Alle Kopien finden: Hashverfahren und Gesichtserkennung

01Warum eine Löschung nicht genügt

Eine Datei, die einmal öffentlich war, existiert in der Regel mehrfach. Sie wurde heruntergeladen, weitergeleitet, erneut hochgeladen, beschnitten und in Sammlungen übernommen. Die Meldung an eine Plattform betrifft genau eine Adresse.

Die Aufgabe heißt deshalb nicht Löschung, sondern Erfassung. Erst wenn die Liste steht, lässt sich sagen, wie viele Verfahren zu führen sind und welche Routen dafür gelten.

02Drei Verfahren, die sich ergänzen

Keines der drei Verfahren ersetzt ein anderes. Sie beantworten unterschiedliche Fragen und haben unterschiedliche Grenzen.

In der Praxis beginnt die Arbeit mit den Suchabfragen, weil sie nichts voraussetzen, und wird durch Hash und Gesichtserkennung ergänzt, sobald Material vorliegt.

03Was ein Hash kann

Ein Hash ist eine aus der Datei berechnete Kennzeichnung. StopNCII.org beschreibt ihn als digitalen Fingerabdruck, vergleichbar einem Strichcode, der an das Bild geknüpft ist. Für Fotos werden PDQ oder PhotoDNA eingesetzt, für Videos MD5.

Microsoft hält zu PhotoDNA fest, dass daraus eine eindeutige digitale Signatur eines Bildes entsteht, die mit den Signaturen anderer Bilder verglichen wird, um Kopien desselben Bildes zu finden. Ausdrücklich betont Microsoft zwei Punkte: PhotoDNA ist keine Gesichtserkennung und kann keine Person oder Sache identifizieren, und aus einem Hash lässt sich das Bild nicht wiederherstellen.

• Exakte Duplikate haben denselben Hash und werden erkannt.
• Bearbeitete Fassungen, etwa beschnitten, gefiltert oder gekürzt, erzeugen nach Angaben von StopNCII.org einen anderen Hash und müssen einzeln eingereicht werden.
• Der Hash sagt nichts darüber, wer die Datei hochgeladen hat.
• Der Vergleich läuft bei den Plattformen, nicht bei Ihnen; Sie erfahren den Treffer nur mittelbar über die Maßnahme der Plattform.

04Die Hash-Sperre einreichen

Bei intimen Aufnahmen ist StopNCII.org der etablierte Weg. Nach den Angaben des Dienstes wird der Hash auf Ihrem Gerät erzeugt; die Bilder verlassen das Gerät nicht und werden dort nicht gespeichert.

1. Voraussetzung: Die Aufnahme zeigt Sie, Sie haben Zugriff darauf, und Sie waren darauf über 18 Jahre alt.
2. Erfasst sind nach eigenen Angaben nackte Darstellungen, Unterwäsche, Genitalien, sexuelle Handlungen und sexuelle Posen, außerdem Fälschungen, die Sie nackt oder halbnackt zeigen.
3. Eine Einreichung für eine andere Person ist nicht möglich; der Wohnort spielt keine Rolle.
4. Jede Fassung einzeln einreichen; weitere Bilder lassen sich einem bestehenden Fall nicht hinzufügen, dafür ist ein neuer Fall nötig.
5. Fallnummer und Zugangsdaten sichern: Der Dienst gibt an, eine verlorene Fallnummer nicht wiederherstellen und Hashes nicht auf Zuruf entfernen zu können.

Zu den auf der Partnerseite genannten Unternehmen gehören unter anderem Microsoft, OnlyFans, Pornhub, REDGIFS und FetLife. Der Dienst weist darauf hin, dass der Schutz nur bei teilnehmenden Plattformen wirkt, nicht im übrigen Netz, und dass er nicht mit verschlüsselten Nachrichtendiensten arbeitet.

05Gesichtserkennung: wofür sie taugt

Die Gesichtserkennung beantwortet eine andere Frage als der Hash. Sie sucht nicht dieselbe Datei, sondern dieselbe Person, und findet damit auch Aufnahmen, die Sie nie gesehen haben und deren Hash niemand kennt.

• Sie findet Kopien, die beschnitten, gespiegelt, neu komprimiert oder in ein anderes Format überführt wurden.
• Sie findet Aufnahmen, die aus demselben Material stammen, aber als neue Datei verbreitet werden.
• Sie trifft keine Aussage darüber, ob eine gefundene Veröffentlichung rechtswidrig ist; das ist eine getrennte Prüfung.
• Jeder Treffer ist von Hand zu bestätigen; eine Übernahme ohne Prüfung führt zu falschen Meldungen, die nach Artikel 23 der Verordnung (EU) 2022/2065 als offensichtlich unbegründet zu einer Aussetzung der Meldemöglichkeit führen können.

SARAZIM LLC arbeitet in diesem Bereich mit gesichtsbasierter Erkennung und benötigt dafür in der Regel zwei bis drei Aufnahmen der betroffenen Person. Die laufende Beobachtung erfolgt anschließend über Metadaten und Prüfsummen; die Aufnahmen selbst werden nach Abschluss der Arbeiten gelöscht.

06Suchabfragen und Beobachtung

Die Trefferlisten sind der einfachste Zugang und sollten unabhängig von allem anderen laufen. Google stellt dafür ein eigenes Werkzeug bereit.

Mit Suchergebnisse über dich lässt sich prüfen, ob in den Suchergebnissen persönliche Kontaktdaten erscheinen, etwa Wohnanschrift, Telefonnummer oder E-Mail-Adresse. Hinterlegt werden Name, Aliasnamen und ein Mädchenname sowie mehrere Nummern, Anschriften und Adressen. Nach Aktivierung der Benachrichtigungen informiert Google per E-Mail oder in der App über gefundene und über neu auftretende passende Ergebnisse.

