IT-Forensik · Gerichte
Beweist ein Vorschaubild oder Thumbnail, dass die zugehörige Datei geöffnet wurde?
Thumbnail- und Preview-Caches werden häufig automatisch erzeugt und sind deshalb leicht fehlzuinterpretieren.
Für das Gericht zählt nicht, wie viele Analyseprogramme eingesetzt wurden. Entscheidend ist, welche konkrete technische Tatsache aus den vorhandenen Daten belastbar festgestellt werden kann, wie diese Feststellung zustande kommt und wo ihre Grenzen liegen.
Die konkrete Beweisfrage
Wir prüfen Cachetyp, Erzeugungslogik, Dateibezug, Zeitinformationen und korrespondierende Nutzungsartefakte.
Warum eine einzelne digitale Spur selten genügt
Digitale Artefakte entstehen in Systemen mit eigenen Speicher-, Synchronisations- und Protokollierungsmechanismen. Ein einzelner Zeitstempel, Logeintrag oder Datenbankwert wird deshalb nicht ohne Kontext zur abschließenden Aussage erhoben. Soweit es die Beweisfrage erfordert, werden mehrere voneinander unabhängige Spuren korreliert und technisch plausible Gegenhypothesen geprüft.
Where the limits of what can be said lie
Ein Vorschaubild kann durch Ordneransicht, Indexierung oder Hintergrundprozesse entstehen und beweist nicht automatisch eine bewusste Öffnung der Originaldatei.
Wie LanCologne die Beweisfrage bearbeitet
Bei LanCologne beginnt eine gerichtliche IT-forensische Untersuchung mit der Beweisfrage und nicht mit einem bestimmten Analyseprogramm. Zunächst wird geklärt, welche technische Tatsache festgestellt werden soll, welche Datenquellen hierfür überhaupt Aussagekraft besitzen und welche Gegenhypothesen berücksichtigt werden müssen.
Die Beweismittel und die Ausgangsdaten werden eindeutig dokumentiert. Soweit technisch möglich, erfolgt die Auswertung auf verifizierten forensischen Sicherungen oder geeigneten Arbeitskopien. Entscheidungserhebliche Treffer werden nicht allein deshalb übernommen, weil sie von einer Software angezeigt werden. Herkunft, Entstehungslogik und Kontext des Artefakts werden geprüft; zentrale Befunde werden bei Bedarf anhand der zugrunde liegenden Daten oder einer zweiten fachlich geeigneten Methode kontrolliert.
Im Gutachten werden Tatsachenbefund, technische Interpretation und Schlussfolgerung voneinander getrennt. Ebenso deutlich wird die Aussagegrenze beschrieben: Was lässt sich belegen? Was wird lediglich gestützt? Welche Gegenbefunde bestehen? Was bleibt offen? Ein Nichtnachweis wird nicht in eine scheinbar sichere Aussage umgedeutet.
Der Hauptteil wird so geschrieben, dass ein Richter ohne IT-forensische Spezialkenntnisse die Herleitung verstehen kann. Die technische Nachprüfbarkeit bleibt erhalten. Prüfrelevante Datenquellen, Integritätsinformationen, Artefakte und Untersuchungsschritte werden so dokumentiert, dass ein unabhängiger IT-Forensiker die zentralen Feststellungen im Rahmen eines möglichen Gegengutachtens nachvollziehen kann.
Vom gerichtlichen Auftrag zur belastbaren Aussage
Positive Befunde, Gegenbefunde und Nichtnachweis
Ein sachverständiges Ergebnis muss ergebnisoffen sein. Bestätigen die Daten die zu prüfende Hypothese, wird erläutert, wodurch sie getragen wird. Widersprechen belastbare Spuren dieser Hypothese, werden auch diese dargestellt. Reicht die Datenbasis für keine sichere Entscheidung aus, wird dies als Nichtnachweis beziehungsweise als offene technische Frage bezeichnet. Gerade diese Trennung verhindert, dass aus einer Datenlücke eine scheinbar sichere Aussage entsteht.
