Wann lohnt es sich, den forensischen Modus einzuschalten?

Wenn es nicht nur darum geht, was die Seite angezeigt hat, sondern darum, wie der Browser sie empfangen hat: welcher Server geantwortet hat, welche Weiterleitungen stattfanden, welche Skripte, Bilder und Dateien geladen wurden und welches TLS-Zertifikat die Website vorgelegt hat. Eine normale ProofSnap-Aufnahme dokumentiert die Seite so, wie Sie sie sehen; der forensische Modus fügt die Netzwerkaufzeichnung eines neuen Ladevorgangs derselben Seite hinzu.

Was ist eine HAR-Datei und wie öffne ich sie?

Eine HAR-Datei (HTTP Archive, oft auch HAR-File genannt) ist ein JSON-Protokoll der Anfragen und Antworten eines Browsers. Die Datei network.har eines ProofSnap-Pakets listet bis zu 300 beim Neuladen gestellte Anfragen mit Headern und Statuscodes auf, ohne die Inhalte, die im Ordner resources/ liegen. Um sie in Chrome anzuzeigen, öffnen Sie die Entwicklertools, wechseln Sie in den Bereich Netzwerk und wählen Sie HAR-Datei importieren.

Wie erstelle ich eine HAR-Datei?

Mit ProofSnap entsteht die Datei network.har automatisch, sobald der forensische Modus eingeschaltet ist, und sie wird wie jede Datei des Pakets gehasht und im signierten Manifest aufgeführt. Ohne ProofSnap exportieren Sie eine HAR-Datei in den Chrome-Entwicklertools: Bereich Netzwerk öffnen, die Seite neu laden und die Aufzeichnung als HAR exportieren. Eine so exportierte Datei hat weder einen Hashwert in einem Manifest noch eine Signatur.

Was ist der Unterschied zwischen WARC-, HAR- und MHTML-Dateien?

Die Datei page.mhtml eines ProofSnap-Pakets ist eine Kopie der angezeigten Seite in einer einzigen Datei, erstellt während der normalen Aufnahme. Die Datei capture.warc des forensischen Modus bewahrt die beim Neuladen empfangenen Netzwerkantworten mit Headern und Inhalten auf, damit sie sich wiedergeben lassen. Die Datei network.har listet dieselben Anfragen mit Headern und Statuscodes auf, ohne die Inhalte: Sie ist ein Protokoll, kein Archiv.

Zeigt der Screenshot die Seite vor oder nach dem Neuladen?

Vorher. Screenshot, HTML, Text und Metadaten werden zuerst aufgenommen, und zwar von der Seite genau in dem Zustand, in dem Sie sie geöffnet haben. Das Neuladen für das Netzwerkarchiv ist der letzte Schritt der Aufnahme: Es verändert also nie, was der Screenshot zeigt.

Kann ich den forensischen Modus mit einem Aufnahmevideo verwenden?

Ja. Schalten Sie ihn ein, bevor Sie die Aufzeichnung starten, denn der Schalter ist gesperrt, solange ein Video aufgezeichnet wird. Das Neuladen findet vor dem Ende der Aufzeichnung statt: Das Video zeigt also, wie die Seite neu geladen wird. Im manuellen Modus und im Sitzungsmodus deckt das Archiv den Tab ab, in dem Sie auf Aufnahme starten geklickt haben.

Was tun, wenn die vier Zeilen nach der Aufnahme nicht erscheinen?

Dann konnte das Netzwerkarchiv nicht erstellt werden, zum Beispiel weil sich der Debugger nicht mit dem Tab verbinden konnte oder weil jemand in der Debugging-Leiste auf Abbrechen geklickt hat. Die Aufnahme selbst ist vollständig und prüfbar: Der forensische Modus fügt nur Dateien hinzu und verhindert nie, dass das Paket erstellt wird. Wiederholen Sie die Aufnahme mit eingeschaltetem Schalter. Kam beim Neuladen keine Antwort über HTTPS, fehlt nur die TLS-Zeile, weil kein Zertifikat vorgelegt wurde.

