IT-forenzika · Posamezniki

Kako lahko preverim, kdaj je bila fotografija dejansko posneta?

Das Datum, das eine Galerie-App anzeigt, ist nicht zwangsläufig der Aufnahmezeitpunkt. Es kann aus den EXIF-Daten stammen, aus der Dateisystemzeit, aus dem Zeitpunkt des Imports oder des Empfangs über einen Messenger. Für einen belastbaren Zeitpunkt müssen mehrere unabhängige Quellen übereinstimmen.

Nezavezujoča poizvedba

Zakaj je to vprašanje pomembno za posameznike

Klepeti, fotografije, videoposnetki in posnetki zaslona lahko v zasebnih, civilnih ali kazenskih sporih pridobijo precejšnjo težo. Njihova vidna predstavitev pa ne daje samodejno odgovorov na vprašanja o izvoru, spremembah, času nastanka ali avtorstvu.

Technischer Hintergrund

EXIF-Felder wie DateTimeOriginal, OffsetTimeOriginal und GPS-Zeit werden von der Kamera geschrieben – nach der jeweiligen Geräteuhr. Messenger entfernen Metadaten häufig beim Versand. Cloud-Dienste ergänzen eigene Upload-Zeitpunkte. Bearbeitungsprogramme können Felder überschreiben.

Relevante Spuren und Datenquellen

  • EXIF/XMP: DateTimeOriginal, Zeitzonen-Offset, GPS-Zeitstempel, Kameramodell, Seriennummer
  • Dateisystemzeiten auf Gerät oder Speicherkarte
  • Fotodatenbank des Smartphones (z. B. Photos.sqlite auf iOS)
  • Upload- und Empfangszeitpunkte in Cloud oder Messenger
  • Bildinhalt-Plausibilität (z. B. Schatten, Wetter, sichtbare Uhrzeit)

Grenzen

  • Liegt nur eine weitergeleitete Kopie ohne Metadaten vor, ist der Zeitpunkt oft nicht bestimmbar.
  • EXIF-Daten lassen sich verändern; einzelne Zeitstempel beweisen nichts allein.

Mögliche Ergebnisse

  • Aufnahmezeitpunkt durch mehrere Quellen gestützt
  • Zeitpunkt nur eingrenzbar (frühester/spätester Zeitpunkt)
  • Hinweise auf nachträgliche Änderung von Zeitstempeln

Zakaj LanCologne?

Digitale Beweismittel wirken für Laien häufig eindeutiger, als sie technisch sind. Ein Screenshot kann echt aussehen und trotzdem bearbeitet sein.

So gehen wir vor

  • Original-Datei oder besser das Aufnahmegerät sichern.
  • Alle vorhandenen Zeitquellen auslesen und Zeitzonen bzw. Geräteuhr berücksichtigen.
  • Widersprüche erklären oder als offen kennzeichnen.

Avtentičnost ni isto kot avtorstvo

Sporočilo je lahko tehnično avtentično shranjeno v računu ali na napravi, ne da bi iz tega samega dejstva z gotovostjo izhajalo, katera fizična oseba ga je napisala. Ta ločitev preprečuje, da bi se pravilna tehnična ugotovitev pomešala z nedokazano trditvijo o identiteti osebe.

Izvirni podatki so pomembnejši od samega prikaza na zaslonu

Posnetek zaslona je lahko koristen, še posebej če se vsebina kasneje izgubi. Za podrobnejšo preiskavo pa poskušamo pridobiti tudi izvirne datoteke, podatke iz aplikacij, baze podatkov ali druge primarne vire. Ti pogosto vsebujejo kontekst, ki v vidnem prikazu manjka.

Zakaj se pri preiskavi digitalnih dokazov uporablja metoda LanCologne?

LanCologne digitalnih vsebin ne obravnava kot resničnih ali napačnih zgolj zato, ker izgledajo verjetne. Preverjamo razpoložljive tehnične dokaze, dokumentiramo izvor in omejitve trditev ter pripravimo utemeljitev tako, da je razumljiva za zasebne stranke in hkrati pregledna za odvetnike, preiskovalne organe, sodišča ali druge usposobljene IT-forenzike.

Pravni okvir

V primeru ponarejenih digitalnih dokaznih podatkov je lahko, odvisno od konkretnih okoliščin, relevanten § 269 Kazenskega zakonika. Ta določba v skladu s svojimi pogoji zadeva shranjevanje ali spreminjanje podatkov, pomembnih za dokazovanje, z namenom zavajanja oziroma uporabo tako shranjenih ali spremenjenih podatkov. Ali konkretna datoteka ali sporočilo izpolnjuje vse sestavne elemente kaznivega dejanja, je pravno vprašanje; sama ugotovitev tehnične manipulacije na to vprašanje ne daje odgovora.

Za civilna sodna postopka velja § 371 ZPO. V skladu s tem se dokaz z ogledom lahko predloži tudi s predložitvijo ali posredovanjem elektronskih dokumentov. § 371a ZPO vsebuje posebne določbe o dokazni moči elektronskih dokumentov, zlasti v primeru kvalificiranih elektronskih podpisov in določenih javnih elektronskih dokumentov. Zato vsako običajno sporočilo v klepetu ali slikovna datoteka ne ima avtomatično posebne dokazne moči, ki je tam določena.

Za izvedensko mnenje veljajo §§ 402 in naslednji ZPO. Zasebno naročeno forenzično poročilo s področja informatike ni sodno izvedensko poročilo zgolj zaradi svoje tehnične kakovosti. Njegova razumljiva metodologija in pridobljena dokazna podlaga pa sta lahko pomembni za odvetnike in poznejšo strokovno preveritev.

Hash vrednosti so pomembno orodje za zagotavljanje integritete, vendar ne zagotavljajo pristnosti izvirne vsebine. Hash dokazuje, da je določen nabor podatkov od trenutka izračuna hash vrednosti ostal nespremenjen oziroma da se bit za bitom ujema s primerjalnim naborom. Ne daje pa samodejnega odgovora na vprašanje, ali je bila vsebina pred varnostnim kopiranjem spremenjena.

LanCologne ocenjuje tehnične podatke in njihov pomen. Pravna ocena dokazov, kazenskopravna opredelitev ter odločitev o tem, kateri dokaz ima v postopku kakšen pomen, so v pristojnosti odvetnikov, preiskovalnih organov in sodišč.

Pogosta vprašanja

Kako lahko preverim, kdaj je bila fotografija dejansko posneta?
Klepeti, fotografije, videoposnetki in posnetki zaslona lahko v zasebnih, civilnih ali kazenskih sporih pridobijo precejšnjo težo. Njihova vidna predstavitev pa ne daje samodejno odgovorov na vprašanja o izvoru, spremembah, času nastanka ali avtorstvu.
Kann man EXIF-Daten fälschen?
Ja, mit wenig Aufwand. Deshalb werden unabhängige Quellen wie Fotodatenbank, Cloud-Upload oder Gerätelogs zum Abgleich herangezogen.
Reicht die Datei, die ich per WhatsApp bekommen habe?
Meist nicht, weil Messenger Metadaten entfernen. Das Original vom aufnehmenden Gerät ist deutlich aussagekräftiger.
Spielt die Zeitzone eine Rolle?
Ja. Ohne Offset-Angabe kann ein Zeitstempel um Stunden abweichen.

Weiterführende Themen

LanCologne – IT-forenzika za posameznike

Imate vprašanje v zvezi z digitalnim področjem? LanCologne vam nudi podporo z objektivno in nepristransko forenzično preiskavo na področju IT.

Stopite v stik zdaj