Ein Gesicht, ein Kennzeichen oder eine IBAN im Bild verbergen — endgültig

Zerstört es die Pixel oder malt es darüber?

Das ist die einzige Frage, die zählt, und die meisten Werkzeuge beantworten sie nie. Eine Schwärzung, die als eigene Ebene gezeichnet wird — eine Form im PDF, ein Objekt in einer Layout-Datei, eine Anmerkung in einer Foto-App —, lässt das Original darunter liegen, und das Original kommt zurück, sobald jemand die Datei in einem Programm öffnet, das Ebenen versteht. Das ist Gerichtsakten passiert, Behördenberichten und mindestens einem online veröffentlichten Kontoauszug. Zuerst ist also zu klären, ob das schwarze Rechteck Teil des Bildes ist oder darauf liegt.

Hier ist die Antwort sauber. Beide Modi arbeiten auf dem rohen Pixelfeld eines HTML-Canvas: Der Vollmodus füllt ein Rechteck direkt in die Bitmap, der Mittelfarbmodus liest den Bereich aus, ermittelt daraus eine einzige Farbe und streicht diese eine Farbe über das ganze Rechteck. Es gibt keine Ebene, denn ein Canvas hat keine — es ist ein Raster aus Pixeln und sonst nichts. Der Download entsteht aus diesem Raster als PNG, und bei der Prüfung der exportierten Bytes enthielt die Datei exakt vier Blöcke: den Kopf, zwei Blöcke komprimierter Bilddaten und die Endmarke. Keine Metadaten, keine eingebettete Vorschau, keine zweite Kopie von irgendetwas. Was unter dem Rechteck lag, ist nicht in der Datei.

Zerstört heißt nicht unwiederbringlich

Hier hören die meisten Erklärungen auf, und hier beginnt das eigentliche Risiko. Verpixeln und Weichzeichnen werfen beide Information weg — das stimmt. Aber beide sind deterministisch: Gib dasselbe Bild hinein, und du bekommst jedes Mal dieselbe Ausgabe, ohne jeden Zufall. Damit wird aus dem Verbergen ein Rätsel mit überprüfbarer Antwort. Kann ein Angreifer raten, was unter dem Rechteck lag, erzeugt er seine Vermutung, schickt sie durch dieselbe Transformation und sieht, ob das Ergebnis zu dem passt, was du veröffentlicht hast. Ist die Menge möglicher Werte klein — ein Kennzeichen, ein Geburtsdatum, ein vierstelliger Code, ein Betrag, ein Name aus einer bekannten Liste —, lässt sich die ganze Menge schlicht durchprobieren.

Also haben wir es an diesem Werkzeug ausprobiert, als es beide noch anbot. Wir bauten einen kleinen Dokumentbereich — 120 mal 44 Pixel mit vier Ziffern, die Art Sache, die man am Ende einer Kontonummer schwärzt — und zensierten ihn mit dem Code des Werkzeugs selbst. Dann erzeugten wir alle zehntausend vierstelligen Zeichenketten, schickten jeden Kandidaten durch dieselbe Zensur bei derselben Einstellung und sortierten sie nach Übereinstimmung. Das ist kein raffinierter Angriff. Es ist der offensichtlichste überhaupt, er braucht kein maschinelles Lernen und keine besondere Hardware, und er lief in einem gewöhnlichen Browser-Tab.

Die Ergebnisse stehen in der Tabelle unten und waren eindeutig. Verpixelung in der stärksten Einstellung, die das Werkzeug bot, lieferte die echten Ziffern auf Rang eins von zehntausend, mit einem Fehler von exakt null und genau einem passenden Kandidaten, in weniger als zwei Sekunden. Weichzeichnen in seiner stärksten Einstellung schaffte dasselbe, langsamer, in vierzig. Das gefüllte Rechteck verhielt sich völlig anders: Alle zehntausend Kandidaten erzeugten identische Ausgaben, gleichauf bei Fehler null, und der wahre Wert landete auf Platz viertausendvierhundertzweiundsiebzig — also nirgends, weil es nichts zu sortieren gab. Der gefüllte Balken gewinnt hier nicht mit Abstand. Er steht in einer anderen Kategorie: Es ist keine Information mehr da, die man angreifen könnte, also ändert keine Rechenleistung das Ergebnis. Die Intensität hochzudrehen half ebenfalls nicht, denn nie war die Stärke des Effekts entscheidend — entscheidend war, dass der Effekt die Anordnung des Bereichs unangetastet ließ. Deshalb wird hier keiner der beiden Modi mehr angeboten.

