Anonymisierung von Bildern und Videos (Gesichter und Kennzeichen unkenntlich machen)

Aufnahmen mit erkennbaren Personen oder Fahrzeugen sind nach der DSGVO personenbezogene Daten. Bevor sie veröffentlicht, an eine betroffene Person oder Behörde herausgegeben, an einen Auftragsverarbeiter weitergegeben oder für das Modelltraining genutzt werden, müssen diese Elemente maskiert werden. Pipelines aus Detektor und Tracker finden Gesichter, Körper und Kennzeichen in jedem Frame und verpixeln oder ersetzen sie. Das ersetzt die manuelle Bearbeitung Bild für Bild durch automatisierte Verarbeitung und eine kurze menschliche Prüfung.

Problem & Nutzen

• Heute: Kommunen, Polizei und Verkehrsbetriebe, Anbieter von Kartierung und Inspektion, Medien- teams und Entwickler autonomer Fahrzeuge bearbeiten Aufnahmen von Hand oder geben sie an Dienstleister. Das ist langsam, teuer und fehleranfällig: Ein übersehener Frame kann eine Datenpanne sein.
• KI-Nutzen: automatische Erkennung und Verfolgung über Frames hinweg, einheitliche Masken, Stapel- und Edge- Verarbeitung, ein Prüfpfad und die Prüfung nur unsicherer Abschnitte.
• Treiber: Auskunfts- und Herausgabeverlangen (Art. 15 DSGVO darf Dritte nicht offenlegen; Anfragen nach dem Informationsfreiheitsrecht), Veröffentlichung von Straßen- oder Drohnenbildern, Weitergabe von Trainingsdaten und die Richtlinie zur Strafverfolgung bei der Herausgabe von Bodycam-Aufnahmen. Zeitersparnis-Angaben von Anbietern sind Marketingbehauptungen; messen Sie Ihre eigene Ausgangslage.
• Rechtliche Nuance: Verpixeln ist nicht automatisch Anonymisierung im Sinne der DSGVO (Erwägungsgrund 26): Personen können weiterhin an Kleidung, Gang, Kontext oder anderen Daten erkannt werden. Behandeln Sie das Ergebnis als risikoreduziert, oft weiterhin pseudonymisiert, solange keine dokumentierte Prüfung der Re-Identifizierung zu einem anderen Ergebnis kommt [1][2].

Varianten

• Herausgabe im öffentlichen Sektor: Bodycam-, Videoüberwachungs- und Behördenaufnahmen, die auf Auskunfts- oder Informationsfreiheitsanfragen herausgegeben werden; Schwärzung unbeteiligter Personen (Axon, Veritone Redact).
• Kartierung und Straßenbilder: Gesichter und Kennzeichen werden vor der Veröffentlichung verpixelt (Mobilität, Versorger, Immobilien, Infrastrukturinspektion, siehe VIS-003, VIS-004).
• Trainingsdaten für autonomes Fahren und Robotik: Kameradaten der Flotte werden am Edge oder in der Cloud anonymisiert, bevor sie weitergegeben werden; optional synthetischer Gesichtsersatz („Deep Natural Anonymization“), der modellrelevante Merkmale wie die Blickrichtung erhält.
• Live/Streaming: Maskierung in Echtzeit auf Edge-Geräten oder im Videomanagementsystem.
• Privatnutzung: Unbeteiligte in Fotos oder Dashcam-Clips vor dem Teilen im Netz verpixeln; in vielen Smartphone-Galerien und Verbraucher-Editoren eingebaut.

