Wie wir einen gefälschten Screenshot erstellt haben in Minuten

Das Grundproblem

Täglich kursieren tausende Screenshots im Netz. Sie zeigen Beiträge, private Nachrichten, Zahlungsbestätigungen, Bestelldetails und Gespräche — und verbreiten sich schneller, als sie irgendjemand prüfen kann.

Sie landen als Beweis in Redaktionen, in Arbeitsstreitigkeiten, in Nachbarschaftskonflikten und in Schriftsätzen. Oft sind sie das Einzige, was jemand hat, weil das Original binnen Stunden gelöscht wurde.

Ein Screenshot ist aber nur ein Bild.

Und wie jedes andere Bild lässt er sich bearbeiten. Unangenehm ist daran nicht, dass Manipulation möglich ist — das weiß im Abstrakten jeder. Unangenehm ist, wie wenig Aufwand es kostet.

Das Experiment: wie wir vorgegangen sind

Wir haben eine echte Seite in einem gewöhnlichen Browser genommen und daraus eine überzeugende Fälschung erstellt. Ohne Bildbearbeitung, ohne Spezialsoftware und ohne besondere Fähigkeiten. Das Ganze dauerte keine zwei Minuten.

Die Methode: Seite öffnen, die im Browser eingebauten Entwicklerwerkzeuge öffnen und den Text direkt im gerenderten Dokument bearbeiten. Der Browser zeichnet die Seite mit dem geänderten Text neu. Dann ganz normal den Screenshot machen.

• Das Ergebnis ist ein echter Screenshot — einer Seite, die diese Wörter in dem Moment tatsächlich angezeigt hat
• Jede Schrift, jeder Abstand, jeder Schatten und jede abgerundete Ecke stimmt, weil der Browser sie gezeichnet hat
• Es gibt keine Bearbeitungsspuren, weil keine Bildbearbeitung stattgefunden hat
• Zeitangaben, Nutzernamen, Followerzahlen und Verifizierungshaken lassen sich ebenso ändern

Das überrascht die meisten. Die üblichen Ratschläge — auf unscharfe Kanten, unpassende Schriften, ungleichmäßige Kompression achten — setzen voraus, dass die Fälschung in einem Bildeditor entstand. Eine über den Browser erzeugte Fälschung hinterlässt keine dieser Spuren, denn auf Pixelebene ist sie keine Fälschung. Sie ist eine authentische Aufnahme einer manipulierten Seite.

Wir veröffentlichen bewusst keine Schritt-für-Schritt-Anleitung. Es geht nicht darum, eine Technik zu lehren, die weder geheim noch schwierig ist, sondern zu erklären, warum dem entstandenen Bild bei bloßer Betrachtung nicht zu trauen ist.

Was Sachverständige erkennen — und was nicht

Oft wird angenommen, ein Sachverständiger könne einfach feststellen, ob ein Bild manipuliert wurde. Manchmal ja. Häufig nicht.

Was erkennbar ist

• In einem Bildeditor erstellte Fälschungen, die oft uneinheitliche Kompression, unpassendes Rauschen oder nicht bündige Kanten hinterlassen
• Widersprüche in den Metadaten, wenn die Datei eine Software oder ein Gerät nennt, die nicht zum Inhalt passen
• Schlampige Arbeit: falsche Schriftschnitte, unstimmiger Zeilenabstand, Bedienelemente aus einer anderen Programmversion
• Inhaltliche Unmöglichkeiten, etwa eine Zeitangabe, die nicht zur Darstellungsweise der Plattform passt, oder eine Funktion, die es zu jenem Datum nicht gab

Was sich nicht zuverlässig erkennen lässt

• Ein Screenshot einer im Browser manipulierten Seite, weil das Bild selbst authentisch ist
• Eine Fotografie eines Bildschirms mit manipuliertem Inhalt, die die meisten digitalen Spuren zerstört
• Alles neu Gespeicherte, neu Komprimierte oder durch Messenger Geschickte, was Metadaten entfernt und die Kompression vereinheitlicht

Der letzte Punkt wiegt schwerer, als er klingt. Bis ein Screenshot durch einen Messenger, eine Plattform und einen erneuten Download gelaufen ist, ist das meiste, was ein Gutachter hätte nutzen können, verschwunden — auch bei echten Bildern.

Auf Erkennung ist kein Verlass. Auf Herkunft schon.

Praktische Prüfungen, bevor Sie einem Screenshot glauben

Keine davon beweist Echtheit. Zusammen entlarven sie nachlässige Fälschungen, und das sind die meisten — und sie kosten nichts.

