Echt oder Fälschung? – Digitale Beweise im Zeitalter von Deepfakes

Ein Bild sagt mehr als tausend Worte – doch was, wenn dieses Bild nicht das zeigt, was wirklich passiert ist? In Ermittlungsakten finden sich heute unzählige Screenshots, Fotos, Videos oder Audiodateien. Oft stammen sie aus Chatverläufen, sozialen Netzwerken oder von Überwachungskameras. Sie scheinen eindeutig, sind schnell vorgelegt – und werden von Ermittlern, Staatsanwälten und Gerichten in der Regel als Beweismittel akzeptiert.

Doch moderne Bearbeitungstechniken, insbesondere im Umfeld Künstlicher Intelligenz (KI), stellen diese Selbstverständlichkeit zunehmend in Frage – die oft als „Deepfakes“ bezeichneten  KI-Fälschungen sind in aller Munde.

Täuschend echt – in Minuten erzeugt

Was früher Stunden am Computer und große Fachkenntnis erfordert hätte, ist heute in wenigen Minuten und ohne Spezialwissen möglich: Eine KI kann ein glaubwürdiges „Beweisfoto“ oder sogar einen gefälschten Chatverlauf erzeugen, auch in klassischen Bildbearbeitungsprogrammen können mit KI-gestützten Werkzeugen wie dem „Generativen Füllen“ in Adobe Photoshop täuschend echte Veränderungen geschaffen werden, wie sich am untenstehenden Beispiel zeigt.

KI-Funktion „Generatives Füllen“ der Bildbearbeitungssoftware Adobe Photoshop: Die dargestellte Verfälschung kann ohne wesentliches Vorwissen binnen ca. einer Minute realisiert werden. Als beeindruckender Aspekt sind die Licht/Schattendetails am eingefügten Polster hervorzuheben.

In unserem zweiten untenstehenden Beispiel wurde innerhalb weniger Minuten ein angebliches ausländisches Zugticket erzeugt,  hier bewusst versehen mit einem unmöglichen Datum. Für einen geübten Ermittler sind derartige Fälschungen auch ohne ein falsches Datum ggfs. anhand von kleinen Auffälligkeiten erkennbar – dies kann jedoch auch schnell unbemerkt bleiben und den Gang eines Ermittlungsverfahrens wesentlich beeinflussen.

KI-generiertes angebliches Zugticket für den Arlanda Express, datiert mit 32. August 2026 als fiktives Beispiel eines gefälschten digitalen Beweisstücks. Die tatsächlichen Tickets sehen freilich anders aus – doch: dies grenzüberschreitend zu prüfen, ist sehr aufwändig.

Problemfall Screenshot

Besonders anfällig für Manipulationen sind Screenshots, die sich mittlerweile in sehr vielen Verfahren finden. Sie zeigen lediglich, was auf einem Bildschirm dargestellt wird – aber nicht, ob diese Darstellung authentisch ist und den tatsächlichen Sachverhalt wiedergibt. Apps und Online-Tools können z.B. ganze Chatverläufe fälschen, inklusive Profilbildern, Zeitstempeln und Reaktionen. Wird ein Screenshot einer solchen Fälschung oder eines verfälschten Fotos angefertigt, kann schnell der Eindruck einer authentischen Datei entstehen.

Wenn Screenshots ohne weitere Prüfung in einen Ermittlungsakt gelangen, ist es im Nachhinein oft sehr schwierig, die Authentizität zweifelsfrei festzustellen. In grenzüberschreitenden Fällen mit Jurisdiktionen der angloamerikanischen Rechtstradition besteht sogar das Risiko, dass ein solches Beweismittel aufgrund mangelnder Einhaltung der Beweismittelkette von vornherein ausgeschlossen wird.

Metadaten – oft das erste Opfer

Digitale Originaldateien enthalten sehr häufig wertvolle Zusatzinformationen, sogenannte Metadaten. Bei Fotos sind dies z. B. Aufnahmedatum, die verwendete Kamera oder GPS-Daten. Werden Bilder per Messenger versendet, ausgedruckt und wieder eingescannt oder von einem Bildschirm abfotografiert, gehen diese Informationen verloren.
Für die forensische Analyse ist das fatal: Wichtige Hinweise auf das Aufnahmegerät, Entstehungszeit oder Manipulationen sind dann nicht mehr verfügbar.

Das Originalgerät ist meist entscheidend 

Für eine belastbare Authentizitätsprüfung ist fast immer das Gerät notwendig, mit dem eine Aufnahme entstanden ist. Nur dort finden sich interne Spuren, die Rückschlüsse auf den Ursprung und die Authentizität einer Datei erlauben – etwa gerätespezifische Dateinamen, Einträge in Systemdatenbanken oder charakteristische Muster des Bildsensors.
Fehlt das Gerät, sinkt die Überprüfbarkeit drastisch. In manchen Fällen lässt sich dann keine eindeutige Aussage mehr treffen.

Sofortmaßnahmen für Ermittler

Ermittlungsbeamte, aber auch Privatpersonen können bereits am Tatort oder bei einer Sicherstellung entscheidend dazu beitragen, dass Beweismittel später verwertbar bleiben:

• Originalgeräte sicherstellen: Wenn möglich, das Smartphone, die Kamera oder den Computer sicherstellen – nicht nur einzelne Dateien.
• Wenn dies nicht möglich ist: Dateien nicht von Beteiligten z.B. über Messenger, E-Mails oder Cloud-Dienste übergeben lassen, sondern eine forensische Sicherung veranlassen.
• Keine unnötigen Kopien: Jede Konvertierung oder Kompression, beispielsweise beim Weiterleiten über Messenger, kann Spuren verwischen oder Daten verfälschen.
• Übertragungswege dokumentieren: Wer hat wann welches Beweismittel in welcher Form erhalten?

