Von Leetspeak zu CAPTCHA
Auf beinahe jeder Webseite begegnet man früher oder später einem CAPTCHA. Vor einigen Jahren noch häufig in Form eines Text- oder Bilderrätsels vorzufinden, sind es heute meist nur mehr anklickbare Bestätigungen, ein Mensch und kein Roboter zu sein. Dass wir mit dem Lösen solcher CAPTCHA auch gleichzeitig für Google arbeiten, ist auch bei genauerem Hinsehen nicht immer ersichtlich. Und dabei war dieser momentane Stand bei weitem nicht die ursprüngliche Intention solcher Abfragen.
Die grundsätzliche Idee, welche hinter CAPTCHA-Abfragen steckt, ist beinahe so alt wie das Internet selbst. In den frühen Jahren des World Wide Web war der Schwerpunkt jedoch noch anderweitig gelagert, als dies heute der Fall ist. Zu Beginn der 90er Jahre verbreitete sich unter Hackern und Programmierern die Sorge, dass ihre Forenbeiträge von den Suchmaschinen erfasst und analysiert werden könnten und daraufhin in den öffentlichen Suchergebnissen auftauchen. Auch wurde von vielen die Befürchtung geteilt, abgehörte E-Mails und digitale Dokumente könnten von Computern ausgelesen und gefiltert werden. Um solche Situationen zu verhindern, wurde die „Leetspeak“ entwickelt. Einzelne Buchstaben wichtiger Schlüsselbegriffe, die die Suchmaschinen in den Weiten des Internets versuchen abzugraben, wurden mit Zahlen und Zeichen nachgeahmt. „D4dμrch w4r3ͷ ͷμr m3hr M3ͷsch3ͷ iͷ d3r L4g3, di3 Wört3r zμ 3ͷtziff3rͷ”. Diese Entzerrung der Sprache wurde besonders durch Counter-Strike berühmt und ist bis heute noch in bestimmten Gaming-Kreisen in Verwendung. Das Leetspeak-Alphabet wurde mit den Jahren ausgebaut und umfasst heute für jeden Buchstaben mehrere unterschiedliche Schreibweisen.
Dieses Bedürfnis, automatisierte Zugriffe von bestimmten Seiten auszusperren, nahm mit den Jahren dann immer stärker zu. Im Jahr 1997 beispielsweise begann die damals populäre Suchmaschine AltaVista das erste Mal, mit Hilfe von unterschiedlichen Zahlenkombinationen und Texten aus verschiedenen Winkeln und Schriftarten automatisierte und menschliche Zugriffe zu unterscheiden. Dies auch deshalb, da automatisierte Zugriffe immer häufiger in der Lage waren, die verwendete „Leetspeak“ zu entziffern. So konnten in den ersten Jahren nach Einführung unzählige Bots daran gehindert werden, Spam-Webseiten in das Suchformular einzutragen.
Nur drei Jahre später – im Jahr 2000 – tauchte dann zum ersten Mal das Wort CAPTCHA auf. Ein Team aus Computerwissenschaftlern rund um Luis von Ahn, Manuel Blum und Nicholas J. Hopper von der Carnegie Mellon University entwickelten ein einheitliches System zur Erkennung von automatischen Zugriffen und gaben ihm den eingängigen Namen „Completely Automated Public Turing-Text to tell Computers and Humans Apart“, kurz CAPTCHA.
Doch mit der stetig voranschreitenden Entwicklung in der automatischen Bilderkennung reichte es bald nicht mehr aus, nur ein paar Zahlen und Buchstaben in ein Bild zu werfen und diese von den Benutzern entziffern zu lassen. So entstanden in diesen Jahren die entzerrten Wörter, denen man beim täglichen Surfen häufiger begegnet ist. Jedoch kamen zur selben Zeit auch immer häufiger CAPTCHA-Farmen zum Einsatz, in denen Menschen für Hungerlöhne den ganzen Tag CAPTCHA lösten, um den automatisierten Zugriffen einen Zugang zu ermöglichen. Dadurch wurden am Tag knapp 200 Millionen CAPTCHA in den Weiten des Internets gelöst. Eine Studie dazu geht davon aus, dass zu dieser Zeit pro Tag knapp 150.000 Stunden damit verbracht wurden, CAPTCHA-Anfragen zu lösen.
