CaptiloPrüfenEN

Vom Auslösen bis zur belastbaren Dokumentation

Jede Captilo-Aufnahme durchläuft neun unabhängige, kryptografisch verknüpfte Schritte, bevor die Datei überhaupt exportiert wird. Jeder Schritt beantwortet eine Frage, die ein Schadenregulierer, ein Prüfer oder die Gegenseite stellen wird: Mit welchem Gerät wurde das aufgenommen, wann, und wurde es seitdem verändert?

Neun Schritte, ein durchgehender Datensatz

  1. 1

    Freigabe am Gerät

    Die Kamera öffnet sich erst nach der Entsperrung durch das Telefon selbst: per hinterlegtem Fingerabdruck oder Gesicht, ersatzweise mit der Geräte-PIN. Anschließend wird lokal ein SHA-256-Commitment erzeugt, das eine anonyme ID, eine Einmal-Nonce und den Foto-Hash verknüpft und festhält, dass die Freigabe erfolgt ist. Fingerabdruck- und Gesichtsdaten erreichen Captilo nie; das Telefon meldet nur, dass die Entsperrung erfolgreich war.

    Freigabe

    Belegt, dass die Aufnahme auf diesem Gerät freigegeben wurde. Das ist eine Freigabe auf Geräteebene, keine Identität: Telefone verraten nie, welcher hinterlegte Finger oder welches Gesicht verwendet wurde.

  2. 2

    Kryptografisches Hashing auf dem Gerät

    Ein SHA-256-Hash der Rohdaten des Fotos und ein separater SHA-256-Hash der kanonisierten Metadaten (RFC 8785): das getrennte V2-Hashverfahren.

    Integrität

    Schon die Änderung eines einzigen Pixels oder Metadatenfelds ergibt einen völlig anderen Hash, den jeder unabhängig nachrechnen kann.

  3. 3

    Kryptografische Signatur

    Über die exakten signierten Daten wird eine secp256k1-Signatur erzeugt, gebunden an einen privaten Schlüssel, der auf dem Gerät liegt.

    Nichtabstreitbarkeit

    Belegt, dass der Nachweis vom Inhaber eines bestimmten Schlüssels erzeugt wurde. Er lässt sich im Nachhinein nicht glaubhaft abstreiten.

  4. 4

    Einmal-Nonce

    Vor der Aufnahme wird eine gerätegebundene Einmal-Nonce mit 60 Sekunden Gültigkeit ausgegeben und bei der Übermittlung verbraucht.

    Schutz vor Wiederverwendung und Rückdatierung

    Verhindert, dass ein bereits erzeugter Nachweis erneut eingereicht oder genutzt wird, um eine neue Aufnahme zurückzudatieren.

  5. 5

    Blockchain-Verankerung

    Beide Hashes werden über die Verträge CaptiloProofRegistryV2 / CaptiloUnifiedRegistry an die Sonic-Blockchain übermittelt (EVM-kompatibel, Finalität unter einer Sekunde).

    Unveränderlicher Prüfpfad

    Erzeugt einen dauerhaften, von Dritten prüfbaren Eintrag, den niemand nachträglich ändern oder löschen kann, weder Captilo noch sonst jemand.

  6. 6

    Qualifizierter eIDAS-Zeitstempel

    Ein RFC-3161-Zeitstempel von APED, einem qualifizierten Vertrauensdiensteanbieter auf der EU-Vertrauensliste, der sowohl den Foto-Hash als auch den Metadaten-Datensatz abdeckt. Er wird parallel zur Blockchain-Transaktion angefordert.

    Gesetzlich vermutete Zeit

    Nach Artikel 41 Absatz 2 der EU-Verordnung eIDAS gilt für einen qualifizierten Zeitstempel die gesetzliche Vermutung, dass Datum und Uhrzeit korrekt sind. Bleibt die Antwort des Zeitstempeldienstes aus oder kommt sie leer zurück, was selten vorkommt, liefert die Blockchain-Verankerung weiterhin einen unabhängigen Zeitstempel.

