Wie finde ich heraus, wann eine Datei wirklich erstellt wurde?

Die Frage, wie man herausfindet wann eine Datei wirklich erstellt wurde, führt fast immer zu einer Enttäuschung beim ersten Blick auf den Datei-Explorer. Windows zeigt dir unter Eigenschaften Erstellungsdatum, Änderungsdatum und zuletzt geöffnet. Mac zeigt ähnlich. Das sind aber keine technischen Beweise für den eigentlichen Entstehungsmoment, sondern Zeitstempel des Betriebssystems und des Dateisystems. Sie ändern sich bei jedem Kopieren auf ein anderes Laufwerk, bei jedem Verschieben zwischen Systemen, bei einer Wiederherstellung aus einem Backup oder wenn ein Tool die Datei neu schreibt. Ein Foto, das im Jahr 2019 aufgenommen wurde, kann heute ein Erstellungsdatum von 2024 haben, weil es erst jetzt auf deinen Rechner kam. Umgekehrt kann jemand das Erstellungsdatum einer Datei im Dateisystem gezielt manipulieren, ohne dass die Datei selbst davon erfährt. Genau deshalb brauchst du einen Blick in die internen Metadaten der Datei selbst und nicht nur in die Kenntnisse des Ordners.

Es gibt zwei Ebenen, die du unterscheiden musst. Die erste Ebene sind die Dateisystem-Zeiten. Created, Modified, Accessed. Sie dokumentieren, wann das Betriebssystem die Datei angelegt oder verändert hat. Sie sind nützlich für eine grobe Chronologie, aber sie sind veränderbar und nicht verlässlich. Die zweite Ebene sind die eingebetteten Metadaten im Dateiformat. Das ist der eigentliche Goldstandard. Ein Bild enthält EXIF, ein PDF enthält XMP und interne Document Info, ein Video enthält Container-Metadaten wie creation_time, ein Office Dokument enthält Core Properties. Dort steht oft DateTimeOriginal, CreateDate, ModifyDate, Software, Kamera-Modell, Encoder, Render-Engine und vieles mehr. Diese Werte werden bei der Erstellung durch die Kamera, das Programm oder den Encoder geschrieben und bleiben in der Regel erhalten, solange die Datei nicht absichtlich neu gerendert oder bereinigt wird. Sie sagen dir nicht automatisch, dass die Datei echt ist, aber sie geben dir einen technischen Anhaltspunkt, der weit näher an der tatsächlichen Entstehung liegt als das Windows Erstellungsdatum.

Schauen wir uns ein konkretes Beispiel an. Ein JPG Foto. In den EXIF-Daten findest du typischerweise drei relevante Zeitangaben. DateTimeOriginal ist der Moment der Aufnahme, also wann der Auslöser gedrückt wurde. DateTimeDigitized ist der Moment der Digitalisierung, bei einer echten Kamera identisch mit dem Original. DateTime ist der Zeitpunkt, wann die Datei zuletzt durch ein Programm geschrieben wurde. Dazu kommen MakerNote, GPS-Info und Software-Einträge. Wenn DateTimeOriginal 12.08.2019 14:32:11 lautet, die Datei aber im Explorer ein Erstellungsdatum von 03.01.2025 hat, ist das plausibel, weil du das Bild erst später importiert hast. Wenn DateTimeOriginal fehlt, aber die Software Adobe Photoshop 25.0 eingetragen ist und das Änderungsdatum jünger ist als das angebliche Aufnahmedatum, ist Vorsicht geboten. Ähnlich verhält es sich bei PNG, RAW oder HEIC. Für einen ersten Überblick kannst du die JPG-Metadaten im Detail prüfen und verstehen, welche Felder wirklich aussagekräftig sind und welche nur bei Export neu geschrieben werden.

Bei Dokumenten und Videos sieht das Bild ähnlich aus, nur mit anderen Feldnamen. Ein PDF trägt im XMP-Block und in der Document Info CreationDate und ModDate. Diese Werte werden vom Erzeugerprogramm gesetzt, also Acrobat, LibreOffice oder einem Scanner. Sie können bei einer Neu-Erstellung des PDFs neu gesetzt werden. Ein DOCX enthält core.xml mit Created und Modified, oft in UTC. Ein MP4 oder MOV hat im moov-Atom Felder wie creation_time und modification_time, die vom Encoder stammen, sowie Hersteller- und Tool-Informationen. Audio wie MP3, WAV oder FLAC kann ID3-Tags, Vorbis Comments oder BWF-Metadaten mit Original-Aufnahmedatum enthalten. CAD Formate wie DWG oder STL speichern ebenfalls Zeitstempel des letzten Saves und des Autors. Wichtig ist, dass du immer mehrere Quellen vergleichst. Passt das EXIF-Datum zum GPS-Stempel, zum Kameramodell und zum Software-Eintrag? Passt das PDF CreationDate zum eingebetteten XMP und zum letzten Druckauftrag? Widersprüche sind ein Hinweis auf Bearbeitung, Kopie oder Manipulation.

Genau hier setzt eine forensische Dokumentation an. Metadaten allein beweisen keine Rechtslage, sie dokumentieren nur den technischen Zustand zum Zeitpunkt der Prüfung. Was sie aber sehr wohl leisten können, ist Nachweis über Identität und Veränderung. Ein kryptografischer Hash wie SHA-256 ist der Fingerabdruck der Datei. Ändert sich auch nur ein Bit, ändert sich der Hash. Wenn du eine Datei heute prüfst und in einem Monat erneut, und der Hash bleibt identisch, weißt du, dass die Datei unverändert ist. Kombiniert mit einem Zeitstempel der Prüfung bekommst du eine belastbare technische Kette. Auf FilesAudit hochladen bedeutet in der Praxis, dass die Datei einmalig geprüft wird, alle extrahierbaren Metadaten gelesen, Hashwerte berechnet und ein lesbares PDF Protokoll erstellt wird. Das Protokoll zeigt dir, welche Zeitangaben aus dem Dateisystem stammen und welche aus dem Inneren der Datei, und macht die Unterschiede transparent. Das ist besonders hilfreich, wenn du mit den unterstützten Formaten arbeitest und nicht jedes Format von Hand öffnen möchtest.

Ein realistisches Szenario verdeutlicht die Grenzen. Du bekommst ein angefügtes Foto mit der Behauptung, es sei am 15.06.2023 vor Ort entstanden. Im Explorer steht das Erstellungsdatum 15.06.2023. Das EXIF DateTimeOriginal ist leer, die Software ist Photoshop 24.0, der XMP History Block zeigt einen Export am 20.03.2024. Der Hash ist bekannt und identisch mit einer Variante, die bereits im Netz kursiert. Technisch lässt sich daraus ableiten, dass das Bild nicht direkt aus der Kamera stammt und das angebliche Entstehungsdatum nicht durch interne Metadaten gestützt wird. Das ist eine technische Feststellung. Es ist keine juristische Aussage darüber, wer