• Entfernungsanträge werden dort für persönliche Kontaktdaten dieser Art bewilligt.
• Bei Behörden, Bildungseinrichtungen, Online-Zeitungen und Unternehmenswebsites wird die Entfernungsoption in der Regel nicht angeboten.
• Das Werkzeug entfernt keine Informationen aus dem Internet; die Angabe bleibt auf der Quellseite stehen.
• Für Kontaktdaten von Personen unter 18 Jahren und für Anträge zugunsten anderer Personen sind gesonderte Formulare vorgesehen.
• Inhalte außerhalb der Google Suche liegen außerhalb des Anwendungsbereichs.

Die Kontrolle in anderen Diensten ist getrennt vorzunehmen. Welcher Dienst aus welchem Index liefert und wohin ein Antrag gehört, steht in Treffer bei Bing, Ecosia und anderen Suchdiensten entfernen.

07Der Hinweisanspruch nach Artikel 17 Absatz 2

Diese Vorschrift wird selten genutzt und ist für die Suche nach Kopien wertvoll. Nach Artikel 17 Absatz 2 der Verordnung (EU) 2016/679 muss ein Verantwortlicher, der personenbezogene Daten öffentlich gemacht hat und zur Löschung verpflichtet ist, angemessene Maßnahmen treffen, auch technische, um andere Verantwortliche darüber zu informieren, dass die betroffene Person die Löschung von Links zu diesen Daten sowie von Kopien oder Replikationen verlangt hat.

• Der Anspruch richtet sich an die Stelle, die veröffentlicht hat, nicht an die Suchmaschine.
• Er ist im Löschantrag ausdrücklich zu benennen, sonst wird er in der Praxis nicht beachtet.
• Er ergänzt den Löschanspruch aus Absatz 1, der unter anderem greift, wenn die Daten für die Zwecke nicht mehr notwendig sind oder unrechtmäßig verarbeitet wurden.
• Absatz 3 nimmt aus, was zur Ausübung der Freiheit der Meinungsäußerung und Information oder zur Geltendmachung von Rechtsansprüchen erforderlich ist.

Die Antwortfrist ergibt sich aus Artikel 12 Absatz 3: ein Monat nach Eingang des Antrags, bei Komplexität oder Zahl der Anträge um weitere zwei Monate verlängerbar, wobei die Verlängerung innerhalb des ersten Monats mitzuteilen ist.

08Auskunft als Rechercheinstrument

Nach Artikel 15 der Verordnung (EU) 2016/679 können Sie Auskunft darüber verlangen, ob Daten über Sie verarbeitet werden, und, wenn ja, Zugang zu diesen Daten sowie zu weiteren Angaben.

• Zu den Angaben gehören die Verarbeitungszwecke, die Kategorien der Daten und die Empfänger oder Kategorien von Empfängern, insbesondere in Drittländern oder bei internationalen Organisationen.
• Ebenfalls zu nennen sind die geplante Speicherdauer oder die Kriterien dafür, die Rechte auf Berichtigung, Löschung, Einschränkung und Widerspruch, das Beschwerderecht bei einer Aufsichtsbehörde und, soweit die Daten nicht bei Ihnen erhoben wurden, deren Herkunft.
• Nach Absatz 3 ist eine Kopie der Daten zur Verfügung zu stellen; für weitere Kopien kann ein angemessenes Entgelt verlangt werden.
• Nach Absatz 4 darf das Recht auf Kopie die Rechte und Freiheiten anderer Personen nicht beeinträchtigen.

Für die Suche nach Kopien ist die Angabe über Empfänger und Herkunft der entscheidende Teil. Sie zeigt, in welche Richtung weiterzusuchen ist, und benennt Stellen, die ohne diese Auskunft unbekannt geblieben wären.

09Was eine Fundstellenliste enthalten muss

Die Liste ist das Arbeitsmittel. Sie dient gleichzeitig als Anlage zur Meldung, zur Anzeige und zu einem gerichtlichen Antrag.

Ohne Zeilenstruktur entstehen Sammelmeldungen, und die werden regelmäßig nicht bearbeitet. Artikel 16 Absatz 2 Buchstabe b der Verordnung (EU) 2022/2065 verlangt die genaue elektronische Fundstelle, in der Regel die exakte Adresse.

10Wo die Suche endet

Einige Bereiche bleiben außerhalb der Reichweite aller drei Verfahren. Das offen zu benennen verhindert falsche Erwartungen.

• Verschlüsselte Nachrichtendienste: StopNCII.org gibt an, nicht mit ihnen zu arbeiten.
• Private Gruppen und Chats bei Telegram: Nach eigenen Angaben werden Anfragen dazu nicht verarbeitet; bearbeitet werden Meldungen zu öffentlichen Inhalten.
• Dateien, die nur offline oder in geschlossenen Sammlungen liegen und keine Plattform berühren.
• Plattformen, die am Hashvergleich nicht teilnehmen.
• Bearbeitete Fassungen, solange sie nicht als eigene Datei eingereicht wurden.

In diesen Bereichen bleiben die rechtlichen Wege: Anzeige, Auskunftsverfahren und gerichtliche Anordnung. Die Einzelheiten dazu stehen in Anonyme Verfasser ermitteln.

11Takt der Nachkontrolle

Einmaliges Prüfen zeigt nur den Stand eines Tages. Sinnvoll ist ein festes Raster, das sich nach dem Verbreitungsmuster richtet.

Jede Kontrolle wird mit Datum und Ergebnis festgehalten, auch wenn nichts gefunden wurde. Das ist für eine erneute Meldung und für ein gerichtliches Verfahren der Nachweis, dass die Verbreitung andauert.