Hacker erklärt, wie du nicht auf manipulierte Bilder reinfällst

Der wütende Mann trägt den Schriftzug der linksextremen RAF auf der Hand und zeigt zugleich den Hitlergruß – das passt auf den ersten Blick nicht zusammen. Hunderttausende haben dieses Foto gesehen, das während der rechtsextremen Proteste in Chemnitz entstand. Medien hatten das Bild für einen Fake erklärt, mussten das aber später korrigieren – denn das Bild war echt.

Andere Bilder aus den Nachrichten haben sich im Nachhinein wiederum als Fälschung herausgestellt: Der Iran verbreitete im Jahr 2008 etwa das Foto eines Raketentests mit vier Raketen – dabei sind es in Realität nur drei Raketen gewesen. Offenbar sollte, damit verheimlicht werden, dass eine Rakete eine Fehlzündung hatte. So können Bilder durch Montagen, Manipulationen oder einen veränderten Kontext unterschiedliche Botschaften verbreiten.

Der IT-Forensiker Jakob Hasse erforscht, wie man feststellen kann, von welcher Kamera ein Foto stammt. Derzeit betreibt er für die Firma Dence digitale Spurensuche. Im Interview mit Motherboard erklärt er, wie ihr einem Bild mithilfe von Metadaten Geheimnisse entlockt – und wie ihr allein durch Zoomen schon einige Manipulationen aufspüren könnt.

Motherboard: Bild -Chef Julian Reichelt hatte am 3. September über ein Foto des Sängers von Feine Sahne Fischfilet gewittert. Reichelt glaubte offenbar, dass das Foto manipuliert sein könnte – wegen zwei auffälligen Pixelblöcken. Geht das überhaupt?
Jakob Hasse: Die Kernfrage ist, ab wann wir von Manipulation sprechen. Oft spricht man davon, wenn die Nachricht, die von einem Bild ausgeht, maßgeblich verändert wurde. Wenn ein Bild nur etwas heller und satter gemacht wurde, damit es hübscher aussieht, ist das noch keine Manipulation.

Das Bild, auf das sich Reichelt bezieht, ist stark komprimiert. Da ist es normal, dass Kanten auftauchen und Bildteile verwischt aussehen. Das deutet aber zunächst nur darauf hin, dass das Bild in schlechter Qualität abgespeichert wurde. Dann können solche Artefakte entstehen. Artefakte sind Spuren, die darauf hindeuten, dass mit dem Bild etwas gemacht wurde. Als Forensiker würde ich aber nicht sagen, dass ein Bild mit Artefakten zwingend inhaltlich verändert wurde. Dafür müsste man schauen, was die Geschichte von dem Bild ist und was man noch darüber herausfinden kann.

Kann ich eine Manipulation überhaupt mit bloßem Auge erkennen?
Das kommt darauf an, wie gut sie gemacht ist. Es gibt sehr überzeugende Manipulationen, die eine reale Szene so verändern, dass sie dem Betrachter echt erscheint. Aber es gibt Anhaltspunkte: Schau dir zuerst den Bildinhalt an und überlege, ob er plausibel ist. Stimmt die Umgebung mit dem angeblichen Aufnahmeort überein? Dafür kann man Satellitenbilder oder auch Street View benutzen. Du kannst auch darauf achten, ob Tageszeit, Sonnenstand und Schattenwurf zusammenpassen. Es fällt zum Beispiel auf, wenn eine Person im Bild im Gegensatz zu den anderen keinen Schatten wirft.

Doch selbst, wenn dir so etwas auffällt, musst du vorsichtig sein: Das Auge kann stark texturierte Inhalte schlecht wiedererkennen, zum Beispiel wenn ein Gestrüpp innerhalb eines Bildes vervielfältigt wurde, um etwas zu verdecken. Bei manipulierten Bildern werden oft Elemente, die bereits im Bild sind, vervielfältigt, um Bereiche zu kaschieren. Das nennt man "copy and clone". Baut man Dinge aus anderen Bildern ein, stimmt meist die Beleuchtung nicht, das kann leicht auffallen. Im Gegensatz zu einem Menschen kann ein Computer aber recht einfach erkennen, ob Bildausschnitte kopiert und geklont wurden. Der Computer merkt auch, wenn jemand kopierte Bereiche gedreht oder verkleinert hat.

Was kann ich tun, wenn mir am Bild selbst nichts Verdächtiges auffällt?
Als zweites kannst du dir die Bilddatei anschauen. Mit der Bilddatei verknüpfte Informationen und Metadaten verraten etwas über die Historie der Datei. Manche kannst du schon sehen, indem du rechtsklickst und dir die Bildeigenschaften anzeigen lässt.

Was können Metadaten denn preisgeben?
In sogenannten EXIF-Daten betten Kameras automatisch Informationen über ein Bild ein, etwa wann und mit welcher Kamera es aufgenommen wurde und welche Blende der Fotograf benutzt hat. Es gibt aber auch noch andere Metadaten, die ein Computer nutzt, um ein Bild möglichst einfach zu speichern und anzuzeigen. Die Daten enthalten Infos, aus denen man ablesen kann, ob das Bild zuletzt von der Kamera oder einer anderen Software gespeichert wurde. Wenn sich herausstellt, dass das eine Kamera war, ist das ein starker Hinweis darauf, dass es nicht verändert wurde.

Wie komme ich an die Metadaten eines Bildes, die sich nicht per Rechtsklick anzeigen lassen?

