Suche nach der RAF-Terroristin mit Gesichtserkennung: warum Journalisten tun, was Polizisten verboten bleibt
Auf der Suche nach Daniela Klette wurde eine Software zur Gesichtserkennung eingesetzt. Das zeigt: Die Lücke zwischen dem, was die Technik kann, und dem, was legal einsetzbar ist, wird immer grösser.
Algorithmen erkannten Daniela Klettes Gesicht auf neueren Bildern wieder.
Vor der Polizei hielt sie sich 30 Jahre lang versteckt. Ein Journalist fand sie in 30 Minuten: Daniela Klette, Mitglied der linksextremen Terrorgruppe Rote-Armee-Fraktion (RAF), die sich mutmasslich an Anschlägen und Raubüberfällen beteiligt hatte, wurde Ende Februar in ihrer Wohnung in Berlin-Kreuzberg verhaftet. Die Polizei feierte den «spektakulären Fahndungserfolg».
Wenige Monate davor arbeiteten ARD-Journalisten an einem Podcast über den Fall. Mithilfe des kanadischen Investigativjournalisten Michael Colborne fanden sie Klette auf einem Foto eines Capoeira-Vereins in Berlin. Er spürte sie offenbar mit der Gesichtserkennungs-Software PimEyes auf, angeblich in 30 Minuten.
PimEyes ist eine Art Suchmaschine für Gesichter. Man kann auf der Website des Dienstes das Foto einer Person hochladen und bekommt Bilder der gleichen Person aus öffentlich zugänglichen Quellen zurück: aus Galerien mit Party-Fotos, Webseiten von Firmen und Vereinen, Porno-Seiten und Youtube-Videos – nur Fotos aus sozialen Netzwerken fehlen. PimEyes gibt an, Gesichter von zwei Milliarden Menschen in seiner Datenbank zu haben.
Darunter sind auch viele Bilder aus Zeiten, in denen Gesichtserkennung noch gar nicht gut funktionierte, so auch Klettes Bild bei dem Capoeira-Verein. Es stammt aus dem Jahr 2017.
Heute leisten die Algorithmen Erstaunliches: Eine NZZ-Recherche zeigt, dass sie Personen auch anhand recht verschwommener Bilder finden, selbst dann, wenn sie Sonnenbrille oder Atemschutzmaske tragen und neue Brillen oder einen anderen Haarschnitt haben. Kurz: Die Maschine erkennt Personen inzwischen besser als die meisten Menschen.
Wieso die Polizei keine Gesichtserkennung verwendet hat
Technisch ist die Software beeindruckend, legal ist sie vermutlich nicht. Zwar hat noch kein Gericht darüber befunden, ob PimEyes bei der Erstellung seiner Software ein Gesetz gebrochen hat. Allerdings wurden die Menschen, deren Fotos in der Software gespeichert und verarbeitet werden, nie um ihr Einverständnis gefragt – sie sind ohne ihr Wissen in einer Datenbank zur Gesichtserkennung gelandet.
Für Martin Steiger, Anwalt und Mediensprecher im Verein Digitale Gesellschaft, ist klar: Schon das Sammeln der Daten für die PimEyes-Software verstösst gegen Datenschutzrecht. Denn biometrische Daten wie das Gesicht sind von ihm besonders stark geschützt. Er sagt: «Der Polizei fehlt die Rechtsgrundlage, um so ein Instrument zu verwenden.»
Florent Thouvenin, Rechtsprofessor an der Universität Zürich, sagt, die explizite Einwilligung für die Verwendung von persönlichen Daten sei zwar nur in bestimmten Fällen nötig. «Aber Tools wie PimEyes sind hochgradig problematisch. Sie ermöglichen neuartige Formen der Überwachung.»
Kein Überwachungsapparat nach chinesischem Vorbild
Dass damit eine Situation entstehe, bei der Journalisten Instrumente zur Verfügung hätten, welche der Polizei verboten blieben, sei nur auf den ersten Blick absurd, sagt Thouvenin. Bei genauerem Hinsehen ergebe es Sinn: «Es geht darum, dem Staat bei der Bearbeitung von Personendaten Grenzen zu setzen.» Bei staatlichen Aktionen, wie zum Beispiel Polizeieinsätzen, gälten daher höhere Anforderungen im Bereich des Datenschutzes, als wenn Privatpersonen damit agierten.
