Metadaten als Beweis – aussagekräftig und angreifbar

Metadaten sind Daten über Daten. Zu einer Datei gehören etwa Erstellungs- und Änderungszeit, Autor, verwendetes Programm, Gerät und bei Fotos oft der Aufnahmeort. Im Strafverfahren sollen sie belegen, wer wann was getan hat.

Auch: EXIF-Daten, Dateisystem-Zeitstempel, Dokumenteigenschaften, Header-Daten
Rechtsgrundlage: keine eigene, Beweiswürdigung nach § 261 StPO
Themenbereich: Verwertbarkeit digitaler Beweise

Technischer Hintergrund

Metadaten entstehen an verschiedenen Stellen. Das Dateisystem speichert zu jeder Datei eigene Zeitstempel, typischerweise für Erstellung, letzte Änderung und letzten Zugriff. Die Datei selbst kann eingebettete Metadaten enthalten, bei Fotos die EXIF-Daten mit Kameramodell, Aufnahmezeit und gegebenenfalls GPS-Koordinaten, bei Office-Dokumenten Autor und Bearbeitungszeit. E-Mails tragen im Kopf Angaben über die Server, die sie durchlaufen haben.

Diese Angaben sind nicht fälschungssicher. Eingebettete Metadaten lassen sich mit frei verfügbaren Programmen ändern. Dateisystem-Zeitstempel ändern sich schon durch gewöhnliche Vorgänge wie Kopieren, Entpacken oder Synchronisieren, und zwar je nach System unterschiedlich. Eine kopierte Datei kann ein Erstellungsdatum tragen, das jünger ist als ihr Änderungsdatum.

Wo es im Verfahren auftaucht

In Auswertungsberichten der IT-Forensik als Tabellen mit Dateinamen und Zeitstempeln, in Zeitleisten, die aus solchen Daten gebaut werden, und bei Fotos und Videos als Beleg für Ort und Zeit. Die Anklage stützt Tatzeiten häufig auf solche Angaben.

Rechtlicher Rahmen

Metadaten sind im Strafprozess Beweismittel wie andere Daten auch. Sie werden in der Regel über den Bericht oder die Aussage des Auswerters eingeführt. Ihr Beweiswert unterliegt der freien Würdigung nach § 261 StPO. Eine Regel, wonach Metadaten allein nicht genügen, gibt es nicht, ebenso wenig eine Regel, wonach sie stets genügen.

Ansatzpunkte der Verteidigung

Metadaten beweisen zunächst nur, was ein System zu einem bestimmten Zeitpunkt eingetragen hat. Ob dieser Eintrag die Handlung eines Menschen abbildet, ist eine zweite Frage. Zu prüfen ist, woher der jeweilige Zeitstempel stammt, ob er durch Kopieren oder Synchronisieren entstanden sein kann und in welcher Zeitzone er gilt.

Besonders anfällig sind Zeitleisten, die aus Metadaten verschiedener Geräte zusammengesetzt werden. Hier addieren sich die Unsicherheiten jedes einzelnen Geräts. Der Auswerter muss erklären können, wie er sie abgeglichen hat.

Fallbeispiele

Das Foto aus der Cloud

Ein Foto soll belegen, dass der Beschuldigte am Tattag am Tatort war. Die EXIF-Daten nennen Zeit und Ort. Das Foto stammt aber aus einem Cloud-Speicher, in den mehrere Personen hochladen konnten. Die Metadaten sagen, wann und wo die Kamera ausgelöst wurde, nicht wer sie gehalten hat.

Häufige Fragen

Typische Metadaten sind Erstellungs-, Änderungs- und Zugriffszeiten einer Datei, der Autor eines Dokuments, Kameramodell, Aufnahmezeit und GPS-Koordinaten eines Fotos sowie die Serverangaben im Kopf einer E-Mail.

Ja. Im Strafprozess ist ein Screenshot ein zulässiges Beweismittel. Sein Beweiswert ist aber begrenzt, weil er nur ein Bild einer Bildschirmanzeige ist und die zugrunde liegenden Daten und Metadaten nicht enthält. Ob er eine Nachricht oder einen Inhalt zuverlässig belegt, würdigt das Gericht im Einzelfall.