Geprüfter Export

Was ein geprüfter Export ist

Ein geprüfter Export (auch zertifizierter Export genannt) packt eine Unterhaltung oder ein ganzes Archiv in eine einzige .zip-Datei, für den Fall, dass jemand anderes als du einem Verlauf vertrauen muss. Der Unterschied zu einem Screenshot: Er macht jede Änderung erkennbar und ist unabhängig prüfbar. Wer ihn erhält, kann mit Standardwerkzeugen bestätigen, dass das Paket nicht verändert wurde und zu einem bestimmten Zeitpunkt unverändert existierte. Dafür musst du Text2Store in keinem Punkt vertrauen.

Er ist im Kauf von Text2Store enthalten. Öffne dazu eine Unterhaltung, wähle Exportieren und dann Geprüfter Export (.zip)….

Ein Export aus einer zertifizierten Sicherung stärkt das noch: Der Beweis des Exports reicht dann bis zur Erstellung der Sicherung zurück, nicht nur bis zum Export. Diesen Teil erklärt die Seite zu zertifizierten Sicherungen.

Was im Paket steckt

Die .zip-Datei entpackt sich zu einer kleinen Gruppe von Dateien, die sich selbst erklären:

• transcript.pdf enthält die Nachrichten als lesbares, druckbares Transkript.
• conversation.json enthält dieselben Nachrichten als Daten, einschließlich allem, was die PDF nicht darstellen kann.
• attachments/ enthält jedes Foto, jedes Video und jede Datei der Unterhaltung in den Originalbytes.
• certificate.pdf ist ein lesbares Deckblatt: Gerät, Unterhaltung, Zeitraum, Anzahlen und wie man prüft.
• manifest.json ist das Herzstück: ein SHA-256-Fingerabdruck jeder anderen Datei.
• VERIFY.txt listet Befehle in einfachem Englisch, mit denen du alles selbst prüfen kannst.
• DECLARATION.txt ist eine auszufüllende Erklärung, die eine Person unterschreiben kann (siehe unten).
• manifest.json.tsr ist der vertrauenswürdige Zeitstempel, hinzugefügt, wenn du online warst.
• tsa/cacert.pem ist das Zertifikat der Zeitstempelstelle, damit sich die Zeit allein mit dem Paket prüfen lässt.
• source/backup-timestamp.tsr erscheint nur, wenn der Export aus einer zertifizierten Sicherung erstellt wurde: der Zeitstempel der Erstellung der Sicherung, weitergetragen, damit der Beweis des Exports bis zur Erstellung der Sicherung zurückreicht.

Was er beweist

• Integrität. Jede Datei ist mit ihrem SHA-256-Fingerabdruck in manifest.json aufgeführt. Wer den Fingerabdruck einer Datei neu berechnet, bestätigt, dass sie Byte für Byte dieselbe ist wie beim Export. Ändere ein Pixel eines Fotos, und die Prüfung schlägt fehl.
• Herkunft aus deiner Sicherung. Jeder Anhang hält außerdem den Fingerabdruck fest, den er in der Gerätesicherung hatte, aus der er stammt. Das bindet die exportierte Datei an genau diese Sicherung statt an etwas von Hand Eingetipptes. Der Export wird verweigert, wenn ein Anhang nicht mehr übereinstimmt.
• Zeit. Wenn du online bist, versieht eine unabhängige Zeitstempelstelle das ganze Paket nach dem Standard RFC 3161 mit einem Zeitstempel (derselbe Mechanismus wie bei Zeitstempeln für Codesignaturen). Das beweist, dass das Paket zu einem bestimmten Zeitpunkt unverändert existierte, und beantwortet den Vorwurf „Das hast du letzte Woche bearbeitet“.

