3D-Sensor, Kamera, Infrarot und Lidar oder WLAN: Welche Technologie zählt Personen wie genau?

Am Anfang jeder Evaluation steht dieselbe Frage: Welche Technologie soll unter der Decke hängen? Für eine Personenzählung, die auch im Gedränge trägt, ist 3D-Stereovision in unserer Einordnung das genaueste der verbreiteten Verfahren. Infrarot reicht für Tagessummen an ruhigen Türen, WLAN und Bluetooth zählen Geräte statt Personen. Meist wird die Frage aber mit einer Prozentzahl beantwortet, die der Anbieter mitliefert, und damit ist sie in der Regel falsch beantwortet.

Dieser Beitrag geht vier verbreitete Verfahren durch. Er nennt bei jedem die Betriebsdaten, die eine IT-Abteilung ohnehin abfragen wird, und er rechnet an einer Stelle nach, an der fast nie jemand nachrechnet: was ein kleiner Zählfehler mit der Anwesenheitszahl macht.

Die Technologie entscheidest du einmal. Mit den Folgen lebst du zehn Jahre.

Warum Genauigkeitsangaben nicht vergleichbar sind

Praktisch jeder Anbieter nennt eine Genauigkeit von über 98 oder über 99 Prozent. Diese Zahlen stehen nebeneinander, als liesse sich daraus etwas ableiten. Das tun sie nicht, weil sie unter verschiedenen Bedingungen entstanden sind.

Genauigkeit bei der Personenzählung ist immer eine Angabe pro Durchgang und immer unter definierten Bedingungen. Wer 98 Prozent misst, während einzelne Personen in ruhigem Takt durch eine breite Tür gehen, und wer 98 Prozent misst, während eine Schulklasse gleichzeitig durch dieselbe Tür drängt, hat zwei völlig verschiedene Dinge gemessen.

Die Fragen, die eine Genauigkeitsangabe erst verwertbar machen:

• Bei welcher Verkehrsdichte? Personen pro Minute und Meter Durchgangsbreite. Die Abweichung steigt nicht linear mit der Dichte, sondern überproportional, sobald sich Personen gegenseitig verdecken.
• Wie wurde die Referenz erhoben? Manuelle Zählung durch zwei unabhängige Personen mit Abgleich, oder Video-Nachzählung? Eine Referenz, die selbst Fehler hat, kann keine 99 Prozent belegen.
• Über welchen Zeitraum? Eine Messung über 30 Minuten in der Mittagszeit sagt nichts über den Feierabend.
• Getrennt nach Ein- und Austritt? Das ist die wichtigste Frage, und sie wird fast nie gestellt. Warum, steht im nächsten Abschnitt.
• Wurden Gruppen, Kinderwagen, Rollstühle und Einkaufswagen mitgezählt? Und wenn ja, als was?

Ohne Prüfprotokoll ist eine Prozentangabe Marketing. Mit Prüfprotokoll ist sie eine Zusage, die sich in der Abnahme nachmessen lässt.

Die Rechnung, die kaum jemand aufmacht

Wer nur an Türen zählt, kennt die Anwesenheit nicht direkt. Sie wird gerechnet: alle Eintritte minus alle Austritte. Genau in dieser Subtraktion liegt ein Problem, das in keiner Broschüre steht.

Eine gleichmässige Abweichung ist harmlos. Zählt ein System Eintritte und Austritte beide um zwei Prozent zu niedrig, dann ist auch die Differenz um zwei Prozent zu niedrig. Bei 200 anwesenden Personen sind das 196. Damit kann man arbeiten.

Der Ärger beginnt, sobald die Abweichung an Eingang und Ausgang unterschiedlich ausfällt. Und das ist der Normalfall, nicht die Ausnahme: Menschen betreten eine Fläche in Gruppen und verlassen sie einzeln. Die Eingangstür ist breiter als der Ausgang. Vormittags herrscht anderes Licht als abends. Am Ausgang steht eine Warteschlange, am Eingang nicht - und was eine Schlange mit den Zahlen macht, haben wir an anderer Stelle im Detail auseinandergenommen.

Ein Beispiel mit realistischen Zahlen. Eine Fläche verzeichnet bis 18 Uhr 5'000 Eintritte und 4'800 Austritte. Tatsächlich anwesend: 200 Personen.

Ein einziger Prozentpunkt Unterschied zwischen Ein- und Ausgang macht aus einer Abweichung von zwei Prozent eine von 26 Prozent. Der Grund ist elementar: Der Fehler wächst mit dem Gesamtverkehr, die Anwesenheit ist aber eine kleine Differenz zweier grosser Zahlen.

Und es wird schlimmer, je grösser die Fläche ist. Bei 20'000 Eintritten und 19'500 Austritten, also 500 anwesenden Personen, ergibt dieselbe Konstellation aus 2 und 1 Prozent bereits 41 Prozent Abweichung.