  7. 7

    Prüfung auf Manipulation

    Vor der Übermittlung läuft auf dem Gerät eine Reihe von Prüfungen: auf ausgetauschte oder untergeschobene Fotos, auf abfotografierte Bildschirme und Ausdrucke, auf manipulierte Standortdaten sowie eine Attestierung von Gerät und Emulator. Die Aufschlüsselung nach Angriffsart finden Sie weiter unten.

    Manipulationsprüfung

    Ausgetauschte oder eingeschleuste Fotos werden abgewiesen; jedes andere Ergebnis wird in den signierten Nachweis-Datensatz geschrieben und auf dem Zertifikat angezeigt. Wie jede automatisierte Prüfung senkt sie das Risiko, ist aber keine Garantie.

  8. 8

    Offline-Aufnahmen (falls zutreffend)

    Ist ein Gerät bei der Aufnahme offline, laufen dieselben Integritätsprüfungen trotzdem auf dem Telefon und werden signiert, sobald der Nachweis synchronisiert wird. Die Zeit stammt dann allein von der Geräteuhr, ohne Server-Nonce und ohne qualifizierten Zeitstempel bis zur Synchronisierung.

    Offengelegte Einschränkung

    Offline-Nachweise sind im Nachweis-Datensatz als offline gekennzeichnet und erhalten dauerhaft höchstens den Erfassungsgrad C. Vor einem Prüfer wird nichts verborgen.

  9. 9

    Unabhängige Prüfung

    Jeder kann ein Zertifikat oder Foto im öffentlichen Prüfwerkzeug hochladen; die Hashes werden neu berechnet und mit dem Blockchain-Eintrag abgeglichen. Dieselben Prüfungen funktionieren auch allein mit öffentlichen Werkzeugen, ganz ohne Captilo.

    Prüfbarkeit durch Dritte

    Kein Captilo-Konto, keine proprietäre Software: Der Nachweis beruht auf öffentlicher Kryptografie und einem öffentlichen Register.

Probieren Sie es selbst aus. Laden Sie ein beliebiges Captilo-Zertifikat hoch und sehen Sie, wie diese Prüfungen ablaufen.

Prüfen ohne Captilo Zum Prüfwerkzeug

Wie jeder Angriff aussieht und was ihn tatsächlich stoppt

Nicht jedes Signal blockiert eine Übermittlung, und das ist Absicht: Ein System, das jedes unklare Signal hart abweist, lehnt im Alltag auch korrekte Aufnahmen ab. Bei jeder Schutzmaßnahme steht, was sie tatsächlich tut: sofort abweisen, zur Prüfung durch einen Menschen kennzeichnen oder den Erfassungsgrad senken.

Mit harter Sperre

Austausch und Unterschieben von Fotos

Ein Foto aus der Galerie unterschieben, die Datei abfangen, bevor ihr Hash berechnet wird, oder ein virtuelles bzw. eingeschleustes Bild in den Aufnahmeprozess leiten.

Schutzmaßnahmen

  • Prüfungen von Aufnahmezeitpunkt, EXIF-Konsistenz und Bildinhalt
  • Eine Einmal-Nonce, erzeugt bevor sich die Kamera öffnet, wird in den signierten Datensatz eingebunden
  • Eine frische Hardware-Attestierung für jede einzelne Aufnahme (siehe Jailbreak und Attestierung), gebunden an genau dieses Foto

Ergebnis: Ein unmöglicher Aufnahmezeitpunkt oder ein nicht passendes Gerät in den EXIF-Daten führt zur sofortigen Ablehnung. Die übrigen Prüfungen werden im signierten Nachweis festgehalten, und ein Nachweis ohne bestätigte Hardware-Attestierung wird schlechter bewertet.

Gekennzeichnet, nicht blockiert

Abfotografierte Bildschirme und Ausdrucke

Einen Bildschirm oder einen Ausdruck abfotografieren, um eine vermeintlich originale Aufnahme vorzutäuschen.

