Woran erkennt man, ob eine WAV-Aufnahme nachträglich bearbeitet wurde?

Eine WAV-Aufnahme wirkt auf den ersten Blick unverfänglich. Das Format wird wegen seiner verlustfreien Speicherung, der einfachen Struktur und der weiten Verbreitung in Studios, bei Gericht, in der Wissenschaft und im Journalismus geschätzt. Genau deshalb fällt es auf, wenn jemand eine solche Aufnahme als Beweis, als Originalmitschnitt oder als unveränderten Dokumentationsbestand präsentiert und Zweifel an der Unversehrtheit entstehen. Die Frage, ob eine WAV-Datei nachträglich bearbeitet wurde, lässt sich nicht mit dem bloßen Abhören beantworten. Ohr und Gefühl täuschen, weil heutige Schnittprogramme nahtlose Übergänge erzeugen können. Entscheidend ist die technische Spur, die jede Bearbeitung im Container, in den Metadaten und in der Binärstruktur hinterlässt. Wer eine WAV auf Echtheit prüfen will, muss verstehen, dass das Format selbst kein eingebautes Manipulations-Siegel kennt, aber sehr wohl eine klare, nachprüfbare Architektur besitzt, die Veränderungen sichtbar macht. Das ist der Ausgangspunkt für jede seriöse Prüfung, ob es um eine Tonaufnahme aus einem Interview, ein Diktat, eine Sicherheitsanlage oder eine akustische Messung geht. Die Praxis zeigt, dass gerade WAV-Dateien häufig nachträglich normalisiert, beschnitten, aneinandergereiht oder mit Rauschen bereinigt werden, ohne dass der neue Dateiname das verrät. Ohne dokumentierte Vergleichswerte bleibt das Spekulieren. Mit einer systematischen Analyse von Struktur, Metadaten und kryptografischen Fingerabdrücken lässt sich dagegen sauber feststellen, ob die vorliegende Datei technisch identisch mit einer früheren Version ist oder ob sich etwas geändert hat.

Kurz gesagt: Eine WAV verrät keine Absicht, aber sie verrät Veränderung. Das ist der Unterschied zwischen Vermutung und technischer Dokumentation.

Die technische Basis einer WAV-Datei ist das RIFF-Format. Im Header steht die Signatur RIFF, gefolgt von der Gesamtlänge, dem Typ WAVE und dann aufeinanderfolgenden Chunks. Der zentrale fmt-Chunk beschreibt Samplingrate, Bit Tiefe, Anzahl der Kanäle und den Audiocodec, meist PCM. Der data-Chunk enthält die eigentliche Audiospur. Bereits das ist ein wichtiger Anhaltspunkt. Wird die Datei geschnitten, neu gerendert oder exportiert, ändert sich in der Regel die Chunk-Größe, die Position des data-Chunks oder es erscheinen zusätzliche Chunks wie LIST/INFO, bext für Broadcast Wave Format oder iXML. Diese Erweiterung ist bei professionellen Aufnahmen üblich und trägt Zeitstempel, Gerätebezeichnung, Projektname und Aufnahmeparameter. Fehlt ein solcher bex-Chunk plötzlich, wurde er entfernt oder die Datei wurde aus einem anderen Workflow re-exportiert. Auch die Reihenfolge der Chunks, die Byte-Alignment-Padding und die exakte Länge des data-Bereichs sind reproduzierbar. Hinzu kommen Dateisystem-Metadaten wie Erstellungs- und Änderungszeitpunkt, die zwar leicht manipulierbar sind, aber im Kontext mit den internen Werten ein Gesamtbild ergeben. Eine wirklich belastbare Aussage entsteht erst durch den Vergleich von Original und aktueller Version, nicht durch die Betrachtung einer Einzeldatei.

Kryptografische Hashwerte sind das Rückgrat jeder Integritätsprüfung. SHA-256, MD5 und CRC32 bilden aus dem gesamten Binärinhalt einen eindeutigen Fingerabdruck. Ändert sich auch nur ein einziges Byte, etwa durch Stille am Anfang entfernen, Normalisieren oder Metadaten neu schreiben, ändert sich der Hash komplett. Deshalb ist die Praxis so wichtig: Wer eine Aufnahme archivieren will, dokumentiert den Hash unmittelbar nach der Aufnahme und speichert ihn getrennt. Später lässt sich die Datei neu hashen und der Wert vergleichen. Stimmen die Werte überein, ist die Datei bit-identisch. Stimmen sie nicht überein, wurde sie verändert, egal ob inhaltlich relevant oder nur technisch. Das ist keine rechtliche Bewertung, sondern eine rein technische Feststellung. Für Audioforens