{"id":4036,"date":"2023-09-04T06:30:00","date_gmt":"2023-09-04T04:30:00","guid":{"rendered":"https:\/\/hub.hslu.ch\/economiccrime\/?p=4036"},"modified":"2026-02-11T14:53:32","modified_gmt":"2026-02-11T13:53:32","slug":"foto-und-dokumentenforensik-kann-ich-dem-trauen-was-ich-sehe","status":"publish","type":"post","link":"https:\/\/hub.hslu.ch\/economiccrime\/foto-und-dokumentenforensik-kann-ich-dem-trauen-was-ich-sehe\/","title":{"rendered":"Foto- und Dokumentenforensik: Kann ich dem trauen, was ich sehe?"},"content":{"rendered":"\n

Von Dr. Konrad Schwenke<\/a><\/p>\n\n\n\n\n\n

Im Zuge der fortschreitenden Digitalisierung stellen immer mehr Organisationen die Gesch\u00e4ftsprozesse, die fr\u00fcher Papier verlangten, auf eine reine elektronische Verarbeitung um. So zum Beispiel die Kontoer\u00f6ffnung beim Online-Banking. Sind die Prozesse einmal digitalisiert und bringt man die Nutzenden dazu, ihre Daten selbst in ein Formular einzugeben und Nachweise als Scans beizulegen, erm\u00f6glicht dies erhebliche Kosteneinsparungen. Es liegt daher nahe, dass viele Organisationen auf eine komplett automatisierte Verarbeitung, die sogenannte \u00abDunkelverarbeitung\u00bb, umstellen. Dazu geh\u00f6ren auch Prozesse, welche basierend auf den digital eingereichten Dokumenten zu einer Zahlung f\u00fchren, wie beispielsweise Schadensmeldungen im Versicherungsbereich, Antr\u00e4ge auf Sozialleistungen bei Beh\u00f6rden oder Spesenabrechnungen in Unternehmen.<\/p>\n\n\n\n

Mit modernen Bildbearbeitungsprogrammen ist es auch f\u00fcr Laien ein Leichtes, Anpassungen an Fotografien und Scans vorzunehmen. Letzteres beg\u00fcnstigt jedoch auch das Erstellen von F\u00e4lschungen. Ohne besondere Kenntnisse k\u00f6nnen Personen aus Fotografien entfernt, Vertr\u00e4ge zur\u00fcckdatiert, Bankverbindungen manipuliert oder vermeintliche Kaufpreise auf einem Dokument angepasst werden. Laut einer Studie der \u00abAssociation of Certified Fraud Examiners\u00bb<\/a> sind bei einem Viertel aller Betrugsf\u00e4lle gef\u00e4lschte elektronische Dokumente involviert.<\/p>\n\n\n\n

Gl\u00fccklicherweise gibt es technische M\u00f6glichkeiten, um solche Ver\u00e4nderungen an digitalen Dokumenten erkennen zu k\u00f6nnen, wie der nachfolgende \u00dcberblick zeigt.<\/p>\n\n\n\n

Technische M\u00f6glichkeiten zur Erkennung von Ver\u00e4nderungen an digitalen Dokumenten<\/strong><\/p>\n\n\n\n

Bei der Erkennung von Ver\u00e4nderungen an digitalen Dokumenten werden die nachfolgenden zwei Vorgehensweisen unterschieden:<\/p>\n\n\n\n

1. Inhaltsbasierte Methode  <\/p>\n\n\n\n

Die inhaltsbasierte Methode verwendet sogenannte \u00abOptical Character Recognition\u00bb (OCR) und \u00abNatural Language Processing\u00bb (NLP), um die Inhalte des zu pr\u00fcfenden Dokuments auszuwerten. Bei der Pr\u00fcfung einer Rechnung kann diese beispielsweise klassifiziert und relevante Elemente, wie der Betrag, die Art der Ware oder Dienstleistung, extrahiert werden. Ebenfalls kann automatisiert festgestellt werden, ob der Betrag plausibel erscheint.<\/p>\n\n\n\n

2. Technische Methode<\/p>\n\n\n\n

Die technische Methode untersuchen die Eigenschaften der Datei. Dabei gibt es spezifische Methoden f\u00fcr die popul\u00e4ren Dateiformate PDF oder JPEG. Diese Methode wird auch als Foto- oder Dokumentenforensik bezeichnet.<\/p>\n\n\n\n

Die folgende Abbildung zeigt ein Beispiel f\u00fcr eine Rechnung, bei welcher die Zahlungsinformation ausgetauscht wurde, um die Zahlung auf ein Konto des Betr\u00fcgers umzuleiten.<\/p>\n\n\n

\n
\"\"
Abbildung 1: Vergleich Originalrechnung und manipulierte Rechnung<\/em><\/figcaption><\/figure>\n<\/div>\n\n\n

Typischerweise beginnt man die technische Analyse mit den \u00abMetadaten\u00bb, <\/strong>also mit den Daten, welche die Datei beschreiben. Diese k\u00f6nnen weit \u00fcber die Informationen hinausgehen, welche standardm\u00e4ssig in Windows angezeigt werden. Dazu geh\u00f6ren Informationen \u00fcber Tools, die zur Erstellung und Bearbeitung des Dokuments verwendet wurden, den Zeitstempel, aber auch potenzielle Geoinformationen. In unserem Beispiel k\u00f6nnte auffallen, dass die Datei mit der Software  Microsoft Paint erstellt wurde, was f\u00fcr eine Rechnung eher ungew\u00f6hnlich ist. <\/p>\n\n\n\n

