Material aus einer Türsprechanlage, ein weitergeleitetes Sprachmemo, ein Videoclip aus einem Messenger: Solche Dateien werden regelmäßig mit der Frage vorgelegt, ob sie „echt" sind. Technisch prüfbar sind Herkunft, Übernahmeweg, Integrität und erkennbare Bearbeitungsspuren.
Originaldatei statt Weiterleitung
Der wichtigste Punkt liegt vor der Analyse. Wird eine Datei über einen Messenger weitergeleitet, per Bildschirmaufnahme kopiert oder in eine Cloud hochgeladen, wird sie in der Regel neu kodiert. Dabei gehen Metadaten verloren, die Kompression wird zusätzlich überlagert, und ein Teil der Merkmale, die eine Herkunftsprüfung tragen könnten, verschwindet.
Sinnvoll ist deshalb die Sicherung vom Aufnahmegerät oder vom Ursprungsspeicher, ohne Zwischenschritt und ohne Umwandlung. Ist das nicht möglich, wird der tatsächliche Übernahmeweg dokumentiert und bei der Bewertung berücksichtigt.
Übernahme und Integritätssicherung
Bei der Übernahme werden Quelle, Zeitpunkt, Übergebende, Dateiname, Dateigröße und eine kryptografische Prüfsumme festgehalten. Ausgewertet wird anschließend auf einer Kopie. Die Prüfsumme belegt, dass zwischen Übernahme und Auswertung keine Veränderung stattgefunden hat – sie sagt nichts darüber, was vor der Übernahme geschehen ist.
Metadaten und Dateistruktur
Container wie MP4, MOV oder WAV haben einen strukturellen Aufbau, der Rückschlüsse zulässt: Reihenfolge und Zusammensetzung der Atome oder Chunks, Encoder-Kennungen, Quantisierungstabellen, Bildratenverhalten, Zeitcodes, GPS- und Geräteangaben.
Weicht dieser Aufbau von dem ab, was das angeblich erzeugende Gerät typischerweise schreibt, ist das ein prüfbarer Ansatz. Häufigste Erklärung ist allerdings kein Manipulationsversuch, sondern ein Zwischenschritt: Export aus einer App, Übertragung per Messenger, automatische Umwandlung beim Upload.
Metadaten sind zudem leicht veränderbar. Sie stützen eine Aussage, tragen sie aber nicht allein.
Bearbeitungsspuren im Signal
Im Tonmaterial werden Schnittstellen, Pegelsprünge, Wechsel im Grundrauschen, Abweichungen im Raumklang und Diskontinuitäten im Netzbrummen betrachtet. Im Bildmaterial sind es unter anderem doppelte Kompression, uneinheitliches Rauschverhalten, Blockartefakte an Objektkanten, inkonsistente Beleuchtung sowie Auffälligkeiten in Bewegungsvektoren zwischen Einzelbildern.
Solche Merkmale zeigen, dass eine Verarbeitung stattgefunden hat. Ob diese Verarbeitung eine inhaltliche Veränderung war oder eine technisch bedingte Umwandlung, ergibt sich erst im Zusammenhang.
Grenzen bei schlechter Aufnahmequalität
Stark komprimiertes Material, niedrige Bildraten, geringe Auflösung, Übersteuerung oder hoher Störpegel setzen der Analyse eine harte Grenze. Bei einer Aufnahme mit 8 kHz Abtastrate aus einem Telefonmitschnitt lässt sich über Sprecheridentität wenig Belastbares sagen. Bei einem stark reskalierten Video sind Kompressionsmerkmale nicht mehr trennbar.
Auch Aufbereitung hat Grenzen: Rauschminderung, Entzerrung und Stabilisierung können Verständlichkeit oder Sichtbarkeit verbessern, fügen aber keine Information hinzu, die nicht aufgezeichnet wurde. Jede Aufbereitung wird als eigener, dokumentierter Verarbeitungsschritt geführt, das Original bleibt unverändert.
Synthetisch erzeugtes Material
Bei Verdacht auf synthetische Sprache oder manipuliertes Bildmaterial werden bekannte Auffälligkeiten geprüft: unnatürliche Übergänge in der Sprachmelodie, fehlende Atemgeräusche, ungewöhnlich gleichmäßiges Spektrum, Inkonsistenzen an Gesichtsrändern, unstimmige Reflexionen, abweichendes Frequenzverhalten zwischen Bildbereichen. Vorhandene Herkunftsnachweise nach C2PA werden ausgewertet, sofern sie im Material enthalten sind. Solche Angaben sind ein technisches Vertrauenssignal über Herkunft und Bearbeitungsschritte. Sie beweisen weder die Wahrheit des dargestellten Inhalts noch dessen rechtliche Verwertbarkeit.
Eine zuverlässige Erkennung ist damit nicht verbunden. Erkennungsverfahren hinken den Erzeugungsverfahren hinterher, und stark komprimiertes Material verwischt genau die Merkmale, auf die sie sich stützen. Das Ergebnis lautet daher „Hinweise auf synthetische Erzeugung festgestellt" beziehungsweise „im geprüften Umfang keine Hinweise" – nicht „echt" oder „gefälscht".
Befund und rechtliche Bewertung sind getrennt
Für die spätere fachliche und rechtliche Bewertung können Herkunft, Übernahmeweg, Dateiintegrität und dokumentierte Bearbeitungsschritte eine wichtige Rolle spielen. Ob Ton- oder Bildmaterial in einem konkreten Verfahren zulässig oder verwertbar ist, entscheidet die zuständige Stelle beziehungsweise das Gericht.
Das technische Gutachten beschreibt also, was festgestellt wurde und welche Erklärungen damit vereinbar sind. Die Zulässigkeitsfrage – etwa bei heimlichen Aufnahmen des nichtöffentlich gesprochenen Wortes – liegt außerhalb der technischen Untersuchung. Eine technische Authentizitäts- und Integritätsprüfung sichert daher weder die Zulässigkeit eines Beweismittels noch eine bestimmte Beweiswürdigung zu. Dieser Beitrag ersetzt keine Rechtsberatung.
Nächster Schritt
Hilfreich ist die Angabe, mit welchem Gerät oder System aufgezeichnet wurde, wie die Datei zu Ihnen gelangt ist und ob das Ursprungsmaterial noch existiert. Solange der Ursprungsspeicher verfügbar ist, sollte er nicht weiter beschrieben werden. Die zugehörige Leistung beschreibt die Seite zur Audio-Forensik.