Was an ihre Stelle trat — und was es noch verrät

Zwei Modi bleiben. Die einfarbige Füllung streicht das Rechteck in einer Farbe deiner Wahl, und zu ihr greift man immer dann, wenn das Verborgene kurz und erratbar ist. Der andere ersetzt den Bereich durch eine einzige flache Farbe aus dem Bereich selbst — seinen eigenen Mittelwert —, sodass er weich statt als harter schwarzer Balken wirkt, was die meisten vom Weichzeichnen ohnehin wollten. Beide vernichten jede Spur der Anordnung im Bereich, und wir haben das geprüft statt angenommen: Liest man die Pixel bei jeder Stellung des Kantenreglers zurück, trägt das ganze Rechteck einen einzigen Wert, aufs Byte genau, in allen vier Kanälen. Nichts darin ändert sich von Ort zu Ort, also bleibt nichts, womit sich ein Kandidat vergleichen ließe.

Die Mittelfarbe verrät weiterhin eine Zahl, und es lohnt sich zu wissen, wie viel genau. Diese Zahl ist der mittlere Farbton des Bereichs — ungefähr, wie viel Farbe darin stand. Beim selben Angriff mit zehntausend Kandidaten fielen die vierstelligen Codes in nur vierundzwanzig verschiedene Mittelfarben, und der wahre Wert lag in einer Gruppe von zweihundertsechsundvierzig gleichauf, identisch, bei jeder Stellung des Kantenreglers. Das schrumpft zehntausend Möglichkeiten auf gut zweihundert; es greift nie eine heraus. Zwei der zehntausend haben Pech: 0000 trägt mehr Farbe als jede andere Kombination und 7777 weniger, sodass beide ihre Mittelfarbe für sich allein besitzen und exakt zurückgegeben würden. Die einfarbige Füllung hat nichts davon, denn die Farbe, die du wählst, hat mit dem, was darunter lag, nichts zu tun. Für einen Code, ein Geburtsdatum oder eine IBAN nimm sie.

So schwärzt du, dass es geschwärzt bleibt

Nimm bevorzugt die einfarbige Füllung, und betrachte alles, was dem Original noch ähnelt, als Warnzeichen. Die unabhängige Forschung weist in dieselbe Richtung: Die Sicherheitsfirma Bishop Fox, die ein Werkzeug zur Rekonstruktion verpixelten Textes gebaut hat, kommt zu dem Schluss, dass deckende Balken die einzige akzeptable Methode sind, und nennt Weichzeichnen, Verwischen und Verwirbeln neben dem Verpixeln als zu Vermeidendes. Unsere eigenen Messungen kommen von der anderen Seite zum gleichen Ergebnis, und darum gibt es zwei der drei Modi dieses Werkzeugs nicht mehr. Sieht es dem Original noch irgendwie ähnlich, trägt es Information über das Original — und das gilt in jedem Editor, den du je öffnest, nicht nur in diesem.

Zwei Gewohnheiten machen den Rest sicher. Zieh das Rechteck größer als das, was du verbirgst — eine Kante, die eine Ziffer halbiert, zeigt immer noch deren oberen Teil, und die Kontur eines Kiefers reicht, um ein Gesicht einzugrenzen. Und prüfe die heruntergeladene Datei statt der Bearbeitungsansicht: Öffne das exportierte Bild in voller Größe und zoome in das Rechteck hinein. Erkennst du darin irgendeine Struktur — Streifen, den Geist einer Kante, Blöcke leicht unterschiedlichen Graus —, hat die Schwärzung nicht gegriffen. Eine gefüllte Fläche bei 800 Prozent Zoom ist eine einzige flache Farbe, und genau diese Flachheit prüfst du.

