und manuelle Bearbeitung können den maskierten Bereich verändern. Dadurch kann eine exakte Umkehrung schwieriger werden, es wird jedoch nicht automatisch verhindert, dass ein Angreifer eine plausible Rekonstruktion erstellt.
Methoden bei Deblurring-Angriffen
Die Angriffsmethoden unterscheiden sich danach, was der Angreifer über das Ausgangsmaterial und den Maskierungsprozess weiß. Die wirksamsten Angriffe kombinieren in der Regel Bildverarbeitung mit externen Informationen.
- Klassische Dekonvolution: Der Angreifer schätzt einen Unschärfekern und wendet inverse Filterung oder regularisierte Optimierung an. Diese Methode ist besonders relevant, wenn eine vorhersehbare gaußsche Unschärfe, Bewegungsunschärfe oder Defokusunschärfe verwendet wurde.
- Blinde Entschärfung: Der Angreifer schätzt sowohl das Originalbild als auch den unbekannten Unschärfekern. Die blinde Entschärfung ist ein schlecht gestelltes Problem, da mehrere Originalbilder zu ähnlichen unscharfen Ergebnissen führen können.
- Rekonstruktion aus mehreren Frames: Ein Angreifer nutzt mehrere Videoframes, die dasselbe Gesicht oder Kfz-Kennzeichen enthalten. Unterschiedliche Bewegungen, Schärfegrade und Komprimierungsmuster können mehr Informationen offenlegen als ein einzelner Frame.
- Rekonstruktion mittels Deep Learning: Ein neuronales Netz, das mit Paaren aus unscharfen und scharfen Bildern trainiert wurde, erzeugt ein schärfer wirkendes Ergebnis. Beispiele sind das 2017 von Nah, Kim und Lee beschriebene mehrskalige Convolutional Neural Network sowie DeblurGAN von Kupyn et al. aus dem Jahr 2018.
- Kontextbezogene Ableitung: Der Angreifer nutzt Kleidung, Standort, Fahrzeugmodell, sichtbare Begleitpersonen, Zeitpunkt oder öffentlich verfügbare Bilder, um auf eine Identität zu schließen. Dabei werden keine Pixel wiederhergestellt, das Schutzziel der Privatsphäre kann dennoch verfehlt werden.
Warum Deblurring-Angriffe für die Bild- und Videoanonymisierung relevant sind
Ein unscharfer Bereich sollte nicht allein deshalb als anonym betrachtet werden, weil die ursprünglichen Merkmale schwer erkennbar sind. Entscheidend ist, ob das bearbeitete Material weiterhin ermöglicht, einzelne Personen herauszugreifen, Informationen zu verknüpfen oder auf eine Identität zu schließen, wenn realistisch verfügbare Zusatzinformationen einbezogen werden.
Bei Gesichtern bestehen Restrisiken durch sichtbare Gesichtsgeometrie, Frisur, Kleidung, den Körperkontext und wiederholte Auftritte über mehrere Frames hinweg. Bei Kfz-Kennzeichen hängt das Risiko davon ab, ob Zeichen weiterhin unterscheidbar sind, ob sich Teilzeichen aus mehreren Frames zusammensetzen lassen und ob das Fahrzeug über den Standort oder andere visuelle Merkmale zugeordnet werden kann.
Die Gesichtsdetektion ist ein von der Anonymisierung getrennter technischer Schritt. Ein Gesicht muss zunächst erkannt werden, damit eine Maskierung auf den richtigen Bereich angewendet werden kann. Nicht erkannte Gesichter schaffen ein unmittelbares Offenlegungsrisiko, während eine schwache Maskierung nach der Detektion ein Deblurring-Risiko verursachen kann.
Wichtige Parameter zur Bewertung der Widerstandsfähigkeit gegen Deblurring-Angriffe
Kein einzelner Unschärferadius und keine Verpixelungseinstellung bietet universellen Schutz. Die geeignete Methode hängt von der Auflösung des Ausgangsmaterials, dem Kameraabstand, Bewegung, Komprimierung, der Art des Identifikationsmerkmals und dem Bedrohungsmodell ab.