Warum keine Änderung durchrutscht

„Macht jede Änderung erkennbar“ ist eine genaue Aussage, deshalb hier, warum sie stimmt. Es heißt nicht, dass sich die Datei nicht bearbeiten lässt. Jede Datei lässt sich bearbeiten. Es heißt, dass jede Bearbeitung auffällt. Wer eine Änderung am Prüfer vorbeischmuggeln will, stößt nacheinander auf drei Mauern:

• Ein Fingerabdruck lässt sich nicht fälschen. Der SHA-256-Fingerabdruck jeder Datei ist ein 64 Zeichen langer Wert, berechnet aus ihren genauen Bytes. Ändere ein einziges Byte, irgendwo, und der Fingerabdruck ändert sich vollständig. Es ist kein Weg bekannt, eine Datei zu verändern und ihren SHA-256 zu behalten, also kann eine veränderte Datei nicht mehr zu ihrem gespeicherten Fingerabdruck passen. Das ist die erste Mauer.
• Auch die Liste hat einen Fingerabdruck. Der naheliegende nächste Schritt wäre, den Fingerabdruck in manifest.json an die veränderte Datei anzupassen. Auch das scheitert: Das Manifest trägt einen Fingerabdruck über die eigene Liste (content root), und der vertrauenswürdige Zeitstempel bezieht sich auf das ganze Manifest. Eine bearbeitete Liste bricht beides. Zweite Mauer.
• Der Zeitstempel braucht einen Schlüssel, den niemand hat. Der letzte Schritt wäre, das Manifest neu zu erstellen und für die neue Fassung einen frischen vertrauenswürdigen Zeitstempel zu holen. Dafür bräuchte man den privaten Signaturschlüssel der Zeitstempelstelle, der bei einem unabhängigen Dritten (DigiCert) liegt. Weder du noch Text2Store noch ein Angreifer kann ohne ihn einen gültigen Zeitstempel erzeugen. Genau deshalb meldet eine Prüfung in Text2Store nur dann Geprüft, wenn ein gültiger vertrauenswürdiger Zeitstempel vorhanden ist: Der Zeitstempel ist der Anker, der alles darunter unmöglich neu schreiben und neu versiegeln lässt. Ein Paket ohne vertrauenswürdigen Zeitstempel wird als Ungeprüft gemeldet, nicht als geprüft, eben weil dieser Anker fehlt. Dritte Mauer.
• Du musst uns nicht vertrauen. Jede dieser Prüfungen nutzt offene Standards (SHA-256, RFC 3161) und lässt sich mit Standardwerkzeugen nachvollziehen, die auf Mac und Windows schon dabei sind. Die Sicherheit beruht nicht darauf, dem Wort von Text2Store zu vertrauen, nicht einmal der App von Text2Store.

Die ehrliche Grenze sollte man klar sagen: Er macht Änderungen erkennbar, er macht sie nicht unmöglich. Jeder kann die Datei weiterhin ändern oder löschen. Was niemand kann: sie ändern, und sie besteht die Prüfung trotzdem. Besteht ein Paket die Prüfung, ist es das exportierte. Wurde es angefasst, sagt die Prüfung das.

Was er nicht beweist (bitte lesen)

Ehrlich über die Grenzen zu sein, gehört zu dem, was den Rest vertrauenswürdig macht. Ein geprüfter Export beweist nicht:

• Dass die Nachrichten wahr sind, oder dass das iPhone vor der Sicherung nicht manipuliert wurde. Er beweist, dass sich das Paket seit dem Export nicht verändert hat, nicht, was davor geschah.
• Wie er aufgenommen wird. Text2Store behauptet nie, dass ein geprüfter Export von einem bestimmten Empfänger oder in einem bestimmten Verfahren akzeptiert wird, und bezeichnet ihn nie als „gerichtsverwertbar“ oder „beglaubigt“. Welches Gewicht ein Dokument hat, entscheidet immer der Empfänger; Software kann ein Dokument nur prüfbar machen.
• Vollständigkeit. Ein geprüfter Export kann nur enthalten, was das iPhone beim Archivieren noch hatte. Nachrichten, die vorher gelöscht wurden, fehlen einfach. Das Transkript markiert Nachrichten, die auf dem Gerät gelöscht, bearbeitet oder zurückgerufen wurden, sofern das bis zur Aufnahme erhalten blieb.
• Wann genau jede Nachricht gesendet wurde, im absoluten Sinn. Der vertrauenswürdige Zeitstempel bestätigt, wann der Export existierte, nicht, wann die Nachrichten gesendet wurden. Die Zeiten der Nachrichten stammen vom Gerät.