Schutzmaßnahmen

  • Frequenzanalyse über ausgewählte Bildausschnitte, auf der Suche nach Moiré-Mustern, die eine Kamera von einem Display oder einem gedruckten Rasterbild aufnimmt
  • Analyse der Kantenschärfe: Ein abfotografiertes Bild hat weichere Kanten als die tatsächliche Szene
  • So ausgelegt, dass regelmäßige Strukturen wie Stoff oder Gitter nicht anschlagen

Ergebnis: Wird nicht blockiert. Deutet die Analyse auf einen Bildschirm oder Ausdruck hin, trägt der Nachweis einen Hinweis auf einen möglicherweise abfotografierten Bildschirm (mittel oder hoch). Er ist in den Datensatz signiert, steht auf dem Zertifikat und empfiehlt eine Prüfung durch einen Menschen. Entfernen lässt er sich nicht, ohne den Nachweis ungültig zu machen. Auf den Erfassungsgrad wirkt sich der Hinweis nicht aus.

Gekennzeichnet, nicht blockiert

Gefälschte Standorte

Mit einer Fake-GPS- oder Standortsimulations-App vortäuschen, wo ein Foto aufgenommen wurde.

Schutzmaßnahmen

  • Android stellt auf Systemebene ein Kennzeichen für simulierte Standorte bereit; Captilo liest es bei jeder Aufnahme aus und hält es fest

Ergebnis: Wird nicht blockiert, weil externe GPS-Empfänger dieselbe Schnittstelle nutzen können. Ein gekennzeichneter Standort wird in der App, auf dem Zertifikat und auf der Prüfseite rot als simuliert markiert („Simulierter Standort, nicht bestätigt“), und der Erfassungsgrad ist höchstens C. Die Kennzeichnung ist in den Datensatz signiert und lässt sich nicht entfernen.

Bewertet, nicht blockiert

Jailbreak, Root und Geräte-Attestierung

Captilo auf einem veränderten Betriebssystem ausführen oder mit Werkzeugen ein erfundenes Bild in ein kompromittiertes Gerät einschleusen.

Schutzmaßnahmen

  • Root- und Jailbreak-Status wird erkannt und im signierten Nachweis festgehalten
  • Eine einmalige Geräteregistrierung bindet den Signaturschlüssel von Captilo an eine Hardware-Attestierung (Google Play Integrity unter Android, Apple App Attest für die iOS-App), die serverseitig geprüft wird
  • Für jede Aufnahme wird eine frische Attestierung an die Nonce und den Foto-Hash genau dieser Aufnahme gebunden

Ergebnis: Wird nicht blockiert, weil viele legitime Nutzer veränderte Geräte verwenden. Stattdessen prüfen die Server von Google die Attestierung jeder Aufnahme, nicht die App selbst. Ein kompromittiertes Gerät kann also nicht einfach behaupten, die Prüfung bestanden zu haben. Ein Nachweis ohne bestätigte Attestierung wird schlechter bewertet und kann die höchste Stufe nicht erreichen.

Mit harter Sperre

Emulatoren und virtuelle Kameras

Die App in einem Simulator ausführen oder eine virtuelle bzw. gefälschte Kameraquelle in den Aufnahmeprozess leiten.

Schutzmaßnahmen

  • Eine Prüfung auf ein physisches Gerät stellt sicher, dass die App nicht in einem Simulator läuft
  • Eine Zeitmessung an der Hardware, die hilft, Emulatoren und Debugging-Werkzeuge zu erkennen
  • Die Auflistung der Kameras unter Android kennzeichnet extern eingespeiste oder virtuelle Kameraquellen

Ergebnis: Wird sofort blockiert, wenn die Kameraquelle eindeutig virtuell ist. Unklare Fälle werden nicht blockiert, damit keine regulären Aufnahmen abgewiesen werden.

Ein sichtbarer Erfassungsgrad

Das Prüfergebnis ist davon getrennt und eindeutig: Ein Nachweis gilt nur dann als bestätigt, wenn seine Bild- und Metadaten-Hashes mit dem Blockchain-Eintrag übereinstimmen. Der Erfassungsgrad von A bis D zeigt, wie gut die Umstände der Aufnahme belegt sind. Er erscheint in der App und auf dem Zertifikat.