Parameter | Warum er wichtig ist | Praxistest
|
|---|---|---|
Abdeckung durch die Maske | Eine unvollständige Abdeckung kann Augen, Gesichtskonturen oder Kennzeichenzeichen sichtbar lassen. | Prüfen Sie, ob die Maske über die erkannte Grenze des Gesichts oder Kennzeichens hinausreicht. |
Auflösung des Ausgangsmaterials | Hochauflösendes Material enthält vor der Maskierung mehr rekonstruierbare Details. | Testen Sie Exporte in Originalauflösung, nicht nur Vorschau-Dateien. |
Zeitliche Konsistenz | Verschiebungen von Frame zu Frame können Teile des Ziels offenlegen oder eine Analyse über mehrere Frames unterstützen. | Überprüfen Sie Masken Frame für Frame, insbesondere bei Bewegung und Szenenwechseln. |
Komprimierung und Transkodierung | Die Kodierung kann Unschärfegrenzen verändern und Artefakte erzeugen. | Validieren Sie das endgültig bereitgestellte Videoformat und die Bitrate. |
Erfolgsrate des Angriffs | Ein visuell scharfes Ergebnis ist kein ausreichender Nachweis für eine Identifizierung. | Messen Sie, ob unabhängige Prüfer maskierte Personen korrekt bekannten Referenzen zuordnen können. |
Anonymisierung gegen Deblurring-Angriffe testen
Eine belastbare Bewertung sollte die Fähigkeiten eines realistischen Empfängers des Videomaterials simulieren. Die Prüfung sollte Einzelbilder und vollständige Videosequenzen umfassen, da zeitliche Informationen das Risiko wesentlich verändern können.
- Definieren Sie das zu schützende Merkmal, etwa ein Gesicht oder eine Kfz-Kennzeichennummer.
- Dokumentieren Sie Auflösung des Ausgangsmaterials, Bildrate, Codec, Kamerawinkel und Maskierungskonfiguration.
- Testen Sie gängige Verbesserungsmethoden, einschließlich Nachschärfen, Super-Resolution, Dekonvolution und Prüfung mehrerer Frames.
- Ermitteln Sie, ob das Testergebnis eine korrekte Zuordnung zu einer Identität oder die Ableitung von Zeichen unterstützt, statt lediglich eine scheinbare visuelle Verbesserung zu zeigen.
- Halten Sie Restrisiko, Akzeptanzkriterien und die verwendete Version des Anonymisierungsworkflows fest.
Gallio PRO unterstützt die automatisierte Gesichtsdetektion und Kfz-Kennzeichendetektion zur Anonymisierung von Bild- und Videodateien. Gallio PRO anonymisiert keine Video-Livestreams in Echtzeit. Elemente wie Unternehmenslogos, Tätowierungen, Namensschilder, Dokumente und Bildschirminhalte müssen im integrierten Editor manuell maskiert werden, wenn sie ein Identifikationsrisiko darstellen.
Standards und Referenzen
Es gibt keinen Standard der ISO oder des National Institute of Standards and Technology (NIST), der eine universell sichere Unschärfeeinstellung für Gesichter oder Kfz-Kennzeichen definiert. Die Risikobewertung sollte stattdessen technische Tests mit dem vorgesehenen Kontext der Offenlegung verbinden.
- ISO/IEC 20889:2018, Terminologie und Klassifizierung von Techniken zur De-Identifizierung datenschutzfördernder Daten.
- NISTIR 8053, De-Identifizierung personenbezogener Informationen, National Institute of Standards and Technology, 2015.
- Nah, Kim und Lee, Deep Multi-Scale Convolutional Neural Network for Dynamic Scene Deblurring, IEEE Conference on Computer Vision and Pattern Recognition, 2017.
- Kupyn et al., DeblurGAN: Blind Motion Deblurring Using Conditional Adversarial Networks, IEEE Conference on Computer Vision and Pattern Recognition, 2018.