Metadaten beschreiben eine Datei, nicht automatisch ihre Entstehung
Metadaten sind Angaben über ein digitales Objekt: Dateiname, Größe, Dateisystemzeiten, eingebetteter Autor, Anwendungsname, Änderungszähler oder eine berechnete Prüfsumme. Sie stammen aus unterschiedlichen Schichten. Das Betriebssystem verwaltet andere Felder als Word, PDF oder ein Cloud-Dienst. Gleichlautende Bezeichnungen können daher verschiedene Ereignisse meinen.
Ein Erstellungsdatum kann beim Kopieren, Herunterladen, Entpacken oder Konvertieren neu gesetzt werden. Ein Autorenfeld kann aus einer Office-Vorlage oder Benutzerkonfiguration stammen. Die gesamte Bearbeitungszeit kann durch geöffnete Dateien, Abstürze oder Softwarewechsel verzerrt sein. Solche Felder sind Indizien, keine direkte Beobachtung einer schreibenden Person.
Vor jeder Auswertung einen nachvollziehbaren Zustand sichern
Arbeite nicht am einzigen Original. Kopiere die erhaltene Datei in einen geschützten Belegordner und notiere Quelle, Empfangsweg, Datum, lokale Zeitzone und verantwortliche Person. Berechne eine kryptografische Prüfsumme, beispielsweise SHA-256, ohne daraus eine Autorenschaftsaussage abzuleiten. Die Prüfsumme dient später dazu, genau diese Bytefolge wiederzuerkennen.
Dokumentiere das verwendete Auslesewerkzeug und seine Version. Exportiere Ergebnisse möglichst als lesbaren Text und sichere bei Bedarf einen Screenshot der Oberfläche. Vermeide Programme, die beim bloßen Öffnen eingebettete Eigenschaften verändern. Falls eine Änderung unvermeidbar ist, untersuche eine Arbeitskopie und halte deren Prüfsumme separat fest.
DOCX, PDF und Betriebssystem getrennt lesen
Eine DOCX-Datei ist technisch ein Paket aus XML-Dateien und weiteren Objekten. Kerneigenschaften können Ersteller, letzte Bearbeitung oder Zeitwerte enthalten. Diese Angaben lassen sich jedoch durch Vorlagen, „Speichern unter“, Dokumentinspektion oder Bibliotheken verändern. Eine Revisionsnummer ist keine verlässliche Anzahl inhaltlicher Überarbeitungen über alle Programme hinweg.
PDF-Metadaten beschreiben häufig den Exportprozess. „Creator“ und „Producer“ können Ausgangsanwendung und PDF-Bibliothek benennen. Das ist hilfreich, um einen behaupteten technischen Weg zu prüfen, reicht aber nicht für die Herkunft des Manuskripts. Nachbearbeitung, Druck-zu-PDF und Zusammenführen verändern oder entfernen Felder.
Dateisystemzeiten gehören zur konkreten Kopie auf einem Datenträger. Cloud-Synchronisation, Wiederherstellung aus Backup und Download können sie neu schreiben. Erfasse deshalb zugleich den Speicherort und die Art der Gewinnung. Eine Zahl ohne Herkunftskette ist schwächer als ein sauber protokollierter Export mit bekannten Grenzen.
Mehrere unabhängige Spuren zu einer Zeitleiste verbinden
Metadaten werden nützlicher, wenn sie zu inhaltlich nachvollziehbaren Zwischenständen passen. Eine datierte Datei mit neuer Gliederung, ein darauf bezogenes Betreuungsfeedback und eine spätere Fassung mit erkennbarer Überarbeitung bilden eine verständliche Kette. Jede Komponente sollte unabhängig beschrieben werden; Übereinstimmung macht aus keinem Einzelbeleg einen absoluten Beweis.
Ergänze Rechercheexporte, Literaturdatenbank, Aufgabenabsprachen, Analyseprotokolle und abgegebene Endfassung. Prüfe Gegenbeispiele: Wurde das Kapitel aus einem anderen Programm eingefügt? Arbeitete die Person offline? Wurde eine Datei nach einem Gerätewechsel wiederhergestellt? Solche Erklärungen dürfen nicht nur dann gesucht werden, wenn sie die bevorzugte These stützen.
Ein Dienstverlauf benötigt eine eigene Sicherung. Der Leitfaden Cloud-Versionsverlauf als Nachweis sichern trennt Export, Integritätskontrolle und Lesetest. Wenn eine Anhörung protokolliert wurde, hilft zudem der sachliche Protokollcheck. Der Dokumentcheck als Grundlagenwerkzeug kann technische Eigenschaften sichtbar machen, ersetzt aber keine forensische Untersuchung.
Befunde reproduzierbar und eng formulieren
Ein Metadatenbericht beginnt mit Objektkennung, Dateiname, Größe und SHA-256-Wert. Danach folgen Quelle der Datei, Sicherungsdatum, Zeitzone, Werkzeug und Version. Pro Feld gibst du Rohwert, technische Schicht und Interpretation an. Unbekannte Bedeutung bleibt als „nicht geklärt“ stehen. Bewahre auch Fehlermeldungen oder nicht auslesbare Felder auf.
Formuliere beispielsweise: „Die untersuchte DOCX-Datei mit der dokumentierten Prüfsumme enthält im Feld modified den Zeitwert … . Das Feld ist mit der letzten Speicherung durch eine kompatible Anwendung vereinbar; Kopier- und Bearbeitungshistorie sowie handelnde Person lassen sich daraus allein nicht bestimmen.“ Diese Aussage trennt Beobachtung und Schlussfolgerung.
Vermeide Sätze wie „Die Metadaten beweisen, dass ich drei Monate daran gearbeitet habe.“ Selbst eine passende Serie von Zeitwerten zeigt nicht fortlaufende Tätigkeit oder inhaltliche Eigenleistung. Ebenso falsch wäre, fehlende Metadaten automatisch als Manipulation zu deuten: Export, Datenschutzbereinigung oder Softwarekonvertierung können Informationen regulär entfernen.
Sieben Prüfungen vor der Verwendung
- Ist das untersuchte Objekt durch Prüfsumme eindeutig bezeichnet?
- Ist die Herkunft vom Empfang bis zur Auswertung dokumentiert?
- Wurden Original und Arbeitskopie getrennt?
- Sind Uhrzeit, Zeitzone und mögliche Uhrabweichung angegeben?
- Ist die Bedeutung jedes Feldes für das konkrete Format belegt?
- Werden alternative technische Erklärungen genannt?
- Stützt sich die Gesamtaussage zusätzlich auf inhaltliche, zeitnahe Belege?
Der Hub Prüfungsverfahren und digitale Nachweise ordnet die Matrix neben weiteren Belegarten ein. Gute Metadatenarbeit ist zurückhaltend: Sie konserviert das Beobachtbare, macht die Auswertung wiederholbar und überlässt die Gesamtbewertung dem zuständigen Verfahren.