Was nie möglich ist: Ein Nachweis, der nicht auf der Blockchain steht, bekommt überhaupt keinen Grad. Eine Offline-Aufnahme oder ein Standort aus einer Simulations-App erhält höchstens C, egal wie gut alles andere aussieht. Der Grad wird als Orientierung auf dem Telefon berechnet; unabhängig nachprüfen kann jeder den signierten Datensatz und seine Blockchain-Verankerung.

  • Wann

    Ist der Aufnahmezeitpunkt durch einen qualifizierten eIDAS-Zeitstempel unabhängig bestätigt?

  • Wo

    Gibt es eine tatsächliche GPS-Ortung, und wie genau ist sie?

  • Wer hat freigegeben

    Wurde die Aufnahme per Fingerabdruck oder Gesicht freigegeben, oder nur mit der Geräte-PIN?

  • Gerät

    Hat eine Hardware-Attestierung im Moment der Aufnahme ein reguläres Telefon bestätigt?

Bitte lesen, bevor Sie sich darauf verlassen

Was dieser Datensatz belegt

  • Eine mathematisch überprüfbare Aussage darüber, welche Bytes und Metadaten die Datei im Moment der Verankerung hatte.
  • Einen unveränderlichen, von Dritten prüfbaren Zeitstempel und Blockchain-Eintrag, den keine einzelne Partei unbemerkt ändern kann.
  • Eine dokumentierte, nachvollziehbare technische Kette, die Sie einer Versicherung, einem Prüfer oder Ihrem Rechtsbeistand vorlegen können, um die Beweiskette zu begründen.
  • Einen EU-qualifizierten eIDAS-Zeitstempel, für den in allen EU-Mitgliedstaaten die gesetzliche Vermutung der korrekten Zeit gilt.

Was er nicht leistet

  • Er garantiert nicht, dass ein bestimmtes Gericht, Schiedsgericht oder eine Versicherung den Datensatz zulässt oder anerkennt. Die Zulässigkeit hängt von der Rechtsordnung, den Verfahrensregeln und dem Ermessen der entscheidenden Stelle ab.
  • Er garantiert nicht, dass die Manipulationsprüfung jedes manipulierte oder KI-generierte Bild findet. Ein Hinweis auf einen möglicherweise abfotografierten Bildschirm ist ein Anlass zur Prüfung durch einen Menschen, kein Urteil. Fehlt ein solcher Hinweis, heißt das nicht, dass das Bild unverfälscht ist.
  • Er ersetzt weder ein Sachverständigengutachten noch eine forensische Untersuchung oder die Beratung durch qualifizierte Rechtsanwälte.

Der rechtlich verbindliche Wortlaut steht im Haftungsausschluss, Teil unserer Datenschutzerklärung & Nutzungsbedingungen.

Wird das vor Gericht anerkannt?

Captilo liefert kryptografische Belege für Integrität, Zeitpunkt und Herkunft, die eine Beweiskette stützen und einem Gericht, einer Versicherung oder einem Prüfer vorgelegt werden können. Eine Garantie, dass eine bestimmte Stelle sie zulässt, ist das nicht. Über die Zulässigkeit entscheidet die zuständige Stelle nach den Regeln des jeweiligen Verfahrens, und kein Technologieanbieter kann sie versprechen.

Captilo kann dafür sorgen, dass die technische Grundlage so stark und so unabhängig prüfbar wie möglich ist. Wenn Ihr Rechtsbeistand die Beweisführung aufbaut, kann er sich auf tatsächliche Kryptografie, einen tatsächlichen Blockchain-Eintrag und einen tatsächlichen qualifizierten Zeitstempel stützen, nicht nur auf eine Behauptung.

Sie prüfen Captilo für Ihr Unternehmen?

Sprechen Sie mit uns über Standards, Compliance und Integration für Ihre Beschaffungs- oder Compliance-Prüfung.

Für Unternehmen & Compliance