Mit einem Passwort schützen (optional)

Ein geprüfter Export ist eine normale .zip-Datei: Wer die Datei hat, kann die Nachrichten lesen. Das ist meist gewollt, denn sie öffnet sich überall ohne Software. Muss die Datei aber auf Reisen gehen, kannst du sie sperren. Setze beim Erstellen des Exports ein Häkchen bei Diese .zip mit einem Passwort schützen, und der Inhalt wird mit AES-256 verschlüsselt. Das ist standardmäßig aus und gilt jeweils für einen Export.

Verschlüsselung und das Erkennbarmachen von Änderungen sind zwei verschiedene Dinge. Das Passwort hält andere davon ab, die Nachrichten zu lesen. Die Fingerabdrücke und der Zeitstempel beweisen, dass nichts verändert wurde, und sie funktionieren in beiden Fällen genau gleich. Ein Passwort macht einen Export nicht besser prüfbar, und ohne Passwort ist er nicht schlechter prüfbar.

Alles darin ist verschlüsselt, auch VERIFY.txt, sodass ein geschützter Export ohne Passwort nichts preisgibt. Eines kann er nicht verbergen: Eine .zip-Datei verschlüsselt nie ihre Liste der Dateinamen, also kann jeder sehen, dass das Paket ein Transkript, ein Manifest und einige Anhänge enthält. Die Namen sind allgemein, sie verraten also nichts darüber, mit wem du gesprochen hast oder was gesagt wurde.

Um einen geschützten Export in Text2Store zu prüfen, wähle ihn wie gewohnt aus; die App erkennt, dass er gesperrt ist, und fragt nach dem Passwort. Für eine Prüfung von Hand entpackst du ihn zuerst mit einem der obigen Werkzeuge und folgst dann den üblichen Schritten unten.

So prüfst du ihn, ohne uns zu vertrauen

Es gibt zwei Wege, und beide prüfen dieselben Fingerabdrücke und denselben Zeitstempel.

In der App: Wähle Ablage, dann Export prüfen…, und wähle die .zip-Datei. Text2Store prüft jeden Fingerabdruck und den Zeitstempel erneut und meldet Geprüft, Verändert oder Ungeprüft. „Geprüft“ heißt, die Dateien stimmen überein und der vertrauenswürdige Zeitstempel beweist, dass das Paket unverändert ist. „Verändert“ heißt, etwas stimmt nicht mehr überein. „Ungeprüft“ heißt, die Dateien sind in sich stimmig, aber das Paket trägt keinen vertrauenswürdigen Zeitstempel und lässt sich daher nicht für sich allein als unverändert beweisen (vergleiche seinen Manifest-Fingerabdruck mit einer Kopie, der du vertraust). Es braucht kein Internet und nichts zu installieren und funktioniert auf Mac und Windows gleich. Um unabhängig zu sein, nutzt es seine eigene hinterlegte Kopie des Zertifikats der Zeitstempelstelle, nicht die im Paket.

Von Hand: Die beiliegende VERIFY.txt nennt die genauen Befehle. Unter macOS und Linux nutzt du shasum, unter Windows Get-FileHash in PowerShell. Um auch die vertrauenswürdige Zeit zu bestätigen, nutzt du openssl. Ein ehrlicher Hinweis aus VERIFY.txt selbst: Das mit macOS gelieferte LibreSSL kann die Zertifikatskette dieses Zeitstempels nicht prüfen, also installiere das vollständige OpenSSL (Homebrew) oder nutze den Prüfer in der App; unter Windows funktioniert das OpenSSL, das mit Git für Windows kommt. VERIFY.txt gibt außerdem den SHA-256 des Zertifikats der Zeitstempelstelle aus, damit du ihn mit dem veröffentlichten Stammzertifikat von DigiCert unter cacerts.digicert.com vergleichen kannst, bevor du dich auf die bestätigte Zeit verlässt.