So funktioniert es

1. Erfassung (Dateien, Streams, VMS-Export, Cloud-Bucket)
2. Frames dekodieren
3. erkennen (Gesichter, Köpfe, Körper, Kennzeichen, optional Bildschirme, Dokumente)
4. über Frames hinweg verfolgen (Verdeckungen und Erkennungslücken überbrücken)
5. maskieren (Unschärfe, Verpixelung, deckende Box, segmentierungsförmige Maske oder generativer Ersatz)
6. Qualitätskontrolle (Recall-Schätzung, Abschnitte mit niedriger Konfidenz markieren, Stichprobenprüfung)
7. kodieren + exportieren mit Audit-Log (Metadaten/EXIF und Audio behandelt)

• Erkennung: Detektoren der YOLO-Klasse oder gesichtsspezifische Detektoren, auf hohen Recall bei kleinen, seitlichen, maskierten und bewegungsunscharfen Gesichtern abgestimmt; Kennzeichen-Detektoren für EU-Kennzeichenformate.
• Verfolgung: Mehrobjekt-Tracker mit zeitlicher Glättung und Randzugabe, damit ein verfehlter Frame die Identität nicht preisgibt. Recall, nicht Precision, ist die entscheidende Kennzahl.
• Maskierung: Einfache Unschärfe ist günstig, kann aber durch moderne Entschärfungsverfahren teilweise rückgängig gemacht werden; starke Verpixelung, deckende Masken oder synthetischer Ersatz sind sicherer. Synthetische Gesichter dürfen der echten Person nicht ähneln.
• Mensch-in-der-Schleife (Human-in-the-Loop): Prüfende kontrollieren markierte Abschnitte und eine Zufallsstichprobe, korrigieren Fehler und geben frei. Bei rechtlicher Herausgabe bleibt eine namentlich benannte Person verantwortlich.
• Jenseits der Pixel: Stimmen, gesprochene Namen, GPS-/Zeitstempel-Metadaten, Text im Bild und Spiegelungen können Personen weiterhin identifizieren.

Datenaufbereitung

Die Daten sind Video- und Fotomaterial: Aufzeichnungen von Videoüberwachung und VMS, Bodycam- und Dashcam-Dateien, Drohnen- oder Inspektionsfotos. In einem KMU liegen sie typischerweise auf NVR/VMS-Speichern, Dateiablagen, Smartphones und USB-Laufwerken, in gemischten Codecs und mit unklarer Aufbewahrung.

Typische Lücken: verstreute Ablage, proprietäre Videoformate, kein Verzeichnis, welche Aufnahmen Personen enthalten, fehlende Löschregeln und unklare Zugriffsrechte auf rohe Originale. Vorbereitungsschritte: Aufnahmequellen und Verantwortliche erfassen, in Standardformate exportieren (FFmpeg, ONVIF-Export), festlegen, welche Klassen maskiert werden (Gesichter, Kennzeichen, Bildschirme, Körper), und rohe Originale mit strengem Zugriff von den anonymisierten Kopien trennen, die zirkulieren dürfen. Bauen Sie einen kleinen Evaluationsdatensatz schwieriger Szenen auf (Nacht, Bewegungsunschärfe, Menschenmengen, kleine Gesichter) und messen Sie die Fehlerquote, denn ein übersehenes Gesicht ist eine Datenpanne.

Aufwandsanteil: etwa 20-30 Prozent, überwiegend Speicherbereinigung und Evaluation. Grundlagen dazu: PREP-007 (Formatkonvertierung), PREP-009 (Speicher neu strukturieren), PREP-018 (Evaluationsdatensätze), PREP-022 (Pseudonymisierung) und PREP-024 (Klassifizierungsregeln).

Umsetzungswege

Welcher Weg für wen

• smb: A - ausgereifte, in der EU gehostete Verpixelungsdienste und VMS-Erweiterungen gibt es zu KMU-Preisen für eine Standardaufgabe wie das Veröffentlichen oder Weitergeben von Aufnahmen.
• enterprise: C - große Videomengen machen Gebühren pro Minute hoch, das Rohmaterial ist sensibel, und eine gemeinsame interne Pipeline bedient viele Anwendungsfälle.
• developer: C - Open-Source-Detektoren plus FFmpeg geben volle Kontrolle, und dieselbe Pipeline lässt sich über Produkte hinweg wiederverwenden.
• public: C - Aufnahmen aus öffentlichen Räumen und von Behörden sollten auf souveräner, selbst betriebener oder deutscher Cloud-Infrastruktur bleiben.

