Was sind Metadaten? Was sie über eine Datei verraten und warum sie allein als Beweis nicht ausreichen

Was sind Metadaten? Eine einfache Definition

Metadaten sind Daten über Daten: Angaben, die eine Datei beschreiben, ohne zu ihrem Inhalt zu gehören. So fasst es auch der Leitfaden Understanding Metadata der US-Normungsorganisation NISO zusammen. Für die Bedeutung im Alltag hilft der Vergleich mit einem Brief: Absender, Adresse und Poststempel stehen auf dem Umschlag, der eigentliche Text steckt darin. Bei einem Foto sind die Pixel der Inhalt, Aufnahmedatum, Kameramodell und Koordinaten dagegen Metadaten. Damit solche Angaben austauschbar bleiben, gibt es Schemata wie Dublin Core mit 15 Grundelementen, darunter Titel, Urheber und Datum, genormt als ISO 15836. TrueScreen prüft Metadaten und ihre Quellen im Rahmen seiner forensischen Methodik, bevor ein Inhalt versiegelt wird, statt sie ungeprüft zu übernehmen.

Deskriptive, strukturelle und administrative Metadaten

Die NISO ordnet Metadaten nach ihrem Zweck. Deskriptive Metadaten helfen, eine Ressource zu finden und zu identifizieren, etwa über Titel, Autor und Schlagwörter. Strukturelle Metadaten beschreiben, wie die Teile eines Objekts zusammenhängen, zum Beispiel die Reihenfolge der Seiten in einem gescannten Buch. Administrative Metadaten dienen der Verwaltung: technische Angaben wie Dateiformat und Auflösung, Angaben zur Langzeitarchivierung, zu denen auch Prüfsummen gehören, sowie Angaben zu Rechten und Lizenzen.

Daten und Metadaten: der Unterschied

Daten sind der Inhalt einer Datei, also der Text eines Vertrags, die Pixel eines Fotos oder der Ton einer Aufnahme. Metadaten sind das Etikett, das diesen Inhalt begleitet. Wer die Daten verändert, verändert die Datei selbst, und das fällt in der Regel auf. Wer dagegen die Metadaten ändert, ändert nur, was die Datei über sich erzählt, während Vertragstext und Bild unberührt bleiben. Für die Beweisführung ist genau das der heikle Punkt.

Wo Metadaten stehen: in der Datei und im Dateisystem

Ein Teil der Metadaten ist in die Datei eingebettet. Fotos tragen EXIF-Daten, XMP und IPTC-Daten in sich, PDF- und Office-Dokumente haben Dokumenteigenschaften, eine E-Mail hat ihren Header. Diese Angaben wandern mit der Datei, solange kein Programm sie unterwegs entfernt.

Ein anderer Teil steht außerhalb der Datei im Dateisystem des Rechners oder Telefons: wann die Datei auf diesem Datenträger angelegt, zuletzt geändert und zuletzt geöffnet wurde. Diese Datumsangaben gehören zur jeweiligen Kopie und nicht zum Inhalt. Microsoft weist in seiner Dokumentation zu Dateizeiten unter Windows außerdem darauf hin, dass nicht jedes Dateisystem Erstellungs- und Zugriffszeiten überhaupt speichert.

Was Metadaten verraten: Beispiele nach Dateityp

Metadaten verraten viel über die Entstehung einer Datei, allerdings immer nur das, was die Datei über sich selbst angibt. Je nach Typ geht es um Aufnahmezeit, Gerät, Software, Autor, Standort oder den Weg einer Nachricht durch das Netz. Bei Fotos sind drei Formate verbreitet: EXIF nach dem Standard CIPA DC-008, dessen Version Exif 3.1 am 30. Januar 2026 erschienen ist, XMP, seit 2012 als ISO 16684-1 genormt, und der IPTC Photo Metadata Standard in der Version 2025.1. Die TrueScreen App verlässt sich nicht auf diese Einträge, sondern nimmt Zeit, Ort, Gerät und Netzwerk bei der Aufnahme direkt vom Gerät ab.