• **Verlangen Sie das Original.** Ein echter Screenshot hat eine Quelle: einen Beitrag, einen Nachrichtenverlauf, ein Konto. Wer nicht darauf verweisen kann oder will, sagt damit etwas.
• **Vergleichen Sie die Oberfläche mit der aktuellen Version.** Plattformen ändern ihr Layout ständig. Fälschungen bilden oft ein älteres Design ab oder mischen Elemente verschiedener Versionen.
• **Prüfen Sie, wie die Plattform Zeiten tatsächlich darstellt.** Relative Zeiten, absolute Zeiten, Zeitzonen und Datumsformate unterscheiden sich und sind in Fälschungen häufig falsch.
• **Nutzen Sie die Bilder-Rückwärtssuche.** Weit verbreitete Fälschungen haben meist eine Vorgeschichte und oft eine Richtigstellung.
• **Suchen Sie das Konto selbst.** Existiert das Profil nicht, wurde es umbenannt oder fehlt jede Spur des Inhalts, ist das bedeutsam.
• **Fragen Sie, wem es nützt.** Keine technische Prüfung, aber der zuverlässigste Einzelhinweis darauf, dass etwas genauer betrachtet gehört.

Behandeln Sie das als Vorsortierung, nicht als Verifikation. Es sagt Ihnen, wann Sie misstrauisch sein sollten. Es sagt Ihnen nicht, wann Sie sicher sein dürfen.

Das Problem des digitalen Vertrauens

Das heißt nicht, dass jeder Screenshot gefälscht ist. Die meisten sind echt. Es heißt, dass Echtheit ohne Prüfung nicht vorausgesetzt werden kann — und dass das Ungleichgewicht in eine unangenehme Richtung läuft: eine Fälschung zu erstellen dauert Minuten, sie zu widerlegen kann Wochen dauern und muss nicht gelingen.

In der Praxis hat das Folgen:

• Rufschädigung durch manipulierte Inhalte, die sich verbreiten, bevor jemand prüft
• Medienberichte auf Grundlage ungeprüften Materials
• Komplikationen im Gerichtsverfahren, wo die Gegenseite nur die Möglichkeit einer Manipulation aufwerfen muss
• Ein Folgeeffekt: echte Beweise werden verworfen, weil bekannt ist, wie leicht Fälschungen sind

Letzteres ist am schädlichsten. Sobald jeder weiß, dass Screenshots fälschbar sind, steht die ehrliche Partei mit einem echten Screenshot da wie die unehrliche.

Warum ein Screenshot als Beweis oft nicht genügt

Rechtlich und praktisch belegt ein Screenshot meist nicht:

• Wann er tatsächlich entstand
• Ob er dem entspricht, was die Quelle wirklich anzeigte
• Ob er nachträglich verändert wurde
• Ob er den vollen Kontext erfasst statt eines passenden Ausschnitts
• Woher er überhaupt stammt — welche Seite, welches Konto, welcher Moment

Sein Beweiswert ist daher begrenzt, besonders wenn die Gegenseite die Echtheit bestreitet. In den meisten europäischen Rechtsordnungen wird ein Gericht ihn zulassen und würdigen, doch ein bestrittener Screenshot ohne Unterbau wiegt gegen eine bestreitwillige Partei wenig.

Im Streit lautet die Frage selten, was das Bild zeigt. Sie lautet, woher wir das wissen.

Wie man digitale Inhalte richtig sichert

Die Lösung ist nicht bessere Betrachtung. Sie besteht darin, Inhalte so zu erfassen, dass spätere Prüfung möglich wird — also nicht nur festzuhalten, was angezeigt wurde, sondern auch die Umstände der Aufzeichnung.

Ein solcher Nachweis kann enthalten:

• Einen kryptografischen Fingerabdruck (Hash) des Inhalts, sodass jede spätere Änderung erkennbar ist
• Einen überprüfbaren Zeitstempel einer unabhängigen dritten Partei statt der Behauptung dessen, der die Aufnahme machte
• Die Quelladresse und die Antwort des Servers einschließlich der Netzwerkebene
• Den zugrunde liegenden Quelltext der Seite, nicht nur ihr Aussehen
• Ein dokumentiertes Verfahren, damit der Vorgang prüf- und wiederholbar ist

Der Unterschied ist grundlegend. Ein Screenshot behauptet, dass etwas existierte. Eine überprüfbare Erfassung erlaubt einem Dritten, diese Behauptung zu prüfen, ohne dem Ersteller vertrauen zu müssen.