Weg A — Kaufen (Standardsoftware) (empfohlen für KMU)

• EU-Anbieter: Celantur (Österreich; Gesichter und Kennzeichen, Cloud-API, On-Premises-Container, Edge), brighter AI (Deutschland; „Deep Natural Anonymization“ mit synthetischem Ersatz, Daten aus Automobil und Mobilität). Pimloc Secure Redact (UK) ist eine weitere Option.
• Suiten für öffentliche Sicherheit: Axon Redaction Assistant, Veritone Redact sowie Funktionen zur Privatsphärenmaskierung in Videomanagementsystemen wie Genetec und Milestone XProtect.
• Funktionen der Hyperscaler: Google Video Intelligence, Amazon Rekognition und Azure AI Vision liefern Erkennung, die eine Maskierung antreiben kann, aber nicht immer einen fertigen Schwärzungsablauf.
• Prüfen: EU-Hosting oder On-Premises-Option, Auftragsverarbeitungsvertrag, ausgewiesener Recall statt Genauigkeit, Kennzeichenformate, Edge-Betrieb, Prüfprotokoll, keine Nutzung Ihrer Aufnahmen für das Training des Anbieters.
• Wählen Sie A, wenn: das Volumen moderat ist und Sie schnell einen konformen, unterstützten Ablauf brauchen.

Weg B — Auf Cloud-KI-Diensten aufbauen

• Nutzen Sie Cloud-Erkennung (Azure AI Vision, Google Cloud Vision/Video Intelligence, Amazon Rekognition, jeweils mit EU-Regionen) für Gesichter und Text, ergänzen Sie Kennzeichenlogik und maskieren Sie mit FFmpeg/OpenCV.
• Detektoren mit offenem Vokabular oder VLMs helfen bei selteneren Klassen (Namensschilder, Laptop-Bildschirme), sind aber pro Frame zu langsam und teuer; setzen Sie sie nur auf abgetasteten Schlüsselbildern ein.
• Orchestrieren Sie mit Speicherereignissen, einer Warteschlange und GPU-Stapeljobs; halten Sie alles in einer EU-Region.
• Wählen Sie B, wenn: Sie eigene Klassen oder die Integration in eine bestehende Medien- oder Datenplattform brauchen.

Weg C — Selbst betreiben (Open Source)

• Modelle/Werkzeuge: Ultralytics YOLO (AGPL-/Unternehmenslizenz prüfen), RT-DETR oder YOLOX (Apache-2.0), feingetunt auf Gesichts- und Kennzeichendaten, OpenCV-Gesichtsdetektor YuNet, SAM 2 für Masken in Segmentierungsform, Tracking mit ByteTrack/BoT-SORT, FFmpeg, NVIDIA DeepStream für Streams und das Open-Source-Werkzeug deface für fertiges Verpixeln von Gesichtern. Prüfen Sie Daten- und Modelllizenzen vor kommerzieller Nutzung.
• Hardware: HW1 für einzelne Streams auf Edge-Geräten der Jetson-Klasse; HW2 für Stapel- und Mehrfach-Stream- Verarbeitung; HW3 für große 4K-Archive und generativen Ersatz.
• Betriebsaufwand: mittel; erfordert eine Recall-Evaluation auf Ihren eigenen Aufnahmen und Regressionstests.

Weg D — Eigenes Training

Lohnt sich bei ungewöhnlichen Blickwinkeln (Fischauge, Thermal, Drohne senkrecht von oben, Dashcam bei wenig Licht), sehr kleinen Gesichtern oder fachspezifischen Kennzeichen. Es braucht einige tausend beschriftete Frames je Domäne, einschließlich harter Negativbeispiele und Verdeckungen. Korrekturen der Prüfenden werden zu Trainingsdaten; verfolgen Sie den Recall bei fester Falsch-Positiv-Rate.