Was Metadaten verraten, betrifft nicht nur Gerichte, sondern auch den Datenschutz. Ein Handyfoto mit GPS-Koordinaten zeigt unter Umständen, wo jemand wohnt, ein PDF nennt mitunter den Namen seiner internen Verfasserin, und bei Telefonaten und Chats lassen schon die Verbindungsdaten erkennen, wer wann und wie lange mit wem in Kontakt war, ohne dass ein Wort des Inhalts bekannt ist. Wie sich solche Angaben bereinigen lassen, erklärt die Anleitung, wie man PDF- und Video-Metadaten ändern oder entfernen kann.

Warum Metadaten allein als Beweis nicht ausreichen

Metadaten sind Selbstauskünfte einer Datei, und wer die Datei besitzt, kann diese Auskünfte ändern. Sie lassen sich bearbeiten, ohne dass der Inhalt Spuren zeigt, sie gehen auf dem Weg über Plattformen verloren, und jede Kopie erhält im Dateisystem neue Datumsangaben. Microsoft dokumentiert sogar eine Systemfunktion namens SetFileTime, mit der sich Erstellungs-, Zugriffs- und Änderungszeit einer Datei setzen lassen, „ohne den Inhalt der Datei zu verändern“. TrueScreen entnimmt Zeit und Ort einer Aufnahme deshalb nicht den Metadaten einer Datei, sondern erfasst sie selbst und prüft sie, bevor der Inhalt versiegelt wird.

Metadaten ändern: wenige Klicks genügen

Metadaten zu ändern verlangt kein Fachwissen. Das kostenlose Programm ExifTool, aktuell in Version 13.59 vom Mai 2026, liest, schreibt und bearbeitet EXIF-, IPTC- und XMP-Angaben ebenso wie die Eigenschaften von PDF-Dateien. Laut NISO-Leitfaden erlauben auch die Programme, mit denen JPEG-, PDF- und Office-Dateien entstehen, in der Regel das Bearbeiten der beschreibenden Metadaten.

Beim PDF ist das sogar in der Norm angelegt: Die Spezifikation ISO 32000-1 führt CreationDate und ModDate als optionale Einträge und schreibt die Schlüssel aus, um das Durchsehen und Bearbeiten zu erleichtern. Bei Fotos sieht es nicht anders aus, wie die Anleitung zeigt, wie man EXIF-Daten ändert: Datum, Ort und Kamera.

Soziale Netzwerke und Messenger entfernen oder überschreiben Metadaten

Viele Plattformen komprimieren Bilder beim Hochladen neu und greifen dabei in die Metadaten ein. Das IPTC prüfte 2016 fünfzehn Websites: 10 von 15 entfernten zumindest einen Teil der Bildmetadaten, nur Behance bewahrte sie und zeigte sie auch an. Im Folgetest von 2019 mit 16 Plattformen löschten unter anderem Pexels, Pixabay, Unsplash und Twitter die Angaben, Facebook entfernte sämtliche XMP-Daten bis auf wenige Rechtefelder, und Flickr ersetzte den Urheber durch den Kontoinhaber.

Manche Plattformen schreiben sogar etwas hinein. Facebook trägt laut IPTC in das Feld „Instructions“ eine Zeichenfolge mit dem Präfix FBMD ein und vergibt bei jedem Upload eine neue Job-ID, ohne das zu dokumentieren. Eine Studie der Universität Bologna untersuchte 2020 dreizehn Plattformen: Twitter löschte alles, Instagram, Telegram und WhatsApp behielten nur einen Teil. Was am Ende übrig bleibt, hängt von der App ab und davon, ob die Datei als Bild oder als Dokument verschickt wird.

