Dass GIMP beim Benutzen des Radierers die Farbinformationen des Pixels
erhält ist gewolltes Verhalten. Wir empfehlen dringend, zum Schwärzen
von sensiblen Informationen in Bildern das Pinselwerkzeug zu verwenden
oder eine Auswahl zu füllen. Dabei ist insbesonders auch darauf zu
achten, dass man mit einer Deckkraft von 100% arbeitet, ansonsten lassen
sich auch hier u.U. wieder Informationen rekonstruieren.

Das Verhalten von GIMP ist in unseren Augen zwingend. Experimente mit
intern pre-multiplied gespeicherten Daten zu hantieren haben in
Benutzerbeschwerden resultiert, weil ein Nebeneffekt von (8-Bit)
Pre-Multiplied-Daten genau ist, dass Pixel mit 0% Deckkraft auch keine
Farbinformationen mehr tragen können. Die Nutzerbeschwerden kamen
insbesonders von Leuten, die mit Texturen gearbeitet haben, wo der
Alpha-Kanal Informationen unabhängig von den Farbdaten beinhaltet (z.B.
Reflektivität o.ä.). Für diese Personengruppe wurde GIMP als Werkzeug
unbrauchbar als in transparenten Pixeln Farbdaten verloren gingen.

Inzwischen haben wir auch insbesonders auch Funktionalität, die sich
darauf verlässt, dass die Informationen erhalten bleiben: In den
Werkzeugoptionen des Radiergummis findet sich der
"Un-Radieren"-Schalter, der eben genau das Gegenteil tut und den
Alpha-Kanal wieder deckender macht. Das ist sinnvoll wenn man z.B. mit
dem Radierer ein Objekt freistellt und anschließend feststellt, dass man
an einer Objektkante etwas zu aggressiv war.

Weiterhin gibt es in den PNG-Export-Optionen einen Schalter, mit dem man
auswählen kann, ob die Bilddaten von transparenten Pixeln mit gespeichert
werden sollen oder nicht. Spätestens hier sollten bei Personen die ernsthaft
mit sensiblen Daten hantieren alle Alarmglocken schrillen.

Wie oben erwähnt sei auch hier nochmal darauf hingewiesen, dass man beim
redigieren unbedingt darauf achten muss, dass die Deckkraft auf 100%
eingestellt ist - und zwar sowohl beim Füllen einer Auswahl als auch
beim Übermalen mit dem Pinsel. Ist dies nicht der Fall wird die
Information eventuell unsichtbar, es können aber durchaus
rekonstruierbare Reste der originalen Informationen erhalten bleiben.
Dies gilt insbesonders wenn man mit Bilddaten in hoher Präzision
arbeitet. Wenn die Pixeldaten als 16-bit-Daten gespeichert sind reichen
nichteinmal 99.9% Deckkraft um die Informationen zu entfernen, obwohl
sie durchaus für das Auge unsichtbar sind.

Aus unserer Sicht ist die Situation vergleichbar mit PDF: Wer versucht,
PDFs zu schwärzen indem er schwarze Rechtecke über sensible Textstellen
legt, der hat ein Problem und muss mehr über die Werkzeuge und
Dateiformate lernen, die er zum Schwärzen verwendet. Wer mit einem
Radierer über ein Blatt Papier rubbelt muss damit rechnen, dass eine
technische Analyse des Dokuments eventuell trotzdem noch die
Informationen rekonstruieren kann. Bei Sicherheitsfragen "Intuitiv" als
Maßstab anzulegen ist in unseren Augen für ernstzunehmende
Security-Arbeit zu kurz gegriffen.