Digitale Bildforensik

Prinzipiell stellt sich zunächst die Frage, ob ein vorliegendes Bild vollständig von einem Computer generiert wurde oder einen mit einem Sensor aufgenommenen Ausschnitt der Realität darstellt. Anders als natürliche Bilder entspringen computergenerierte Bilder gänzlich dem Vorstellungsvermögen des Urhebers und sind deshalb bezüglich ihres Inhaltes unter Umständen anders zu werten. Für eine Unterscheidung wird dabei die Annahme gemacht, dass der Prozess zur Erstellung computergenerierter Bilder den komplexen Aufnahmeablauf im Inneren eines Bildeingabegerätes nicht vollständig nachbilden kann (bzw. dies nicht als primäres Ziel verfolgt). Typische Ansätze gewinnen ihre Indizien aus einer Analyse von Rauscheigenschaften des Bildes oder Zusammenhängen zwischen benachbarten Pixeln.[1][2]

Die Problematik der Unterscheidung zwischen computergenerierten und natürlichen Bildern wird im Zusammenhang mit der Verfolgung von Kinderpornographie insbesondere in den USA diskutiert.[3] Abbildungen mit kinderpornographischem Inhalt, die vollständig computergeneriert sind, werden dort strafrechtlich anders behandelt.

Die Zuordnung eines Bildes zu einer Klasse von Eingabegeräten hat eine Unterscheidung grundlegender Aufnahmekonzepte zum Ziel. Ein möglicher Anwendungsfall ist die Unterscheidung zwischen Bildern von Digitalkameras und Flachbettscannern. Dabei macht man sich elementare Unterschiede im Aufbau der verschiedenen Geräte zunutze. Typische Merkmale basieren auf dem Einsatz unterschiedlicher Sensorarchitekturen (Flächensensor bei Kameras vs. Zeilensensor bei Flachbettscannern). Mit einem Zeilensensor aufgenommene Bilder haben im Allgemeinen andere Rauschcharakteristiken als solche, die einem Flächensensor entstammen.[4] Außerdem ist im Flachbettscanner meist keine Farbinterpolation notwendig, die in Digitalkamerabildern zu charakteristischen Abhängigkeiten zwischen benachbarten Pixels führt.[5]

Einzelne Gerätearten lassen sich weiter in verschiedene Modelle unterteilen. Da Geräte gleichen Modells aus baugleichen Komponenten bestehen, lassen sich Bilder, die mit einem bestimmten Modell aufgenommen wurden, aufgrund ähnlicher Eigenschaften diesem zuordnen. Neben der Suche nach dem Gerätemodell ist unter Umständen bereits die Identifikation des Geräteherstellers relevant.

Anhaltspunkte für die Bestimmung des Gerätemodells lassen sich aus nahezu allen Komponenten eines Bildeingabegerätes ableiten, so zum Beispiel:

• Verschiedene Linsensysteme führen zu Abbildungsfehlern unterschiedlicher Ausprägung.
• Mit dem Einsatz unterschiedlicher Sensoren variieren die Rauschcharakteristiken zwischen Bildern verschiedener Modelle systematisch.[6]
• Der Aufbau des Farbfilterarrays (bspw. Bayer-Sensor) und der verwendete Farbinterpolationsalgorithmus führen zu modellspezifischen Abhängigkeiten zwischen benachbarten Pixeln.[7]
• Die Umsetzung von weiteren geräteinternen Bearbeitungsschritten zur Aufbereitung des Farbbildes (bspw. Weißabgleich) haben systematische Ähnlichkeiten zwischen den einzelnen Farbkanälen zur Folge.[8]
• Der Einsatz vieler verschiedener Quantisierungstabellen führt darüber hinaus zu Unterschieden in den ausgegebenen JPEG-Dateien.[9]

Die Bestimmung des Gerätemodells wird meist als Klassifikationsproblem der Mustererkennung aufgefasst, bei dem einzelne Modelle je einer Klasse entsprechen. Da in der Regel von nicht-linear separierbaren Klassen ausgegangen wird, sind Support Vector Machines häufig das Mittel der Wahl. Die Dimensionalität des Merkmalsraumes ist dabei oftmals sehr hoch, so dass verstärkt Verfahren zur Reduktion der Merkmalsvektoren Anwendung finden.[6]

Die Identifikation eines spezifischen Gerätes hat das Ziel, auch baugleiche Bildeingabegeräte (d. h. Geräte vom gleichen Modell) unterscheiden zu können. Bereits eine der ersten Fachpublikation auf dem Gebiet der Bildforensik widmete sich dieser Problematik und schlug vor, defekte Sensorelemente als Identifikationsmerkmal zu nutzen.[10] Ein ähnlicher Ansatz beruht auf Staubpartikelablagerungen auf dem Sensor von digitalen Spiegelreflexkameras, die zu kameraspezifischen Artefakten im Bild führen. Untersuchungen zeigen, dass diese auch trotz automatischer Sensorreinigung ein geeignetes Identifikationsmerkmal darstellen.[11]

