So überprüfen Sie, wann ein Foto aufgenommen wurde (und ein gefälschtes Datum erkennen)

Kurze Antwort: Um das Datum eines Fotos zu überprüfen, öffnen Sie es in einem kostenlosen EXIF-Viewer und vergleichen Sie die drei Zeitstempel, die EXIF aufzeichnet: DateTimeOriginal (wann der Verschluss auslöste), CreateDate, auch DateTimeDigitized genannt (wann die Datei erstmals geschrieben wurde), und ModifyDate (das letzte Mal, dass sie gespeichert wurde). Bei einer echten frischen Aufnahme sind alle drei nahezu identisch. Wenn sie auf verdächtige Weise nicht übereinstimmen, oder wenn DateTimeOriginal fehlt, während ModifyDate aktuell ist, wurde das Datum möglicherweise verändert. GPS-Zeit, Dateireihenfolge in einer Sequenz und Content Credentials geben zusätzliche Sicherheit. Nutzen Sie den EXIF-Viewer, um die Zeitstempel zu lesen, und unser Foto-Forensik-Tool, um tiefer zu graben.

Wenn das Datum eines Fotos für einen Versicherungsanspruch, einen Rechtsstreit, eine Garantiefrist oder eine "Wann ist dieser Schaden passiert"-Diskussion wichtig ist, können Sie dem Datum, das die Datei angibt, nicht einfach vertrauen. EXIF-Daten lassen sich mit kostenlosen Tools in Sekunden bearbeiten, daher ist ein Datum allein kein Beweis. In diesem Leitfaden geht es um legitime Überprüfung: wie man die Zeitstempel liest, die ein Foto trägt, wie ein normales Muster im Vergleich zu einem manipulierten Muster aussieht und wie man das Datum gegen Signale abgleicht, die schwerer zu fälschen sind. Er ist strikt auf Erkennung ausgerichtet, nicht darauf, irgendetwas zu verändern.

Die drei EXIF-Zeitstempel

EXIF speichert drei separate Datumsfelder, und die Beziehung zwischen ihnen ist das Einzelne, das am nützlichsten zu lesen ist.

• DateTimeOriginal soll den Moment aufzeichnen, in dem der Verschluss auslöste. Das ist das "Wann wurde das aufgenommen"-Datum.
• CreateDate (das EXIF-Tag DateTimeDigitized) zeichnet auf, wann das Bild erstmals digitalisiert oder in eine Datei geschrieben wurde. Bei einer Digitalkamera ist das derselbe Augenblick wie DateTimeOriginal.
• ModifyDate zeichnet das letzte Mal auf, dass die Datei gespeichert wurde. Jedes erneute Speichern, Bearbeiten oder Exportieren aktualisiert es.

Das normale Muster. Ein Foto, das mit einem Telefon oder einer Kamera aufgenommen und nie bearbeitet wurde, hat DateTimeOriginal, CreateDate und ModifyDate alle innerhalb von einer oder zwei Sekunden zueinander. Diese enge Übereinstimmung ist, wie eine unberührte Aufnahme aussieht.

Verdächtige Muster. Achten Sie auf diese:

• DateTimeOriginal fehlt, ModifyDate aktuell. Wenn das Verschlussdatum weg ist, aber die Datei kürzlich gespeichert wurde, wurden die ursprünglichen Aufnahmedaten möglicherweise entfernt oder die Datei wurde erzeugt oder neu exportiert statt aufgenommen.
• ModifyDate früher als DateTimeOriginal. Eine Datei kann logischerweise nicht gespeichert werden, bevor sie aufgenommen wurde. Das bedeutet normalerweise, dass eines der Felder von Hand bearbeitet wurde.
• Runde oder identische, gefälscht wirkende Werte. Daten, die genau auf Mitternacht gesetzt sind, oder alle Felder, die auf denselben willkürlichen Tag gezwungen wurden, können auf eine manuelle Bearbeitung hindeuten.
• Ein Software-Tag, das einen Editor nennt. Wenn DateTimeOriginal sauber aussieht, aber das Software-Feld "Adobe Photoshop" oder ein Metadaten-Tool angibt, sind die Daten durch Software gelaufen, die sie umschreiben konnte.

Lesen Sie alle drei in unserem EXIF-Viewer. Für Hintergrund zu den Feldern siehe wie man sieht, wann ein Foto aufgenommen wurde.

Abgleiche jenseits des EXIF-Datums

Da EXIF-Daten bearbeitbar sind, vergleicht die stärkste Überprüfung sie gegen Signale, die ein gelegentlicher Fälscher wahrscheinlich nicht angleicht.