Schritt-für-Schritt-Anleitung

Forensischer Modus: den Netzwerkverkehr der Seite archivieren

Q: Was ist eine WARC-Datei und wie öffne ich sie?

Eine WARC-Datei ist eine Archivdatei im Format nach ISO 28500, einem Standard, der für Webarchive und Bibliotheken entwickelt wurde. Die Datei capture.warc eines ProofSnap-Pakets enthält jede erfolgreiche beim Neuladen empfangene Antwort mit Headern und Inhalt, dazu die Anfrage, die sie ausgelöst hat, und etwaige Weiterleitungsschritte. Öffnen Sie sie in ReplayWeb.page oder einem anderen WARC-Player, um den archivierten Ladevorgang wiederzugeben.

Der forensische Modus von ProofSnap ist (Stand 2026) ein Schalter in der Seitenleiste, enthalten in den Tarifen Professional, Enterprise und Company. Nach der normalen Aufnahme verbindet er den Chrome-Debugger mit dem Tab, lädt die Seite neu und fügt ein WARC-Archiv, ein HAR-Netzwerkprotokoll, die geladenen Ressourcen (bis zu 300 Anfragen) jeweils mit eigenem SHA-256-Hashwert und die TLS-Zertifikatdetails der Website hinzu.

Von Radim Motycka, Gründer und leitender Entwickler von ProofSnap, der die in dieser Anleitung beschriebene forensische Netzwerkaufzeichnung entwickelt hat · Zuletzt aktualisiert: 1. November 2026

Tarife

Professional, Enterprise, Company

Zusätzliche Dateien

WARC, HAR, Ressourcen, TLS-Details

Zusätzlicher Zeitaufwand

Ein Neuladen der Seite

Welche Tarife den forensischen Modus enthalten

Der forensische Modus ist in den Abonnements Professional, Enterprise und Company enthalten (vergleichen Sie sie in der Preisübersicht von ProofSnap). Aufnahmen ohne ihn bleiben vollständig: Der forensische Modus fügt dem Paket nur Dateien hinzu.

Tarif

Forensischer Modus

Hinweis

Professional

Enthalten

Auch in der 7-tägigen Professional-Testphase enthalten.

Enterprise

Enthalten

Auch in der 7-tägigen Enterprise-Testphase enthalten.

Company

Enthalten

Für jedes Teammitglied.

Essential

Nicht enthalten

Der Schalter ist sichtbar, aber ausgegraut, mit dem Link Zum Aktivieren upgraden.

SnapPacks ohne Abonnement

Nicht enthalten

Auch das eIDAS SnapPack und das Video SnapPack schalten ihn nicht frei.

Was der forensische Modus dem Paket hinzufügt

Der forensische Modus von ProofSnap archiviert bis zu 300 Anfragen der neu geladenen Seite, höchstens 15 MB pro Antwort und 200 MB insgesamt, und gibt jeder aufgezeichneten Ressource in resources.json einen eigenen SHA-256-Hashwert. Diese Dateien fügt er dem Beweispaket hinzu:

Datei

Inhalt

Öffnen mit

capture.warcNetzwerkarchiv (WARC)

Jede erfolgreiche beim Neuladen empfangene Antwort mit Headern, Inhalt und der zugehörigen Anfrage, dazu die Weiterleitungsschritte

ReplayWeb.page oder ein anderer WARC-Player

network.harNetzwerkprotokoll (HAR)

Anfragen und Antworten mit Headern und Statuscodes, ohne die Inhalte

Chrome-Entwicklertools, Bereich Netzwerk, HAR-Datei importieren

resources/Nur im ZIP

Jeder Antwortinhalt in einer eigenen Datei

Das passende Programm für den jeweiligen Dateityp

resources.jsonArchivierte Unterressourcen

Index von resources/: URL, Status, Typ, Größe, SHA-256

Jeder Texteditor

certificate_details.jsonTLS-Zertifikatdetails

TLS-Version, Cipher-Suite, Aussteller des Zertifikats, Inhaber, Gültigkeit, Domainnamen

Jeder Texteditor

Bevor Sie beginnen

ProofSnap ist installiert, und Sie sind mit einem Konto im Tarif Professional, Enterprise oder Company angemeldet.
Die Seite ist im aktiven Tab so geöffnet, wie Sie sie sichern möchten.
Sie wissen, wie eine normale Aufnahme funktioniert. Falls nicht, beginnen Sie mit der Anleitung Webseite als Beweis sichern.

