Foto-Metadaten entfernen: Was wirklich verschwindet

Eine Fotodatei hat nicht einen Metadatenblock, sondern sechs

Fast alle sagen EXIF und meinen Metadaten, und genau da fängt das Problem an. EXIF ist ein Block unter mehreren, und ein JPEG ist eine Folge beschrifteter Segmente, die jeweils etwas anderes enthalten können. Da ist das JFIF-Segment mit grundlegenden Dichteangaben. Da ist der EXIF-Block selbst mit Kameramarke und -modell, Bearbeitungssoftware, Zeitstempel, Belichtungswerten, mitunter Gehäuse-Seriennummer und Objektiv und — als eigenes Unterverzeichnis — der GPS-Position. Da ist XMP, ein XML-Paket, das Bildbearbeitungen für eigene Felder nutzen. Da ist ein IPTC-Datensatz, meist in einen Photoshop-Ressourcenblock verpackt, mit Bildunterschriften, Urhebernennung und Rechten. Da ist ein ICC-Farbprofil. Und da ist ein freies Kommentarsegment, in das alles Mögliche schreiben kann.

Der wichtigste versteckt sich in EXIF statt daneben: eine zweite, vollständige Kopie des Bildes in Vorschaugröße, gespeichert, damit eine Kamera sofort eine Voransicht zeigen kann. In unserer Testdatei waren das 5 628 Byte echtes JPEG. Das zählt, weil ein Werkzeug, das nur das Hauptbild bearbeitet und bloß die ihm bekannten Felder neu schreibt, die Vorschau unberührt lassen kann — und dann zeigt die kleine Fassung die Szene noch so, wie sie vor dem Zuschneiden, Geraderücken oder Abdecken aussah. Andere Formate haben eigene Vorkehrungen: Ein PNG legt Text in tEXt-, zTXt- und iTXt-Blöcken ab und kann in einem eXIf-Block einen kompletten EXIF-Block tragen, während HEIC und WebP eigene Container um dieselben Arten von Einträgen legen.

Und was das Ortsfeld wert ist: Koordinaten werden als drei rationale Zahlen abgelegt — Grad, Minuten und Sekunden —, und das Sekundenfeld trägt Bruchteile. Eine Datei, die in Hundertstel-Bogensekunden geschrieben ist, löst am Boden auf etwa 30 Zentimeter auf. Das ist nicht das Viertel, das ist der Raum. Verbinde das mit dem exakten Zeitstempel, der auf die Sekunde genau gespeichert wird, und ein Foto eines Kindes zu Hause ist eine Adresse und eine Gewohnheit.

Zwei Wege, es zu entfernen — und sie sind nicht gleichwertig

Der erste Weg ist chirurgisch: den Container öffnen, die Segmentliste durchgehen, die unerwünschten löschen und die komprimierten Bilddaten unangetastet wieder hinausschreiben. Nichts wird dekodiert, nichts neu kodiert, und die Pixel, die herauskommen, sind Bit für Bit die, die hineingingen. So arbeitet ein Metadaten-Editor, und das ist der richtige Weg, wenn Qualität zählt. Seine Schwäche: Er entfernt nur, wonach er zu suchen weiß — ein unbekanntes Segment, ein herstellereigener Block, ein verschachtelter Eintrag, den er nicht liest, überleben standardmäßig.

Der zweite Weg ist grob und der dieses Werkzeugs: das Bild in rohe Pixel dekodieren, diese Pixel auf ein Canvas zeichnen und den Browser bitten, das Canvas als neue Datei zu serialisieren. Der Browser-Standard beschreibt diese Ausgabe als Serialisierung der Canvas-Bitmap, und eine Bitmap besteht nur aus Farbwerten — für eine Kamera-Seriennummer oder ein verstecktes Vorschaubild ist da kein Platz, denn die Struktur, die sie trug, wurde mehrere Schritte früher weggeworfen. Deshalb kann dieser Weg nichts übersehen: Er ist keine Liste zu löschender Dinge, sondern die Weigerung, irgendetwas außer dem Bild zu kopieren.

