Hoe bewijs je wie een bestand lekte (en wat telt als bewijs)

Waarom „wie heeft het gelekt” lastig is

Als een bestand opduikt waar het niet hoort, lijkt het meestal precies op de kopie die iedereen kreeg. Een schermafbeelding, een doorgestuurde PDF of een opnieuw geüploade afbeelding haalt het meeste weg waarmee je het zou kunnen herkennen: de bestandsnaam, de metadata, de e-mail waaruit het kwam. Zonder iets unieks in elke kopie lijkt elke ontvanger hetzelfde.

Daarom gebeurt het werk dat telt vóór het lek: je stuurt elke persoon een kopie die je later uit elkaar kunt houden, en je houdt bij wie welke kreeg.

Wat je echt kunt vaststellen

Zie het als lagen. Elke laag maakt het smaller, en geen enkele is op zichzelf sluitend.

1. Welke kopie lekte. Als elke ontvanger een uniek gemarkeerde kopie had, zegt het detecteren van de markering uit welke kopie het gelekte bestand komt.
2. Wie die kopie ontving. Je eigen privelijst met ontvangerscodes koppelt de kopie aan een persoon, een team of een bedrijf.
3. Hoe die is afgeleverd. Verzonden e-mails, deellinks, downloadlogboeken en toegangsregistraties laten zien wanneer en hoe die kopie de deur uitging.
4. Wat er daarna gebeurde. Wie er nog meer toegang had tot de inbox, het apparaat of de gedeelde map van die persoon. Hier houdt het op technisch te zijn.

Een overeenkomst dekt de eerste laag. Je registraties dekken de tweede en de derde. De vierde heeft meestal een gesprek nodig.

Registraties die de moeite waard zijn (voordat er iets lekt)

• Een privélijst van ontvangers: welke code naar wie ging, en wanneer.
• De verstuurde kopieën zelf, of een manier om ze opnieuw te maken, zodat je later kunt vergelijken.
• Afleverregistraties: de verzonden e-mail, de deellink en het toegangslogboek, of de upload naar een dataroom.
• De context: de NDA of de voorwaarden waarmee ze instemden, als die er zijn.

Bewaar de lijst op een plek die alleen voor jou of je team zichtbaar is. Een ontvangerscode die openbaar wordt gedeeld, is niet meer bruikbaar.

Hoe een markering per ontvanger werkt

Een onzichtbaar forensisch watermerk verandert de pixels op kleine manieren die niemand op normale kijkafstand opmerkt, en elke kopie krijgt een ander patroon. Omdat het patroon over het hele beeld is verspreid en herhaald, kan een deel een schermafbeelding, een nieuwe opslag of een uitsnede overleven.

Met Markedfile draagt elk ondersteund bestand ook een met HMAC ondertekende metadatamarkering voor die werkruimte. Dat helpt als het bestand ongewijzigd wordt gedeeld, maar schermafbeeldingen en veel platforms halen metadata weg, dus vaak blijft het visuele patroon over. PNG-, JPEG- en WebP-afbeeldingen, PDF's, tekstbestanden en op ZIP gebaseerde pakketten (inclusief Office-bestanden) kunnen worden gemarkeerd. Andere binaire bestanden komen terug in een gemarkeerde ZIP. Markeringen in tekst en pakketten zijn kwetsbaar: ze overleven geen schermafbeeldingen en geen extractie van de inhoud. Afbeeldingen en PDF's dragen het visuele patroon.

Als er een overeenkomst is, meldt Markedfile een vertrouwensscore: ongeveer 99% voor het exacte bestand, 95% uit de metadatamarkering alleen, en ongeveer 81% voor een opnieuw opgeslagen JPEG of een schermafbeelding. Dat zijn gemelde scores, geen gegarandeerde detectie. Bij video op Business en Enterprise blijft een overeenkomst alleen op het beeld op 85% vertrouwen of lager. Het verwijderen van de registratie beëindigt de detectie.

Wat een overeenkomst wel en niet laat zien

Een ontvanger kan het hebben doorgestuurd naar een collega, een laptop zijn kwijtgeraakt, of een gecompromitteerd account hebben gehad. Daarom is een overeenkomst een spoor dat je volgt, geen bewijs van opzet.