Schritt 1

Den forensischen Modus in der Seitenleiste finden

Öffnen Sie die Seite, die Sie sichern möchten, und klicken Sie auf das ProofSnap-Symbol, um die Seitenleiste zu öffnen. Die Aufnahmeoptionen stehen unter der blauen Schaltfläche Seiten-Schnappschuss erstellen. Bei ausgeschalteter Videoaufzeichnung finden Sie den forensischen Modus direkt unter Aufnahmevideo aufzeichnen; bei eingeschalteter Videoaufzeichnung schieben sich die Videooptionen und die Option Seite vor der Aufnahme neu laden dazwischen.

1Forensischer Modus: Netzwerkarchiv (WARC + HAR + Ressourcen + TLS). Er ist standardmäßig ausgeschaltet und schaltet sich bei jedem Öffnen der Seitenleiste wieder aus: Er ist also nur aktiv, wenn Sie ihn für eine Aufnahme einschalten.

Schritt 2

Den forensischen Modus einschalten

Klicken Sie auf den Schalter, sodass er blau wird. Schalten Sie ihn ein, bevor Sie auf die Aufnahmeschaltfläche klicken: Während einer Aufnahme oder Videoaufzeichnung ist der Schalter gesperrt.

1Eingeschaltet. Die nächste Aufnahme fügt dem Paket das Netzwerkarchiv hinzu.
2Das kleine „i“-Symbol. Fahren Sie mit der Maus darüber, dann zeigt der Tooltip, was der Modus hinzufügt, und weist darauf hin, dass der Browser eine Debugging-Leiste anzeigt.
3Zum Aktivieren upgraden. Im Tarif Essential, mit einem SnapPack ohne Abonnement oder während einer Essential-Testphase ist der Schalter ausgegraut, und dieser Link öffnet die Tarifseite.

Oben: Tarif Professional; der Tooltip erscheint, wenn Sie mit der Maus über das kleine „i“-Symbol fahren. Unten: Tarif Essential.

Schritt 3

Wie gewohnt aufnehmen und die Seite neu laden lassen

Klicken Sie auf Seiten-Schnappschuss erstellen. ProofSnap erstellt zuerst die normale Aufnahme der Seite so, wie Sie sie sehen: Screenshot, HTML, Text und Metadaten. Danach verbindet es als letzten Schritt der Aufnahme den Debugger des Browsers mit dem Tab, lädt den Tab mit deaktiviertem Cache neu und zeichnet die Anfragen und Antworten dieses neuen Ladevorgangs auf (bis zu 300). Ist der Ladevorgang abgeschlossen und das Netzwerk kurz im Leerlauf, beendet es die Debugger-Verbindung und erstellt das Paket.

1Die Debugging-Leiste von Chrome. Chrome blendet eine Leiste mit dem Hinweis ein, dass ProofSnap die Fehlerbehebung für diesen Browser gestartet hat. Das ist normal, und die Leiste verschwindet am Ende der Aufnahme. Klicken Sie nicht auf Abbrechen: Das würde die Netzwerkaufzeichnung beenden, und das Archiv würde fehlen oder wäre unvollständig. Das übrige Paket wird trotzdem erstellt.
2Erfassen... Bedienen Sie den Tab nicht, bis die Schaltfläche wieder blau ist. ProofSnap wartet bis zu 45 Sekunden, bis die Seite vollständig neu geladen ist.

Schritt 4

Die neuen Zeilen in der Download-Tabelle finden

Nach der Aufnahme zeigt die Download-Tabelle vier zusätzliche Zeilen (drei, wenn beim Neuladen keine Antwort über HTTPS kam und deshalb kein Zertifikat vorliegt). Jedes blaue Symbol lädt die zugehörige Datei herunter; ZIP-Datei herunterladen speichert das vollständige Paket mit all diesen Dateien.