Was tatsächlich verschwand

Wir haben eine Datei gebaut, die all das trug, und sie durchgeschickt. Die Quelle war ein JPEG mit 800 mal 600 Pixeln und rund 60 Kilobyte: ein JFIF-Segment, ein vollständiger EXIF-Block mit Marke, Modell, Bearbeitungssoftware, Zeitstempel, Belichtungszeit, Blende, Empfindlichkeit, Gehäuse-Seriennummer, Objektivmodell und GPS-Position samt Höhe, ein 5 628 Byte großes Vorschaubild in eben diesem EXIF-Block, ein XMP-Paket mit Fotografennamen und Stadt, ein IPTC-Datensatz mit Bildunterschrift und Urhebernennung, ein Farbprofil und ein Kommentar, die Datei sei ein interner Entwurf und nicht zur Weitergabe bestimmt.

Die gereinigte Ausgabe war rund 58 Kilobyte groß und enthielt vier Dinge: das JFIF-Segment, ein Farbprofil, die Kompressionstabellen und die Bilddaten. Sonst nichts. Danach haben wir die exportierten Bytes direkt nach vierzehn Zeichenketten aus dem Original durchsucht: Hersteller, Modell, Bearbeitungssoftware, Seriennummer, Objektivname, Name des Fotografen, Bildunterschrift, den Nicht-weitergeben-Kommentar, die XMP-Marker, das Wort Exif selbst, den Zeitstempel und die Zahlform der Koordinaten. Keine einzige taucht auf. Auch das versteckte Vorschaubild ist fort: Die einzige Bytefolge, die beide Dateien teilen, ist der Standardkopf, den jedes von diesem Browser kodierte Bild trägt, und sie endet lange bevor die Bilddaten der Vorschau beginnen.

Eines bleibt mit Absicht erhalten, und es ist das Richtige. Kameras und Telefone speichern das Bild sehr oft in Sensorlage und hängen ein Kennzeichen an, wie es zu drehen ist. Löscht man das Kennzeichen und behält die Pixel, kommt jedes Hochformat quer heraus. Wir haben eine Fassung der Datei getestet, die als um eine Vierteldrehung zu kippen markiert war: Der Browser wandte die Drehung an, bevor das Canvas sie überhaupt sah, sodass die gereinigte Datei 600 mal 800 statt 800 mal 600 misst und aufrecht steht, ohne verbliebenes Kennzeichen. Genau dieses Verhalten will man, und es lohnt die Prüfung, denn Werkzeuge, die Felder ohne Dekodieren löschen, machen das ständig falsch.

Was die Neukodierung kostet

Gründlichkeit wird mit Qualität bezahlt. Weil das Bild dekodiert und erneut komprimiert wird, ist die Ausgabe nicht das Originalbild, sondern eine neue verlustbehaftete Annäherung daran. Bei unserer Testdatei maß ein Durchgang 46,2 Dezibel Störabstand gegenüber der Quelle, mit einem schlimmsten Einzelkanalfehler von 18 von 255. Im Klartext: auf einem Bildschirm unsichtbar und druckfest. Nichts ist es dennoch nicht, und umsonst auch nicht: Eine chirurgische Metadatenentfernung erreichte unendlich, weil sie kein einziges Pixel ändert.

Zu beachten ist die Wiederholung. Der Verlust summiert sich, denn jeder Durchgang startet von der Annäherung des vorigen und nicht vom Original. Wir haben die gereinigte Datei fünfmal weiter durchgeschickt: Der Störabstand gegenüber dem Original fiel von 46,2 auf 38,5 Dezibel, und der schlimmste Einzelkanalfehler wuchs von 18 auf 53 von 255. Das ist der Unterschied zwischen unsichtbar und sichtbar in einem glatten Himmel oder einem Hautton. Also einmal reinigen, am Ende der Bearbeitung, an der Datei, die du gleich verschickst — nicht gewohnheitsmäßig, und nicht an einer Datei, die du danach noch bearbeitest.

