Verpixeln, Weichzeichnen oder Schwarz: was die drei Arten leisten
Alle drei Arten ändern die Pixel im markierten Rechteck, bevor die Datei neu gespeichert wird. Es gibt keine Ebene, die jemand später wegnehmen könnte. Der Unterschied liegt darin, wie viel vom Original in den neuen Pixeln noch steckt. Die Zahlen in der Tabelle stammen aus der Studie „Defeating Image Obfuscation with Deep Learning“ von Richard McPherson, Reza Shokri und Vitaly Shmatikov (Cornell Tech, arXiv:1609.00408, September 2016) und aus einem Bericht der Sicherheitsfirma Bishop Fox vom 15.02.2022, beide abgerufen am 27.09.2026.
| Art | Was mit den Pixeln passiert | Was ein Angreifer noch herausholt |
|---|---|---|
| Verpixeln | Das Rechteck wird in Blöcke geteilt, jeder Block bekommt die Durchschnittsfarbe seiner Pixel. | Gesichter mit 14 × 14 Blöcken: 57 % richtig zugeordnet unter 530 Personen. Mit 6 × 7 Blöcken: über 95 % unter 40 Personen (McPherson u. a., Abschnitt 6). |
| Weichzeichnen | Jedes Pixel wird zum Mittelwert seiner Nachbarn, dreimal hintereinander (Kastenfilter, nähert eine Gauß-Unschärfe an). | Gesichter mit der Gesichtsunschärfe von YouTube: 57,75 % richtig unter 40 Personen, obwohl die Autoren selbst niemanden erkannten. |
| Schwarz | Jedes Pixel wird Rot 0, Grün 0, Blau 0. | Nichts. Bishop Fox nennt schwarze Balken den einzigen sicheren Weg, Text unkenntlich zu machen. |
Die Prozentwerte gelten für den Fall, dass jemand eine Liste möglicher Personen hat und ein Programm darauf trainiert. Für ein Urlaubsfoto in der Familiengruppe ist das ein seltenes Szenario. Für ein Foto, das öffentlich im Netz steht und eine bestimmte Person schützen soll, ist es genau das Szenario.
Der Stärke-Regler in Zahlen
Der Regler legt fest, wie viele Blöcke über die kürzere Seite des markierten Rechtecks passen. Stufe 1 entspricht dem FaceScrub-Versuch der Studie: 224 Pixel breite Gesichter mit 16 Pixel großen Blöcken, also 14 Blöcke quer. Stufe 7 entspricht dem AT&T-Versuch mit 6 × 7 Blöcken. Beim Weichzeichnen ist der Radius so groß wie ein Block derselben Stufe. Weil die Blockgröße vom Rechteck abhängt, wirkt eine Stufe auf einem kleinen Gesicht im Hintergrund genauso wie auf einem Porträt.
| Stufe | Blöcke über die kurze Seite | Beispiel: Gesicht 300 px breit | Einordnung |
|---|---|---|---|
| 1 | 14 | 22 px je Block | wie FaceScrub, 57 % erkannt |
| 4 | 9 | 34 px je Block | dazwischen |
| 7 | 6 | 50 px je Block | wie AT&T, über 95 % erkannt |
| 8 (Voreinstellung) | 5 | 60 px je Block | gröber als beide Versuche |
| 10 | 3 | 100 px je Block | nur noch Farbflächen |
Gröbere Stufen als in der Studie hat niemand öffentlich geprüft, deshalb verspricht die Seite dafür keine Sicherheit. Für Gesichter auf Fotos, die Sie mit Bekannten teilen, reichen Stufe 8 bis 10 in aller Regel, um eine Person für das Auge unkenntlich zu machen. Wer ganz sicher gehen will, nimmt Schwarz.
Kennzeichen, Hausnummern und Text: immer Schwarz
Bei Schrift ist Verpixeln besonders schwach, weil Buchstaben eine feste Form haben. Das Programm Depix zeigt seit 2020, wie sich verpixelter Text in Bildschirmfotos zurückrechnen lässt: Es verpixelt alle möglichen Zeichenfolgen in derselben Schrift und vergleicht die Blöcke. Dan Petro von Bishop Fox hat 2022 mit seinem Werkzeug Unredacter auf diesem Weg einen verpixelten Testtext zurückgewonnen und schreibt, Text solle man nie verpixeln. Ein Kfz-Kennzeichen besteht aus wenigen Zeichen in einer festgelegten Schrift, das macht das Raten leichter. Für Kennzeichen, Hausnummern, Klingelschilder und Namen auf Briefkästen stellen Sie deshalb die Art auf Schwarz. Ein schwarzer Balken auf dem Auto sieht weniger elegant aus als ein Mosaik, lässt sich aber nicht zurückrechnen.
