SBB-Kundentracking: Offene Fragen

Seit einer Woche wird heiss über die zukünftige biometrische Verfolgung der Bahnhofsbesucher diskutiert. Hier ein paar Bemerkungen und Fragen zum «Kunden­Frequenz­Mess­System 2.0» aus technischer Sicht.

Im K-Tipp vom 12. Februar 2023 wurden die SBB beschuldigt, ab September die Kunden mittels «Gesichtserfassung» zu verfolgen. Weitere Medien nahmen den Artikel auf und die SBB dementierten umgehend. Heute hat Adrienne Fichter in DNIP eine medienkritische Auswertung publiziert, welche auch den Umgang der Medien mit Spekulationen rund um das SBB-Vorhaben kritisiert. Bei allem Echo sind aber einige technische Fragen offen geblieben. Ein Versuch der Klärung.

Eine erweiterte Version dieses Artikels erschien bei DNIP.

Erfordert Alterserkennung Gesichtserkennung?

Die SBB erwarten in der Ausschreibung u.a. das Erkennen von Altersklasse und Geschlecht. Beides ist — nur aus äusserlichen Merkmalen alleine — nicht perfekt möglich. Eine Ausweiskontrolle oder Gentest aller Bahnhofsbesucher ist weder juristisch noch praktisch umsetzbar. Das heisst, wir sind auf Mutmassungen angewiesen.

Wohl jede und jeder von uns ist schon einmal beim Schätzen des Alters eines Gegenübers gewaltig ins Fettnäpfchen getappt. Oder hat sich im Geschlecht geirrt, nicht nur bei androgynen oder nicht-binären Personen. Es wäre also verwunderlich, wenn das perfekt ginge.

Meine Erfahrung bei einer automatisierten Klassierung von tausenden von KI-generierten Gesichtern ist, dass die von mir verwendete Open-Source-Software bei etwa einem Drittel der Personen falsch lag, zum Teil massiv: Z.B. dass 15-jährige Männer gerne als 50-jährige Frauen klassiert werden oder umgekehrt, zum Teil trotz Bart.

Es gibt sicher andere Systeme, welche bessere Erkennungsquoten liefern. Gleichzeitig ist aber in einer Bahnhofsumgebung ist auch mit Kapuze, Maske, schlechten Lichtverhältnissen oder sich gegenseitig verdeckenden Köpfen zu rechnen und die Besucherinnen werden auch nicht perfekt in die unauffällig montierten Kameras lächeln.

Also: Alters- und Geschlechtserkennung aufgrund von Gesichtern funktioniert nur mit z.T. hohen Fehlerquoten.

Natürlich gibt es noch weitere Informationsquellen, die eine Korrelation zu Alter und Geschlecht aufweisen: Lange Haare und Zöpfe finden sich häufiger bei Frauen, Bärte und Glatzen bei Männern; rosa Einhornpullis eher bei jüngeren Zeitgenossinnen; Hüte oder schleppender Gang eher bei älteren Personen. Aus diesen Informationsquellen alleine ist eine gute Zuordnung schwer möglich; sie kann aber bei unklaren Resultaten der Gesichtsanalyse zu besseren Ergebnissen führen.

Ein gutes Bild des Gesichts scheint also Voraussetzung für eine gute Einschätzung von Alter und Geschlecht zu sein.

Unter Gesichtserkennung im engeren Sinne versteht man die Zuordnung eines Gesichts zu einem Namen (Personensuche) oder die Verifikation, ob ein Name zu einem Gesicht passt (Zugangskontrolle). Dies ist nicht notwendig, „bloss“ ein (relativ) hoch auflösendes Bild und eine biometrische Analyse darauf.

Wird bereits jetzt biometrische Analyse eingesetzt?

Dies ist unklar. Die SBB sagen, dass das neue System nur Gleiches leisten soll, einfach mit höherer Qualität. Daraus könnte man schliessen, dass bereits bisher eine derartige Auswertung vorgenommen wird, diese aber die gewünschten Qualitätskriterien nicht (mehr) erfüllt.

