Malte ZanderInhalt
- Was macht einen Screenshot zum Beweis?
- Die Checkliste für belastbare Screenshots
- Warum die ganze Seite und nicht nur den sichtbaren Teil?
- Warum Desktop und Mobil?
- Was ergänzt den Screenshot?
- Welche Fehler machen Screenshots wertlos?
- Ist ein Screenshot vor Gericht ausreichend?
- Wie hilft AI Fraud Protect?
- Häufige Fragen
Ein Screenshot hält als Beweis, wenn er die ganze Seite mit vollständiger Adresszeile zeigt, Datum, Uhrzeit und Zeitzone erkennbar sind und er unverändert gespeichert wurde. Ergänzen Sie ihn um den Quelltext, eine Prüfsumme und ein kurzes Protokoll, wer wann womit aufgenommen hat. Nehmen Sie Desktop und Mobil auf und sichern Sie die Seite, bevor Sie sie melden.
- ISO/IEC 27037 ist der internationale Leitfaden zum Identifizieren, Sammeln, Erfassen und Sichern digitaler Beweise (ISO).
- Das Berkeley-Protokoll legt Mindeststandards für das Finden, Sammeln, Sichern und Prüfen von Online-Informationen fest (UC Berkeley).
- In einer Analyse von 112.005 Phishing-Websites nutzten 31,3 % Tricks, die den Inhalt nur bestimmten Besuchern zeigen (Zhang u. a., IEEE S&P 2021).
- Phishing-Seiten, deren Aussehen sich mehr als 100-mal änderte, blieben im Median 17 Tage online. Was Sie heute sehen, kann morgen anders aussehen (Lee u. a., WWW 2025).
Was macht einen Screenshot zum Beweis?
Dass ein Dritter ihm glauben kann, ohne dabei gewesen zu sein. Ein Ausschnitt mit Logo und Formular zeigt, dass es die Seite gab, aber nicht wo und wann. Eine Prüferin beim Hoster, eine Anwältin oder ein Gericht wollen erkennen können, unter welcher Adresse die Seite zu sehen war, zu welchem Zeitpunkt, und dass das Bild seitdem nicht verändert wurde. Diese drei Dinge, Ort, Zeit und Unverändertheit, sind der Kern jeder Beweissicherung.
Die Checkliste für belastbare Screenshots
| Element | Warum es zählt | So erfüllen Sie es |
|---|---|---|
| Vollständige URL | Belegt, wo die Seite lag | Adresszeile sichtbar, bei langen Adressen zusätzlich als Text notieren |
| Datum, Uhrzeit, Zeitzone | Belegt, wann sie online war | Systemuhr im Bild oder Zeitstempel im Protokoll, immer mit Zeitzone |
| Ganze Seite | Zeigt Formular, Impressum, Texte | Vollbildaufnahme statt Bildschirmausschnitt |
| Desktop und Mobil | Fälschungen sehen je Gerät anders aus | Zwei Aufnahmen, mobil mit echtem Gerät oder Geräteemulation |
| Unverändert | Glaubwürdigkeit | Originaldatei speichern, nicht zuschneiden, nicht komprimieren |
| Prüfsumme | Belegt, dass die Datei nicht verändert wurde | SHA-256 der Datei im Protokoll notieren |
| Quelltext | Zeigt, was der Screenshot nicht zeigt | HTML der Seite speichern, bei Bedarf die Netzwerkaufzeichnung |
| Protokoll | Wer, wann, womit | Kurzer Eintrag je Aufnahme |
Warum die ganze Seite und nicht nur den sichtbaren Teil?
Weil die wichtigen Details oft weiter unten stehen. Ein gefälschtes Impressum, eine falsche Bankverbindung, eine Telefonnummer für den "Support" oder ein Link zur nächsten Stufe der Fälschung liegen selten im ersten Bildschirm. Moderne Browser bieten Aufnahmen der ganzen Seite, ebenso die Entwicklerwerkzeuge. Nehmen Sie zusätzlich den sichtbaren Bildschirm mit Adresszeile auf, denn bei Vollbildaufnahmen fehlt die Adresszeile oft.
Warum Desktop und Mobil?
Weil viele Fälschungen je nach Gerät anderen Inhalt zeigen. Manche leiten Desktop-Besucher auf harmlose Seiten um und zeigen nur auf dem Smartphone das Formular. Andere zeigen ihren Inhalt nur mit den richtigen Parametern in der Adresse oder nur Besuchern aus bestimmten Ländern. In der CrawlPhish-Studie nutzte fast jede dritte Phishing-Website solche Tricks (Zhang u. a., IEEE S&P 2021). Dokumentieren Sie deshalb, mit welchem Gerät, Browser und Link Sie die Fälschung gesehen haben. Mehr dazu in Versteckte Fake-Seiten.