Wat een markering moeilijker te detecteren maakt

• Uitsnedes: ongeveer 256 px van een gedetailleerd gebied is het benaderende minimum. Kleinere of vlakkere gebieden kunnen mislukken. Dat is een ruwe richtlijn, geen plafond.
• Kleine afbeeldingen: Afbeeldingen en videoframes onder 96×96 px worden geweigerd; al het andere gebruikt hetzelfde patroon.
• Zware bewerkingen: sterke compressie, vervaging, filters of retouche kunnen de markering vernietigen.
• Rotaties: de meeste rotaties van 90° gaan goed. Een rotatie samen met sterk, ongelijk uitrekken kan hem breken.
• PDF-schermafbeeldingen: Een PDF-schermafbeelding is naar beste vermogen en niet gegarandeerd. Upload de PDF zelf wanneer je kunt. Die kan worden gecontroleerd als hij de bovenste helft van een tekstpagina met marges toont, ongeveer 200 punten in het vierkant op een ticket, ongeveer 320 punten in het vierkant op een dia, of ongeveer 160 punten in het vierkant op een foto. Dichte tekst op zichzelf wordt niet gedetecteerd.
• Ongemarkeerde bestanden: alles wat is verstuurd voordat het was gemarkeerd, kun je niet traceren.

Detectie is nooit 100%.

Wat je doet als er iets lekt

1. Bewaar wat je vond, met waar en wanneer je het vond. Haal het originele bestand als je kunt, niet alleen een schermafbeelding.
2. Haal het door Detecteren en noteer de uitkomst en de vertrouwensscore.
3. Koppel de code aan je privelijst en haal de afleverregistraties van die kopie erbij.
4. Praat rustig met de persoon. Vraag hoe het bestand aan die kant is gedeeld. Veel lekken blijken onzorgvuldig doorsturen.
5. Beschuldig niemand in het openbaar alleen op basis van een overeenkomst.
6. Vraag juridisch advies vóór een formele stap, zoals een ontslag, een vordering onder een NDA of een verzoek tot verwijdering.
7. Maak de volgende keer kleiner wat je stuurt: minder ontvangers, gevoelige delen apart, links die korter geldig zijn.

Waar deze aanpak grenzen heeft

• Hij voorkomt geen lekken. Hij maakt gemarkeerde kopieën traceerbaar, meer niet.
• Hij wijst een kopie aan, geen persoon.
• Opnieuw getypte of geparafraseerde inhoud wordt niet getraceerd, en iets dat vanaf nul is nagemaakt ook niet.
• Een foto van een scherm is moeilijker dan een schermafbeelding, omdat die het beeld meer aantast.
• Of het als bewijs telt hangt af van waar je bent en welke procedure geldt. Dat is een vraag voor een advocaat, niet voor een hulpmiddel.
• Het verwijderen van de registratie beëindigt de detectie. Er is geen aparte bediening die de detectie stopt terwijl het bestand actief blijft.

FAQ

Kan ik bewijzen wie een bestand lekte als ik iedereen dezelfde kopie stuurde? Meestal niet vanuit het bestand zelf. Zonder iets unieks in elke kopie lijkt elke ontvanger hetzelfde. Afleverlogboeken kunnen het nog wel smaller maken.

Is een watermerkovereenkomst genoeg om iemand te ontslaan of aan te klagen? Op zichzelf zou je die zo niet moeten behandelen. Hij laat zien welke kopie lekte, niet wie die deelde of waarom. Praat met een advocaat vóór een formele stap.

Werkt het op schermafbeeldingen? Vaak, binnen grenzen: de markering is gemaakt om schermafbeeldingen te overleven, maar zware bewerkingen, kleine uitsnedes en sterke compressie kunnen hem vernietigen. Ongeveer 256 px van een gedetailleerd gebied is het benaderende minimum. Bij PDF's upload je de PDF zelf als dat kan. Een PDF-schermafbeelding is naar beste vermogen en niet gegarandeerd.

Kan ik een bestand traceren dat ik verstuurde voordat ik begon met markeren? Nee. Alleen kopieën die vóór het versturen zijn gemarkeerd, kun je traceren.

Begin voordat het volgende bestand de deur uitgaat

Kies de bestanden die het meest pijn doen als ze lekken, geef elke ontvanger een eigen gemarkeerde kopie in Markedfile en houd de lijst privé. Bestandsinhoud wordt in het geheugen verwerkt en niet opgeslagen. Verder lezen: hoe je een gelekte PDF traceert en wat forensisch watermerken is.