EXIF-Metadaten-Analyse: Gefälschte Dokumentfotos erkennen

EXIF-Metadaten in einem fotografierten Dokument verraten oft mehr als das Bild selbst: Kameramodell, Aufnahmezeitpunkt, GPS-Position und — entscheidend — den Namen jeder Bearbeitungssoftware, die die Datei durchlaufen hat. Wer bei der KYC-Prüfung ein Foto einer Gehaltsabrechnung, eines Kontoauszugs oder eines Ausweisdokuments erhält, kann diese unsichtbaren Felder in Sekunden auslesen und damit Bearbeitung, Rescreenshotting oder KI-Generierung erkennen, bevor der visuelle Eindruck täuscht.

Laut dem ACFE 2024 Report to the Nations werden nur 37 % aller Betrugsfälle durch interne Kontrollen aufgedeckt, bei einer durchschnittlichen Erkennungsverzögerung von 87 Tagen. Metadatenforensik schließt genau die Lücke, die eine rein visuelle Prüfung offenlässt.

Was EXIF-Metadaten sind und warum sie bei der KYC-Dokumentenprüfung zählen

EXIF (Exchangeable Image File Format) ist ein von der CIPA (Camera & Imaging Products Association) gepflegter Standard, der technische und beschreibende Daten direkt in eine Bilddatei einbettet — unsichtbar beim normalen Betrachten, aber vollständig auslesbar mit den richtigen Werkzeugen. Zu den wichtigsten Feldern gehören Make und Model (Herstellerangabe des aufnehmenden Geräts), DateTimeOriginal und DateTimeDigitized (Aufnahme- und Digitalisierungszeitpunkt), ModifyDate, der Software-Tag (Name der zuletzt verwendeten Bearbeitungsanwendung), GPS-Koordinaten sowie Sensordaten wie ExposureTime und FNumber, die eine echte Kameraaufnahme von einem synthetischen Bild unterscheiden.

Ergänzend dazu speichert XMP (Extensible Metadata Platform, ISO-16684-Standard) in vielen Dateien ein strukturiertes Feld namens xmpMM:History, das protokolliert, welche Software eine Datei wann bearbeitet hat. Für die KYC-Prüfung bedeutet das: Ein Foto, das ein Nutzer als „direkt mit dem Smartphone aufgenommen" deklariert, lässt sich gegen seine eigenen technischen Spuren prüfen — stimmen Gerätename, Zeitstempel und Bearbeitungshistorie mit der behaupteten Herkunft überein?

Das ExifTool von Phil Harvey ist der De-facto-Standard zum Auslesen dieser Felder und wird routinemäßig in forensischen Ermittlungen eingesetzt (exiftool.org). Es liest sowohl klassische EXIF-Felder als auch XMP-Verläufe aus und bildet damit die technische Grundlage für praktisch jede automatisierte Metadatenprüfung in Compliance-Pipelines.

Wie Betrüger fotografierte Dokumente fälschen

Drei Techniken dominieren bei gefälschten Dokumentfotos im Onboarding, und jede hinterlässt eine andere Metadatenspur.

Bildbearbeitung vor dem Fotografieren oder direkt am Bild. Der Betrüger öffnet ein echtes oder eingescanntes Dokument in Photoshop, GIMP oder einer Mobil-App wie Snapseed, ändert einen Betrag, ein Datum oder einen Namen und exportiert das Ergebnis erneut als Foto oder Bild. Der Software-Tag im EXIF-Feld verrät diesen Schritt fast immer, da die Editor-Anwendung sich selbst dort einträgt.

Screenshot statt Originalfoto. Statt das physische Dokument zu fotografieren, macht der Betrüger einen Screenshot eines bereits manipulierten Dokuments — etwa eines in Word oder Excel nachgebauten Kontoauszugs — und lädt diesen als „Foto" hoch. Screenshots tragen eine unverwechselbare Signatur: als Software-Tag steht das Betriebssystem-Tool (z. B. der iOS- oder Android-Screenshot-Mechanismus), Make und Model fehlen komplett, GPS-Daten fehlen, und die Pixelabmessungen entsprechen exakt der Bildschirmauflösung des Geräts statt einem Kamerasensor-Seitenverhältnis.

