Metadaten als Opsec-Killer: EXIF, PDF-Felder und Dokumentspuren, die echte Identitäten enthüllten
Dateien merken sich mehr als ihren Inhalt. Ein Foto trägt das Kameramodell, einen Zeitstempel und oft Koordinaten. Ein PDF trägt den Namen des Werkzeugs, das es erzeugt hat, und manchmal den der Person, die es geschrieben hat. Ein Office-Dokument kann eine komplette Entstehungsgeschichte enthalten. Dass dies immer wieder in Ermittlungen auftaucht, liegt daran, dass die Menschen, die es identifizierte, annahmen, die Spuren seien längst weg. EFFs Projekt Surveillance Self-Defense beschreibt Metadaten als im Wesentlichen alles außer dem Inhalt einer Kommunikation und stellt fest, dass die Polizei in vielen Ländern leichter an sie herankommt als an den Inhalt selbst.
Wo die Spuren liegen
In Fotos kann der EXIF-Block Kamera- und Objektivdaten, Belichtungseinstellungen, einen Aufnahme-Zeitstempel und – wenn Standortdienste aktiviert sind – GPS-Koordinaten enthalten, die auf wenige Meter genau sind. Telefone betten sie in vielen Konfigurationen standardmäßig ein, und Kamera-Apps machen unterschiedlich deutlich, dass sie das tun. PDF-Dateien führen typischerweise eine Producer-Zeichenkette, Zeitstempel und – bei Export aus Textverarbeitungen – ein Autorenfeld, das Person und Anwendung hinter dem Dokument nennt. Textverarbeitungen fügen mehr hinzu: Revisionszähler, gesamte Bearbeitungszeit, Vorlagennamen und ein Feld „zuletzt geändert von“, das bei jedem Speichern aktualisiert wird. Selbst ein Screenshot, der das EXIF des Originalbilds verwirft, bettet eigene Artefakte neu ein: die Uhr in der Ecke, Fenstertitel, Benachrichtigungsvorschauen, Benutzernamen im Bild.Drei Fälle, die über Datei-Metadaten entschieden wurden
Das am besten dokumentierte Beispiel bleibt die Verhaftung von Higinio O. Ochoa III im Jahr 2012, einem mutmaßlichen Mitglied des Anonymous-Ablegers CabinCr3w, der unter dem Handle AnonW0rmer postete. Er twitterte ein Foto seiner Freundin mit einem höhnischen Schild neben gestohlenen Behördendaten, offenbar in der Annahme, das Bild enthalte nichts Identifizierendes. Der EXIF-Block des Fotos enthielt weiterhin GPS-Koordinaten: Laut EFFs Bericht über die FBI-Beschwerde wiesen die Daten auf ein Haus in Wantirna South, einem Vorort von Melbourne in Australien. Die Beamten ordneten die Frau Ochoas eigenen Facebook-Bildern zu und verhafteten ihn im März, wie CSO Onlines Rekonstruktion erzählt.Das Problem für jemanden, der seine Spuren verwischen will, ist, dass die Bilder mit Daten eingebettet sind, die einem Ermittler sagen, wo und wann sie aufgenommen wurden.Dokument-Metadaten waren schon deutlich länger entscheidend. 2005 antwortete der BTK-Killer – Dennis Rader, der die Polizei und Medien in Wichita drei Jahrzehnte lang geneckt hatte – auf eine Zeitungsanzeige, die fragte, ob eine Diskette zurückverfolgt werden könne, mit der Bemerkung, das könne sie nicht, und schickte dann eine an den Fernsehsender KAKE. Die Diskette enthielt Word-Dateien, deren eingebettete Metadaten auf einen Computer der Christ Lutheran Church wiesen, wo Rader Kirchenratspräsident war. Die Beamten kamen mit einem Durchsuchungsbeschluss dorthin und verhafteten ihn am 25. Februar 2005; er gestand und verbüßt zehn lebenslange Freiheitsstrafen. CBS News berichtete über die Spur zur Kirche wenige Tage nach der Verhaftung. Dasselbe Muster zieht sich durch die Strafverfolgung im Darknet. Als der Wall Street Market 2019 fiel, wies die Pressemitteilung des US-Justizministeriums darauf hin, dass die Administratoren VPNs nutzten, um auf die Rechner des Marktes zuzugreifen, aber eine fehlgeschlagene VPN-Verbindung die IP-Adresse eines Administrators offenlegte, und dass ein Moderator namens Med3l1n teilweise über Forumsposts und Bilder aus früheren Jahren mit einer realen Person verknüpft wurde. Das sind Infrastruktur- und Artefakt-Fehler, keine EXIF-Ausrutscher, aber sie gehören zur selben Familie: Spuren, die das Pseudonym überleben. Die ganze Kette haben wir in unserem Beitrag darüber behandelt, wie kleine Opsec-Fehler die Wall-Street-Market-Administratoren enttarnten.