Kopieren und Übertragen verändert die Datumsangaben im Dateisystem

Die Datumsangaben des Dateisystems beschreiben die Kopie, nicht das Original. Der Leitfaden NIST SP 800-86 des US-amerikanischen National Institute of Standards and Technology erklärt in Abschnitt 4.2.3, dass beim Kopieren einer Datei die Erstellungszeit zur Zeit des Kopiervorgangs wird, während die Änderungszeit erhalten bleibt. So entstehen Dateien, die scheinbar geändert wurden, bevor es sie gab. Derselbe Leitfaden warnt ausdrücklich, dass ein Angreifer die gespeicherten Dateizeiten verändert haben kann.

Eine Datei unbekannter Herkunft liefert ein Indiz, kein belastbares Ergebnis

Ein Metadatum, das man an einer Datei ohne bekannte Vorgeschichte abliest, ist ein Indiz: Es sagt, was die Datei über sich behauptet, und nicht, was tatsächlich geschehen ist. Umgekehrt beweist das Fehlen von Metadaten keine Manipulation. Hat ein Messenger die EXIF-Daten beim Versand entfernt, fehlt schlicht eine Information.

Belastbar wird eine solche Angabe erst, wenn andere Belege sie stützen, etwa das Originalgerät, Serverprotokolle, Zeugen oder eine dokumentierte Übergabe. TrueScreen versiegelt Inhalte deshalb schon bei der Erfassung, denn aus einer Datei unbekannter Herkunft entsteht eine Einschätzung, aus einer versiegelten Datei dagegen ein Ergebnis, das sich verteidigen lässt. Für Bildschirmfotos gilt das genauso, denn auch ein Screenshot lässt sich fälschen, ohne dass man es dem Bild ansieht.

Metadaten als Beweis vor Gericht: Rechtslage und Praxis

Für Metadaten gibt es im deutschen Zivilprozess keine eigene Beweisregel: Das Gericht würdigt sie frei, zusammen mit allen übrigen Umständen. Eine Datei mit EXIF-Datum oder PDF-Erstellungsdatum ist damit nicht wertlos, ihr Gewicht hängt aber davon ab, was sie sonst noch stützt. Gesetzliche Beweisregeln und Vermutungen gelten erst für qualifizierte Verfahren wie die qualifizierte elektronische Signatur oder den qualifizierten Zeitstempel nach eIDAS.

Der rechtliche Rahmen: ZPO, eIDAS und forensische Standards

Ein elektronisches Dokument ist nach § 371 ZPO Gegenstand des Augenscheinsbeweises, angetreten wird der Beweis „durch Vorlegung oder Übermittlung der Datei“. Fotos, PDFs und E-Mails fallen in der Regel darunter. Wie viel sie beweisen, entscheidet das Gericht nach § 286 ZPO „nach freier Überzeugung“, an gesetzliche Beweisregeln ist es nur gebunden, wo das Gesetz sie vorsieht.

Eine solche Regel enthält § 371a ZPO für private elektronische Dokumente mit qualifizierter elektronischer Signatur (QES): Für sie gelten die Vorschriften über die Beweiskraft privater Urkunden, und der Anschein der Echtheit lässt sich nur durch Tatsachen erschüttern, die ernstliche Zweifel begründen. Für ein Aufnahmedatum in den EXIF-Daten gibt es nichts Vergleichbares. Auf europäischer Ebene genießt ein qualifizierter Zeitstempel nach Art. 41 Abs. 2 eIDAS-Verordnung die Vermutung, dass Datum und Uhrzeit richtig und die Daten unversehrt sind. Für das qualifizierte elektronische Siegel sieht Art. 35 Abs. 2 die Vermutung der Unversehrtheit und der richtigen Herkunft der Daten vor.

Wie digitale Beweismittel gesichert werden sollten, beschreiben forensische Standards. Die ISO/IEC 27037:2012 gibt Leitlinien für Identifizierung, Sammlung, Erfassung und Sicherung digitaler Beweismittel, und auch der NIST-Leitfaden SP 800-86 setzt auf eine dokumentierte Erfassung statt auf die Angaben, die eine Datei über sich macht.