Forensische Werkzeuge – was heute möglich ist

Spezialisierte Labore verfügen über ein breites Repertoire spezialisierter Methoden zur Prüfung digitaler Beweismittel. So kann etwa die Kompressionsstruktur von Bildern Artefakte in manipulierten Bildbereichen aufweisen, wodurch sich Hinweise auf nachträgliche Bearbei­tun­gen ergeben. Ein weiteres wichtiges Instrument ist das PRNU-Verfahren, welches das individuelle „Rauschmuster“ eines Kamerasensors nutzt: Mithilfe von Vergleichsbildern lässt sich überprüfen, ob ein Bild tatsächlich von einem bestimmten Gerät stammt.

Bei Audiodateien spielt die Spektralanalyse eine zentrale Rolle in der forensischen Praxis, denn auffällige Frequenzmuster können beispielsweise auf synthetisch erzeugte Stimmen oder Manipulationen durch schnittbedingte Eingriffe hinweisen. Bei Bildern und Videos kann zudem die Kodierungsstruktur von Dateien untersucht werden, um Veränderungen zu erkennen, die etwa durch das Verschicken über Messenger-Dienste wie WhatsApp entstehen können. 

Neben diesen und vielen anderen technischen Ansätzen ist auch die interdisziplinäre forensische Begutachtung des eigentlichen Inhalts unverzichtbar. Bei dieser werden Aspekte wie Lichtverhältnisse, anatomische Details, die handwerklich-fotografische Schlüssigkeit samt Plausibilität der Metadaten oder auch perspektivische Inkonsistenzen genau analysiert. 

In der Regel ist es die Kombination dieser verschiedenen Verfahren, die zu einer fundierten Feststellung führt. Abgerundet wird die Untersuchung durch eine Plausibilitätsprüfung, bei der beispielsweise beurteilt wird, ob die beschuldigte Person überhaupt in der Lage gewesen wäre, eine so hochwertige Fälschung anzufertigen bzw. Aufwand und Nutzen in Relation stehen. Besonders effiziente Ergebnisse erzielt man, wenn die Analyse interdisziplinär durchgeführt wird und technische Verfahren mit kriminalistischem Gespür und methodischer Sorgfalt verbunden werden.

Triage statt Volluntersuchung

Nicht jeder Fall erfordert jedoch eine aufwändige Vollanalyse. Das von den Autoren dieses Beitrages entwickelte Evidence Authentication Triage Model (EATM) verfolgt einen gestuften Ansatz: Zunächst wird geprüft, ob Standardverfahren mit vertretbarem Aufwand bereits ausreichende Sicherheit bieten. So kann in manchen Fällen breits sehr rasch festgestellt werden, ob eine Datei mit ausreichend hoher Wahrscheinlichkeit authentisch ist. Nur wenn sich dabei Auffälligkeiten zeigen oder der Fall eine besonders hohe Beweiskraft erfordert, folgt eine zunehmend vertiefte Spezialuntersuchung.
So lassen sich Zeit und Ressourcen gezielt einsetzen – und es lässt sich gleichzeitig das notwendige Maß an Sicherheit erreichen.

Was bringt die Zukunft?

Noch sind spektakuläre KI-Deepfakes eine Seltenheit in Strafsachen: Die meisten problematischen Fälle betreffen manuelle Fälschungen – etwa Screenshots, bearbeitete PDFs oder manipulierte Videos bzw. Fotos. Doch die technische Entwicklung schreitet schnell voran, die Werkzeuge werden einfacher zu bedienen. Es ist damit zu rechnen, dass KI-basierende Deepfakes schon bald immer häufiger auftreten werden.

Für Polizei und Justiz bedeutet das: Der Umgang mit digitalen Beweismitteln wird zukünftig deutlich größere Sorgfalt erfordern – nicht zuletzt, weil Schutzbehauptungen zum Vorliegen belastender „Deepfakes“ schon jetzt immer häufiger vorkommen.

Fazit: Vorsprung durch saubere Grundlagen

Ob bei einer Hausdurchsuchung, einer spontanen Sicherstellung oder im Rahmen einer Vernehmung – der erste Kontakt mit digitalen Beweismitteln entscheidet oft darüber, ob deren Echtheit später zweifelsfrei belegt werden kann, wenn Ausflüchte gesucht werden.

Wer Originalgeräte sichert, Daten unverändert ausliest und Übertragungswege dokumentiert, schafft die Grundlage für eine erfolgreiche Beweis­führung.

Fundierte Beurteilungen hinsichtlich Manipulationen werden weiterhin eine vertiefte forensische Analyse erfordern, welche aufgrund der verschiedenen Komponenten hohe Interdisziplinarität erfordert. Spezialisierte Sachverständige können dabei unterstützen – von der schnellen Vorprüfung bis zur gerichtsfesten Komplettanalyse. So bleibt sichergestellt, dass am Ende nicht ein geschickt gefälschtes Dokument, sondern die Wahrheit den Ausschlag gibt. Wesentlich ist jedoch, dass von Anfang an auf die Schaffung der richtigen Grundlagen geachtet wird.

Die Autoren sind Sachverständige u.a. für Forensik, Medien und Urheberfragen. Sie unterstützen Ermittlungsbehörden, Gerichte und Rechtsanwälte regelmäßig bei der Analyse und Authentizitätsprüfung digitaler Beweismittel.

Originalartikel erschienen in "Öffentliche Sicherheit - Das Magazin des Innenministeriums“ (Sicherheit September/Oktober 2025)