War die Amokdrohung echt? Fälschung denkbar einfach
Laut Polizei gibt es keinen Beweis, dass Tim K. seinen Amoklauf in Winnenden im Internet angekündigt hat. Mehrere Indizien sprechen dagegen, dass der gefundene Forenbeitrag echt ist. tagesschau.de erklärt, wie man Netzeinträge fälschen kann und wie man solche Manipulationen erkennt.
Von Wulf Rohwedder, tagesschau.de
Ein Screenshot ist eine Momentaufnahme von dem Inhalt eines Bildschirms. Sie wird üblicherweise als Grafikdatei gespeichert.
Noch ist unklar, wie die wahrscheinliche Fälschung in Umlauf kam. Angeblich soll ein brisanter Screenshot der Webseite "westline.de" anonym zugespielt worden sein. Baden-Württembergs Innenminister Heribert Rech zufolge bekam die Polizei den Hinweis auf den Chatroom vom Vater eines Jugendlichen aus Bayern. Der Sohn habe im Internet die Ankündigung des 17-Jährigen gesehen, aber zunächst nicht ernst genommen, weil es sich um ein "Spaßforum" gehandelt habe.
Internetseiten leicht nachgebaut
Allerdings ist es relativ einfach, eine Internetseite nachzubauen und mit veränderten Inhalten zu versehen: Man muss lediglich eine lokale Kopie auf dem eigenen Computer erstellen und die entsprechenden Daten austauschen. Diese Fälschung kann man dann abspeichern oder einen Screenshot erstellen.
Wirklich authentisch ist daher nur die Version, die auf dem Server der Website gespeichert ist - vorausgesetzt, dieser ist ausreichend gegen Manipulationen von außen gesichert und behält Kopien von allen Versionen. Die Überprüfung wird im Fall des Tim K. bislang dadurch erschwert, dass die Betreiber des Forums die komplette Seite bis auf eine Eingangserklärung abschalteten.
"krautchan.net" kein Chatroom
Programm der Firma Adobe, das weitreichende Manipulationen von Fotos und Graphiken zulässt.
Bei der erwähnten Seite "krautchan.net" handelt es sich nicht, wie von der Polizei angegeben, um einen Chatroom, in dem man sich im direkten Dialog unterhält, sondern um ein sogenanntes Imageboard, in das man Bilder einstellt, die dann kommentiert werden. Die Betreiber der Seite erklärten nach Bekanntwerden des angeblichen Eintrags, dass der Eintrag eine Fälschung sei: "Hier wurde kein Amoklauf angekündigt, es gibt hier nur Leute, die mit Photoshop umgehen können."
Hierfür sprechen einige technische Details: So wird bei "krautchan.net" jeder neue Beitrag mit einer Nummer versehen. Die angebliche Amokankündigung hat auf den veröffentlichten Screenshots die laufende Nummer 485465. Die Betreiber behaupten nun, dass mit dieser Thread-Nummer ein völlig anderer Beitrag versehen wurde.
Google-Version stützt Fälschungsvorwurf
Das bestätigt auch das Abbild der Seite im sogenannten Google-Cache: Die Suchmaschine ordnet Webseiten nicht nur nach Suchwörtern, sondern zieht auch immer wieder Kopien in ihre eigene Datenbank. So wurde auch der "Thread 485465" von Google kopiert. In dieser Version findet sich tatsächlich kein Hinweis auf den Amoklauf. Allerdings wurde sie erst am 11. März um 18.01, also gut acht Stunden nach der Tat, erstellt, sodass für die Betreiber bis dahin zumindest theoretisch die Möglichkeit bestand, den Beitrag zu ändern.
Verbindungsdaten können Aufschluss bringen
Die Untersuchung der Computer im Haus von Tim K. könnte weitere Klarheit bringen. Jeder Besuch einer Website wird üblicherweise vom Browser zusammen mit Datum und Zeit des Aufrufs festgehalten. So kann unter Umständen festgestellt werden, ob die Seite "krautchan.net" in der Nacht vor der Tat von einem der Rechner aufgerufen worden war. Die Auswertung des Computers, der im Zimmer von Tim K. gefunden wurde, habe jedoch keinen Hinweis auf die Echtheit des Chats ergeben, so die Polizei. Es sei aber nicht auszuschließen, dass der 17-Jährige einen anderen Computer benutzt habe, zum Beispiel einen Laptop.
Die Kontrolle der Verbindungsdaten von vorhandenen Telefon-, Mobil- und DSL-Anschlüssen würde Klarheit bringen, ob überhaupt auf das Internet zugegriffen worden war. Die bei jeder Internetverbindung zugewiesene IP-Nummer würde ebenfalls Spuren im Netz hinterlassen. Unter anderem würden sie auch auf dem Server von "krautchan.net" registriert worden sein, sofern Tim K. den Server in der fraglichen Nacht über seinen eigenen Internetzugang besucht und keine Maßnahmen zur Verschleierung seiner digitalen Identität verwendet hat. Die Polizei hat daher ein entsprechendes Rechtshilfeersuchen an die USA gerichtet, wo der Server von "krautchan.net" steht.
Polizei beginnt bei Null
Für die Ermittler beginnt nun alles von vorn: "Jetzt müssen wir prüfen, ob das tatsächlich falsch ist, wie das geschehen konnte und wer das war", sagte eine Sprecherin der Staatsanwaltschaft Stuttgart. Zu den Gründen der Verwirrung und zu technischen Details könne sie zunächst nichts sagen.
Polizei widersprach Staatsanwaltschaft
Bereits kurz nach der Pressekonferenz waren Zweifel an der Echtheit des Internet-Eintrags aufgekommen. Daraufhin hatte die Staatsanwaltschaft erklärt, man habe die entsprechenden Einträge auf dem Computer des Amokläufers Tim K. gefunden. Am Abend äußerte dann die Polizei Zweifel an der Echtheit der Internet-Ankündigung und teilte mit, auf dem Computer von Tim K. habe sich definitiv keine solchen Daten befunden.
Ein weiterer Polizeisprecher betonte, es sollten nun nur noch "hundertprozentig" gesicherte Erkenntnisse veröffentlicht werden. Diese sollten "ganz niet- und nagelfest" sein. Die Polizei wolle ihre Pressearbeit zurückhaltender gestalten als in den vergangenen Tagen.