Wurde das Aufnahmedatum eines Fotos nachträglich verändert? So prüfst du es

Das Aufnahmedatum eines Fotos nachträglich geändert erkennen ist eine der häufigsten Fragen, wenn ein Bild als Beweis, in einem journalistischen Kontext oder bei einer Urheberrechtsklärung auftaucht. Rein gefühlsmäßig wirkt ein Foto authentisch, sobald es plausibel aussieht, technisch lässt sich aber sehr wohl ablesen, ob die Zeitangaben im File konsistent sind oder ob jemand bewusst eingegriffen hat. Das Problem ist dabei nicht, dass man das Datum nicht ändern könnte – jeder, der einmal ein Bild umbenannt oder mit einem Bildbearbeitungsprogramm geöffnet hat, hat das Datei-Datum im Betriebssystem verändert. Entscheidend ist, welche internen Zeitstempel im Bild selbst stehen und ob sie zueinander passen. Wenn jemand das Aufnahmedatum manipulieren will, greift er typischerweise auf die EXIF-Metadaten zu, also den Datenblock, den Kameras und Smartphones automatisch beim Auslösen schreiben. Dort stehen nicht nur das eigentliche Aufnahmedatum, sondern auch Kameramodell, Belichtungszeit, Blende, ISO, GPS-Position und oft noch ein eingebettetes Vorschaubild. Genau diese Mehrschichtigkeit macht es möglich, Widersprüche aufzudecken, selbst wenn das sichtbar geänderte Feld korrekt gesetzt wurde.

Im EXIF-Standard gibt es mehrere zeitbezogene Felder, die leicht verwechselt werden und die deshalb so wertvoll für eine Plausibilitätsprüfung sind. Das bekannteste ist DateTimeOriginal, also der Zeitpunkt der Belichtung, den die Kamera zum Moment des Auslösens schreibt. Daneben existiert DateTimeDigitized, der Zeitpunkt der Digitalisierung, bei einer reinen Kameraaufnahme meist identisch mit DateTimeOriginal, bei Scans jedoch später. Dann gibt es DateTime, das sogenannte File Modification Date, das von der Kamera beim Schreiben der Datei gesetzt wird und oft mit DateTimeOriginal übereinstimmt, aber durch das Kopieren, Exportieren oder Bearbeiten des Bildes schnell davon abweicht. Zusätzlich führt das Betriebssystem eigene Zeitstempel wie Erstellungsdatum und letzte Änderung mit, die nichts mit der Kamera zu tun haben. Ein weiteres wichtiges Feld ist der Software-Tag. Steht dort etwa Adobe Photoshop, Lightroom oder ein Handy-Bearbeitungsapp, ist das kein Beweis für Fälschung, aber ein Hinweis darauf, dass das Bild nach der Aufnahme geöffnet wurde. Moderne Smartphones schreiben außerdem sequenzielle Seriennummern und interne Zeitstempel in MakerNote-Bereiche des Herstellers, die bei einer nachträglichen Änderung des Aufnahmedatums meist nicht mit angepasst werden.

Typische Anzeichen für eine nachträgliche Manipulation des Aufnahmedatums zeigen sich als Inkonsistenz zwischen diesen Feldern. Ein klassisches Beispiel ist ein Bild, bei dem DateTimeOriginal auf den 12. August 2023 gesetzt ist, die EXIF-Software aber erst ab dem 15. Januar 2024 existiert hat oder das eingebettete Thumbnail ein anderes Datum trägt. Ein zweites Beispiel ist die GPS-Zeit. Viele Geräte speichern neben dem GPS-Standort auch einen GPS-Timestamp, der auf UTC basiert. Weicht dieser deutlich von DateTimeOriginal ab, ist das ein starker Hinweis auf manuelle Bearbeitung. Auch die zeitliche Abfolge innerhalb einer Serie verrät viel. Werden mehrere Fotos aus dem gleichen Shooting betrachtet, sollte sich das Aufnahmedatum fortlaufend erhöhen, ohne große Sprünge. Findet sich plötzlich ein Bild mit einem Datum aus dem Vorjahr mitten in der Serie, obwohl die Bildnummern zusammenpassen, deutet das auf Eingriff hin. Ein weiteres Indiz ist das Fehlen von Hersteller-spezifischen Daten. Wird DateTimeOriginal geändert, bleiben oft MakerNote, interne Objektiv-Informationen oder die ursprüngliche Kamerauhrzeit unverändert, was zu einer Diskrepanz führt. Auch ein aufgerundetes oder zu perfektes Datum, etwa exakt 00:00 Uhr, wirkt verdächtig, weil Kamerauhren selten so exakt getroffen werden.

Die praktischste Möglichkeit, diese Prüfungen ohne tiefes technisches Wissen durchzuführen, ist eine systematische Metadaten-Analyse. Dafür lohnt es sich, das Bild mit einem Dienst zu prüfen, der EXIF, XMP, IPTC und die technischen Prüfsummen anzeigt und diese dokumentiert. Auf der Files