Die technischen Details

Für alle, die den Mechanismus prüfen wollen, statt der Zusammenfassung zu vertrauen: Alles Folgende nutzt veröffentlichte Standards (SHA-256, RFC 3161, CMS) und lässt sich mit Standardwerkzeugen nachvollziehen. Nichts davon ist proprietär oder geheim. Genau diese Offenheit ist der Punkt: Eine Aussage, die du unabhängig bestätigen kannst, ist mehr wert als eine, die du glauben musst.

Die Fingerabdrücke und das Manifest

Jede Datei im Paket wird mit SHA-256 über ihre genauen Bytes gehasht. manifest.json führt jede Datei mit Pfad und SHA-256 auf:

{
  "format": "text2store/verified-export",
  "artifacts": [
    { "path": "transcript.pdf", "sha256": "9f2c..." },
    { "path": "conversation.json", "sha256": "4a1e..." },
    { "path": "attachments/0001.jpg", "sha256": "b7d0...",
      "source_backup_sha256": "b7d0..." }
  ],
  "content_root_sha256": "e3b1..."
}

Der content_root_sha256 ist ein einziger Fingerabdruck über die ganze Liste, sodass auch die Liste jede Änderung erkennbar macht. Er entsteht, indem man pro Artefakt eine Zeile path:sha256 nimmt, diese Zeilen sortiert, mit Zeilenumbrüchen verbindet und das Ergebnis mit SHA-256 hasht. Jeder kann ihn aus dem Manifest neu berechnen und den Abgleich bestätigen.

Anhänge an die Gerätesicherung binden

Jeder Anhang hält außerdem source_backup_sha256 fest, den Fingerabdruck, den die Datei in der iPhone- oder iPad-Sicherung hatte, aus der sie stammt. Der Export wird gegen die eigene Prüfsummenbasis dieser Sicherung erstellt und verweigert die Erstellung, wenn ein Anhang nicht mehr übereinstimmt. So ist ein exportiertes Foto an genau diese Gerätesicherung gebunden statt an etwas von Hand Hinzugefügtes.

Was außerhalb der Liste der Fingerabdrücke liegt

Nur zwei Dateien sind aus einem strukturellen Grund nicht als Artefakte aufgeführt: manifest.json kann seinen eigenen Fingerabdruck nicht enthalten, und manifest.json.tsr (der Zeitstempel) wird aus dem Fingerabdruck des Manifests erzeugt, entsteht also erst nach dessen Versiegelung. Alles andere, einschließlich der lesbaren certificate.pdf, VERIFY.txt, DECLARATION.txt und der tsa/cacert.pem der Zeitstempelstelle, ist wie jede andere Datei im Manifest gehasht. Ein Prüfer berechnet den SHA-256 des Manifests selbst neu und behandelt ihn als Fingerabdruck des Pakets.

Der vertrauenswürdige Zeitstempel

manifest.json.tsr ist ein Zeitstempel-Token nach RFC 3161, eine CMS-Struktur SignedData, deren messageImprint der SHA-256 von manifest.json ist. Um ihn anzuerkennen, bestätigt ein Prüfer, dass die Signatur des Tokens gültig ist, dass das Zertifikat des Unterzeichners bis zum Stammzertifikat von DigiCert reicht (das Token enthält seine vollständige Signaturkette, vom Endzertifikat über das Zwischenzertifikat bis zum Stamm), dass es zum bestätigten Zeitpunkt innerhalb seiner Gültigkeit lag, dass es die kritische erweiterte Schlüsselverwendung id-kp-timeStamping trägt (wie RFC 3161 verlangt) und dass der Imprint dem SHA-256 dieses Manifests entspricht. Der Prüfer in Text2Store erledigt all das in reinem Code ohne Netzwerkzugriff und hinterlegt seine eigene Kopie des DigiCert-Stammzertifikats, statt der cacert.pem im Paket zu vertrauen, sodass ein ausgetauschtes Zertifikat ihn nicht täuschen kann. VERIFY.txt gibt den SHA-256 dieses Zertifikats aus, damit du ihn mit dem veröffentlichten Stammzertifikat von DigiCert unter cacerts.digicert.com vergleichen kannst.