Systeme, welche solche Analysen machen, scheinen in Einkaufszentren und ausländischen Bahnhöfen im Einsatz zu sein. Aber wir wissen nicht, ob das die SBB dies aktuell bereits einsetzt.

Ist diese biometrische Verfolgung notwendig?

Mit Hilfe der Zähldaten können Reinigungsintervalle, Informationsanzeigen, Sitzgelegenheiten und Verkaufsangebot optimiert und sich ändernden Benutzerzahlen und/oder -bedürfnissen angepasst werden. Auch können die Daten für die Dimensionierung von Durchgängen bei Umbauprojekten und für Personenflussstudien zur Vermeidung von Hindernissen und Engpässen genutzt werden.

In Kürze: Datenschutz mit neuem Kundenfrequenzmesssystem gewährleistet (SBB, 2023-02-15)

In der Antwort der SBB auf den K-Tipp-Artikel wird der Fokus auf „Zähldaten“, „Reinigungsintervalle“, „Informationsanzeigen“, „Sitzgelegenheiten“ und der „Dimensionierung von Durchgängen“ sowie der „Vermeidung von Hindernissen und Engpässen“ gelegt. Alles sehr rühmliche Ziele, zwischen denen noch irgendwo unauffällig das „Optimieren des Verkaufsangebots“ eingebettet ist. Interessant ist auch, dass genau hinter dieser Optimierung, nämlich der Maximierung der von der SBB erzielten Mieteinnahmen, ein wichtiger Fokuspunkt des K-Tipp-Artikels liegt.

Wenn es den SBB nur um „Zähldaten“, „Hindernisse“ und „Dimensionierung“ gehen würde, liesse sich das Problem nämlich auch ohne Informationen zu Alter und Geschlecht lösen: Das System könnte die von den Köpfen zurückgelegten Wege analysieren, auch ohne je einen guten Blick auf das Gesicht zu erhaschen.

Gleichzeitig lassen sich die Bedürfnisse der in ihrer Mobilität eingeschränkten Personen besser anhand ihrer Geschwindigkeit und den allfällig genutzten Umwegen um Treppen herum analysieren als dies durch eine Einschätzung des Alters möglich ist: Ein 20-Jähriger mit Gipsbein ist z.B. weniger mobil als eine rüstige Rentnerin.

Erfolgt damit eine Identifikation?

Grundsätzlich scheint es nicht vorgesehen, die Bewegungsmuster und Gesichter mit spezifischen Personen zu verbinden. Allerdings ist aufgrund einer genügenden Anzahl Bewegungsmustern (welche Wege eine Person wann nimmt) schon eine starke Einschränkung des Personenkreises möglich, auch ohne dass das Gesicht mit einer Datenbank abgeglichen wird.

So dürfte beispielsweise die Geschäftsführerin der Bahnhofsapotheke alleine durch ihre potenzielle Ankunft oder ihren Weggang ausserhalb der Öffnungszeiten der Apotheke recht gut zu identifizieren sein.

Bei anderen Personen reicht dies alleine noch nicht; eine Identifikation (oder De-Anonymsierung) liesse sich—je nach Systemeigenschaften—wohl in vielen weiteren Fällen durch wenige Zusatzdaten (Kartenzahlungen, FairTiq-Nutzung, Mobilfunknutzung, …) vornehmen.

Schlussfolgerungen

1. Es scheint keinen Grund zu geben, für die in der SBB-Medienmitteilung genannten Hauptziele rund um die Dimensionierung auf Alter und Geschlecht angewiesen zu sein.
2. Damit lässt sich aus diesen Zielen auch keine Begründung für detaillierte Gesichtsbilder und ihre biometrische Analyse herauslesen.
3. Daher könnte sich die SBB auch für eine deutlich privatsphärefreundlichere und damit weniger kontroverse Lösung entscheiden.
4. Ausser: Es gibt neben den betonten Dimensionierungsgründen noch andere wichtige Gründe für die biometrische Analyse und Verfolgung.

HAL-9000-Auge auf dem Artikelbild von Wikipedia-User Cryteria unter einer CC BY 3.0-Lizenz. Dieser Artikel erscheint auch auf DNIP.