Was ergänzt den Screenshot?
Ein Screenshot ist ein Bild. Für einen Takedown und erst recht für ein Verfahren braucht es mehr:
Quelltext: zeigt eingebundene Dateien, Formularziele und oft Spuren des verwendeten Phishing-Kits.
Registrierungsdaten: Registrar und Registrierungsdatum aus RDAP.
DNS und Hosting: IP-Adresse, Nameserver, Netzbetreiber.
Zertifikat: Aussteller, Ausstellungsdatum, weitere Namen im Zertifikat.
Archivkopie: eine Kopie der Seite mit Zeitstempel, eigenständig oder über ein öffentliches Archiv.
Die vollständige Liste steht in Beweise einer Fake-Website sichern, das Archivieren in Fake-Seiten archivieren, bevor sie verschwinden.
Welche Fehler machen Screenshots wertlos?
Fünf Fehler, die häufig vorkommen:
Zugeschnittene Bilder ohne Adresszeile. Ohne URL fehlt der Ort.
Kein Zeitbezug. Ohne Datum, Uhrzeit und Zeitzone fehlt die Zeit.
Bilder aus Messengern. Viele Messenger komprimieren Bilder und entfernen Metadaten. Speichern Sie das Original.
Nachbearbeitung. Markierungen und Schwärzungen gehören in eine Kopie, nie ins Original.
Nur ein Gerät, nur ein Zeitpunkt. Bei Fälschungen, die sich ändern, helfen mehrere Aufnahmen über die Zeit.
Ist ein Screenshot vor Gericht ausreichend?
Selten allein. Gerichte würdigen Beweise frei, und ein Screenshot ist leicht zu fälschen. Seine Glaubwürdigkeit steigt mit dem Umfeld: Protokoll, Prüfsumme, Quelltext, unabhängige Archivkopie und eine Person, die die Aufnahme bezeugen kann. Für Takedowns bei Hostern und Registraren reichen gute Screenshots mit vollständiger URL meist aus. Die ICANN nennt einen Screenshot und die vollständige URL ausdrücklich als nützliche Belege (ICANN). Für ein Verfahren klären Sie die Anforderungen mit Ihrer Kanzlei. Diese Übersicht ist keine Rechtsberatung.
Wie hilft AI Fraud Protect?
AI Fraud Protect erstellt für jeden Fund automatisch das Beweispaket: Screenshots mit vollständiger URL und Zeitstempel, dazu Registrierungs-, DNS-, Hosting- und Zertifikatsdaten. Der Fall ist damit gesichert, bevor die erste Meldung rausgeht. Ein Mensch prüft und versendet jede Nachricht, und die Beweise bleiben am Fall, auch wenn die Fälschung längst offline ist.
Starten Sie den kostenlosen Fraud-Scan für einen Kurzreport innerhalb von 48 Stunden oder fragen Sie eine Demo an, um Erkennung, Beweise und Takedown in der App zu sehen.
Häufige Fragen
Brauche ich spezielle Software für Beweis-Screenshots?
Nicht unbedingt. Browser mit Vollbildaufnahme, ein Werkzeug für Prüfsummen und ein sauberes Protokoll reichen für die meisten Fälle. Spezialwerkzeuge helfen bei vielen Fällen und bei Fällen, die vor Gericht gehen könnten.
Darf ich eine Phishing-Seite zum Fotografieren aufrufen?
Ja, aber geben Sie keine Daten ein und nutzen Sie eine abgeschirmte Umgebung, etwa einen separaten Browser oder eine virtuelle Maschine. So schützen Sie Ihr Gerät und verfälschen den Fall nicht.
Wie lange muss ich Screenshots aufbewahren?
Mindestens bis der Fall abgeschlossen ist und keine Rückkehr zu erwarten ist, bei möglichen Verfahren länger. Legen Sie eine feste Aufbewahrungsfrist fest und dokumentieren Sie die Löschung.
Reicht ein Foto vom Bildschirm mit dem Handy?
Im Notfall besser als nichts, aber deutlich schwächer. Es fehlen Auflösung, die ganze Seite und eine saubere Zeitangabe.
Quellen
ISO/IEC 27037:2012, Leitfaden zum Identifizieren, Sammeln, Erfassen und Sichern digitaler Beweise
UC Berkeley Human Rights Center: Berkeley Protocol on Digital Open Source Investigations
Zhang u. a.: CrawlPhish, Large-scale Analysis of Client-side Cloaking Techniques in Phishing, IEEE Symposium on Security and Privacy 2021
Lee, Lim, Kim, Kwon, Kim: 7 Days Later, Analyzing Phishing-Site Lifespan After Detected, ACM Web Conference 2025
ICANN-Leitfaden zu den Pflichten gegen DNS-Missbrauch, 5. Februar 2024