Wo es scheitert: iPhone-Fotos, Transparenz und Farbe

Die wichtige Lücke ist HEIC. Es ist das Standard-Aufnahmeformat auf einem iPhone, und Desktop-Browser können es in der Regel nicht dekodieren. Wir haben eine echte HEIC-Datei eingegeben, und der Bilddekoder scheiterte glatt — und weil das Werkzeug keine Behandlung für diesen Fehlschlag hat, passiert überhaupt nichts: kein gereinigtes Bild, kein Download-Knopf, keine Meldung. Wer nicht weiß, dass das Format nicht unterstützt wird, schließt vernünftigerweise, die Seite sei kaputt — oder schlimmer, merkt es nicht und nimmt an, die Arbeit sei erledigt. Wandle zuerst in JPEG um, oder exportiere vom Telefon als JPEG, statt die Originalaufnahme zu teilen.

Die zweite Überraschung: Die Ausgabe ist immer ein JPEG, ganz gleich, was hineingeht. Gib ein PNG hinein, und du bekommst ein JPEG zurück, die Endung wird für dich geändert. Für eine Fotografie ist das in Ordnung und für alles mit Transparenz falsch: JPEG hat keinen Alphakanal, teiltransparente Pixel werden also gegen einen Hintergrund plattgedrückt. Wir haben es an einem PNG gemessen, dessen rechte Hälfte halb durchsichtig war: Die exportierten Pixel kamen völlig deckend und deutlich dunkler zurück, auf Schwarz gerechnet. Ein Logo, ein Bildschirmfoto mit runden Ecken oder ein freigestelltes Produktbild übersteht das nicht unversehrt. Farbe wird ebenso behandelt: Das Canvas arbeitet im Standardraum sRGB, und die exportierte Datei trägt das sRGB-Profil des Browsers, geschrieben selbst dann, wenn die Eingabe gar kein Profil hatte — ein Foto mit großem Farbraum kommt also umgerechnet statt bewahrt heraus.

Wo es durchsickert — und wann ein Bildschirmfoto die richtige Antwort ist

Das Leck ist fast nie das soziale Netzwerk. Große Plattformen kodieren Hochgeladenes neu, meist um Bandbreite zu sparen, und Metadaten verschwinden als Nebeneffekt — aber das ist eine Folge ihrer Verarbeitungskette, kein Versprechen an dich, und es hängt von Plattform und Upload-Weg ab. Die verlässlichen Lecks sind die Wege, auf denen niemand irgendetwas neu kodiert: eine Datei im E-Mail-Anhang, ein Foto, das im Chat als Dokument statt als Bild abgelegt wird, ein Upload in ein Forum oder auf ein Kleinanzeigenportal, das speichert, was es bekommt, eine Datei auf einem Stick, ein Bild auf einer kleinen Website mit Standardsoftware. In jedem dieser Fälle sind die Bytes, die du sendest, die Bytes, die ankommen — Vorschaubild und Koordinaten inbegriffen.

Und ja, ein Bildschirmfoto funktioniert wirklich — für ein Foto. Den Bildschirm abzufotografieren erzeugt eine frische Datei, die aus nichts als den sichtbaren Pixeln besteht, ohne einen der ursprünglichen Blöcke, und es dauert zwei Sekunden. Es wirft auch Auflösung weg, denn du erfasst das Bild in der angezeigten und nicht in der nativen Größe, und es skaliert nicht: zweihundert Urlaubsfotos sind zweihundert Handgriffe und ein Ordner voll bildschirmgroßer Kopien. Das ist die ehrliche Grenze zwischen den beiden Antworten. Ein Bild — und das Schnellste, was zugleich richtig ist, ist ein Bildschirmfoto. Mehr als eine Handvoll — und du willst ein Werkzeug, das dieselbe Arbeit am ganzen Stapel erledigt, ohne dass du zusiehst.