Die nach heutigem Wissen zuverlässigste und bestuntersuchte Methode zur Bestimmung des Bildursprungs basiert auf dem CCD/CMOS-Sensorrauschen von typischen Bildeingabegeräten und wurde in der Gruppe um Jessica Fridrich entwickelt. Die Methode basiert auf der Annahme, dass jedes Sensorelement geringfügig anders auf eintreffendes Licht reagiert, was zu einem systematischen Rauschanteil im aufgenommenen Bild führt. Dieser ist vergleichsweise stabil über mehrere Aufnahmen eines Gerätes hinweg, variiert jedoch in Bildern verschiedener Herkunft. Der charakteristische Rauschanteil (die sogenannte photo-response non-uniformity, PRNU) kann mittels eines geeigneten Rauschfilters aus dem Bild abgeschätzt werden. Über einen Korrelations- oder Maximum-Likelihood -Detektor lässt sich dann das zur Aufnahme verwendete Gerät bestimmen, indem das geschätzte Rauschsignal mit bekannten Referenzrauschmustern verglichen wird.[12] Das charakteristische Sensorrauschen lässt sich auch in verlustbehaftet komprimierten Bildern nachweisen und übersteht unter bestimmten Umständen selbst eine Analogwandlung (bspw. Ausdrucken) mit nachfolgender Redigitalisierung.[13]

Grundsätzlich ist bei der Bestimmung des Bildursprungs immer eine möglichst geringe Falschakzeptanzrate erstrebenswert. In praktischen Anwendungen sollte das Risiko minimiert werden, dass ein Bild fälschlicherweise einem Gerät zugeordnet wird, das nicht an dessen Entstehung beteiligt war.

Die mit Abstand zuverlässigste Herkunftszuordnung von digitalen Bildern lässt sich mit dem Sensorrauschen erreichen. In einem groß angelegten Test mit mehr als einer Million Bildern von über 6800 verschiedenen Digitalkameras (insgesamt 150 Modelle) konnten bei einer Falschakzeptanzrate von 2,4×10⁻⁵ nahezu 98 % aller Bilder ihrem korrekten Ursprung zugeordnet werden.[14]

Inwiefern derart hohe Erkennungsraten unter praktischen Bedingungen auch für die Bestimmung von Art und Modell des Gerätes erreichbar sind, muss weitestgehend noch als offene Forschungsfrage betrachtet werden. In der Literatur berichtete Ergebnisse basieren meist auf vergleichsweise kleinen Datensätzen, die eine Verallgemeinerung nicht zulassen. Im Allgemeinen liegen die Erkennungsraten für die Bestimmung von Art oder Modell bisher jedoch unter denen der auf Sensorrauschen basierenden Technik zur Bestimmung eines spezifischen Geräts.[6]

Die Ausprägung von Abbildungsfehlern (hier chromatische Aberration in Form von rötlichen Farbsäumen) ist abhängig von der Bildposition. Werden Bildbereiche kopiert/eingefügt kann dies zu Inkonsistenzen führen.

Jedes Bildeingabegerät hinterlässt charakteristische Spuren in den von ihm aufgenommenen Bildern. Unter der Annahme, dass typische Bildbearbeitungsoperationen (z. B. in Photoshop, GIMP etc.) die Ausprägung dieser Charakteristiken beeinflussen, kann ein Bild hinsichtlich des (konsistenten) Vorhandenseins geeigneter Gerätecharakteristiken untersucht werden. Lassen sich die zu erwartenden Merkmale nicht (konsistent) im Bild nachweisen, kann dies als Indiz für eine Manipulation aufgefasst werden.

Für die Erkennung von Bildmanipulationen anhand von fehlenden oder inkonsistenten Gerätecharakteristiken existiert eine Vielzahl verschiedener Ansätze, die je nach Situation besser oder schlechter geeignet sind:

