Redigerede billeder: tekniske tegn ud over metadata

Forside › Analyse og fortolkning · Gennemgået oktober 2026 · Af John Nielsen

Om et billede er redigeret, kan sjældent afgøres ud fra metadata alene, fordi metadata kan fjernes eller skrives om. De tekniske tegn ligger i selve billedfilen og i pixeldataene: spor af, at billedet er gemt flere gange, kvantiseringstabeller, der ikke passer med det påståede kamera, en miniature, der viser et andet motiv, områder, der er kopieret inden for billedet, og støj, der ikke hænger sammen. Stærkest er dog sammenligning med kilden, altså den enhed eller den tjeneste, billedet stammer fra. Uden kilden kan analysen ofte vise, at billedet er behandlet, men sjældent præcist hvad der er ændret, og aldrig hvorfor.

Spørgsmålet om, hvorvidt et billede er genereret med AI, er behandlet i AI-genereret indhold: tekniske metoder. Den juridiske side af redigerede billeder findes på digital-bevissikring.dk. Her går vi i dybden med tegnene på efterbehandling. Felterne i billedets metadata er gennemgået i EXIF, XMP og IPTC forklaret, og skærmbilleder, der har deres egne kendetegn, i Teknisk vurdering af et skærmbillede.

Behandlet er ikke det samme som manipuleret

Næsten alle billeder er behandlet. Telefoner anvender automatisk skarphed, støjreduktion, HDR og beskæring. Beskedapps og sociale medier skalerer og genkomprimerer. Brugere roterer, beskærer og justerer lys. Ingen af delene ændrer billedets bevisværdi for det, det viser. Analysen skal derfor skelne mellem tre spørgsmål:

1. Er filen den originale fil fra kameraet eller telefonen?
2. Er billedet behandlet på en måde, der ændrer motivet, fx ved at fjerne, tilføje eller flytte noget?
3. Hvis ja, hvilket område er ændret?

Det første kan ofte besvares med god sikkerhed. Det andet og tredje er sværere og kræver flere uafhængige tegn.

JPEG-komprimering og kvantiseringstabeller

En JPEG-fil komprimeres ved at opdele billedet i blokke på 8 gange 8 pixels, omdanne blokkene til frekvenser og afrunde dem efter en kvantiseringstabel. Tabellen gemmes i filen. Kameraproducenter, telefoner og programmer bruger hver deres tabeller, og nogle bruger et sæt, der varierer med motiv eller kvalitetsindstilling. Det giver to muligheder:

• Sammenligning med referencer. Tabellen i filen kan sammenlignes med tabeller fra billeder taget med samme model og firmware. Passer den ikke, er filen gemt af et andet program end kameraet.
• Dobbelt komprimering. Når et JPEG-billede åbnes og gemmes igen som JPEG, afrundes det to gange med forskellige tabeller. Det efterlader statistiske mønstre i frekvensværdierne, som kan påvises. Hvis kun en del af billedet bærer spor af den første komprimering, kan det tyde på, at et område er indsat fra en anden kilde.

Begge metoder kræver, at billedet ikke er genkomprimeret kraftigt bagefter, fx af en beskedapp, fordi en kraftig sidste komprimering kan udviske de tidligere spor.

Filstruktur

Ud over tabellerne har hver kilde en karakteristisk opbygning: rækkefølgen af segmenter i filen, hvilke metadatablokke der findes, størrelsen og placeringen af miniaturen og eventuelle producentfelter. Et redigeringsprogram, der gemmer filen, skriver sin egen struktur. En fil, der påstås at komme direkte fra en bestemt telefon, men har strukturen fra et redigeringsprogram, er i hvert fald ikke den originale fil.

Beskæring og opløsning

Beskæring er den mest almindelige redigering og kan have stor betydning, hvis det, der er skåret væk, ændrer forståelsen af motivet. To tegn kan afsløre den. Billedets dimensioner passer ikke med de opløsninger og formater, kameraet eller telefonen kan optage i. Og ved beskæring af et allerede komprimeret billede forskydes gitteret af 8 gange 8-blokke, så de gamle blokgrænser ikke længere ligger, hvor den nye komprimering forventer dem. Forskydningen kan måles og vise, at billedet er beskåret efter første komprimering. Skalering giver tilsvarende spor i form af interpolation mellem pixels, som kan påvises statistisk.