Das Schadensfoto, dessen Datum die Versicherung bestreitet

Ein Hausbesitzer meldet einen Sturmschaden am Dach und schickt Fotos, deren EXIF-Daten den Tag nach dem Unwetter zeigen. Die Versicherung vermutet einen Altschaden, und ein Gutachter wird darauf hinweisen, dass sich das Aufnahmedatum mit wenigen Klicks ändern lässt. Wurden die Bilder per Messenger verschickt, enthalten sie ihre EXIF-Daten womöglich gar nicht mehr.

Die Skepsis der Versicherer hat Gründe. Laut einer Verisk-Umfrage vom März 2026 unter 1.000 Verbraucherinnen und Verbrauchern in den USA können sich 36 % vorstellen, ein Foto oder Dokument zu einem Schadenfall digital zu verändern, in der Generation Z sind es 55 %, bei den Babyboomern 12 %. Von den befragten Fachleuten aus der Schadenbearbeitung erwarten 98 %, dass KI den Betrug verstärkt. Mit TrueScreen hängt das Datum eines Fotos nicht vom EXIF ab: Es ist das Datum, das bei der Erfassung aufgezeichnet und versiegelt wurde.

Das PDF, dessen „Erstellungsdatum“ die Unterzeichnung belegen soll

Das Erstellungsdatum eines PDF sagt, wann ein Programm genau diese Datei erzeugt hat, und nicht, wann sich zwei Parteien geeinigt oder unterschrieben haben. Wer einen Vertrag neu exportiert, über einen PDF-Drucker ausgibt oder einscannt, erhält ein neues Datum, und nach ISO 32000-1 ist CreationDate ohnehin ein optionaler, bearbeitbarer Eintrag. Welche Spuren beim Bearbeiten trotzdem bleiben können, beschreibt die Anleitung zu PDF-Metadaten. Mehr Gewicht haben eine qualifizierte elektronische Signatur mit ihrer gesetzlichen Beweisregel, ein qualifizierter Zeitstempel oder der Mailverkehr rund um den Vertragsschluss; das Erstellungsdatum kann sie ergänzen, aber nicht ersetzen.

Funktion

So zertifizieren Sie eine Datei mit rechtlichem Wert

Mit TrueScreen erhält eine Datei ein digitales Siegel und einen qualifizierten Zeitstempel: ab dann ist jede Änderung erkennbar.

Mehr erfahren →

Wie wird eine Datei vom Moment ihrer Entstehung an überprüfbar?

TrueScreen macht eine Datei überprüfbar, indem es sie an der Quelle erfasst: Zeit, Ort, Gerät und Netzwerk werden im Moment der Aufnahme festgehalten, vor dem Versiegeln geprüft und mit einem offiziellen digitalen Siegel und einem qualifizierten Zeitstempel abgeschlossen, international anerkannt. Das Problem der Metadaten löst man nicht, indem man sie besser ausliest, sondern indem man die Geschichte einer Datei von Anfang an aufzeichnet. Die Angaben im Bericht einer Zertifizierung sind versiegelt, die Metadaten einer gewöhnlichen Datei bloß behauptet. Den Hintergrund dazu erläutert der Beitrag zur Datenauthentizität.

Erfassung an der Quelle: Prüfungen vor dem Siegel, digitales Siegel und qualifizierter Zeitstempel

Erfassung an der Quelle heißt, dass ein Inhalt in einer kontrollierten Umgebung aufgenommen und erst nach einer Prüfung versiegelt wird. Die forensische Methodik von TrueScreen umfasst die forensische Erfassung, die Prüfung der Daten, einen technischen Bericht und die Zertifizierung mit qualifiziertem elektronischem Siegel und qualifiziertem Zeitstempel. Vor dem Siegel werden die Umgebung und das Gerät geprüft, die Metadaten und ihre Quellen, der erfasste Inhalt und die technische Integrität des Pakets. Position, Uhrzeit, Netzwerk und Gerätedaten stammen vom Gerät und werden nicht von Hand eingetragen. Die App gleicht ihre Uhr mit einem Zeitserver ab, weist eine als simuliert erkannte Position zurück, sperrt die Aufnahme bei angeschlossenem Kabel und erkennt unter iOS einen Jailbreak.

Wer ein Foto zertifizieren möchte, nimmt es deshalb direkt in der TrueScreen App auf. Während der Erfassung ist eine Veränderung unterbunden, nach der Zertifizierung wird jede Änderung erkennbar. Die Prüfungen verkleinern den Spielraum für Inszenierungen, ein Urteil darüber, was das Bild zeigt, sind sie aber nicht: Eine gestellte Szene bleibt eine gestellte Szene, nur eben authentisch aufgenommen. Welches Gewicht die zertifizierte Aufnahme im Verfahren bekommt, entscheidet weiterhin das Gericht.

Ein Beispiel aus der Praxis: Ein Versicherungssachverständiger fotografiert den Schaden beim Ortstermin mit der App, und die Umstände der Aufnahme werden in diesem Moment erfasst und versiegelt. Bestreitet die Gegenseite später das Datum, stützt sich der Nachweis auf das bei der Erfassung aufgezeichnete und versiegelte Datum und nicht auf die EXIF-Daten. Wie viel Gewicht das hat, entscheidet das Gericht.

Bereits vorhandene Dateien: belegbares Datum ab der Zertifizierung, Metadaten als Indiz

Eine Datei, die schon existiert, lässt sich nicht nachträglich an der Quelle erfassen. Über das Portal am Computer oder die App am Telefon kann sie aber mit Siegel und qualifiziertem Zeitstempel versehen werden, wenn Sie eine Datei zertifizieren. Damit sind Existenz und Unversehrtheit ab diesem Moment belegt, und jede spätere Veränderung wird erkennbar; über die Herkunft der Datei und ihre Echtheit seit der Entstehung sagt das nichts aus. Ein Foto, das schon in der Fotogalerie liegt, wird ebenso importiert und versiegelt, und sein belegbares Datum stammt dann aus dem qualifizierten Zeitstempel, nicht aus den EXIF-Daten.

Für Bilder und Videos auf Webseiten zeigt der Forensic Browser von TrueScreen (macOS und Windows) mit Media Inspector die Medien einer Seite mit technischen Daten, Hashwert nach SHA-256 und den eingebetteten Metadaten aus EXIF, XMP und IPTC. Gelesen wird, was die Datei angibt. Fehlen Angaben, ist das eine fehlende Information und kein Beleg für eine Manipulation, und das Ergebnis bleibt ein Hinweis für Sachverständige, kein Urteil.

1. 1

   Den Dateieigenschaften nicht blind vertrauen

   Aufnahmedatum, Autor und Erstellungsdatum sind Angaben der Datei über sich selbst. Nehmen Sie sie als Ausgangspunkt für weitere Fragen und notieren Sie, woher die Datei stammt und wer sie wann übergeben hat.

2. 2

   Das Original unverändert aufbewahren

   Bewahren Sie die Datei so auf, wie sie empfangen oder aufgenommen wurde, und schicken Sie sie nicht über Apps weiter, die Bilder neu komprimieren, denn jede Kopie und jeder Upload kann Metadaten verändern oder entfernen.

3. 3

   Neue Aufnahmen an der Quelle zertifizieren

   Fotos, Videos und Bildschirmaufnahmen, die später als Beweis dienen könnten, nehmen Sie direkt in der TrueScreen App auf, damit die Umstände der Aufnahme im selben Moment erfasst und versiegelt werden.

4. 4

   Vorhandene Dateien zertifizieren und ihre Herkunft dokumentieren

   Versehen Sie bestehende Dateien so früh wie möglich mit Siegel und qualifiziertem Zeitstempel und halten Sie daneben fest, woher sie stammen, damit das Gericht die übrigen Umstände würdigen kann.

Fazit