Wann Sie Gesichter auf Fotos unkenntlich machen sollten
Maßgeblich ist das Kunsturhebergesetz. § 22 sagt: „Bildnisse dürfen nur mit Einwilligung des Abgebildeten verbreitet oder öffentlich zur Schau gestellt werden.“ § 23 nennt Ausnahmen, darunter Bilder, auf denen Personen „nur als Beiwerk neben einer Landschaft oder sonstigen Örtlichkeit erscheinen“, und Bilder von Versammlungen und Aufzügen. Wer ein Foto vom Vereinsfest, vom Kindergeburtstag oder aus der Nachbarschaft im Netz oder in einer großen Gruppe teilt, fragt am besten vorher. Wo das nicht geht, macht er die Gesichter der Personen unkenntlich, die nicht gefragt wurden. Das ist eine praktische Faustregel und keine Rechtsberatung; ob ein Foto unter eine Ausnahme fällt, hängt vom Einzelfall ab.
GPS-Standort und Kameradaten verschwinden mit
Handyfotos tragen im JPEG-Kopf einen EXIF-Block, der im Segment APP1 liegt. Darin stehen Kameramodell, Aufnahmezeit und, wenn die Ortung an war, die GPS-Koordinaten (Tag 0x8825 GPSInfo in der Übersicht von ExifTool). Ein verpixeltes Gesicht nützt wenig, wenn die Datei die Wohnadresse auf ein paar Meter genau mitliefert. Das Werkzeug liest deshalb nur die Bildpunkte und schreibt eine komplett neue Datei. Nach dem Speichern prüft es die fertige Datei: bei JPG, ob ein APP1-Segment enthalten ist, bei PNG, ob einer der Metadaten-Blöcke eXIf, tEXt, iTXt oder zTXt vorkommt, die die PNG-Spezifikation des W3C (dritte Ausgabe, 24.06.2025) kennt. Das Ergebnis steht unter der Vorschau.
So arbeitet das Werkzeug
- Ihr Browser öffnet das Foto von Ihrem Gerät und dreht es nach der Kamera-Ausrichtung, damit ein Hochkantfoto nicht quer liegt.
- Sie ziehen Rechtecke und wählen je Rechteck Verpixeln, Weichzeichnen oder Schwarz. Die Vorschau rechnet mit denselben Formeln wie der Export, nur verkleinert.
- Beim Speichern wird das Foto in voller Größe neu berechnet und als JPG (Qualität 92 %) oder PNG (verlustfrei, jedes Pixel außerhalb der Rechtecke bleibt gleich) ausgegeben. Bei einer PNG mit durchsichtigen Stellen liest das Werkzeug die Datei selbst, statt sie über die Zeichenfläche des Browsers zu schicken, denn die rundet halbtransparente Farben um einen Wert. So bleiben auch dort Farbe und Transparenz außerhalb der Rechtecke gleich. Ausnahme sind seltene PNG-Varianten mit 16 Bit je Farbe oder Zeilensprung-Verfahren (Interlacing): Dort können halbtransparente Pixel um einen Farbwert abweichen. Als JPG gespeichert werden durchsichtige Stellen weiß, weil JPG keine Transparenz kennt.
Die Originalauflösung hat eine Grenze: iPhones und iPads können laut MDN-Dokumentation nur Zeichenflächen bis 4.096 × 4.096 Pixel bearbeiten, das sind knapp 16,8 Megapixel. Ein normales 12-Megapixel-Foto (4.032 × 3.024) passt, ein 48-Megapixel-Foto wird auf diese Fläche verkleinert, und das Werkzeug sagt Ihnen das. Auf dem Computer liegt die Grenze bei 40 Megapixeln.
Hochgeladen wird nichts. Die Seite meldet nach dem Speichern nur, dass das Werkzeug benutzt wurde, ohne Bild und ohne Angaben dazu. Das haben wir am 27.09.2026 mit einem Mitschnitt aller Netzwerkanfragen während Laden, Markieren und Speichern geprüft.
Was das Werkzeug nicht kann
Es erkennt Gesichter und Kennzeichen nicht automatisch. Eine Erkennung im Browser bräuchte ein großes Modell, und ein Dienst im Netz hieße, das Foto hochzuladen. Sie markieren jede Stelle selbst, dafür entscheiden Sie, was unkenntlich wird. Videos bearbeitet es nicht, nur Einzelbilder. HEIC-Fotos vom iPhone öffnet Safari direkt, Chrome und Firefox meist nicht. Wer Fotos danach noch kleiner machen will, etwa für eine Kleinanzeige, kann sie anschließend mit Bild komprimieren verkleinern.