1Netzwerkarchiv (WARC). capture.warc: die beim Neuladen empfangenen Antworten mit Headern und Inhalten, jede verknüpft mit der Anfrage, die sie ausgelöst hat.
2Netzwerkprotokoll (HAR). network.har: dieselben Anfragen und Antworten als Liste, mit Headern und Statuscodes, aber ohne die Inhalte.
3Archivierte Unterressourcen. resources.json: der Index des Ordners resources/ im ZIP-Archiv, ein Eintrag pro Anfrage.
4TLS-Zertifikatdetails. certificate_details.json: die HTTPS-Verbindung und das Zertifikat, das die Website vorgelegt hat. Siehe Schritt 6.

Download-Tabelle nach einer forensischen Aufnahme im Tarif Professional, ohne eIDAS-Zeitstempel und ohne Video. Die vier hervorgehobenen Zeilen erscheinen nur mit dem forensischen Modus.

Datei	Beschreibung	Aktion
evidence.pdf	Beweis-Dokument
provenance_certificate.pdf	Herkunftszertifikat
screenshot.jpeg	Screenshot
page.html	HTML-Inhalt
page.mhtml	MHTML-Seitenarchiv
domtextcontent.txt	Textinhalt
metadata.json	Metadaten
forensic_log.json	Forensisches Protokoll (ISO 27037)
chain_of_custody.json	Beweiskette
manifest.json	Liste der Dateien & Hashes
manifest.sig	Manifest-Signatur
publickey.pem	Öffentlicher Schlüssel
manifest.json.ots	OpenTimestamps
1capture.warc	Netzwerkarchiv (WARC)
2network.har	Netzwerkprotokoll (HAR)
3resources.json	Archivierte Unterressourcen
4certificate_details.json	TLS-Zertifikatdetails
forensic_log_summary.txt	Zusammenfassung des forensischen Protokolls

Schritt 5

Verstehen, wozu jede Datei dient

Alle forensischen Dateien liegen im Stammverzeichnis des ZIP-Archivs, neben dem übrigen Paket. Jede davon, auch jede Datei in resources/, wird gehasht und in manifest.json aufgeführt: Signatur und Zeitstempel decken sie also ab, und der Vertrauens-Verifizierer prüft sie wie jede andere Datei. Mehr zu den übrigen Dateien finden Sie in den Anleitungen Beweispaket prüfen und Beweispaket lesen.

1capture.warc. WARC ist das Standardformat für Webarchive (ISO 28500). Die US-amerikanische Library of Congress beschreibt es so: „Das WARC-Format (Web ARChive) legt ein Verfahren fest, mit dem sich mehrere digitale Ressourcen zusammen mit den zugehörigen Informationen in einer gemeinsamen Archivdatei bündeln lassen“ (unsere Übersetzung, Library of Congress, Beschreibung des WARC-Formats). Öffnen Sie die Datei in einem WARC-Player wie ReplayWeb.page, um den archivierten Ladevorgang wiederzugeben.
2network.har. HAR ist das Format, in dem Browser ihre Netzwerkprotokolle exportieren. Öffnen Sie die Datei in den Chrome-Entwicklertools: Bereich Netzwerk, dann HAR-Datei importieren (Referenz zum Bereich Netzwerk der Chrome-Entwicklertools). Jeder Eintrag mit Inhalt nennt den Namen seiner Datei in resources/.
3resources/ und resources.json. Jeder beim Neuladen empfangene Antwortinhalt in einer eigenen Datei, in der Reihenfolge des Ladens nummeriert. Eine Nummer wird übersprungen, wenn kein Inhalt aufgezeichnet wurde, zum Beispiel bei einem leeren Tracking-Pixel oder einer fehlgeschlagenen Anfrage. resources.json führt jede Anfrage mit URL, Status, Typ, Größe, SHA-256-Hashwert und Dateiname auf.
4certificate_details.json. Reines JSON: Jeder Texteditor kann die Datei öffnen.