Verständlich für das Gericht – technisch prüfbar für einen Gegengutachter
Der fachliche Kern wird in verständlicher Sprache erläutert. Fachbegriffe werden nur dort verwendet, wo sie notwendig sind, und anschließend eingeordnet. Gleichzeitig bleiben die entscheidenden technischen Grundlagen erhalten: untersuchte Datenquellen, relevante Artefakte, Integritätsinformationen, Zeitbezüge und methodische Schritte. Ein verfahrensfremder IT-Forensiker soll die Herleitung prüfen können, ohne dass der Haupttext für das Gericht zu einer Sammlung technischer Rohdaten wird.
Methodische Einordnung
Für gerichtliche IT-Forensik gibt es keinen gesetzlichen Katalog vorgeschriebener Analyseprogramme. Fachlich entscheidend sind eine kontrollierte Datenbasis, Integrität, dokumentierte Untersuchungsschritte, nachvollziehbare Schlussfolgerungen und die Möglichkeit unabhängiger Prüfung.
Der BSI-Grundschutz-Baustein DER.2.2 „Vorsorge für die IT-Forensik“ enthält hilfreiche Grundgedanken zur Vorbereitung auf spätere forensische Untersuchungen und zur Spurensicherung bei IT-Sicherheitsvorfällen. Er ist jedoch kein strafprozessualer Forensikstandard; der Baustein stellt ausdrücklich klar, dass die eigentliche forensische Analyse nicht sein Gegenstand ist und er sich nicht auf IT-forensische Untersuchungen bei Straftaten bezieht.
LanCologne als unabhängiger IT-Sachverständiger
Wenn ein Gericht eine konkrete digitale Beweisfrage technisch klären lassen muss, untersuchen wir die vorhandene Datenbasis unabhängig und ergebnisoffen. Ziel ist keine möglichst umfangreiche Sammlung technischer Treffer, sondern eine fachlich begründete Antwort: verständlich für das Gericht, transparent in ihrer Herleitung und technisch nachprüfbar.
Legal framework
Für den Sachverständigenbeweis in Zivilverfahren sind insbesondere die §§ 402 ff. ZPO maßgeblich. § 403 ZPO knüpft den Beweisantritt an die Bezeichnung der zu begutachtenden Punkte. Nach § 404a ZPO leitet das Gericht die Tätigkeit des Sachverständigen; bei streitigem Sachverhalt bestimmt es die Tatsachen, die der Begutachtung zugrunde gelegt werden sollen. § 407a ZPO verpflichtet den Sachverständigen unter anderem zur Prüfung, ob der Auftrag in sein Fachgebiet fällt, zur Mitteilung möglicher Gründe, die Misstrauen gegen seine Unparteilichkeit rechtfertigen könnten, und bei Zweifeln über Inhalt und Umfang des Auftrags zur unverzüglichen Klärung durch das Gericht. § 411 ZPO regelt das schriftliche Gutachten sowie dessen Erläuterung oder Ergänzung. Die Würdigung des Gutachtens zusammen mit dem übrigen Beweisergebnis bleibt Aufgabe des Gerichts (§ 286 ZPO).
Soweit die Begutachtung in einem Strafverfahren erfolgt, gelten für Sachverständige die §§ 72 ff. StPO. Die konkrete prozessrechtliche Einordnung hängt vom jeweiligen Auftrag und Verfahren ab. Unsere Aufgabe ist die fachliche Beantwortung der technischen Beweisfrage; sie ersetzt weder die rechtliche Bewertung noch die gerichtliche Beweiswürdigung.
Frequently Asked Questions
LanCologne – IT-Forensik für Gerichte
Do you have a digital enquiry? LanCologne can assist you with an objective, unbiased IT forensic investigation.