Miniaturen

Mange JPEG-filer har en indlejret miniature, og nogle har flere i forskellige størrelser. Programmer, der ændrer billedet uden at opdatere miniaturen, efterlader et lille billede af det oprindelige motiv. Afviger miniaturen fra hovedbilledet i andet end størrelse, er det et af de klareste tegn på ændring. Omvendt beviser en matchende miniature intet, fordi mange programmer opdaterer den. Metadatafelterne i det hele er gennemgået i EXIF, XMP og IPTC.

Analyse af pixeldata

• Kopi-flyt-detektion · Finder områder, der er kopieret fra ét sted i billedet til et andet. Giver falske fund ved gentagne mønstre som fliser og murværk.
• Støjanalyse · Sammenligner støjniveau og struktur mellem områder. Indsatte områder kan have en anden støj. Påvirkes af støjreduktion og komprimering.
• Fejlniveauanalyse · Viser forskelle i, hvordan områder reagerer på ny komprimering. Let at lave, men let at fejltolke, fordi kanter, tekstur og farver giver udslag.
• Sensorstøj (PRNU) · Hver kamerasensor har et svagt, unikt mønster. Kan bruges til at knytte et billede til et bestemt kamera og finde områder uden mønsteret. Kræver referencebilleder fra den konkrete enhed.
• Geometri og lys · Perspektiv, skygger og refleksioner, der ikke hænger sammen. Kræver omhyggelig måling, ikke et skøn.

Fejlniveauanalyse er den mest udbredte og den mest misbrugte. Den viser forskelle, ikke manipulation, og et billede med kraftige kanter eller ensfarvede flader giver iøjnefaldende resultater uden at være ændret. Den bør kun bruges sammen med andre metoder og aldrig som eneste grundlag.

Værktøjer til pixelanalyse giver resultater, der skal fortolkes. Version, indstillinger og output skal dokumenteres, og metodens fejlrater skal kendes; se Verifikation af værktøjer.

Sammenligning med kilden

Det stærkeste grundlag er kilden. På en telefon ligger billedet sammen med databaseposter, der viser, om det er taget med kameraet eller importeret, om det er redigeret i telefonens egen editor, og ofte den oprindelige version ved siden af den redigerede. Billeder taget lige før og efter giver referencer for kvantisering, støj og metadata fra samme enhed og samme situation. Om iPhones fotodatabase, se Billeder på iPhone.

Findes billedet også i en cloudtjeneste, i en mail eller hos modtageren af en besked, kan versionerne sammenlignes. Forskelle mellem dem viser, hvor i kæden en ændring er sket.

Skærmbilleder

Skærmbilleder har ingen kamerastruktur og ofte ingen metadata, og de fleste af metoderne ovenfor giver derfor lidt. De vurderes bedst ved at finde det viste indhold i kilden. Se Teknisk vurdering af et skærmbillede.

Sikring

• Sikr den fil, der er modtaget, i præcis den form, den er modtaget, med hashværdi og oplysning om, hvem der har leveret den og hvordan.
• Bed om originalfilen fra den enhed, billedet påstås taget med, og om muligt adgang til enheden.
• Sikr andre eksemplarer: afsendte beskeder, mailvedhæftninger, cloudkopier.
• Indhent referencebilleder fra samme model og helst samme enhed, hvis analysen kræver det.

Konklusioner

Tegn på redigering bør formuleres efter, hvor mange uafhængige metoder der peger samme vej, og hvor stærk hver metode er i det konkrete billede. “Filen er ikke den originale kamerafil” er ofte en sikker konklusion. “Området er indsat” kræver flere tegn, der peger på samme område. “Der er ikke fundet tegn på redigering” er ikke det samme som, at billedet er uredigeret, især hvis det er kraftigt genkomprimeret. Skalaer for at udtrykke graden af sikkerhed er beskrevet i Konklusionsgrader.

Kilder og versioner

• ITU-T T.81: JPEG-standarden
• SWGDE: Publicerede dokumenter om billedanalyse og autentificering
• CIPA: Exif-standarden

Senest gennemgået: oktober 2026.

Næste skridt

• Audit trail i e-signaturløsninger

Del af: Analyse og fortolkning

Læs også: Hvornår er billedet taget? EXIF, XMP og IPTC forklaret · Metadata, der forsvinder ved upload og deling

→ Teknisk undersøgelse af dokumenter og metadata · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT