IT-Forensik · Privatpersonen

Wie kann ich prüfen lassen, wann ein Foto tatsächlich aufgenommen wurde?

Das Datum, das eine Galerie-App anzeigt, ist nicht zwangsläufig der Aufnahmezeitpunkt. Es kann aus den EXIF-Daten stammen, aus der Dateisystemzeit, aus dem Zeitpunkt des Imports oder des Empfangs über einen Messenger. Für einen belastbaren Zeitpunkt müssen mehrere unabhängige Quellen übereinstimmen.

Unverbindlich anfragen

Warum diese Frage für Privatpersonen wichtig ist

Chats, Fotos, Videos und Screenshots können bei privaten, zivil- oder strafrechtlichen Auseinandersetzungen erhebliches Gewicht bekommen. Ihre sichtbare Darstellung beantwortet jedoch nicht automatisch Fragen nach Herkunft, Veränderung, Zeitpunkt oder Urheberschaft.

Technischer Hintergrund

EXIF-Felder wie DateTimeOriginal, OffsetTimeOriginal und GPS-Zeit werden von der Kamera geschrieben – nach der jeweiligen Geräteuhr. Messenger entfernen Metadaten häufig beim Versand. Cloud-Dienste ergänzen eigene Upload-Zeitpunkte. Bearbeitungsprogramme können Felder überschreiben.

Relevante Spuren und Datenquellen

• EXIF/XMP: DateTimeOriginal, Zeitzonen-Offset, GPS-Zeitstempel, Kameramodell, Seriennummer
• Dateisystemzeiten auf Gerät oder Speicherkarte
• Fotodatenbank des Smartphones (z. B. Photos.sqlite auf iOS)
• Upload- und Empfangszeitpunkte in Cloud oder Messenger
• Bildinhalt-Plausibilität (z. B. Schatten, Wetter, sichtbare Uhrzeit)

Grenzen

• Liegt nur eine weitergeleitete Kopie ohne Metadaten vor, ist der Zeitpunkt oft nicht bestimmbar.
• EXIF-Daten lassen sich verändern; einzelne Zeitstempel beweisen nichts allein.

Mögliche Ergebnisse

• Aufnahmezeitpunkt durch mehrere Quellen gestützt
• Zeitpunkt nur eingrenzbar (frühester/spätester Zeitpunkt)
• Hinweise auf nachträgliche Änderung von Zeitstempeln

Warum LanCologne?

Digitale Beweismittel wirken für Laien häufig eindeutiger, als sie technisch sind. Ein Screenshot kann echt aussehen und trotzdem bearbeitet sein.

So gehen wir vor

• Original-Datei oder besser das Aufnahmegerät sichern.
• Alle vorhandenen Zeitquellen auslesen und Zeitzonen bzw. Geräteuhr berücksichtigen.
• Widersprüche erklären oder als offen kennzeichnen.

Authentizität ist nicht dasselbe wie Urheberschaft

Eine Nachricht kann technisch authentisch in einem Account oder auf einem Gerät gespeichert sein, ohne dass allein daraus sicher folgt, welche natürliche Person sie verfasst hat. Diese Trennung verhindert, dass ein korrekter technischer Befund mit einer nicht belegten Personenbehauptung vermischt wird.

Originaldaten sind wichtiger als die bloße Bildschirmdarstellung

Ein Screenshot kann wertvoll sein, insbesondere wenn Inhalte später verschwinden. Für eine tiefergehende Untersuchung versuchen wir jedoch, zusätzlich Originaldateien, Appdaten, Datenbanken oder andere Primärquellen zu erhalten. Sie enthalten häufig Kontext, der in der sichtbaren Darstellung fehlt.

Warum LanCologne bei der Prüfung digitaler Beweismittel?

LanCologne behandelt digitale Inhalte nicht deshalb als wahr oder falsch, weil sie plausibel aussehen. Wir prüfen die verfügbare technische Beweisgrundlage, dokumentieren Herkunft und Aussagegrenzen und bereiten die Herleitung so auf, dass sie für den Privatkunden verständlich und für Anwalt, Ermittlungsbehörde, Gericht oder einen weiteren qualifizierten IT-Forensiker nachvollziehbar bleibt.

Bei manipulierten digitalen Beweisdaten kann je nach konkretem Sachverhalt § 269 StGB relevant sein. Die Vorschrift betrifft unter ihren Voraussetzungen das Speichern oder Verändern beweiserheblicher Daten in Täuschungsabsicht beziehungsweise den Gebrauch entsprechend gespeicherter oder veränderter Daten. Ob eine konkrete Datei oder Nachricht sämtliche Tatbestandsmerkmale erfüllt, ist eine juristische Frage; eine technische Manipulationsfeststellung allein beantwortet dies nicht.

Für zivilgerichtliche Verfahren ist § 371 ZPO relevant. Danach kann der Beweis durch Augenschein auch durch Vorlegung oder Übermittlung elektronischer Dokumente angetreten werden. § 371a ZPO enthält besondere Regelungen zur Beweiskraft elektronischer Dokumente, insbesondere bei qualifizierten elektronischen Signaturen und bestimmten öffentlichen elektronischen Dokumenten. Nicht jede gewöhnliche Chatnachricht oder Bilddatei besitzt deshalb automatisch die dort geregelte besondere Beweiskraft.

Für Sachverständigenbeweis gelten §§ 402 ff. ZPO. Ein privat beauftragtes IT-forensisches Gutachten ist nicht allein aufgrund seiner technischen Qualität ein gerichtliches Sachverständigengutachten. Seine nachvollziehbare Methodik und erhaltene Beweisgrundlage können aber für Rechtsanwälte und eine spätere fachliche Prüfung wichtig sein.

Hashwerte sind ein wichtiges Integritätsinstrument, aber keine Echtheitsgarantie für den ursprünglichen Inhalt. Ein Hash dokumentiert, dass ein bestimmter Datenstand seit der Hashbildung unverändert geblieben ist beziehungsweise mit einem Vergleichsstand bitweise übereinstimmt. Er beantwortet nicht automatisch, ob der Inhalt vor der Sicherung manipuliert worden war.

LanCologne bewertet technische Daten und deren Aussagekraft. Rechtliche Beweiswürdigung, strafrechtliche Einordnung und die Entscheidung, welcher Beweis im Verfahren welche Bedeutung erhält, obliegen Rechtsanwälten, Ermittlungsbehörden und Gerichten.

Häufige Fragen

Weiterführende Themen

• Wie kann ich feststellen lassen, ob ein Foto nachträglich bearbeitet wurde?
• Wie kann ich feststellen lassen, ob Schadensfotos oder Beweisbilder nachträglich bearbeitet wurden?
• IT-Forensik für Privatpersonen

LanCologne – IT-Forensik für Privatpersonen

Sie haben eine digitale Frage? LanCologne unterstützt Sie mit einer sachlichen, ergebnisoffenen IT-forensischen Untersuchung.

Jetzt Kontakt aufnehmen