Häufige Fragen

Reicht Weichzeichnen jemals aus?

Für nichts, was man Schwärzung nennen würde — deshalb bietet dieses Werkzeug es nicht mehr an. Weichzeichnen ist eine lineare, deterministische Operation: Wer den Inhalt erraten kann, zeichnet seine Vermutung genauso weich und prüft nach. In unserem Test gab der stärkste Weichzeichner, den das Werkzeug bot, die verborgenen Ziffern exakt zurück, als Erster von zehntausend Kandidaten, in vierzig Sekunden. Weichzeichnen ist eine vertretbare ästhetische Wahl für einen Hintergrund, den man gar nicht verbergen will; es ist kein Weg, einen Wert zu verstecken, auf den es ankommt — hier so wenig wie in jedem anderen Editor.

Wenn Verpixeln Information wegwirft, wie lässt es sich umkehren?

Man kehrt es nicht um, indem man die Rechnung rückgängig macht — das ist tatsächlich unmöglich. Man kehrt es um, indem man vorwärts rät. Der Angreifer invertiert nichts: Er erzeugt einen Kandidaten, wendet dieselbe Verpixelung an und vergleicht. Information geht nur in dem Sinne verloren, dass viele Originale auf dieselbe Ausgabe führen; zählen die plausiblen Originale in Tausenden statt in Milliarden, passt fast immer genau eines. Ein vierstelliger Code hat zehntausend Möglichkeiten. Ein Geburtsdatum einige Zehntausend. Das sind für einen Rechner keine großen Zahlen.

Kann ich zwei Dinge im selben Bild zensieren?

Ja — zensiere so viele Bereiche, wie du willst, einen nach dem anderen, und jeder einzelne übersteht den Download. Das war nicht immer so. Das Werkzeug zeichnete vor jeder Zensur das unberührte Original neu und machte damit still die vorherige rückgängig; wir haben es bestätigt, indem wir zwei Bereiche nacheinander zensiert und die Pixel zurückgelesen haben: Der erste hatte seine Ursprungsfarbe wieder. Das ist behoben. Zensuren sammeln sich jetzt auf einer einzigen Arbeits-Bitmap, das Auswahlrechteck, das du aufziehst, wird auf eine Kopie gezeichnet und kann ihnen nichts anhaben, und die Datei, die du herunterlädst, ist eben diese Bitmap — ohne die rosa Umrandung.

Enthält die heruntergeladene Datei noch das Original darunter?

Nein. Der Export ist ein PNG, das aus dem Pixelraster des Canvas geschrieben wird, und beim Lesen der exportierten Bytes enthielt es nur den Bildkopf, die komprimierten Pixeldaten und die Endmarke — keinen Metadatenblock, keine eingebettete Vorschau, kein zweites Bild. Das heißt zugleich: Das Werkzeug verwirft alles, was die Quelldatei mitbrachte; Ortsangabe, Zeitstempel und Kameradetails eines Fotos überleben nicht in die zensierte Kopie. Das ist ein Nebeneffekt und nicht der Zweck, und es lohnt sich, es zu prüfen statt anzunehmen, wenn das Original aus anderen Gründen als dem Rechteck heikel ist.

Und Video — ist ein verpixeltes Gesicht in einem Clip sicherer?

Meist schlechter, nicht besser. Ein Standbild liefert dem Angreifer eine Messung je Block; ein Video eine je Einzelbild, und bewegt sich Kamera oder Motiv auch nur ein wenig, gleitet das Blockraster über den Inhalt und jedes Einzelbild tastet ihn etwas anders ab. Forscher von Positive Security haben genau das vorgeführt: Sie stabilisierten einen Clip, sodass der geschwärzte Bereich stillstand, und stapelten die Einzelbilder, um ein Kennzeichen und ein Bankformular zurückzuholen. Musst du in Video schwärzen, decke den Bereich in jedem Einzelbild mit einer deckenden Form ab und prüfe die Bilder rund um Schnitte und Kamerafahrten.