Methoden der Bildforensik

In der letzten Ausgabe haben wir uns mit der Problematik von Bildmanipulationen im Allgemeinen beschäftigt. In diesem Beitrag geht es um praktische Beispiele.

Methodische Ansätze

Wie kann man Bildbearbeitungen nachweisen, auch wenn sie optisch nicht erkennbar sind? Grundsätzlich sollte man vorweg schicken, dass alle gängigen Methoden der digitalen Bildforensik nur Wahrscheinlichkeiten liefern. Es gibt bislang keine Methode, mit der zweifelsfrei und exakt nachgewiesen werden kann, ob ein Bild digital nachbearbeitet wurde oder nicht.

Allerdings wird man in der Praxis immer mehrere Methoden kombinieren, um zu einem aussagekräftigen Ergebnis zu kommen. Wenn sich bei dieser Vorgehensweise dann Wahrscheinlichkeiten von über 80 oder sogar 90 Prozent ergeben, kann man mit ziemlicher Sicherheit von einer Bildmanipulation ausgehen.

Die Bildforensik nutzt meist statistische Verfahren, um Bildbearbeitungen erkennbar zu machen. Dabei werden die Helligkeits- und/oder die Farbwerte der Pixel berücksichtigt. In vielen Fällen geht es darum, bei ihnen gleichmässige Strukturen und auffällige Unterbrechungen aufzufinden. Gängige Methoden sind:

• Resampling Detection
• Untersuchung des Bildrauschens
• Untersuchung hinsichtlich doppelter JPG-Kompression
• Copy Move Detection
• Untersuchung des Lichteinfalls

Universitäre Forschung

Die Untersuchungsmethoden haben immer sehr viel mit statistischen und mathematischen Berechnungen zu tun. Wir wollen hier nicht in die Mathematik abdriften, dennoch sollte man festhalten, dass die verwendeten Programme Eigenentwicklungen verschiedener Universitätsinstitute sind. Es gibt bislang keine handelsüblichen Programme zur Bildforensik, die man über einen App Store oder einen anderen Händler erwerben könnte. Die Bildforensik ist nach wie vor ein Feld für Spezialisten, die eigene Tools entwickeln.

Im deutschsprachigen Raum haben sich bislang die Universitäten Dresden sowie Erlangen-Nürnberg in der Bildforensik hervorgetan. In Dresden wurde eine Bilddatenbank aufgebaut, mit deren Hilfe Vergleiche angestellt werden können, wie aussagekräftig Untersuchungsergebnisse sind. Die Datenbank ist im Web unter bit.ly/dresden-picforensic zu finden. In vielen Fällen wurde ein Motiv mit verschiedenen Kameras aufgenommen, sodass Vergleichsdaten vorliegen, die sich beispielsweise hinsichtlich des Bildrauschens statistisch auswerten lassen.

Die Forschung in Dresden ruht im Moment allerdings, da der Lehrstuhlinhaber verstorben ist und wichtige wissenschaftliche Mitarbeiter in die Wirtschaft abgewandert sind. Somit ist das Department of Computer Science der Universität Erlangen-Nürnberg derzeit das einzige deutschsprachige Institut, an dem bildforensische Forschung betrieben wird. Mein Dank gilt an dieser Stelle Dr. Christian Riess für seine fachliche Beratung.

EXIF-Daten

Sehen wir uns die gängigen Verfahren in der Bildforensik nun genauer an. Bei einem digitalen Bild sollte man immer zuerst die Metadaten überprüfen. Dazu ist keine Universitätsforschung nötig, das kann jeder Photoshop-Anwender selbst überprüfen.

Jede digitale Kamera speichert Informationen über das Kameramodell (einschliesslich Seriennummer) und die Aufnahmeparameter in einer Bilddatei ab. Dazu wird der international gängige Standard EXIF (Exchangeable Image File Format) verwendet.

Ein Bildbearbeitungsprogramm kann diese Informationen natürlich auslesen. Photoshop beispielsweise zeigt die EXIF-Daten im Menüpunkt Dateiinformationen unter der Rubrik Kameradaten an.

