Foto-Forensik - KI-Bilddetektor & EXIF-Betrachter herunterladen

Foto-Forensik - KI-Bilddetektor & EXIF-Betrachter liest EXIF-, XMP-, IPTC- und ICC-Daten, Herstellernotizen (Maker Notes), PNG-Texte sowie 8x8-Quantisierungstabellen aus. Elf Prüfregeln erkennen auffällige Merkmale wie ein Bearbeitungsprogramm im Feld „Software" oder ein Speicherdatum, das nach dem Aufnahmedatum liegt. Ebenso werden Spuren von KI-Bildgeneratoren und der XMP-Änderungsverlauf erfasst.

Bei der ELA (Error Level Analysis) wird das Bild neu komprimiert, um Bereiche mit abweichendem Kompressionsverhalten sichtbar zu machen. Die Rauschkarte deckt Zonen mit unterschiedlicher Körnung auf. Die Klon-Erkennung (Copy-Move) umrandet duplizierte Bildstellen. Analysebilder lassen sich in den Ansichten Überlagerung, Nebeneinander oder Vorhang direkt mit dem Ausgangsfoto vergleichen.

Anhand der Kompressionstabellen lässt sich häufig feststellen, mit welcher Anwendung eine JPEG-Datei zuletzt gespeichert wurde - etwa mit libjpeg bei einer bestimmten Qualitätsstufe oder mit Adobe Photoshop. Die Software erkennt zudem Re-Kompressionen nach Telegram-Muster, die Facebook-Kennung sowie Doppelkompressionen. Diese Verfahren stehen ausschließlich für JPEG-Dateien zur Verfügung. Der Abgleich des eingebetteten Kamera-Vorschaubilds mit dem Hauptbild deckt nachträgliche Zuschnitte oder Drehungen auf.

Die KI-Bilderkennung nutzt den Hauptprozessor und benötigt keine separate Grafikkarte. Das Ergebnis wird auf einer Skala von „Keine" bis „Sehr stark" ausgegeben. Der Rohwert bleibt unter „Details" einsehbar, da es sich nicht um eine Wahrscheinlichkeitsangabe handelt. Die Analyse prüft den zentralen quadratischen Bildbereich; die Ränder von Weitwinkel- oder Breitbildaufnahmen bleiben dabei unberücksichtigt.

Fassen Sie alle Dateien eines Falls unter einem Aktenzeichen zusammen und tragen Sie den Namen des Prüfers ein. Name und Logo Ihrer Organisation lassen sich direkt in den Bericht einbinden. Geben Sie Datum und Ort des Schadensereignisses an: Foto-Forensik markiert automatisch Aufnahmen, die vor dem Vorfall entstanden sind oder außerhalb des festgelegten Radius von 0,05 bis 1000 km liegen. Eine Zeitleiste ordnet jedes Aufnahmedatum übersichtlich auf einer Achse an.

Der Bericht führt für jede Datei die Prüfsummen SHA-256 und MD5 auf, nennt die angewandten forensischen Verfahren samt Versionsnummer und Einstellungen und dokumentiert die Befunde einschließlich ihrer methodischen Grenzen. Der Abschnitt „Grenzen der Methoden" wird grundsätzlich aufgeführt. Bei Fallberichten wird zudem ein lückenloses Übergabeprotokoll integriert: Jeder Eintrag enthält den Hashwert des vorangegangenen Eintrags, sodass nachträgliche Manipulationen sofort auffallen.