Bei Bilddateien, wie zum Beispiel JPEG’s, kommen als n\u00e4chstes Methoden aus der Signalverarbeitung zur Anwendung. Einen aktuellen \u00dcberblick zu dieser Thematik liefert \u00abA review of digital image forensics<\/a>\u00bb. Bei JPEG-Dateien werden, um Speicherplatz zu sparen, Algorithmen angewandt, welche die Bilddatei verkleinern. Dabei h\u00e4ngen die Parameter f\u00fcr diese Algorithmen von den technischen Einstellungen sowie von der Software ab. Dieser sogenannte Komprimierungsvorgang bleibt vom Endnutzer unbemerkt. Wird das Bild nachtr\u00e4glich ver\u00e4ndert sowie wiederholt abgespeichert, werden die Komprimierungseigenschaften<\/a> von Bildregionen beeinflusst und hinterlassen Spuren. Eine h\u00e4ufig angewandte Methode um diese Bildregionen zu erkennen ist die \u00abError Level Analysis<\/a>\u00bb (ELA). Eine weitergehende Methode ist die \u00abContent-Aware detection of Grid Inconsistencies<\/a>\u00bb (CAGI). Bei dieser werden mehrere Elemente aus der Signalverarbeitung kombiniert. Die Ergebnisse der Tests lassen sich grafisch darstellen. Die Resultate f\u00fcr die in Abbildung 1 dargestellte, manipulierte Beispieldatei w\u00fcrden bei der Anwendung der oben genannten Methoden wie folgt aussehen:<\/p>\n\n\n

\n
\"\"
Abbildung 2: Error Level Analysis und CAGI-Methode<\/em><\/figcaption><\/figure>\n<\/div>\n\n\n

Bei den beiden Abbildungen ist auffallend, dass der Bereich links unten andere Eigenschaften aufweist als die restlichen Textbl\u00f6cke im Bild. Dies deutet darauf hin, dass dieser Bereich separat bearbeitet und nachtr\u00e4glich manipuliert wurde. Auch Unregelm\u00e4ssigkeiten in den Farbverl\u00e4ufen oder nicht passende Ausrichtung von Textzeilen<\/a> stellen Spuren dar, die f\u00fcr das menschliche Auge nicht wahrnehmbar sind. Die besten Untersuchungsergebnisse werden bei der Pr\u00fcfung der Signalverarbeitung erzielt, wenn die verschiedenen Methoden kombiniert werden.  <\/p>\n\n\n\n

Neben den Analysen der Metadaten und der Signalverarbeitungen lassen sich auch Druckerspuren<\/a> auswerten. Diese liefern Hinweise darauf, ob Teile des Dokuments auf zwei verschiedenen Druckern ausgedruckt wurden.<\/p>\n\n\n\n

F\u00fcr PDF-Dateien existieren weitere Artefakte: So lassen sich Informationen erkennen, welche durch \u00fcberlappende Objekte und Formen versteckt werden sollen. Ebenfalls lassen sich Inkonsistenzen bei den verwendeten Schriftarten analysieren. Zuletzt sollte bei Dokumenten und Fotografien, bei denen ein Verdacht auf Manipulation besteht, eine Online-Bildersuche durchgef\u00fchrt werden. Dadurch l\u00e4sst sich feststellen, ob beispielsweise eine frei verf\u00fcgbare Vorlage oder ein \u00f6ffentlich verf\u00fcgbares Original f\u00fcr die Erstellung verwendet wurde.<\/p>\n\n\n\n

Von den neuesten Entwicklungen im Bereich der k\u00fcnstlichen Intelligenz<\/a> (KI) hat auch die Foto- und Dokumentenforensik profitiert. Insbesondere bei der Zusammenf\u00fchrung und Bewertung der Informationen aus den oben beschriebenen Tests ist die Technologie hilfreich. Daneben d\u00fcrfte KI eine Rolle spielen, wenn Bilder, welche durch KI generiert wurden, erkannt werden m\u00fcssen<\/a>.<\/p>\n\n\n\n

Werden bei den beschriebenen Analysen Auff\u00e4lligkeiten, sogenannte \u00abRed Flags\u00bb, festgestellt, k\u00f6nnen diese markiert und bei Bedarf weiter untersucht werden. Durch dieses Vorgehen kann bei Gesch\u00e4ftsprozessen, bei denen man sich auf Dokumente als Nachweise verl\u00e4sst, zus\u00e4tzliches Vertrauen geschaffen werden. So lassen sich dadurch beispielsweise kritische Vertr\u00e4ge, Rechnungen oder Bankbest\u00e4tigungen auf R\u00fcckdatierungen, nachtr\u00e4glich hinzugef\u00fcgte Unterschriften oder manipulierte Zahlungsbedingungen \u00fcberpr\u00fcfen.<\/p>\n\n\n\n

\n

Wer einige der genannten Techniken ausprobieren will, kann dies auf den folgenden Webseiten tun: <\/p>\n\n\n\n