Erklärung
Neben dem sichtbaren Inhalt tragen viele Dateien und Systeme zusätzliche Informationen: bei Fotos zum Beispiel Kameratyp, Aufnahmezeit oder Ort (EXIF), bei Dokumenten Autor, Bearbeitungszeiten und Programmversion, im Dateisystem Zeitstempel für Erstellung, Änderung und Zugriff, bei E-Mails technische Kopfzeilen.
Metadaten helfen, Ereignisse zeitlich einzuordnen und Zusammenhänge zu erkennen (Timeline-Analyse). Wichtig ist, ihre Grenzen zu kennen. Zeitstempel hängen von Systemuhren und Zeitzonen ab, werden beim Kopieren, Versenden oder Bearbeiten teils verändert und lassen sich gezielt manipulieren. Viele Plattformen entfernen Metadaten beim Hochladen. Fehlende oder unauffällige Metadaten belegen daher weder Echtheit noch Fälschung.
Deshalb werden Metadaten im Befund als Hinweis eingeordnet und mit weiteren Quellen abgeglichen, etwa Systemprotokollen oder Übertragungswegen.
Typisches Beispiel (schematisch)
Ein als „Original“ vorgelegtes Dokument trägt einen Erstellungszeitpunkt, der nach dem angeblichen Datum des Vorgangs liegt. Das ist ein Hinweis, der geprüft werden muss: Es kann auf eine spätere Erstellung hindeuten, aber auch auf eine Konvertierung oder Kopie.
Bedeutung für Forensik und Ermittlungen
Metadaten sind oft das erste Hilfsmittel, um die Geschichte einer Datei zu rekonstruieren. Sie werden mit Dateisystemdaten, Protokollen und Kontext abgeglichen.
Erkennung und Prävention
Beim Weitergeben von Dateien können Metadaten unbeabsichtigt Informationen preisgeben (Autor, interne Pfade). Vor Veröffentlichung sollten sie geprüft werden, für Beweiszwecke dagegen unverändert aufbewahrt.
Auch gesucht als Metainformationen, Dateimetadaten, EXIF, EXIF-Daten, Dokumenteigenschaften, Daten über Daten, Zeitstempel