KI-generierte Dokumentfotos. Bildgeneratoren wie Midjourney, DALL-E oder Stable Diffusion erzeugen Bilder, die niemals einen physischen Kamerasensor durchlaufen haben. Solche Dateien tragen typischerweise gar keine echten Kamera-EXIF-Daten — oder stattdessen generator-spezifische Tags beziehungsweise, bei Anbietern, die den C2PA-Standard für Content Credentials implementieren, eingebettete Herkunftsnachweise, die auf synthetische Erzeugung hinweisen. Die EU-KI-Verordnung (Verordnung (EU) 2024/1689) verpflichtet Anbieter von KI-Systemen, die synthetische Bild-, Audio-, Video- oder Textinhalte erzeugen, seit dem 2. August 2026 dazu, ihre Ausgaben maschinenlesbar als KI-generiert zu kennzeichnen — eine Pflicht aus Artikel 50 der Verordnung, die konforme Generatoren zunehmend nachvollziehbar macht, auch wenn nicht jedes Tool diese Kennzeichnung bereits konsequent umsetzt.

Welche Warnsignale in EXIF-Metadaten auf Fälschung hindeuten

Vier Signale liefern in der Praxis die zuverlässigsten Hinweise, wenn ein KYC-Team ein fotografiertes Dokument prüft.

Ein Software-Tag, der einen Bildeditor statt einer Kamera-Firmware zeigt. Wenn das Feld „Adobe Photoshop", „GIMP", „Snapseed" oder „Lightroom" enthält, obwohl der Nutzer behauptet, ein unbearbeitetes Originalfoto hochzuladen, ist das eines der stärksten verfügbaren Warnsignale — legitime KYC-Fotos einer Gehaltsabrechnung oder eines Ausweises durchlaufen so gut wie nie einen Bildeditor, bevor sie hochgeladen werden.

Zeitstempel-Inkonsistenzen zwischen DateTimeOriginal, DateTimeDigitized und ModifyDate. Bei einem unveränderten Foto liegen diese drei Felder eng beieinander oder sind identisch. Eine Lücke von Tagen oder Wochen zwischen Aufnahme und letzter Änderung — oder ein ModifyDate, das nach dem angegebenen Einreichungsdatum liegt — deutet auf eine nachträgliche Bearbeitung hin.

Fehlende Daten, wo sie erwartet würden. Ein aktuelles Smartphone-Foto, das ohne jegliche Kamera-Herstellerangabe (Make/Model) und ohne Belichtungsdaten (ExposureTime, FNumber) hochgeladen wird, passt nicht zu einer „direkt mit dem Handy fotografiert"-Behauptung. Wichtig ist hier die Abwägung: Fehlende Metadaten allein beweisen nichts, denn Messaging-Apps und soziale Plattformen entfernen EXIF-Daten routinemäßig bei der Standardkompression. Das Fehlen von Metadaten ist ein Hinweis auf den Übertragungsweg, nicht automatisch ein Beweis für Manipulation.

Ein XMP-Bearbeitungsverlauf (xmpMM:History), der Editor-Einträge protokolliert. Selbst wenn die klassischen EXIF-Felder unauffällig aussehen, kann das strukturierte XMP-Historienfeld — sofern vorhanden — eine Kette von Bearbeitungsschritten mit Zeitstempeln und Anwendungsnamen offenlegen, die ein Software-Tag allein nicht zeigt.

Metadaten-Signaturen im Vergleich

Die folgende Tabelle stellt die vier häufigsten Fälle gegenüber, wie sie in der Praxis bei der Prüfung fotografierter KYC-Dokumente auftreten.

Die durchschnittliche Erkennungsverzögerung bei Dokumentenbetrug liegt laut ACFE bei 87 Tagen (ACFE 2024 Report to the Nations) — ein Zeitfenster, das eine systematische Tabellenlogik wie diese direkt beim Upload schließen kann, statt erst bei einer nachgelagerten Prüfung.

Die Grenzen der reinen EXIF-Analyse

EXIF-Metadaten sind ein wertvolles, aber kein unfehlbares Signal — aus zwei Gründen, die jedes Compliance-Team kennen sollte.

Erstens entfernen Messaging-Apps und soziale Plattformen Metadaten häufig automatisch bei der Standardübertragung, um Dateigröße zu sparen und Privatsphäre zu schützen. Ein Bild ohne jegliche EXIF-Daten kann schlicht bedeuten, dass es über WhatsApp weitergeleitet statt direkt aus der Kamera-App hochgeladen wurde — das allein ist kein Fälschungsbeweis, sondern ein Hinweis auf den Transportkanal.

