Geheimen Text in Bildern verstecken (Steganografie)
Steganografie versteckt eine Nachricht in einer anderen Datei, sodass niemand ahnt, dass überhaupt etwas verborgen ist. Bei Bildern schreibt man den Text unsichtbar in die Pixel. Diese Anleitung zeigt, wie das technisch abläuft und wie Sie mit dem Encoder und Decoder von pluri.tools geheimen Text in ein Bild einbetten und wieder auslesen, kostenlos und komplett im Browser.
Wie es funktioniert
Ein Bild besteht aus Pixeln, und jedes Pixel hat drei Farbwerte: Rot, Grün und Blau, jeweils eine Zahl von 0 bis 255. Diese Zahl ist im Speicher ein Byte aus 8 Bits. Der Trick der LSB-Steganografie besteht darin, nur das niederwertigste Bit (das ganz rechte, englisch “least significant bit”) zu verändern.
Warum funktioniert das? Weil dieses letzte Bit den Farbwert nur um höchstens 1 verschiebt. Ein Rotwert von 200 ist binär 11001000. Ändert man das letzte Bit, wird daraus 11001001, also 201. Der Unterschied zwischen Rot 200 und Rot 201 ist für das menschliche Auge vollkommen unsichtbar, selbst nebeneinander.
Die eigentliche Nachricht wird in diese letzten Bits geschrieben, Bit für Bit. Nehmen wir den Buchstaben “H”. Sein Zahlenwert ist 72, binär 01001000. Diese 8 Bits werden nacheinander in das niederwertigste Bit von 8 aufeinanderfolgenden Farbwerten gelegt: das erste Bit ersetzt das letzte Bit des ersten Pixels, das zweite Bit das letzte Bit des nächsten und so weiter. Beim Auslesen sammelt man einfach die letzten Bits wieder ein und setzt die Bytes zusammen. Es wird also nichts an das Bild angehängt, die Information sitzt mitten in den Farbdaten und verändert das Aussehen praktisch nicht.
Wie viel kann man verstecken
Die Kapazität hängt von der Pixelzahl und davon ab, wie viele Farbkanäle Sie nutzen. Mit 1 Bit pro Kanal pro Pixel gilt grob: Ein Kanal allein liefert ein Bit pro Pixel, während Rot, Grün und Blau zusammen die Kapazität etwa verdreifachen.
| Bildgröße | Nur Rotkanal | RGB (ca. 3x) |
|---|---|---|
| 100 x 100 px | ca. 1,2 KB | ca. 3,6 KB |
| 1280 x 720 px | ca. 115 KB | ca. 345 KB |
| 1920 x 1080 px | ca. 259 KB | ca. 778 KB |
Für die meisten geheimen Notizen reicht selbst ein kleines Bild locker aus, denn 1,2 KB entsprechen schon rund 1200 Zeichen reinem Text. Unser Encoder lässt Ihnen die Wahl zwischen Rot, RGB und RGBA, sodass Sie zwischen maximaler Dezenz und maximalem Platz abwägen können.
Eine Nachricht verstecken
Laden Sie ein Bild hoch, tippen Sie Ihren Text und klicken Sie auf Kodieren.
Die Schritte im Einzelnen:
- Bild hochladen (ein PNG oder ein Foto als Ausgangsbild).
- Ihre geheime Nachricht in das Textfeld eingeben.
- Optional RGB oder RGBA wählen, wenn Sie mehr Platz brauchen. Rot ist die Standardeinstellung und am dezentesten, weil nur ein einziger Kanal berührt wird.
- Optional ein Passwort setzen, wenn die Nachricht zusätzlich verschlüsselt sein soll.
- Auf Kodieren und dann auf Herunterladen klicken.
Die Ausgabe ist immer eine PNG-Datei. Das ist kein Detail, sondern zwingend: PNG speichert die Pixel verlustfrei, jedes Bit bleibt exakt erhalten. JPEG dagegen ist verlustbehaftet und würde die Farbwerte beim Speichern leicht verändern, um Platz zu sparen. Genau diese kleinen Änderungen zerstören die versteckten letzten Bits und damit Ihre Nachricht. Speichern Sie das Ergebnis deshalb nie als JPEG um.
Eine Nachricht auslesen
Legen Sie das PNG in den Decoder, und der versteckte Text erscheint.
Die Schritte:
- Das PNG mit der versteckten Nachricht ablegen oder auswählen.
- Den ausgelesenen Text ansehen.