Selbst prüfen, ganz genau

Hashe eine beliebige Datei und vergleiche mit ihrem sha256 im Manifest:

# macOS / Linux
shasum -a 256 transcript.pdf

# Windows (PowerShell)
Get-FileHash transcript.pdf -Algorithm SHA256

Prüfe, dass der vertrauenswürdige Zeitstempel genau dieses Manifest abdeckt und bis zur Zeitstempelstelle reicht:

openssl ts -verify -data manifest.json -in manifest.json.tsr -CAfile tsa/cacert.pem

Die VERIFY.txt im Paket führt diese Befehle aus, einschließlich der Neuberechnung des content root, sodass du sie kopieren und einfügen kannst.

Was als bestanden gilt

Ein Prüfer sollte nur dann Geprüft melden, wenn alles Folgende zutrifft: Jede aufgeführte Datei ist vorhanden und passt zu ihrem Fingerabdruck, der content root lässt sich neu berechnen, es gibt keine zusätzlichen oder doppelten Dateien, und ein vertrauenswürdiger Zeitstempel besteht die Prüfung über manifest.json. Ein Paket ohne vertrauenswürdigen Zeitstempel ist Ungeprüft, in sich stimmig, aber nicht unabhängig verankert, denn das Manifest kann seine eigene Integrität ohne diese äußere Signatur nicht beweisen. Jede Abweichung, jede zusätzliche Datei oder ein Zeitstempel, der die Prüfung nicht besteht, bedeutet Verändert.

Die unterschriebene Erklärung

Manche Verfahren wollen neben einem Dokument eine menschliche Bestätigung: eine Person, die schriftlich erklärt, wie das Dokument entstanden ist. Software kann eine solche Erklärung nicht abgeben; das kann nur ein Mensch. Deshalb enthält das Paket DECLARATION.txt: eine einfache Vorlage zum Ausfüllen, die eine Person (du oder ein Verantwortlicher für Akten) anpassen und mit dem selbst berechneten Fingerabdruck des Manifests vervollständigen kann.

Es ist eine Vorlage, nichts weiter. Sie ist keine Rechtsberatung, und wenn du etwas für ein förmliches Verfahren vorbereitest, lass es vorher von einem Anwalt prüfen.

Uhrzeiten und Zeitzonen

In den lesbaren PDFs werden die Zeiten der Nachrichten in der Ortszeit des exportierenden Computers mit ausdrücklichem UTC-Versatz angezeigt (zum Beispiel 2026-06-30 21:14 -08:00), mit der Zeitzone oben vermerkt, damit sie dem entsprechen, was du auf dem iPhone gesehen hast, und eindeutig bleiben. Die maschinenlesbaren Daten (conversation.json) und der vertrauenswürdige Zeitstempel halten alles in UTC, sodass eine Fachperson die genauen Zeiten immer rekonstruieren kann.

Die ehrliche Grenze

Ein geprüfter Export ist nur so vollständig wie die Sicherung dahinter. Text2Store kann nur aufnehmen, was dein iPhone beim Archivieren noch hatte. Die beste Gewohnheit ist einfach: regelmäßig sichern, damit eine Unterhaltung sicher aufgenommen ist, lange bevor du sie brauchst. iOS hält eine gelöschte Nachricht ein paar Wochen lang wiederherstellbar, sodass eine aktuelle Sicherung oft mehr erfasst, als man erwartet. Mehr dazu in den häufigen Fragen.

Verwandte Themen

RSMF für E-Discovery-Reviews, als PDF exportieren und WhatsApp-Chats in deiner Sicherung.

Fragen?

Schreib an hello@text2store.com, wir helfen dir.