Wir benutzen dafür unsere eigenen Tools, denn was in den Eigenschaften angezeigt wird, ist nicht vollständig. Manche Informationen fehlen. Es kann auch sein, dass jemand nachträglich etwas verändert und das Betriebssystem nur die aktualisierte Version der Metadaten anzeigt.

Im Windows Explorer beispielsweise kannst du dir das Aufnahmedatum eines Bildes in der Vorschau anzeigen lassen. Mit einem Klick kannst du dieses Datum aber ändern, das wird dann in den Bilddaten eingetragen und Windows wird dir von da an immer das manipulierte Datum anzeigen. Aber das alte Datum bleibt in den Metadaten enthalten, denn Windows entfernt es nicht. Das ist eine Spur, die du erstmal nicht siehst. Erst, wenn man das Bild auseinandernimmt, wird sie wieder sichtbar. Um das herauszufinden, haben wir die Spezifikationen für JPG-Dateien auseinandergenommen, um zu verstehen, wo diese Informationen versteckt und wie sie aufgebaut sind.

Kann ich mir solche Spezialwerkzeuge zum Lesen von Metadaten auch selbst besorgen?

Ja, dafür gibt es zum Beispiel ExifTool. Mit diesem und anderen Programmen kannst du die Metainformationen teilweise verändern. Aber selbst wenn jemand ein Bild mithilfe dieser Tools manipuliert, lässt sich das manchmal noch feststellen. Denn unterschiedliche Kameras speichern zum Beispiel das Datum in verschiedenen Formaten: Einige speichern es als Zeichenkette, andere als Zahl.

Außerdem überlässt das JPG-Format den Herstellern viele Möglichkeiten, manche Metadaten auf ihre eigene Art und Weise zu speichern. Andere Hersteller halten sich auch nicht genau an den JPG-Standard. Durch diese Besonderheiten lässt sich erkennen, wer der Hersteller der Kamera ist, mit welchem Modell das Bild aufgenommen wurde – und ob jemand das Bild zuletzt mit einer Bildbearbeitungssoftware gespeichert hat.

Kann ich manipulierte Bilder auch erkennen, wenn jemand die Metadaten gelöscht hat?
Ja, es gibt noch weitere Möglichkeiten. Wenn du ein Bild als JPG speicherst, wird es automatisch komprimiert, damit es nicht so viel Speicherplatz braucht. Bei diesen Komprimierungsverfahren entstehen Artefakt-Blöcke, die acht mal acht Pixel groß sind. Wenn jemand Teile eines Bildes in ein anderes kopiert und nicht auf diese Blockgrenzen achtet, kann man sehen, dass Blöcke zueinander verschoben sind.

Was kann ich machen, wenn jemand all diese Fallstricke beachtet?
Selbst dann lässt sich noch etwas herausfinden: Jede Kamera hat ein eigenes Rauschmuster. Das liegt an kleinen Materialfehlern. Man kann Kameras nicht so produzieren, dass jeder Sensor exakt gleich ist. Das führt zu dem eindeutigen Rauschen, das zu einer Kamera gehört. Selbst bei teuren Spiegelreflexkameras, die sehr wenig rauschen, sind die Muster eindeutig für den einzelnen Sensor. Sogar baugleiche Modelle unterscheiden sich.

Zusätzlich gibt es noch charakteristische Bildfehler, die durch defekte Pixel im Bildsensor entstehen. Sie erscheinen dann etwa immer als helle Punkte auf einem Bild. Wenn nun zwei Fotos miteinander kombiniert werden, die mit unterschiedlichen Kameras aufgenommen wurden, kann man durch Computeranalysen erkennen, dass das Bild verschiedene Rauschmuster und Fehler hat.

Das Rauschmuster einer Kamera ist ähnlich wie ein Fingerabdruck. Um es zu ermitteln, brauchen wir zwei hochauflösende Bilder und ein Computerprogramm. Dann können wir andere Fotos daraufhin untersuchen, ob das Rauschmuster auch bei ihnen vorkommt oder ob es in bestimmten Teilen des Bildes unerwartet abweicht. Wenn ja, ist es wahrscheinlich, dass diese Teile mit einer anderen Kamera aufgenommen worden sind.

Für wen arbeiten eigentlich Bildforensiker wie du?
Für Versicherungen ist Bildforensik sehr interessant. Wenn die Versicherung für einen Schaden bezahlen soll, reichen Versicherte ja Fotos ein. Die Versicherung möchte dann überprüfen, ob der Schaden wirklich nach Abschluss des Versicherungsvertrags entstanden ist – oder ob jemand das Aufnahmedatum verändert hat.

Ebenfalls auf Motherboard: Warum Weltraumbakterien wichtig für unsere Zukunft sind

Natürlich braucht man Bildforensiker auch vor Gericht. Menschen vor Gericht behaupten oft, ein Beweisfoto sei nicht echt, um sich zu schützen. Dann muss ein Gutachten eingeholt werden.

Gibt es das perfekt gefälschte Bild?
Es ist ein Katz-und-Maus-Spiel zwischen Forensikern und Fälschern. Der Fälscher denkt sich eine Fälschung aus und der Forensiker will sie entdecken. Wir gehen davon aus, dass der Forensiker immer gewinnt, wenn er genug Zeit hat – denn er kann sich neue Wege überlegen, um seine Untersuchungen zu verfeinern. Das ist wie bei der Dopingkontrolle: Kontrolleure frieren Blutproben der Sportler teils mehrere Jahre lang ein. Später können sie die Proben dann mit neu entwickelten Verfahren testen und Täter überführen.

Folgt Anna auf Twitter und Motherboard auf Facebook, Instagram , Snapchat und Twitter