Allerdings gibt es auch Programme, die solche Informationen aus digitalen Bildern entfernen können (was Photo­shop auch beim Speichern nicht tut). Fehlen in einem digitalen Bild die EXIF-Informationen, handelt es sich mit Sicherheit nicht um die Originaldatei. Sind die EXIF-Daten vorhanden, muss man zu anderen Verfahren greifen.

Resampling Detection

Diese Methode ist einer der ältesten Ansätze in der digitalen Bildforensik.Unter Resampling versteht man Bild­transformationen wie Skalieren oder Drehen. Wird ein Bild beispielsweise mithilfe eines Interpolationsalgorithmus vergrössert, verändern sich die Beziehungen der Pixel untereinander. Diese gilt es sichtbar zu machen.

Mithilfe mathematischer Funktionen lassen sich Helligkeits- und Farbbeziehungen von Pixeln untereinander feststellen. In einem unbearbeiteten Bild ergibt sich eine recht gleichmässige Struktur dieser Beziehungen. In einem bearbeiteten Bild sind diese Strukturen hingegen verschoben beziehungsweise ungleichmässiger. Es geht also vorrangig um die Frage, welche Pixel linear abhängig sind von ihren Nachbarn und welche nicht. Interpolierte Bildregionen zeigen ein anderes Nachbarschaftsmuster als nicht interpolierte Bereiche.

Allerdings ist das Erkennen einer Bildmanipulation durch eine Resampling Detection inzwischen etwas in die Jahre gekommen und die Methode gelangt schnell an ihre Grenzen. So hat sie beispielsweise Probleme mit stark heruntergerechneten bzw. stark komprimierten Bildern. Ausserdem kann sie nur Aussagen darüber treffen, ob ein Bild skaliert oder gedreht wurde. Andere inhaltliche Veränderungen wie Retuschen lassen sich nicht feststellen.

Untersuchung des Bildrauschens

Im Department of Computer Science der Uni Erlangen-Nürnberg wurden Methoden entwickelt, um Bildrauschen zu untersuchen. So lassen sich genauere Aussagen über Bildmanipulationen treffen, als dies mithilfe einer Resampling-Untersuchung möglich ist.

Jedes digitale Bild hat ein relativ gleichmässiges Bildrauschen, hervorgerufen durch den Sensor der Kamera. Untersucht man dieses Bildrauschen mit statistischen Methoden und es ergeben sich dabei Auffälligkeiten in Form von Störungen der gleichmässigen Verteilung des Rauschens, lassen diese sich visualisieren. Bereiche mit solchen Störungen wurden mit sehr hoher Wahrscheinlichkeit bearbeitet.

Das Verfahren nutzt zunächst einen Hochpass-Filter, um die Unterschiede zwischen Pixeln herauszuarbeiten. Sodann erfolgt eine Histogrammzählung. Hierbei wird nach statistisch auffälligen Häufungen von Pixelunterschieden gesucht. Schliesslich werden einzelne Bildregionen dahingehend untersucht, ob sich die Verteilung des Bildrauschens unterscheidet. Ergeben sich dabei auffällige Unterschiede, ist das ein starkes Indiz für eine Manipulation des Bildes. Bereiche mit solchen Auffälligkeiten können in Form einer «Heat Map» sichtbar gemacht werden.

Double JPG Compression

Wenn ein Bild digital nachbearbeitet wird, muss es in aller Regel wieder gespeichert werden. In den allermeisten Fällen werden Bilder dann im JPG-Format gespeichert. Schon die Kamera hat das Bild mit hoher Wahrscheinlichkeit im JPG-Format gespeichert. Selbst Kamera-Rohdaten werden irgendwann als JPGs gespeichert, da kein Programm eine bearbeitete Bilddatei im Rohdatenformat speichern kann. Das ist ja auch nicht Sinn der Sache.

