Steganografie in Bild und Audio

Um Daten in einem Bild zu verbergen, müssen Sie zunächst wissen, wie Bilder Farben speichern. Ein Pixel in einem RGB-Bild besitzt drei Kanäle: Rot, Grün und Blau – jeder ist typischerweise eine 8-Bit-Zahl von 0 bis 255.

Ein Pixel besteht also aus drei Bytes. Ein kleines Bild mit 800x600 Pixeln enthält 480.000 Pixel und 1,44 Millionen Farbbytes. Diese Redundanz nutzt die Steganografie aus: Es gibt weit mehr Bytes, als das Auge genau prüfen kann.

Die entscheidende Erkenntnis: Das menschliche Sehsystem kann einen Farbwert von 200 nicht von 201 unterscheiden. In diesem nicht wahrnehmbaren Spielraum werden die verborgenen Daten abgelegt.

Bei der LSB-Einbettung wird das niederwertigste Bit jedes Farbbytes durch ein Bit des Geheimnisses ersetzt. Da das niederwertigste Bit einen Wert nur um 1 verändert, bleibt die visuelle Änderung unsichtbar.

Betrachten Sie das Verbergen des Bits 1 in einem Rotkanalwert von 200 (binär 11001000). Wird das letzte Bit durch 1 ersetzt, ergibt sich 11001001 = 201 – eine Änderung, die kein Mensch sehen kann.

Über Tausende von Pixeln hinweg lässt sich die Nutzlast rekonstruieren, indem diese LSBs in der richtigen Reihenfolge ausgelesen werden.

Eine Nachricht ist eine Folge von Bytes, die jeweils 8 Bit umfassen. Um das Wort zusammen mit einem Längen-Header zu verbergen, wandeln Sie die Nutzlast in einen Bitstrom um und schreiben ein Bit in jeden Farbkanal.

Ein praktisches Einbettungsprogramm speichert außerdem ein Längenpräfix oder eine eindeutige Abschlusssequenz, damit der Extraktor weiß, wann er mit dem Lesen aufhören muss; andernfalls kann er Nutzlast und Trägerrauschen nicht unterscheiden.

Genau das automatisieren Tools wie steghide, zsteg und stegano – häufig ergänzt um ein Passwort und eine Verschlüsselungsschicht.

Das Format ist wegen der Kompression von großer Bedeutung:

• Verlustfreie Formate (PNG, BMP) bewahren jedes Pixel exakt. LSB-Daten bleiben vollständig erhalten – ideale Träger.
• Verlustbehaftete Formate (JPEG) verwerfen bei der Kompression feine Details, wodurch naive LSB-Daten zerstört werden.

Bei JPEG muss die Einbettung in den DCT-Koeffizienten erfolgen, also in den Frequenzbereichswerten, die während der Kompression verwendet werden, und nicht in den Rohpixeln. Tools wie steghide sowie die klassischen Verfahren JSteg/OutGuess arbeiten dort, sodass die Nutzlast den Kompressionsschritt übersteht.

Naive LSB-Einbettung auf Pixelebene ist fragil. Jede Operation, die Pixelwerte verändert, zerstört die verborgenen Bits:

• Erneutes Speichern als JPEG Die verlustbehaftete Kompression schreibt die Bytes neu.
• Skalieren oder Zuschneiden Die Neuberechnung verändert jeden Wert.
• Farbkorrekturen Verschiebungen von Helligkeit und Kontrast.
• Upload in soziale Medien Plattformen kodieren Bilder automatisch neu.

Hier zeigt sich der Bereich Robustheit des Dreiecks. Wenn eine Nutzlast die Bearbeitung überstehen muss (z. B. ein Wasserzeichen), betten Sie sie im Frequenzbereich (DCT/DWT) ein und akzeptieren dafür eine geringere Kapazität.

Naive LSB-Einbettung schreibt die Daten nacheinander von oben links in die Pixel, wodurch eine erkennbare statistische Signatur entsteht. Weniger auffällige Methoden verteilen die Nutzlast, um einer Analyse zu entgehen:

• Quasi-zufällige Platzierung Ein Stego-Schlüssel initialisiert einen PRNG, der auswählt, welche Pixel Bits enthalten, sodass das Muster zufällig wirkt.
• Rauschreiche Bereiche Einbettung in strukturierten Bereichen wie Gras oder Haaren, in denen bereits Variationen vorhanden sind, statt in gleichmäßigen Himmelsflächen.
• Adaptive Einbettung Moderne Algorithmen minimieren eine Kostenfunktion für die Erkennbarkeit.

Der Stego-Schlüssel dient außerdem als Passwort: Ohne ihn kann ein Analyst die Reihenfolge der Bits nicht rekonstruieren, selbst wenn er eine versteckte Nachricht vermutet.

Audio funktioniert nach demselben Prinzip wie Bilder, jedoch im Zeit- oder Frequenzbereich. Eine WAV-Datei speichert Samples, typischerweise 16-Bit-Zahlen, die die Amplitude mehrere Tausend Mal pro Sekunde darstellen.

Bei der LSB-Einbettung in Audio wird das niederwertigste Bit jedes Samples überschrieben. Eine Änderung der 16-Bit-Amplitude um 1 liegt weit unterhalb der Hörschwelle des Menschen, sodass das Audio identisch klingt.