Dies liegt unter anderem daran, dass die Behörden mehr Macht und Daten über Privatpersonen haben als die meisten privaten Organisationen: Steuerdaten, Fingerabdrücke und Iris-Scans für Pässe, zum Beispiel. Der Polizei ist der Zugriff auf solche Daten verboten, weil sie damit sonst unter Umständen einen Überwachungsapparat aufbauen könnte, wie dies in Ländern wie China bereits geschehen ist.
Doch was der Polizei verboten ist, ist auch für Journalisten umstritten. Steiger bezeichnet die Nutzung von PimEyes aus Deutschland heraus als «heikel». Das könnte ein Grund dafür sein, dass die deutschen Podcaster unterstreichen, nicht sie selbst, sondern ein Rechercheur aus Kanada habe Klettes Gesicht gefunden.
PimEyes verletzt wohl die Rechte von Milliarden Menschen
Dass mit PimEyes ein Dienst online ist, dessen Erstellung und Verwendung vermutlich illegal ist, wirft Fragen auf. Es zeigt, dass Technologiefirmen Fakten schaffen, denen das heutige Rechtssystem nicht gewachsen ist.
Zwar verletzt der Dienst mutmasslich die Rechte von Milliarden von Menschen, aber weil keiner der Geschädigten genug stark betroffen ist, klagt niemand. Zwar läuft laut dem Portal «Netzpolitik» ein Verfahren des baden-württembergischen Landesdatenschutzbeauftragten gegen PimEyes, aber das hatte offenbar noch keine konkreten Auswirkungen auf die Tätigkeit der Firma.
PimEyes hat seinen Firmensitz aus Europa auf die Seychellen verlegt. Das erschwert es europäischen Behörden, die Firma für Verstösse gegen den Datenschutz zu belangen. Trotzdem findet Thouvenin: «Ein Verbot von Tools wie PimEyes wäre ein deutliches Signal, und dafür gäbe es vermutlich einen Konsens.»
In den USA kaufen Behörden Gesichtserkennungssoftware
Zugleich stellt sich die Frage, wie gesellschaftlich mit den neuen technischen Möglichkeiten umgegangen werden soll. Immer wieder nutzen Behörden auch Mittel, für welche die Rechtsgrundlage fehlt. Manchmal wird im Nachhinein ein Gesetz beschlossen, das diese Mittel legalisiert.
Schweizer Behörden testeten gemäss einer geleakten Kundenliste bereits die Gesichtserkennung von Clearview. Dieses Startup saugte Bilder von Facebook, Instagram, Linkedin und Co. ab und machte daraus eine Datenbank für Identitätssuche. Anders als PimEyes konnte man Clearview nie einfach so online nutzen: Die Firma verkaufte ihre Software gezielt an amerikanische Polizeibehörden. In der Schweiz wurde die Software aber offiziell nie verwendet.
Dagegen setzte die Polizei in mehreren Kantonen, unter anderem in St. Gallen, auf ein anderes Programm zum Identifizieren von Gesichtern. Es verwendet nicht Fotos aus dem Internet als Grundlage, sondern sucht «nur» in Datenbanken und Aufnahmen der Polizei. Trotzdem ist auch in diesem Fall umstritten, ob dafür eine Rechtsgrundlage besteht.
Grundsätzlich gehe es bei allen neuen Fahndungsmethoden um die Verhältnismässigkeit, sagt Steiger: «Rechtfertigt der potenzielle Fahndungserfolg den Einsatz von Mitteln, die in Konflikt mit Grund- und Menschenrechten stehen?» Er selbst ist der Meinung, dass die Behörden keine neuen Befugnisse brauchen, um gut zu ermitteln.
Wo man die Linie zwischen zulässigen und unzulässigen Mitteln zieht, ist letztlich aber eine gesellschaftliche und politische Entscheidung.