JPG ist nun allerdings ein Speicherverfahren, das eine verlustbehaftete Kompression verwendet, um Speicherplatz einzusparen. Dabei wird ein Bild in Quadrate von 8 × 8 Pixel unterteilt. Innerhalb dieser Quadrate werden Farbinformationen einzelner Pixel nur erhalten, wenn sie sich ausreichend vom Pixel links oben im Quadrat unterscheiden. Bei hoher Kompression gehen viele Details verloren, da viele Pixel auf den gleichen Farbwert geschaltet werden (= niedrige Qualität). Bei geringerer Kompressionsstufe (= hohe Qualität) bleiben mehr Details, also Farbinformationen einzelner Pixel, erhalten. Das wird in Photoshop beispielsweise mit dem Schieberegler im Speicherdialog eingestellt.

Wird ein bearbeitetes Bild wieder im JPG-Verfahren gespeichert, müssen sich zwangsläufig Unterschiede hinsichtlich der Kompression und damit hinsichtlich der Struktur der Quadrat-Artefakte im Bild ergeben.

Dies kann einerseits statistisch ausgewertet werden, andererseits lässt sich so etwas auch mit Photoshop-Bordmitteln visuell erkennbar machen.

Diese Methode eignet sich also dazu, bearbeitete Bereiche, auch wenn dort nur Farb- oder Helligkeitskorrekturen durchgeführt wurden, deutlich zu visualisieren.

Copy Move Detection

Eine weitere statistische Methode beschäftigt sich mit der Problematik inhaltlicher Veränderungen, die beispielsweise mithilfe eines Kopierstempels durchgeführt wurden. Bei diesem Verfahren wird ein Bild rechnerisch in Quadrate von 16 × 16 Pixel eingeteilt und innerhalb eines solchen Quadrats werden die Farbwerte untersucht. Dann werden benachbarte Quadrate miteinander verglichen. Wurden Bildteile kopiert, sollten gleiche Nachbarschaften solcher Quadrate mit einer signifikanten Häufigkeit auftreten.

Doch auch die Copy Move Detection kommt inzwischen an ihre Grenzen. Bildretuschen, bei denen die inhaltsbasierten Werkzeuge von Photo­shop zum Einsatz kamen, sind mit dieser Methode deutlich schwerer kenntlich zu machen. Das hängt damit zusammen, dass diese Werkzeuge nicht einfach nur Pixel eins zu eins kopieren, sondern farbliche Anpassungen vornehmen, um die Retusche zu kaschieren. In diesem Fall muss also auf jeden Fall eine weitere Methode zum Einsatz kommen, um genauere Aussagen treffen zu können, beispielsweise die Untersuchung der JPG-Kompression.

Untersuchung des Lichteinfalls

Wenn – wie beim Kopierstempel – nicht nur kleine Bereiche, sondern ganze Bildteile zwischen verschiedenen Bildern kopiert werden, beispielsweise um eine Person oder ein Objekt in ein anderes Bild einzufügen, stellt sich für den Bildbearbeiter immer das Problem, Licht und Schatten an das Zielbild anzupassen. Je nach Fertigkeit und Aufwand gelingt dies mehr oder weniger gut.

Aber auch bei einer handwerklich guten Montage lässt sich mathematisch noch einiges heraus­holen. Dabei kommt ein physikalisches Modell zum Einsatz, das mithilfe einer Funktion die beobachtete Helligkeit ermittelt. Auch fliessen Position der Lichtquelle, Ausrichtung, Farbe und Material einer Oberfläche (im Bild) sowie die Position der Kamera mit ein.

In einem unbearbeiteten Bild sollte das Ergebnis der Formel für alle Bildbereiche gleich sein. Ist es das nicht, liegt eine Bearbeitung vor.

Vorteil dieser Methode ist, dass sie unabhängig von einer Bildkompression (wie JPG) ist. Der grosse Nachteil ist jedoch, dass die Methode abhängig von den Szeneneigenschaften des Bildes und daher nicht immer anwendbar ist.

Mithilfe der Bildforensik ist es möglich geworden, Bildbearbeitungen in vielen Fällen gut nachzuweisen. Da sich aber die Bildbearbeitungssoftware stetig weiterentwickelt und deren Verfahren immer raffinierter und besser werden, ist es ein klassisches Katz-und-Maus-Spiel. Auch die Bildforensik muss stetig neue Verfahren entwickeln, was im Zeitalter der Fake-News einen ganz neuen Stellenwert bekommt. ↑