Mit 44.100 Samples pro Sekunde und Kanal bietet Audio eine große Kapazität, obwohl verlustbehaftete Formate wie MP3 die LSBs der Rohsamples genauso zerstören, wie JPEG die LSBs von Pixeln zerstört.

Über LSB hinaus nutzt die Audiosteganografie wahrnehmungsbezogene Verfahren, die auf der Funktionsweise des Hörens beruhen:

• Phasenkodierung Verändert die Phase von Audiokomponenten; das Ohr ist unempfindlich gegenüber der absoluten Phase.
• Echoverbergung Fügt winzige, nicht wahrnehmbare Echos hinzu, deren Verzögerung Bits kodiert.
• Spread Spectrum Verteilt die Nutzlast als robustes Rauschen mit niedrigem Pegel über ein breites Frequenzband.
• Toneinfügung Verbirgt Daten mithilfe von Tönen, die durch lautere Töne in der Nähe maskiert werden (psychoakustische Maskierung).

Diese Verfahren tauschen Kapazität gegen Robustheit und Unauffälligkeit ein, ähnlich wie Bildverfahren im Frequenzbereich.

Eine übergreifende Idee bei allen Medien ist die Wahl des Bereichs:

• Räumlicher/Zeitbereich Einbettung direkt in Pixel oder Samples. Einfach und mit hoher Kapazität, aber anfällig für Kompression.
• Frequenzbereich Das Signal wird transformiert (DCT für JPEG, DWT für Wavelets, FFT für Audio), die Daten werden in die Koeffizienten eingebettet und anschließend zurücktransformiert. Robuster und unauffälliger, aber mit geringerer Kapazität und höherer Komplexität.

Die Regel lautet: Wenn der Träger komprimiert, skaliert oder weitergegeben wird, betten Sie die Daten im Frequenzbereich ein. Bei unveränderten verlustfreien Trägern ist räumliche LSB-Einbettung geeignet.

Schätzen Sie vor der Einbettung ab, wie viele Daten Sie sicher verbergen können. Eine nützliche Richtgröße ist die Einbettungsrate, also die Anzahl der verborgenen Bits pro Bit des Trägers.

• 1 Bit pro Kanal (vollständiges LSB) Maximale Kapazität, aber am leichtesten erkennbar.
• Teilraten Die Verwendung nur eines Teils der Pixel senkt die Kapazität, verbessert aber die Unauffälligkeit deutlich.

Ein RGB-Bild mit 1920x1080 Pixeln enthält etwa 6,2 Millionen Farbbytes, also bei vollständiger LSB-Einbettung ungefähr 777 KB. Sicherheitsbewusste Einbettung nutzt jedoch nur einen Teil davon, da das Füllen jedes LSB statistische Auffälligkeiten erzeugt, die Steganalyse-Tools leicht erkennen.

Aus Sicht der Verteidigung zeigt Ihnen das Verständnis der Einbettung, worauf Sie achten müssen:

• Formatabweichungen Eine PNG-/BMP-Datei, obwohl JPEG zu erwarten wäre, kann auf einen verlustfreien Träger für LSB-Einbettung hindeuten.
• Größenanomalien Eine Datei, die größer ist, als ihr sichtbarer Inhalt erwarten lässt.
• Neukodierung als Verteidigungsmaßnahme Plattformen, die alle Uploads neu komprimieren, zerstören naive LSB-Nutzlasten – eine kostengünstige Gegenmaßnahme.
• Statistische Analyse Vollständige LSB-Einbettung flacht die natürliche Verteilung der Bitwerte ab und kann durch Steganalyse erkannt werden.

Diese Signaturen bilden die Brücke zur nächsten Lektion: der Erkennung versteckter Daten.

Prüfen Sie Ihr Verständnis der Formatwahl.

Sie haben gelernt, wie Daten tatsächlich in Mediendateien eingebettet werden.

• LSB-Einbettung überschreibt das niederwertigste Bit jedes Farb- oder Audiosamples – eine nicht wahrnehmbare Änderung um 1.
• Ein Längenpräfix oder eine Abschlusssequenz markiert das Ende der Nutzlast; Tools wie steghide und stegano automatisieren dies mit optionaler Verschlüsselung.
• Verlustfreie Formate (PNG, BMP, WAV) bewahren LSB-Daten; verlustbehaftete Formate (JPEG, MP3) erfordern eine Einbettung im Frequenzbereich (DCT/Echo/Spread Spectrum).
• Die Unauffälligkeit lässt sich durch quasi-zufällige Platzierung, die Einbettung in rauschreiche Bereiche und adaptive Algorithmen verbessern, die durch einen Stego-Schlüssel gesteuert werden.
• Die Wahl zwischen räumlichem Bereich und Frequenzbereich stellt einen Kompromiss zwischen Kapazität und Robustheit dar.
• Verteidiger achten auf Formatabweichungen, Größenanomalien und statistische Signaturen und verwenden Neukodierung, um naive Nutzlasten zu zerstören.

Als Nächstes lernen Sie, versteckte Daten durch Steganalyse zu erkennen.