Was einen Nachweis überprüfbar macht

Drei Eigenschaften leisten die Arbeit, und jede begegnet einer anderen Form des Zweifels.

• **Integrität** — der Nachweis kann seit der Erstellung nicht verändert worden sein. Ein kryptografischer Hash leistet das: ein geändertes Byte, und der Fingerabdruck passt nicht mehr.
• **Zeit** — der Nachweis existierte zu einem bestimmten Zeitpunkt. Das muss von unabhängiger Seite kommen. Ein selbst erzeugter Zeitstempel beweist nichts, weshalb es qualifizierte Zeitstempeldienste gibt und ihre Rolle reguliert ist.
• **Unabhängigkeit** — die Prüfung darf nicht vom Wohlwollen dessen abhängen, der den Beweis vorlegt, noch vom Fortbestand des Unternehmens, das ihn erzeugt hat. Wer zum Prüfen den Anbieter fragen muss, hat keinen wirklich überprüfbaren Nachweis.

In der EU hat der letzte Punkt eine rechtliche Dimension. Nach der eIDAS-Verordnung gilt für einen qualifizierten elektronischen Zeitstempel die Vermutung der Richtigkeit der Zeit und der Unversehrtheit der Daten — was verschiebt, wer was beweisen muss.

Wenn ein gefälschter Screenshot gegen Sie verwendet wird

Diese Lage wird häufiger, und der erste Impuls — über das Bild zu streiten — ist meist der falsche Ausgangspunkt.

• **Sichern Sie die Fälschung selbst**, dort wo sie geteilt wird, bevor sie gelöscht wird. Sie müssen zeigen können, was kursierte, nicht es beschreiben.
• **Sichern Sie den echten Inhalt**, den die Fälschung darstellen soll, sofern er noch existiert, in überprüfbarer Form. Das ist die stärkste verfügbare Antwort.
• **Bewahren Sie eigene Aufzeichnungen**: den echten Nachrichtenverlauf, den echten Beitrag, Kontodaten, die Sie exportieren können.
• **Fordern Sie Ihre Daten bei der Plattform an.** Nach Artikel 15 DSGVO erhalten Sie die zu Ihnen gespeicherten personenbezogenen Daten, bei Messengerdiensten unter Umständen einschließlich des tatsächlichen Nachrichtenverlaufs.
• **Streiten Sie nicht öffentlich über den Inhalt**, bevor Sie den Nachweis haben. Darüber zu diskutieren, was ein Screenshot wirklich sagte, ohne es zeigen zu können, verstärkt die Fälschung eher.

Das eingangs beschriebene Ungleichgewicht lässt sich hier umkehren. Wer eine überprüfbare Erfassung des echten Inhalts hat, steht deutlich anders da als jemand, der bloß behauptet, ein Bild sei falsch.

Technik für überprüfbare Beweise

Da digitale Inhalte immer öfter in Streitigkeiten landen, sind Werkzeuge entstanden, die Nachweise erzeugen, die geprüft statt geglaubt werden sollen. Sie unterscheiden sich nicht durch Bildqualität, sondern durch das, was das Bild umgibt.

GetProofAnchor ist eines davon: es erfasst Online-Inhalte samt der Daten, die eine spätere Prüfung ermöglichen — kryptografischer Fingerabdruck, qualifizierter elektronischer Zeitstempel nach eIDAS, Quelladresse und Serverantwort sowie ein dokumentiertes Verfahren. Die Prüfung ist mit einem offenen Werkzeug möglich, ohne unser Zutun, und bleibt es auch, wenn es uns nicht mehr gibt.

Das Ziel ist nicht zu entscheiden, was wahr ist. Das Ziel ist, Wahrheit überprüfbar zu machen.

Fazit

Ein Screenshot ist ein schneller, praktischer Weg festzuhalten, was auf dem Bildschirm steht, und die meisten sind ehrlich gemeint. Doch in einer Zeit, in der eine überzeugende Fälschung zwei Minuten und keinerlei Fachwissen braucht, kann ein Bild allein keine Frage mehr entscheiden, die jemand bestreiten will.

Die Antwort ist nicht, Fälschungen besser zu erkennen, denn die guten erkennt man nicht. Die Antwort ist, zu ändern, was erfasst wird: soll digitaler Inhalt als Beweis dienen, müssen Herkunft, Integrität und Zeit von jemand anderem belegt werden können als von dem, der ihn vorlegt.

Darin liegt die Zukunft digitaler Beweise — nicht im genaueren Betrachten von Bildern, sondern im Aufzeichnen auf eine Weise, die das Betrachten überflüssig macht.

Häufige Fragen