Stand der Technik (2026)

• Gesichts- und Kennzeichen-Detektoren sind ausgereift und schnell, in Echtzeit auf Edge-Hardware, mit hohem Recall auf sauberem Material. Schwachstellen: winzige oder weit entfernte Gesichter, Seiten- und Rückansichten, Masken, Bewegungsunschärfe, Nacht-/IR- Aufnahmen, Spiegelungen und teilweise Verdeckung.
• Video-Tracking mit zeitlichem Auffüllen hat die frameweise unabhängige Unschärfe weitgehend abgelöst, die flackert und Informationen preisgibt.
• Generativer Ersatz (diffusions- oder GAN-basiert) erhält den Nutzen für das ML-Training, braucht aber Validierung: Das synthetische Gesicht darf dem Original nicht ähneln, und realistische synthetische Medien können bei Veröffentlichung Fragen zur Transparenz nach Art. 50 KI-Verordnung aufwerfen.
• Umkehrbarkeit: Entschärfungs- und Diffusionsmodelle können schwach verpixelte Gesichter teilweise wiederherstellen; nutzen Sie starke Masken. Körperform, Kleidung, Tätowierungen, Fahrzeug und Ort identifizieren Personen weiterhin.
• Grenzen: Kein automatisches System erreicht 100 Prozent Recall; der reale Recall muss auf Ihren eigenen Aufnahmen gemessen werden, und Freigaben mit hohem Risiko brauchen eine menschliche Prüfung und dokumentiertes Restrisiko.

Gemeinsame Bausteine & Kombinationen

• Gleicher Technologie-Stack (object-detection + Tracking + edge-runtime): VIS-010 Überwachung, VIS-011 Kennzeichen- erkennung, VIS-012 Verkehrsanalytik; ein Detektor-Server kann mehrere bedienen. Datenschutzfreundliche Varianten davon anonymisieren am Edge vor dem Speichern.
• Gegenstück für Text: DOC-018 Dokumentenschwärzung; synthetische Daten: DATA-005.
• Vor-/nachgelagert: VIS-003/VIS-004 Inspektionsbilder, VIS-027 Moderation, SEC-018 Datenschutz- betrieb (Bearbeitung von Betroffenenanfragen, Verzeichnis von Verarbeitungstätigkeiten).
• Kontrast: VIS-016 (Gesichtserkennung) identifiziert Personen; dieser Anwendungsfall tut das Gegenteil.

Aufwand, Kosten & Kennzahlen

• Weg A: Tage bis Wochen; die Preise gelten meist pro Videostunde, pro Stream oder pro Bild.
• Weg B: 1-3 Monate für eine produktive Pipeline mit Speicher und Prüfoberfläche; GPU-Kosten dominieren.
• Weg C: 2-4 Monate einschließlich Evaluationsdatensatz; GPU-Server plus Betrieb.
• Kennzahlen: Recall von Gesichtern/Kennzeichen (je Frame und je Spur), Vorfälle mit übersehener Identität, Prüf- minuten je Videostunde, Durchsatz (x Echtzeit), Kosten je Stunde Aufnahmematerial, Zeit bis zur Beantwortung eines Herausgabeverlangens.

Menschen & Veränderung

Beziehen Sie die Geschäftsleitung für die Richtlinie ein (was wird verpixelt, wer darf Originale sehen), die Fachbereichsleitung oder den Sicherheitsverantwortlichen als Prozessverantwortlichen, die IT für Speicher und GPU-Kapazität und von Anfang an die Datenschutzbeauftragte bzw. den Datenschutzbeauftragten: Anonymisierung ist eine Verarbeitung personenbezogener Daten und braucht eine Rechtsgrundlage, einen AVV (Art. 28 DSGVO) mit jedem Cloud-Anbieter und bei systematischer Videoverarbeitung häufig eine DSFA (Art. 35 DSGVO).

Betriebsrat: kommt darauf an. Das Werkzeug selbst verringert die Gefährdung; wird es aber zusammen mit Videoüberwachung eingeführt, die Beschäftigte aufzeichnet, oder protokolliert es, wer welche Aufnahmen geprüft hat, gilt die Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG. Informieren Sie den Betriebsrat rechtzeitig (§ 90 Abs. 1 Nr. 3 BetrVG), idealerweise im Rahmen der bestehenden Betriebsvereinbarung zur Videoüberwachung; öffentliche Stellen beteiligen den Personalrat.