- War die Nachricht passwortgeschützt, geben Sie das Passwort ein, um sie zu entschlüsseln.
Der Decoder erkennt viele LSB-Formate automatisch, nicht nur das unsere. Er prüft die Kanäle R, RGB, RGBA sowie einzeln Grün und Blau, kommt sowohl mit einem Längenpräfix als auch mit einem Null-Terminator zurecht und probiert die Bit-Reihenfolge in beide Richtungen (MSB und LSB zuerst). Die Prüfung ist streng, damit ein gewöhnliches Foto ohne versteckte Daten leer zurückkommt statt mit zufälligem Zeichensalat.
Ein Passwort hinzufügen (Verschlüsselung)
Setzen Sie im Encoder ein Passwort, wird die Nachricht mit AES-256-GCM verschlüsselt, bevor sie in die Pixel geschrieben wird. Der Schlüssel wird dabei mit PBKDF2 aus Ihrem Passwort gestreckt, damit reines Durchprobieren teuer wird. Das Ergebnis: Ohne das richtige Passwort sehen die betroffenen Bits wie zufälliges Rauschen aus und geben nichts preis. Ein falsches Passwort gibt ebenfalls nichts preis, weil das Authentifizierungs-Tag von GCM den Entschlüsselungsversuch dann sauber ablehnt, statt Bruchstücke auszugeben.
Der Unterschied ist wichtig: Steganografie verbirgt, dass überhaupt eine Nachricht existiert. Verschlüsselung macht eine Nachricht unlesbar, selbst wenn jemand sie findet. Zusammen sind beide deutlich stärker als einzeln, denn ein Angreifer müsste erst vermuten, dass etwas versteckt ist, es korrekt aus den Pixeln herausziehen und dann noch das Passwort knacken.
Grenzen und häufige Fehler
Ganz ehrlich: Diese Methode ist robust, aber empfindlich. Sie funktioniert nur mit verlustfreiem PNG. Sobald das Bild erneut als JPEG gespeichert wird, ist die Nachricht weg. Auch ein Screenshot des Bildes zerstört sie, weil dabei ein neues, rekomprimiertes Bild mit veränderten Pixeln entsteht.
Der häufigste Fehler ist das Teilen über den falschen Kanal. Viele Chat-Apps und soziale Netzwerke rekomprimieren hochgeladene Bilder automatisch, um Bandbreite zu sparen, und löschen dabei die versteckten Bits. Schicken Sie das PNG also als echte Datei oder Anhang (etwa per E-Mail oder als Dateidownload), nicht als Bild in einem Feed oder Messenger, der es umwandelt. Im Zweifel testen Sie es: Laden Sie das empfangene Bild wieder in den Decoder und prüfen Sie, ob der Text noch da ist.
Beachten Sie außerdem, dass es sich um LSB-Steganografie handelt, nicht um einen Universaldetektor für jede Technik. Es gibt andere Verfahren, etwa Steganografie im DCT-Bereich von JPEG, die auf ganz anderem Weg arbeiten. Solche Nachrichten kann dieser Decoder nicht lesen, weil er gezielt die letzten Bits der Pixel untersucht.
Häufige Fragen
Ist das privat? Ja. Alles läuft lokal in Ihrem Browser über die Canvas-API. Weder das Bild noch die Nachricht noch das Passwort werden hochgeladen oder an einen Server gesendet. Sie können die Seite nach dem Laden sogar offline nutzen.
Kann ich jedes Bild verwenden? Als Ausgangsbild ja, auch ein Foto oder JPEG. Wichtig ist nur, dass das Ergebnis als PNG heruntergeladen und danach nicht wieder umgewandelt wird. Größere Bilder bieten mehr Platz, aber schon ein kleines Bild reicht für kurze Texte.
Sieht das kodierte Bild anders aus? Praktisch nicht. Jeder betroffene Farbwert ändert sich um höchstens 1 von 255, und im Rot-Modus wird nur ein einziger Kanal angefasst. Der Unterschied ist mit bloßem Auge nicht erkennbar.
Kann jemand es ohne Passwort lesen? Wenn Sie kein Passwort gesetzt haben, kann jeder mit einem LSB-Decoder den Text auslesen, denn Steganografie allein verbirgt nur die Existenz der Nachricht. Haben Sie ein Passwort gesetzt, ist der Inhalt mit AES-256-GCM verschlüsselt und ohne das richtige Passwort nicht lesbar.
Zum Verstecken nutzen Sie den Steganografie-Encoder, zum Auslesen den Steganografie-Decoder.