GPS-Zeitstempel. Wenn die Ortungsdienste eingeschaltet waren, schreibt die Kamera auch einen GPS-Block, der sein eigenes UTC-Datum und seine eigene Uhrzeit enthält, entnommen aus der Satellitenzeit. Vergleichen Sie das GPS-Datum mit DateTimeOriginal. Sie sollten übereinstimmen (unter Berücksichtigung des Zeitzonenversatzes). Wenn das EXIF einen Tag angibt und die eingebettete GPS-Zeit einen anderen, wurde eines von beiden geändert, und die GPS-Zeit ist die schwerer zu fälschende.

Sonnenposition und Schatten. Die Länge und Richtung von Schatten kodieren die Tageszeit und die Jahreszeit für einen bestimmten Ort. Wenn ein Foto behauptet, ein Winternachmittag zu sein, aber kurze, senkrechte Schatten zeigt, die zu einem Sommermittag passen, ist das angegebene Datum inkonsistent mit der Szene. Das ist eine Plausibilitätsprüfung, keine präzise Uhr, aber sie erfasst Daten, die völlig falsch sind.

Umgebende Fotos in einer Sequenz. Kameras und Telefone vergeben Dateinamen und -nummern der Reihe nach (IMG_0412, IMG_0413). Wenn das fragliche Foto ein Datum trägt, das die monotone Reihenfolge der umgebenden Bilder durchbricht, oder in einem Ordner liegt, dessen Nachbarn alle Monate davon entfernt sind, ist das Datum eine Hinterfragung wert.

Dateisystemdaten. Die vom Betriebssystem erstellten und geänderten Zeitstempel der Datei sind schwach (sie werden beim Kopieren und Herunterladen zurückgesetzt), aber ein Dateisystemdatum, das vor dem angegebenen DateTimeOriginal liegt, ist ein Widerspruch, der einen zweiten Blick verdient.

Warum ein eingebrannter Zeitstempel schwerer zu fälschen ist

EXIF lebt im Dateikopf, getrennt von den Pixeln, was genau der Grund ist, warum es leicht umzuschreiben ist. Ein Zeitstempel, der im Moment der Aufnahme in die Pixel eingebrannt wird, ist eine andere Sache. Um ihn zu ändern, muss jemand das Bild selbst bearbeiten: die alten Ziffern übermalen und neue rendern, die zur Schriftart, Beleuchtung und Kompression des Originals passen. Das hinterlässt die Art von Spuren, die in wie man erkennt, ob ein Foto bearbeitet wurde behandelt werden, und ein sorgfältiger Blick mit der Error Level Analysis im Foto-Forensik-Tool kann den Flicken oft aufdecken.

Deshalb ist für Fotos, deren Datum später angefochten werden könnte, der am besten verteidigbare Ansatz, mit dem auf das Bild gestempelten Datum im Moment des Auslösens aufzunehmen. Sie können einem Foto einen Zeitstempel hinzufügen, während Sie es aufnehmen, sodass das Datum in den Pixeln und im EXIF zusammen lebt. Für mehr darüber, wie Gerichte und Sachverständige diese behandeln, siehe sind Zeitstempel-Fotos zulässige Beweise.

Content Credentials

C2PA Content Credentials fügen all dem eine kryptografische Schicht hinzu. Eine wachsende Zahl von Kameras, einschließlich aktueller iPhone-Modelle, kann ein signiertes Aufnahme-Credential anhängen, das aufzeichnet, wann und mit welchem Gerät das Bild erstellt wurde. Da das Manifest signiert ist, bricht das Verändern des aufgezeichneten Datums die Signatur. Ziehen Sie die Datei in contentcredentials.org/verify oder lesen Sie wie man Content Credentials (C2PA) prüft, um zu sehen, ob ein Credential vorhanden und intakt ist. Wenn es das ist, ist es der stärkste verfügbare Datumsbeleg.

Ehrliche Grenzen

Keine Methode hier ist eine Garantie. EXIF-Daten lassen sich in Sekunden bearbeiten, daher beweist ein sauber aussehender Satz von Zeitstempeln nur, dass sich niemand die Mühe gemacht hat, sie zum Widerspruch zu bringen, nicht, dass das Datum wahr ist. Die GPS-Zeit kann fehlen, wenn die Ortung ausgeschaltet war. Content Credentials sind optional und werden von vielen Plattformen beim Upload entfernt, daher beweist ihr Fehlen nichts. Ein erneuter Export durch eine Messaging-App kann alle drei EXIF-Daten leise normalisieren und genau die Diskrepanzen auslöschen, nach denen Sie gesucht haben. Der zuverlässige Ansatz ist, Signale zu kombinieren: die drei Zeitstempel lesen, GPS und die Fotosequenz abgleichen, nach Bearbeitungsspuren suchen und die Originaldatei und ihre Content Credentials von der Quelle beschaffen. Behandeln Sie ein einzelnes verdächtiges Signal als Grund zur Untersuchung, nicht als Urteil, und stempeln Sie für jedes Foto, dessen Datum Sie später beweisen müssen, das Datum bei der Aufnahme, damit der Beweis von Anfang an eingebacken ist.