Die Anwesenheit ist eine kleine Differenz zweier grosser Zahlen. Kleine Fehler in den grossen Zahlen sind grosse Fehler im Ergebnis.

Daraus folgen zwei praktische Konsequenzen.

Erstens: Eine Genauigkeitsangabe, die nicht getrennt nach Ein- und Austritt ausgewiesen ist, sagt über die Anwesenheitsmessung nichts aus. Verlange die Aufschlüsselung.

Zweitens: Wer Anwesenheit, Verweildauer oder Auslastung wirklich braucht, sollte fragen, wann die Bilanz neu beginnt. Jeder Fehler, der in die Differenz eingeht, bleibt bis zum nächsten Nullpunkt in der Zahl. Ein fester täglicher Nullpunkt in der Nacht, wenn die Fläche leer ist, hält eine Abweichung von gestern aus dem heutigen Wert heraus. Und wer zusätzlich Zonen auf der Fläche erfasst, sieht nicht nur, wie viele da sind, sondern auch, wo sie sich aufhalten und wie lange.

Verfahren 1: 3D-Stereovision

Zwei Linsen in festem Abstand liefern zwei leicht versetzte Bilder desselben Ausschnitts. Aus der Verschiebung zwischen beiden berechnet eine Recheneinheit im Gerät die Entfernung jedes Bildpunkts. Dasselbe Prinzip, mit dem zwei Augen räumlich sehen.

Der Gewinn ist die dritte Dimension. Der Sensor sieht nicht eine Fläche mit Flecken darauf, sondern eine Höhenkarte. Zwei Köpfe nebeneinander sind zwei Maxima und damit zwei Personen. Ein Erwachsener und ein Kind unterscheiden sich in der Höhe. Ein Einkaufswagen hat kein Kopfprofil. Genau die Fälle, an denen einfachere Verfahren scheitern, löst die Tiefeninformation von selbst.

Die Bildverarbeitung passiert vollständig im Gerät. Nach aussen geht Text: Zählereignisse, Positionen und daraus abgeleitete Merkmale wie die Körpergrösse, jeweils mit Zeitstempel. Kein Bild, kein Videostrom.

Betriebsdaten, nach denen die IT fragen wird (Herstellerangaben)

• Stromversorgung: Power over Ethernet nach IEEE 802.3af, Klasse 0, nominal 48 V. Aufnahme je nach Modell maximal 7.5 bis 13 W. Kein separater Stromanschluss an der Decke, keine Steckdose, keine Elektrikerarbeit am Montagepunkt.
• Verkabelung: ein Kabel je Sensor, Cat-5e geschirmt oder besser, je nach Modell Cat-6, bis 100 m, Gigabit Ethernet über RJ45.
• Netzwerk: IPv4 und IPv6, DHCP, HTTPS, und - für die Freigabe im Unternehmensnetz meist entscheidend - IEEE 802.1x. Ohne Port-Authentifizierung kommt ein Gerät in vielen Organisationen gar nicht erst ins Netz.
• Datenübergabe: REST-Schnittstelle mit Swagger-Dokumentation, dazu aktive Datenübergabe per HTTP(S), FTP(S), SFTP, MQTT(S), TCP oder UDP. MQTT ist der Grund, warum sich solche Sensoren ohne Sonderentwicklung an eine Gebäudeleittechnik hängen lassen.
• Speicher im Gerät: bis zu drei Jahre Zähldaten, abhängig von der Anzahl konfigurierter Zähler. Ein Netzausfall führt damit nicht zu einer Datenlücke.
• Licht: ab 2 Lux. Das ist weniger als eine gedämpfte Museumsbeleuchtung. Ein Verfahren, das Helligkeit braucht, scheidet in einer Ausstellung aus.
• Montagehöhe: je nach Modell 2 bis 6 m für normale Räume, 6 bis 20 m für Hallen, Atrien und Bahnhofsgebäude. Die Höhe bestimmt das Sichtfeld und damit, wie viele Geräte eine Fläche braucht.
• Toleranz bei der Montage: etwa 15 Grad Neigung in der einen, 5 Grad in der anderen Achse. Eine Decke muss nicht perfekt eben sein, aber sie darf auch nicht beliebig schief sein.
• Umgebung: Innenmodelle für 0 bis 45 Grad, 20 bis 80 Prozent Luftfeuchtigkeit nicht kondensierend, Schutzart IP40. Für den Aussenbereich gibt es eigene Modelle mit Schutz gegen Wasser und Staub, für minus 33 bis plus 40 Grad.
• Zuverlässigkeit: rechnerisch über 30 Jahre MTBF nach IEC 61709 (Herstellerangabe), abhängig von Modell und Umgebungstemperatur. Je wärmer die Umgebung, desto höher die rechnerische Ausfallrate.