proofsnap_20261014_153012.zip

evidence.pdf
provenance_certificate.pdf
screenshot.jpeg
page.html
page.mhtml
domtextcontent.txt
metadata.json
chain_of_custody.json
forensic_log.json
forensic_log_summary.txt
1capture.warc
2network.har
3resources/
001_stadtrat-parkregeln
002_main.css
003_app.js
005_hero.jpg
006_logo.svg
...
resources.json
4certificate_details.json
manifest.json
manifest.sig
publickey.pem
manifest.json.ots
verification/
verify.sh
verify.ps1
VERIFICATION_GUIDE.txt

Dieselbe Aufnahme im Dateimanager geöffnet. Forensische Dateien fett; die Namen der Ressourcen sind Beispiele.

Schritt 6

Die TLS-Zertifikatdetails lesen

Eine normale Aufnahme hält fest, ob die Seite über HTTPS ausgeliefert wurde; das Zertifikat selbst kann eine Browsererweiterung aber nicht lesen. Der forensische Modus kann es, weil er den Ladevorgang über den Debugger beobachtet. Die Datei certificate_details.json beschreibt die Verbindung, über die beim Neuladen die erste verschlüsselte Antwort (HTTPS) kam, also in der Regel die Seite selbst. Wird die Seite selbst über unverschlüsseltes HTTP ausgeliefert, kann die Datei stattdessen den Server einer über HTTPS geladenen Drittanbieter-Ressource beschreiben.

1protocol, cipher, key_exchange. Die TLS-Version, die Cipher-Suite und der Schlüsselaustausch der Verbindung.
2issuer, subject. Wer das Zertifikat ausgestellt hat und auf welchen Namen es lautet. Die Datei beschreibt das Serverzertifikat, nicht die ganze Zertifikatskette.
3valid_from, valid_to. Der Gültigkeitszeitraum des Zertifikats, in UTC.
4san_list. Alle Domainnamen, die das Zertifikat abdeckt.
5certificate_transparency_compliance. Ob Chrome das Zertifikat als konform mit den Anforderungen von Certificate Transparency eingestuft hat (öffentliche Logs für TLS-Zertifikate).

certificate_details.json

{

1"protocol": "TLS 1.3",

"cipher": "AES_128_GCM",

"key_exchange": "",

2"issuer": "R11",

"subject": "nachrichten.beispiel.de",

3"valid_from": "2026-09-02T08:14:51.000Z",

"valid_to": "2026-12-01T08:14:50.000Z",

4"san_list": ["nachrichten.beispiel.de", "*.nachrichten.beispiel.de"],

5"certificate_transparency_compliance": "compliant",

"source": "cdp_security_details"

}

Feldnamen so wiedergegeben, wie ProofSnap sie schreibt; die Werte sind Beispiele.

Häufige Fragen

Das Neuladen läuft in Ihrem Tab, mit Ihrer Browsersitzung. Das Archiv zeichnet den neuen Ladevorgang auf: Zeigt die Website beim erneuten Laden etwas anderes an, enthält das Archiv diese Fassung. ProofSnap vermerkt in resources.json, dass das Archiv aus einem neuen Ladevorgang stammt.

Ja. Das Archiv bewahrt bis zu 300 Anfragen auf, bis zu 15 MB pro Antwort und bis zu 200 MB insgesamt. Eine Antwort über dem Limit bleibt in resources.json mit dem Ergebnis too_large aufgeführt, aber ohne ihren Inhalt.

Sichern Sie die Seite und ihren Netzwerkverkehr

Installieren Sie ProofSnap und schalten Sie den forensischen Modus in den Tarifen Professional, Enterprise oder Company ein.

ProofSnap installieren, 7 Tage testen

Die 7-tägige Testphase erfordert eine Kreditkarte. Der forensische Modus ist in Professional, Enterprise und Company enthalten.

Auch verfügbar für Microsoft Edge

Weitere Anleitungen: Webseite als Beweis sichern · Video als Beweis aufnehmen · Beweispaket prüfen