• Die Ausprägung von Abbildungsfehlern ist im Allgemeinen abhängig von der Position im Bild und nimmt mit zunehmendem Abstand vom optischen Mittelpunkt an Stärke zu. Wird ein Bildausschnitt unter Nichtbeachtung dieser Charakteristik innerhalb eines Bildes kopiert oder aus einem anderen Bild eingefügt, führt das zu nachweisbaren Inkonsistenzen.[15]
• Da jedes Sensorelement eine eigene Rauschcharakteristik aufweist, ist das Sensorrauschen ebenso abhängig von der Bildposition. Wenn bekannt ist, mit welchem Gerät ein Bild aufgenommen wurde, kann auf eine lokale Konsistenz des Sensorrauschens geprüft werden. In Bildbereichen, die (zu stark) bearbeitet wurden oder aus gänzlich anderen Bildern stammen, fehlt das gerätespezifische Rauschen.[12]
• Unter der Annahme, dass ein Bild mit einem One-Shot-Sensor aufgenommen wurde, kann auf das (konsistente) Vorhandensein von Farbinterpolationsspuren geprüft werden. Interpolierte Bilder weisen charakteristische Abhängigkeiten zwischen benachbarten Pixeln auf, die durch Nachbearbeitung abgeschwächt oder entfernt werden.[16]
• Die durch JPEG-Kompression verursachten Blockartefakte können ebenso nützliche Hinweise auf Bildmanipulationen geben. Wird ein Ausschnitt aus einem unkomprimierten Bild in ein JPEG-Bild eingefügt (oder andersherum), fehlen die zu erwartenden 8×8 Blöcke, die selbst bei sehr hoher JPEG-Qualität noch statistisch nachweisbar sind.[17] Auffällige Spuren entstehen außerdem, wenn beim Einfügen von JPEG-komprimierten Bildausschnitten in ein bereits komprimiertes Bild die vorhandene Blockstruktur nicht beachtet wird, d. h., eine Verschiebung der Blockgrenzen auftritt.[18] Selbst bei Beachtung der Blockstruktur kann bereits das Einfügen von Bildausschnitten, die mit einer abweichenden Quantisierungstabelle komprimiert wurden, zu nachweisbaren Spuren führen.[19]

Interpolationsartefakte am Beispiel der Vergrößerung eines 2×2 Pixelblocks um den Faktor 2 (bilineare Interpolation). Jedes interpolierte Pixel ist eine Linearkombination seiner direkten Nachbarn. Da ein vergrößertes Bild aus vielen solchen Blöcken besteht, lässt sich die geometrische Transformation statistisch nachweisen.

Neben fehlenden bzw. inkonsistenten Gerätecharakteristiken können auch Spuren der Bildbearbeitungsoperation an sich für forensische Analysen genutzt werden. In diesem Fall dient explizit das Vorhandensein bestimmter Merkmale als Indiz für eine mögliche Manipulation.

Eine Erkennung von Bildmanipulationen anhand von Bearbeitungsartefakten hat gegenüber auf Gerätecharakteristiken basierten Verfahren den Vorteil, dass keinerlei Annahmen über das Aufnahmegerät gemacht werden müssen. Typische nachweisbare Artefakte entstehen beispielsweise durch:

• Geometrische Transformationen zur Anpassung von Größe und Form von Bildern oder Teilen davon und der damit verbundenen Interpolation. Wird ein Bild geometrisch transformiert, müssen fehlende Informationen an entstehenden Lücken im Bildgitter durch Interpolation aus den vorhandenen Pixeln im Ausgangsbild berechnet werden. Dies führt zu räumlicher Periodizität[20] in den Abhängigkeiten zwischen benachbarten Pixeln,[21] die mit statistischen Methoden nachgewiesen werden können.
• Copy & Paste Operationen zur Retusche von Bildausschnitten. Wurde ein Ausschnitt innerhalb des Bildes kopiert (bspw. mit einem Kopierpinsel), lässt sich dies durch eine Suche nach doppelten Bildteilen feststellen. Um geringfügige Abweichungen zwischen den kopierten Bereichen nachweisen zu können, werden nicht die Pixelwerte an sich, sondern eine transformierte Repräsentation (DCT, PCA, …) verglichen.[22]
• Rekompression beim wiederholten Abspeichern eines verlustbehaftet komprimierten Bildes. Wird ein JPEG-Bild nochmals im JPEG-Format gespeichert (etwa nach einer Bearbeitung), kann dies zu nachweisbaren Spuren in den DCT-Koeffizienten führen, wenn die zweite Kompression eine abweichende Quantisierungstabelle verwendet.[23]

Methoden der Bildforensik können nicht die semantische Frage beantworten, ob es sich bei einem Bild um eine Fälschung handelt. Sie können höchstens objektiv feststellen, ob ein Bild in irgendeiner Form bearbeitet wurde. Um Fälschungen als solche erkennen zu können, muss zunächst klar sein, was unter einer Fälschung zu verstehen ist. In der Praxis gestaltet sich eine solche Abgrenzung jedoch häufig als nicht trivial. Eine zentrale Frage ist dabei, ob (und welche) inhaltsverändernden Operationen erlaubt sind. Im Allgemeinen ist außerdem davon auszugehen, dass nahezu jedes publizierte Bild in irgendeiner Form nachbearbeitet wurde (Farbkorrektur, …). Für klarere Verhältnisse haben viele Zeitungen und Zeitschriften daher eigene Richtlinien zur Bildbearbeitung für Bildredakteure formuliert.[24]