Was das für die Planung heisst: Grosse Flächen brauchen entsprechend viele Geräte, und die Montagepunkte wollen geplant sein. Das ist kein Gerät, das man irgendwo hinhängt und das dann schon passt. Wer eine Fläche lückenlos erfassen will, braucht überlappende Sichtfelder, und die ergeben sich aus Deckenhöhe und Grundriss.

Verfahren 2: Kamera mit Gesichtserkennung

Eine Videokamera nimmt auf, eine Software wertet aus. Videoanalyse gibt es in vielen Ausprägungen, von der einfachen Zählung im Bild bis zur Gesichtserkennung. Um die Gesichtserkennung geht es hier, weil sie am weitesten reicht: Mit ihr lassen sich Personen eindeutig identifizieren und wiedererkennen, womit sich theoretisch auch Verweildauer und Wiederkehr bestimmen lassen.

Drei Punkte sprechen dagegen.

Die Perspektive. Kameras hängen meist seitlich, nicht senkrecht. Wer hinter jemandem steht, ist verdeckt. Ausgerechnet bei hoher Dichte, wo die Daten am meisten wert wären, entstehen die Lücken.

Die Infrastruktur. Videobilder müssen über das Netz und auf Speicher. Bei mehreren Kameras über Monate wird daraus eine eigene Anlage mit eigener Wartung und eigenem Ausfallrisiko. Die Datenlast ist um Grössenordnungen höher als bei einem Gerät, das nur Text sendet.

Der Rechtsrahmen. Gesichtsmerkmale sind biometrische Daten. Dienen sie der eindeutigen Identifizierung, fallen sie nach der DSGVO unter Artikel 9 als besondere Kategorie personenbezogener Daten, in der Schweiz sind sie nach dem revidierten DSG besonders schützenswert. Wer sie einsetzt, muss in der Regel mit einer Datenschutz-Folgenabschätzung, einem Löschkonzept und einer Information der Betroffenen rechnen, im EU-Raum zusätzlich mit der Frage nach der Rechtsgrundlage. Das ist kein Formalismus, sondern ein eigenes Projekt neben dem Zählprojekt.

Wer Gesichter speichert, löst ein Zählproblem, indem er sich ein Datenschutzproblem einkauft.

Verfahren 3: Licht und Laser, also Infrarot und Lidar

Beide arbeiten mit Licht, aber auf verschiedene Weise. Eine Infrarot-Lichtschranke erkennt, dass ein Strahl unterbrochen wird. Lidar sendet Laserpulse aus und misst die Laufzeit bis zur Rückkehr. Daraus wird eine Entfernung, aus vielen Entfernungen eine Form.

Infrarot ist der Klassiker im Türrahmen, oft schon vorhanden und seit Jahrzehnten bewährt. Was fehlt, ist die Genauigkeit. Arbeitet das System mit einzelnen Lichtschranken, verdeckt eine grössere Person eine kleinere vollständig, und zwei nebeneinander werden zu einer. Für eine Tagessumme an einer ruhigen Tür reicht das. Für eine Anwesenheitsrechnung reicht es nach der Rechnung oben nicht.

Lidar arbeitet mit gebündeltem Laser, reicht weiter und misst deutlich präziser. Ein hochwertiger Sensor deckt eine beachtliche Fläche ab.

Beiden gemeinsam ist die Empfindlichkeit gegenüber der Umgebung: Beschlag und Kondensat an der Optik, aussen Regen, Schnee und Nebel stören die Messung. Zusatzmerkmale wie Blickrichtung lassen sich in der Regel nicht nachrüsten.

Ein echter Vorteil: Über einen unterbrochenen Strahl oder eine Lichtlaufzeit lässt sich niemand identifizieren. Datenschutzrechtlich sind diese Verfahren deshalb unkritisch.

Verfahren 4: WLAN und Bluetooth

Sensoren greifen die Funksignale mitgeführter Geräte ab und versuchen, sie über ihre MAC-Adresse wiederzuerkennen. Das Verfahren ist von mehreren Seiten gleichzeitig überholt worden.

Die Stichprobe stimmt nicht. Wer zwei Telefone trägt, dienstlich und privat, wird doppelt gezählt. Kinder und viele ältere Menschen tragen keines und fehlen ganz. Gezählt werden Geräte, nicht Personen, und das Verhältnis zwischen beiden ist weder bekannt noch stabil.