Zweitens lassen sich EXIF-Felder, einschließlich GPS-Koordinaten, mit weit verbreiteten und teils kostenlosen Tools umschreiben. Ein technisch versierter Betrüger kann Zeitstempel, Geräteangaben und sogar den Software-Tag manuell setzen, um eine unauffällige Signatur zu erzeugen. EXIF-Analyse darf deshalb niemals das einzige Echtheitssignal in einer Prüfung sein.

Der belastbare Ansatz kombiniert mehrere unabhängige Ebenen. Error Level Analysis erkennt Pixelmanipulation direkt im Bildinhalt und bleibt wirksam, selbst wenn Metadaten sauber gefälscht wurden. Bei Dokumenten, die als PDF statt als Foto eingereicht werden, liefert die forensische Prüfung von PDF-Metadaten eine vergleichbare Logik auf Dateiebene. Wer zusätzlich prüft, ob ein Dokument typografische Auffälligkeiten oder Anzeichen KI-generierter Inhalte zeigt, findet in der Checkliste zu Anzeichen KI-generierter Dokumente eine ergänzende Signalquelle. Erst das Zusammenspiel dieser Ebenen macht Umgehungsversuche wirtschaftlich unattraktiv, weil ein Betrüger nicht mehr nur ein Signal, sondern mehrere gleichzeitig manipulieren müsste.

Rechtlicher Rahmen in Deutschland und der EU

GPS-Koordinaten in Fotometadaten gelten als personenbezogene Daten im Sinne der DSGVO, sobald sie eine Person identifizierbar machen — die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen weist ausdrücklich auf die Risiken unsachgemäßen Umgangs mit solchen Standortdaten hin (LDI NRW zu Standortdaten). Für KYC-Teams bedeutet das: Metadaten aus hochgeladenen Dokumentfotos dürfen nur im Rahmen der Zweckbindung der Betrugsprävention verarbeitet und nicht unbegrenzt gespeichert werden.

Auf EU-Ebene verschärft die KI-Verordnung die Anforderungen an synthetische Inhalte. Wie oben erwähnt, gilt seit dem 2. August 2026 die Kennzeichnungspflicht nach Artikel 50 der Verordnung (EU) 2024/1689 für Anbieter generativer KI-Systeme. Für Compliance-Teams heißt das praktisch: Fehlt die erwartete maschinenlesbare Kennzeichnung bei einem offensichtlich synthetischen Bild, ist das selbst ein Prüfsignal, zusätzlich zu den EXIF-Auffälligkeiten.

Im Finanzsektor stellt die BaFin im Rahmen der GwG-Sorgfaltspflichten Anforderungen an die Identifizierung von Kunden und die Prüfung eingereichter Dokumente. Ein Institut, das fotografierte Nachweise ohne jede technische Metadatenprüfung akzeptiert, erfüllt diese risikobasierten Anforderungen im höheren Risikosegment in der Regel nicht mehr zeitgemäß.

Metadatenprüfung in die Compliance-Pipeline integrieren

Für Teams, die Fotos systematisch prüfen müssen, hat sich folgende Reihenfolge in der Praxis bewährt:

1. Software-Tag als erste Filterregel. Jedes Foto, dessen Software-Feld einen bekannten Bildeditor nennt, wird automatisch zur manuellen Prüfung markiert.
2. Zeitstempel-Konsistenzprüfung. DateTimeOriginal, DateTimeDigitized und ModifyDate werden automatisiert verglichen; Abweichungen über einen definierten Schwellenwert lösen eine Warnung aus.
3. Screenshot-Erkennung über Bildabmessungen. Ein Abgleich der Pixelmaße gegen bekannte Bildschirmauflösungen identifiziert re-fotografierte oder gescreenshottete Inhalte.
4. XMP-Verlaufsprüfung bei Verdachtsfällen. Sobald ein erstes Signal auftritt, lohnt sich der Blick in xmpMM:History für eine vollständige Bearbeitungskette.
5. Kombination mit ELA und dokumentenübergreifender Validierung, statt einer isolierten Metadatenentscheidung.

Für Finanzierungs- und Leasinganbieter, die Gehaltsabrechnungen und Kontoauszüge als Fotos entgegennehmen, lässt sich diese Logik in bestehende Prüfabläufe einbetten — etwa im Rahmen sektorspezifischer Lösungen für Finanzierung und Leasing. Banken und Zahlungsdienstleister, die Ausweisdokumente im Onboarding prüfen, finden vergleichbare Anwendungsfälle im KYC-Bereich für Banken.