Diese neuen Entwicklungen waren den Schöpfern von CAPTCHA jedoch ein Dorn im Auge, weshalb sie im Jahr 2007 auf eine folgenreiche Idee kamen, die in reCAPTCHA schlussendlich umgesetzt wurde und für die kommenden Jahre den gesamten Markt von automatisierter Bild- und Texterkennung veränderte.
Wie plötzlich alle für Google arbeiten
reCAPTCHA hatte zu Beginn das Ziel, mithilfe der CAPTCHA-Abfragen, die zuvor aus willkürlich gewählten Wörtern bestanden, alle Ausgaben der New York Times zu transkribieren. Diese neue Form der Abfrage zeigte nun zwei unterschiedliche Wörter an: eines davon war der eigentliche Test, um Mensch und Maschine zu unterscheiden, das zweite Wort hingegen war der Beitrag zur Transkription. Hierfür wurden Textstellen, die von der Texterkennungssoftware nicht richtig erfasst wurden, mehreren unterschiedlichen Benutzern angezeigt und bei mehrmaliger Übereinstimmung des eingegebenen CAPTCHAS in das digitale Dokument übernommen. Um zu gewährleisten, dass die Transkription korrekt durchgeführt wurde, wusste man vorher nie, welches Wort welchen Zweck erfüllte. Dieses Unterfangen war so erfolgreich, dass innerhalb kürzester Zeit 20 komplette Jahrgänge der New York Times vollständig digitalisiert waren.
Das Wort auf der linken Seite ist das eigentliche Captcha, das auf der rechten Seite das gescannte Wort.
Zwei Jahre später – im Jahr 2009 – wurde reCAPTCHA von Google aufgekauft, um neben der Digitalisierung der New York Times auch das hauseigene Google Books mit transkribierten Büchern zu füllen. So konnten bis 2011 bereits 30 Millionen Bücher sowie 13 Millionen Artikel der New York Times vollständig transkribiert werden. Während das ursprüngliche Team rund um reCAPTCHA eine Aufgabe des öffentlichen Interesses umzusetzen versuchte, zwängte Google seine Neuerwerbung in ein finanziell vorteilhafteres Korsett und konnte damit interne Dienste mit Hilfe der unzähligen CAPTCHA-Abfragen stätig erweitern.
Von der Transkription zur Bilderkennung
2012 verschob Google allmählich seinen Fokus von der Digitalisierung von Büchern hin zum Erkennen von Zahlen und Texten auf Google StreetView-Aufnahmen. So ließ Google die Benutzer Türnummern, Straßennummern und anderweitige Zeichen von nicht automatisch identifizierbaren Aufnahmen erkennen, transkribieren und in das System einspeisen. Von diesen neu eingespeisten Daten profitierte zusätzlich auch Google Maps und konnte durch den immensen Datenpool seine Karten verfeinern.
Zwei Jahre später – im Jahr 2014 – wurde der Fokus erneut verschoben und reCAPTCHA v2 war geboren. Nun wurde dem Benutzer eine Google StreetView-Aufnahme mit darüberliegendem Raster angezeigt, auf welchem er bestimmte Bereiche auswählen musste. In dieser Zeit setzte Google immer mehr auf die Erhebung von menschlich überprüften Daten, auf dessen Basis der hauseigene Algorithmus lernen konnte, Objekte eigenständig zu erkennen. Je mehr dieser Daten eingespeist wurden, desto akkurater und kleinteiliger konnte die KI arbeiten. In dieser Zeit war reCAPTCHA für Google ein immenser Wettbewerbsvorteil, um bei der automatischen Erkennung von Fotos, Suchergebnissen und gar selbstfahrenden Autos das Rennen gegen andere Konkurrenten zu gewinnen.
Vom kostenlosen Arbeiten zur intransparenten Datenerhebung
Als Weiterentwicklung des reCAPTCHA v2 wurde kurze Zeit später noCAPTCHA ausgerollt, in welcher man lediglich die heute vielseits bekannte Box „Ich bin kein Roboter“ anklicken musste. Dieses Tool bietet hierbei erneut einen großen Wettbewerbsvorteil, welcher im ersten Moment gar nicht mehr so offensichtlich erscheint wie zuvor noch die Fütterung der KI. Dieses neue Tool kann nun das individuelle Verhalten der Nutzer auf der Webseite analysieren und mit diesen Daten dann bestimmen, ob es sich um einen menschlichen oder automatisierten Zugriff handelt. Dieses Erfassen geht hierbei vom einfachen Klicken und Bewegen der Maus bis hin zu größeren Manövern wie Ausfüllen von Formularen und Veränderungen an der Benutzeroberfläche.
Dieses Tool wurde einige Jahre später, im Jahr 2017, mit reCAPTCHA v3 nochmals weiterentwickelt und ist nun für den Nutzer beinahe vollständig unsichtbar. Es gibt nun keine anklickbaren Boxen mehr, sondern nur ein kleines Logo am unteren Ende der Seite, welches auf die Nutzung aufmerksam macht. Dies soll symbolisieren, dass Google das Nutzungsverhalten aufzeichnet und mit anderen Daten abgleicht, um einen Risikowert zu ermitteln. Dieser Risikowert gibt an, wie hoch die Wahrscheinlichkeit ist, dass es sich beim Zugriff um einen automatisierten Zugriff handelt. Welche Daten hierbei erhoben werden, wird von Google jedoch geheim gehalten.
© Simon Riegler
Eine aktuelle Studie aus dem Jahr 2019 zeigte, dass knapp 4,5 Millionen Webseiten eine reCAPTCHA-Abfrage verwenden und diese wiederum Google mit einer Unmenge an Daten füttern. So ist es mehr als wahrscheinlich, dass Google diese Daten nutzt, um unser jeweiliges Profil zu verfeinern. Ein weitaus größeres Problem, welches besonders in den Wettbewerb der Browser eingreift, zeigt sich in einer anderen Studie. CAPTCHA, die nicht über dem hauseigenen Google Browser „Chrome“ gelöst werden, sondern über alternative Browser wie „Safari“ oder „Firefox“, lassen den Risikowert bereits von Beginn an stärker ansteigen. Dies mag zwar aus der Entfernung keine allzu große Wirkung haben, zeigt aber das Monopol, welches sich Google mit reCAPTCHA erbaut hat. Wer auf Webseiten, auf denen eigentlich die neueste Version des CAPTCHA in Verwendung ist, auf die bekannte Phrase „Ich bin kein Roboter“ stößt, der kann sich sicher sein, dass Google das Verhalten nicht ganz einem menschlichen oder automatischen Zugriff zuordnen konnte und daher eine weitere Sicherheitsabfrage starten musste.
In seinen Anfängen wurde CAPTCHA noch für einen gesellschaftlich sinnvolleren Zweck genutzt. Doch seit einigen Jahren dienen CAPTCHA-Abfragen nur mehr einem Ziel: der Erarbeitung eines Wettbewerbsvorteils, den die Nutzer nicht umgehen können. Denn ob CAPTCHA genutzt wird oder nicht, liegt allein in der Hand der Website-Administratoren. Und für die bietet CAPTCHA nicht nur ein starkes Werkzeug gegen Spam und automatisierte Zugriffe, sondern gibt ihnen auch die Möglichkeit, jede einzelne Aktion seiner Benutzer zu analysieren und auszuwerten. In Zeiten, in denen Informationen über potenzielle Kunden wertvoller denn je sind, können solche Daten Gold wert sein.