Die Grundlage wurde absichtlich entfernt. Betriebssysteme vergeben inzwischen zufällige MAC-Adressen, je Netzwerk und bei der Suche nach Netzen, teils mit regelmässigem Wechsel. Das ist eine notwendige Datenschutzmassnahme der Hersteller, und sie macht das Wiedererkennen über Netze und Tage hinweg wirkungslos. Eine Anlage, die darauf baut, verliert mit jedem Systemupdate an Wert, ohne dass jemand etwas falsch gemacht hätte.

Und datenschutzrechtlich ist es heikel. Eine MAC-Adresse ist ein eindeutiger Bezeichner, und es existieren Datenbestände, die solche Bezeichner mit Personen verknüpfen.

Die vier Verfahren nebeneinander

Die Tabelle ist eine qualitative Einordnung, keine Messung. Das Prüfprotokoll, nach dem dieser Beitrag fragt, ersetzt sie nicht.

Datenschutz ist eine Architekturentscheidung, kein Nachgedanke

In der Schweiz gilt seit dem 1. September 2023 das revidierte Datenschutzgesetz, im EU-Raum die DSGVO. Die beiden setzen unterschiedlich an: Die DSGVO verlangt für jede Bearbeitung von Personendaten eine Rechtsgrundlage, das revidierte DSG verlangt eine Rechtfertigung, sobald eine Bearbeitung die Persönlichkeit verletzt. Einig sind sie sich darin, dass biometrische Daten, die eine Person eindeutig identifizieren, besonders schützenswert sind.

Für eine Ausschreibung folgt daraus eine unangenehme Asymmetrie. Kann ein Verfahren Personen identifizieren, musst du dauerhaft erklären, warum du es einsetzt, wie du die Daten schützt, wie lange du sie aufbewahrst und wie du Betroffene informierst. Kann ein Verfahren niemanden identifizieren, wird diese Diskussion deutlich kürzer - im Projekt, bei der Arbeitnehmervertretung, in der Revision und gegenüber deinen Besuchern.

Das belastbarste Datenschutzkonzept ist das, bei dem nie identifizierende Daten entstehen.

Deshalb arbeiten die 3D-Sensoren, die wir einsetzen, ohne Gesichtserkennung. Die Auswertung passiert im Gerät, und das Bild bleibt dort. Was das Gerät verlässt, ist Text: Zählereignisse, Positionen und abgeleitete Merkmale, verknüpft mit einer sitzungsgebundenen Kennung statt mit einer Identität. Im Zählbetrieb verlässt kein Bild den Sensor, und ACS legt keine Bilder ab.

Checkliste für die Ausschreibung

Sieben Fragen, die den Unterschied zwischen einer Zusage und einer Prozentzahl ausmachen:

1. Genauigkeit getrennt nach Ein- und Austritt, mit Prüfprotokoll und Angabe der Verkehrsdichte.
2. Wird nur die Türlinie erfasst oder auch Zonen auf der Fläche, und wann beginnt die Anwesenheitsbilanz neu? Davon hängt ab, wie weit die Anwesenheit driften kann und ob sich Verweildauer messen lässt.
3. Welche Daten verlassen das Gerät? Bild, Video oder nur Text?
4. Unterstützt das Gerät IEEE 802.1x? Ohne das scheitert die Freigabe im Unternehmensnetz.
5. Wie viele Geräte braucht dein Grundriss bei deiner Deckenhöhe? Die Antwort gehört in die Planung, nicht in die Umsetzung.
6. Wie lange speichert das Gerät selbst, wenn das Netz ausfällt?
7. Welche Schnittstelle gibt es, und ist sie dokumentiert? Eine REST-Schnittstelle mit Swagger ist ein Integrationsprojekt von Tagen, eine undokumentierte ist eines von Wochen.

Wie wir das machen

Das ANALYSIT Counting System arbeitet mit 3D-Sensoren an den Eingängen und, wo du es brauchst, mit Zonen auf der Fläche. Es weist im Minutenraster aus, wie viele Besucher kommen, rückblickend über 730 Tage, dazu die Belegung live, auch je Zone, und wie lange sie wo bleiben. Die Bilanz der laufenden Belegung beginnt jeden Tag um 3 Uhr Ortszeit neu.

Kein Bild, kein Gesichtsmerkmal und keine Gerätekennung verlässt den Sensor. ACS erhält keine identifizierenden Daten: Der Zähler im Minutenraster ist ohne Personenbezug, und wo es um Wege und Verweildauer geht, arbeitet ACS mit einer sitzungsgebundenen, pseudonymen Kennung des Sensors statt mit einer Identität.

Wenn du wissen willst, wie viele Sensoren deine Fläche braucht und was auf ihr messbar ist, sprich mit uns. Im Site-Survey werden Grundriss, Deckenhöhen und Türbreiten aufgenommen. Daraus ergeben sich Sensormodell, Montagehöhe und Anzahl, und die Zähllinien und Zonen werden auf dem Grundriss festgelegt.