Wer einen Missstand meldet, hängt oft einen Beleg an: ein Foto, einen Screenshot, eine Tabelle. Jede dieser Dateien trägt Daten, die niemand sieht. Ein Handyfoto enthält GPS-Koordinaten und die Seriennummer der Kamera. Eine Office-Datei enthält den Autor. Eine anonyme Meldung ist nur so anonym wie ihr Anhang.
OpenWhistle entfernt diese Daten deshalb beim Hochladen, bevor irgendetwas gespeichert wird. Eine Datei, die sich nicht säubern lässt, wird abgelehnt, nie ungesäubert abgelegt.
Der alte Weg: das Bild neu malen
Bis Version 2.0 las OpenWhistle ein Bild ein und schrieb nur die Pixel in eine neue Datei. Metadaten kamen so garantiert nicht mit. Die Pixel aber auch nicht immer. Ein Bug-Bounty-Durchlauf hat nachgemessen:
| Anhang | Vorher | Nach dem Säubern (bis 2.0) |
|---|---|---|
| PNG mit Farbpalette, typisch für Screenshots | Rot (200, 10, 30) | Schwarz (0, 0, 0) |
| Animiertes PNG oder WebP | 2 Einzelbilder | 1 Einzelbild |
| JPEG-Foto | 5,5 MB | 14,4 MB, über der Grenze von 10 MB |
| PNG mit 12 000 × 12 000 Pixeln | 450 KB Datei | 1,1 GB Arbeitsspeicher |
Ein Beweisfoto, das nach dem Upload anders aussieht als vorher, ist ein schlechtes Beweisfoto. Und jedes JPEG wurde neu komprimiert: Kein einziges Pixel blieb, wie es war.
Warum kein Test es merkte
Die Tests fragten, ob die Metadaten weg sind. Das waren sie. Ob das Bild danach noch dasselbe zeigte, fragte keiner. Und die Testbilder waren gewöhnliche Farbfotos, ohne Palette und ohne Animation. Der Fehler lag genau dort, wo niemand hinsah.
Der neue Weg: nur die Metadaten herausschneiden
Seit Version 2.1 wird ein Bild nicht mehr neu geschrieben. JPEG, PNG und WebP bestehen aus einzelnen Abschnitten. OpenWhistle behält die Abschnitte, die das Bild beschreiben, und verwirft alle anderen. Die Pixel bleiben Bit für Bit gleich, die Datei wird nicht größer. Nur die Ausrichtung bleibt erhalten, damit ein Hochkantfoto hochkant bleibt.
Dabei fielen weitere Lücken auf, die jetzt geschlossen sind:
- Word und Excel speicherten den Windows-Benutzernamen in Ordnerpfaden wie
C:\Users\<Name>\…. - PDFs trugen den Autor nicht nur im Dokument, sondern auch an einzelnen Seiten und Bildern.
- Handyfotos mit bewegtem Foto hatten ein kurzes Video hinter dem Bild angehängt.
- Eine eingebettete Vorschau im JPEG konnte das Bild vor dem Zuschneiden zeigen.
Die gemessenen Zahlen und jeder einzelne Fix stehen im Änderungsprotokoll. Welche Formate angenommen werden, erklärt das Handbuch für Hinweisgeber.
Selbst ausprobieren
Die Live-Demo nimmt Anhänge an. Laden Sie ein Foto hoch und prüfen Sie die gespeicherte Datei mit einem EXIF-Werkzeug Ihrer Wahl.
Zur Demo →Weitere Ressourcen: DSGVO-konformes Hinweisgebersystem · HinSchG-Compliance-Leitfaden · GitHub Issues