Weil die Metadaten ein eigener Behälter sind, der neben den Pixeln reist und nicht in ihnen. Die Formatbeschreibung der Library of Congress zu Exif, dem Exchangeable Image File Format, hält fest, dass komprimierte Exif-Dateien Baseline-JPEGs sind, deren Metadaten in den Anwendungsmarkersegmenten APP1 und APP2 stecken, dass die dort beschriebene Fassung JEITA CP-3451 vom April 2002 ist und dass JEITA und CIPA den Standard seit 2009 gemeinsam verwalten. Diese Segmente sind gewöhnliche Bytes. Jeder Metadaten-Editor überschreibt darin Datum oder Koordinaten, ohne einen einzigen Pixel anzutasten, und die meisten Messenger-Apps löschen sie beim Neukomprimieren gleich ganz. Metadaten sind eine Bequemlichkeit zum Sortieren, kein Beweis. Tickfield Inspection Checklist ist kostenlos im App Store.

Indem er die ganze Datei auf eine kurze Zahl bringt, die keine Bearbeitung übersteht. Die App-Store-Beschreibung der App nennt das Paar, das sie bei der Aufnahme schreibt, selbst:

Der NIST-Standard FIPS 180-4 legt sieben sichere Hashalgorithmen fest (SHA-1, SHA-224, SHA-256, SHA-384, SHA-512, SHA-512/224 und SHA-512/256), deren Hashwerte von 160 bis 512 Bit reichen, und sagt ausdrücklich, dass die Hashwerte dazu dienen zu erkennen, ob Nachrichten seit ihrer Erzeugung verändert wurden. SHA-256 liefert 256 Bit, geschrieben als 64 Hexadezimalzeichen. Komprimieren Sie das Foto neu, schneiden eine Ecke ab oder kippen einen Pixel, und diese 64 Zeichen sind andere. Was ein Hashwert nicht kann, ist für die Szene bürgen: er beweist, dass die Datei die Datei ist, und nichts darüber, wohin das Objektiv zeigte.

Von der Uhr des Geräts, und die ist eine Behauptung und kein Zertifikat. Telefone halten diese Uhr normalerweise übers Netz nahe an der echten Zeit: RFC 5905, die Spezifikation des Network Time Protocol Version 4 vom Juni 2010, berichtet von Clients, die mit Abfrageintervallen von bis zu 36 Stunden innerhalb einiger zehn Millisekunden bleiben und in einem schnellen lokalen Netz innerhalb einiger hundert Mikrosekunden. Nichts davon landet im Foto: die Kamera schreibt, was die Uhr sagte, auch eine von Hand gestellte. Die stärkere Konstruktion ist älter. RFC 3161 vom August 2001 definiert eine Zeitstempel-Autorität, die den Hashwert Ihrer Datei mit ihrer eigenen vertrauenswürdigen Uhr signiert, und ihre Anfrage trägt nur diesen Hashwert, das Bild verlässt das Telefon also nie.

Weniger vom Gerät als erwartet und mehr vom Verfahren. Regel 901 der US Federal Rules of Evidence führt zehn Beispiele hinreichender Authentifizierung auf, und das neunte heißt Beweis über ein Verfahren oder System: Beweis, der ein Verfahren oder System beschreibt und zeigt, dass es ein zutreffendes Ergebnis liefert. Regel 902 geht in ihrem vierzehnten Punkt weiter, Zertifizierte Daten, die von einem elektronischen Gerät, Speichermedium oder einer Datei kopiert wurden, selbstbeweisend, wenn sie durch ein Verfahren digitaler Identifizierung authentifiziert und von einer qualifizierten Person zertifiziert wurden. Ein Hashwert ist genau diese Art digitaler Identifizierung. Das ist keine Rechtsberatung, und andere Rechtsordnungen formulieren es anders, doch die Form bleibt: das Verfahren beschreiben, dann zeigen, dass es funktioniert.

Sechs Schritte, in dieser Reihenfolge. Stellen Sie das Telefon vor dem ersten Foto auf Netzzeit, denn die Beschriftung erbt, was die Uhr sagt. Fotografieren Sie mit einer Kamera, die Datum, Uhrzeit mit Zeitzone, Koordinaten und die Genauigkeit der Ortung in die Pixel brennt. Behalten Sie von jeder Aufnahme das unveränderte Original. Hashen Sie beide Dateien bei der Aufnahme, nicht später. Holen Sie die Hashwerte am selben Tag vom Telefon, im Bericht oder per Mail an sich selbst, damit eine zweite Kopie existiert. Exportieren Sie ein PDF, statt das Bild per Messenger zu schicken, der es neu komprimiert und den Hashwert bricht. Tickfield erledigt die ersten vier Schritte selbst.

Wenn die Frage lautet, was passiert ist, und nicht wann und wo. Beschriftung und Hashwert binden eine Zeit und einen Ort an eine Datei; keines von beiden zeigt, dass das im Bild auch das ist, was Sie behaupten. Die Beschreibung der App sagt es selbst deutlich: sie ist ein Dokumentationswerkzeug, und ihre Checklisten ersetzen keine gesetzlich vorgeschriebene Prüfung. Wo die Uhr selbst angegriffen wird, nehmen Sie eine RFC-3161-Autorität statt eines Gerätestempels. Und mit bisher 0 Bewertungen gibt es noch keine Nutzererfahrung, auf die man sich stützen könnte.