Häufige Fragen

Entfernt es die GPS-Position wirklich?

Ja. GPS-Koordinaten liegen in einem Unterverzeichnis des EXIF-Blocks, und der EXIF-Block wird nicht bearbeitet — er wird zusammen mit dem gesamten Originalcontainer verworfen, wenn die Pixel neu kodiert werden. In unserem Test enthielt die Quelle Breite, Länge und Höhe; die Suche nach der Zahlform dieser Werte in der gereinigten Datei liefert nichts, ebenso wenig die Suche nach dem Wort Exif selbst. Nichts zum Ort kann einen Vorgang überleben, der nur Farbwerte kopiert.

Überlebt das versteckte Vorschaubild?

Nein — und das lohnt die Prüfung, denn genau hier versagen andere Werkzeuge. Ein Reiniger, der Felder an Ort und Stelle ändert, kann das Vorschaubild unberührt lassen, und dieses Vorschaubild zeigt womöglich die Szene, bevor du zugeschnitten oder etwas abgedeckt hast. Hier kann die Vorschau nicht überleben: Sie liegt im EXIF-Block, und der EXIF-Block wird nie kopiert. Wir haben es durch einen byteweisen Vergleich beider Dateien bestätigt — die längste gemeinsame Folge ist der Standardkopf, den jedes Bild dieses Browsers trägt, und sie endet, bevor die Bilddaten der Vorschau beginnen würden.

Verliert das Reinigen Bildqualität?

Ein wenig, und nur einmal, wenn du es einmal benutzt. Das Werkzeug dekodiert das Foto und komprimiert es erneut, die Ausgabe ist also eine neue verlustbehaftete Fassung. Gegen unsere Quelle gemessen ergab ein einzelner Durchgang 46,2 Dezibel Störabstand mit einem schlimmsten Einzelkanalfehler von 18 von 255 — bei normaler Betrachtung unsichtbar. Wiederholte Durchgänge summieren sich: Nach sechs war der Wert auf 38,5 Dezibel gefallen und der schlimmste Fehler auf 53 gestiegen. Also einmal reinigen, an der Kopie, die du verschickst, und dein unberührtes Original woanders aufbewahren.

Ich habe ein Foto von meinem iPhone geladen und nichts passierte. Warum?

Mit hoher Wahrscheinlichkeit, weil die Datei ein HEIC ist — das Standardaufnahmeformat eines iPhones, das Desktop-Browser meist nicht dekodieren können. Wir haben es mit einer echten HEIC-Datei nachgestellt: Der Dekoder scheitert, und das Werkzeug hat keine Behandlung dafür, also tut die Seite schlicht nichts — kein Bild, kein Download, kein Fehler. Wandle die Datei zuerst in JPEG um, ändere die Kameraeinstellung auf das kompatibelste Format, oder teile das Foto über eine App, die beim Export umwandelt.

Wie prüfe ich selbst, ob eine Datei sauber ist?

Verlass dich nicht auf das Dateiinformationsfenster deines Systems: Es zeigt eine ausgewählte Reihe von Feldern, nicht alles Vorhandene, und ein Block, den es nicht versteht, taucht schlicht nicht auf. Zwei bessere Prüfungen: Öffne die Datei in einem Metadaten-Betrachter, der die rohen Segmente auflistet statt freundlicher Bezeichnungen, oder vergleiche die Dateigrößen — ein Foto, das nach dem Reinigen merklich schrumpft, trug ein verstecktes Vorschaubild. Und prüfe, was du tatsächlich verschickt hast, nicht was du gereinigt hast: Es zählt die Datei, die deinen Rechner verlässt, und Messenger kodieren oder hängen unterwegs mitunter neu an.