Unsere Plattform deckt über 3.200 Dokumenttypen in 32 Rechtssystemen ab, was den strukturellen Abgleich fotografierter Dokumente über verschiedene Länder und Formate hinweg unterstützt (siehe CheckFile-Sicherheitsansatz). Für Details zu Umfang und Konditionen lohnt sich ein Blick auf die Preisübersicht.

Ergänzend zu Ihren bestehenden Kontrollen ordnet die Erkennung von Dokumentenbetrug mit KI- und synthetischen Signalen fotografierte Uploads gegen KI-Generierungsmuster ein — als zusätzliche Signalquelle, nicht als Ersatz für die hier beschriebene Metadatenprüfung.

In Fachforen zur Bildforensik taucht regelmäßig die Frage auf, warum ein eigenes, unbearbeitetes Handyfoto beim Hochladen plötzlich ganz ohne GPS- oder Kameradaten ankommt — die Antwort liegt fast immer beim Übertragungsweg: Wurde das Bild vorher über eine Messaging-App oder ein soziales Netzwerk verschickt, komprimiert die Plattform es serienmäßig und entfernt dabei die Metadaten, bevor es überhaupt beim KYC-Formular ankommt. Ebenso häufig wird gefragt, ob es sich überhaupt noch lohnt, EXIF-Daten zu prüfen, wenn sie sich doch fälschen lassen — die kurze Antwort: ja, weil die meisten Betrüger genau diesen zusätzlichen Aufwand nicht betreiben und sich auf die visuelle Überzeugungskraft des Bildes verlassen, während geschulte Prüfer die technische Ebene ohnehin nie isoliert betrachten.

Wer einen umfassenderen Überblick über alle verfügbaren Prüfmethoden nach Dokumententyp sucht, findet ihn im Leitfaden zur Dokumentenprüfung. Bei konkreten Fragen zur Integration in bestehende Onboarding-Workflows steht das CheckFile-Team über die Kontaktseite zur Verfügung.

Häufig gestellte Fragen

Beweist das Fehlen von EXIF-Daten, dass ein Dokumentfoto gefälscht ist?

Nein. Messaging-Apps und soziale Netzwerke entfernen Metadaten häufig automatisch bei der Standardkompression, unabhängig davon, ob das Originalbild authentisch war. Fehlende Metadaten sind ein Hinweis auf den Übertragungsweg, kein eigenständiger Fälschungsbeweis — sie sollten immer zusammen mit anderen Signalen wie ELA oder dokumentenübergreifender Konsistenz bewertet werden.

Welches EXIF-Feld ist das zuverlässigste Warnsignal?

Der Software-Tag liefert in der Praxis das klarste Einzelsignal: Zeigt er einen Bildeditor wie Photoshop, GIMP oder Snapseed bei einem angeblich unbearbeiteten Foto, ist das hochverdächtig, weil legitime KYC-Fotos so gut wie nie vor dem Upload bearbeitet werden. Zeitstempel-Inkonsistenzen zwischen DateTimeOriginal und ModifyDate folgen an zweiter Stelle.

Können Betrüger EXIF-Metadaten einfach fälschen?

Ja, mit frei verfügbaren Tools lassen sich Zeitstempel, Geräteangaben und sogar GPS-Koordinaten umschreiben. Deshalb sollte EXIF-Analyse nie das einzige Prüfkriterium sein, sondern immer mit Error Level Analysis, PDF-Metadatenprüfung oder dokumentenübergreifender Validierung kombiniert werden.

Wie erkennt man, dass ein Dokumentfoto eigentlich ein Screenshot ist?

Screenshots tragen als Software-Tag den Namen des Betriebssystem-Tools statt einer Kamera-Firmware, haben keine Make/Model-Angabe, keine GPS-Daten und Pixelabmessungen, die exakt der Bildschirmauflösung des Geräts entsprechen statt einem typischen Kamerasensor-Seitenverhältnis.

Sind GPS-Daten in hochgeladenen Dokumentfotos DSGVO-relevant?

Ja. Geolokalisierungsdaten, die eine Person identifizierbar machen, gelten als personenbezogene Daten nach der DSGVO. Deutsche Landesdatenschutzbehörden wie die LDI NRW weisen ausdrücklich auf die Risiken eines unsachgemäßen Umgangs mit Standortdaten hin — Compliance-Teams sollten solche Daten nur zweckgebunden zur Betrugsprävention verarbeiten und speichern.