KI-Kompetenz: Unterstützen Sie die Personen, die mit Aufnahmen umgehen, mit einer kurzen Schulung zu den Grenzen des Werkzeugs und zum Prüfschritt (Art. 4 KI-Verordnung). Kommunizieren Sie, dass Anonymisierung Beschäftigte und Öffentlichkeit schützt. Beginnen Sie mit einer Kameragruppe oder einem Projekt als Pilot. Behalten Sie den Menschen in der Kontrolle: Eine Person prüft Stichproben und gibt frei, bevor Aufnahmen das Unternehmen verlassen, und Rohmaterial wird nur durch benannte Rollen freigegeben.

Leitfäden: GUIDE-005, GUIDE-004, GUIDE-013.

Risiken, Regulierung & Compliance

• KI-Verordnung (AI Act): in der Regel minimales Risiko; die Maskierung identifiziert niemanden. Kombinieren Sie sie nicht mit nach Art. 5 verbotenen Praktiken (ungezieltes Auslesen von Gesichtsbildern, biometrische Echtzeit-Fernidentifizierung im öffentlichen Raum für die Strafverfolgung außerhalb enger Ausnahmen, Emotionserkennung am Arbeitsplatz oder in der Schule). Generativer Ersatz, der als realistischer Inhalt veröffentlicht wird, kann unter Art. 50 fallen [3].
• DSGVO / Richtlinie zur Strafverfolgung: Anonymisieren ist selbst eine Verarbeitung personenbezogener Daten und braucht eine Rechtsgrundlage, einen AVV mit Anbietern, Aufbewahrungsregeln für Originale und eine DSFA, wo Überwachungsaufnahmen betroffen sind. Erwägungsgrund 26 legt die Latte für echte Anonymisierung fest; Verpixeln allein ergibt oft pseudonymisierte Daten. Die Richtlinie zur Strafverfolgung gilt für Polizeiaufnahmen.
• Weiteres: nationale Regeln zur Videoüberwachung (z. B. deutsches BDSG), Betriebsräte bei Video am Arbeitsplatz und Beweisintegrität: Geschwärzte Kopien müssen auf unveränderte Originale rückführbar sein.
• Gegenmaßnahmen: Schwellen mit Recall-Vorrang, Randzugabe, starke Masken, Stichproben-Qualitätssicherung, Prüfprotokolle, Zugriffs- kontrolle auf Originale, Regressionstests, Verarbeitung innerhalb der EU.

Erste Schritte

1. Zweck und Richtlinie festlegen: Empfänger, zu maskierende Klassen, Aufbewahrung der Originale; bei Bedarf eine DSFA durchführen.
2. 1-2 Stunden Ihres schwierigsten realen Materials (Nacht, Menschenmengen, Fischauge) als Evaluationsdatensatz sammeln.
3. 2-3 Anbieter aus Weg A und eine Open-Source-Basislinie testen; den Recall vergleichen, nicht nur die optische Qualität.
4. Den Prüfschritt (markierte Abschnitte plus Zufallsstichprobe) und das Prüfprotokoll aufbauen.
5. Restrisiko dokumentieren und festhalten, ob das Ergebnis als anonymisiert oder pseudonymisiert gilt.

Quellen

1. Regulation (EU) 2016/679 (GDPR), Recital 26 - https://eur-lex.europa.eu/eli/reg/2016/679/oj
2. EDPB Guidelines 3/2019 on processing of personal data through video devices - https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-32019-processing-personal-data-through-video_en
3. Regulation (EU) 2024/1689 (AI Act) - https://eur-lex.europa.eu/eli/reg/2024/1689/oj
4. Celantur - https://www.celantur.com/
5. brighter AI - https://brighter.ai/
6. Axon - https://www.axon.com/
7. Ultralytics YOLO documentation - https://docs.ultralytics.com/
8. SAM 2 (Meta) - https://github.com/facebookresearch/sam2
9. deface (open-source video anonymisation) - https://github.com/ORB-HD/deface