IT-Forensik · Gerichte
Kann festgestellt werden, ob ein Gerät mit einem bestimmten WLAN verbunden war?
Die Verbindung eines Geräts mit einem bestimmten WLAN kann für Aufenthalts-, Nutzungs- oder Netzwerkfragen relevant sein.
Für das Gericht ist nicht entscheidend, wie viele Programme eingesetzt werden. Entscheidend ist, welche technische Tatsache aus der vorhandenen Datenbasis belastbar festgestellt werden kann, wie diese Feststellung zustande kommt und welche Grenzen bei der Interpretation bestehen.
Die konkrete Beweisfrage
Wir prüfen gespeicherte Netzwerkprofile, Verbindungsereignisse, DHCP- und Routerdaten, bekannte SSIDs/BSSIDs sowie zeitlich passende Systemspuren, soweit diese vorhanden sind.
Warum der technische Kontext entscheidend ist
Digitale Spuren entstehen nicht isoliert. Betriebssystem, Anwendung, Cloud-Dienst, Netzwerk und Benutzerkontext können denselben sichtbaren Befund auf unterschiedliche Weise erzeugen. Deshalb wird ein einzelner Zeitstempel, Logeintrag oder Datenbankwert nicht ohne Prüfung seiner Entstehungslogik zur abschließenden Aussage erhoben. Soweit erforderlich, werden mehrere voneinander unabhängige Spuren miteinander korreliert.
Dónde está el límite de la expresión
Ein gespeichertes WLAN-Profil beweist nicht, dass zum streitigen Zeitpunkt tatsächlich eine Verbindung bestand. Eine SSID allein identifiziert zudem keinen weltweit eindeutigen Zugangspunkt.
Wie LanCologne die Beweisfrage bearbeitet
Bei LanCologne beginnt die gerichtliche IT-Forensik mit der Beweisfrage und nicht mit einem bestimmten Analyseprogramm. Zunächst wird festgelegt, welche technische Tatsache zu klären ist, welche Datenquellen hierfür Aussagekraft besitzen und welche alternativen Erklärungen ernsthaft geprüft werden müssen.
Die Ausgangsdaten und Beweismittel werden dokumentiert. Soweit technisch möglich, erfolgt die Auswertung auf verifizierten forensischen Sicherungen oder geeigneten Arbeitskopien. Automatisch erzeugte Treffer werden bei entscheidungserheblichen Fragen nicht ungeprüft übernommen. Maßgeblich sind Herkunft, Entstehungslogik und Kontext des jeweiligen Artefakts. Zentrale Befunde werden bei Bedarf anhand der zugrunde liegenden Daten oder mit einer zweiten fachlich geeigneten Methode kontrolliert.
Im Gutachten werden Tatsachenbefund, fachliche Interpretation und Schlussfolgerung getrennt. Ebenso wichtig ist die Aussagegrenze: Was ist technisch belegt? Was wird lediglich gestützt? Welche Gegenbefunde bestehen? Welche alternative Erklärung bleibt möglich? Was kann anhand der vorhandenen Daten nicht festgestellt werden?
Der Hauptteil wird für Richter und andere Verfahrensbeteiligte ohne IT-forensische Spezialkenntnisse verständlich formuliert. Die technische Prüfbarkeit bleibt erhalten. Die für eine unabhängige Nachprüfung wesentlichen Datenquellen, Integritätsinformationen, Artefakte und Untersuchungsschritte werden in einem technischen Teil nachvollziehbar dokumentiert.
Vom Auftrag zur belastbaren Aussage
Befund, Gegenbefund und Nichtnachweis
Ein gerichtliches Gutachten muss ergebnisoffen bleiben. Stützen die Daten eine Hypothese, wird erläutert, wodurch. Widersprechen belastbare Spuren der Hypothese, werden diese ebenso dargestellt. Reicht die Datenbasis nicht aus, wird der verbleibende Nichtnachweis ausdrücklich benannt. Aus einer Datenlücke wird keine scheinbar sichere Aussage konstruiert.
Verständlich für das Gericht – prüfbar für den Gegengutachter
Der fachliche Kern wird in verständlicher Sprache erläutert. Technische Begriffe werden nur dort verwendet, wo sie notwendig sind, und anschließend eingeordnet. Gleichzeitig werden die entscheidenden technischen Grundlagen so dokumentiert, dass ein unabhängiger IT-Forensiker die Herleitung anhand derselben Datenbasis nachvollziehen und gegebenenfalls reproduzieren kann.
Methodische Einordnung
Für gerichtliche IT-Forensik existiert kein gesetzlicher Katalog vorgeschriebener Analyseprogramme. Fachlich wesentlich sind eine kontrollierte Datenbasis, Integrität, dokumentierte Untersuchungsschritte, nachvollziehbare Schlussfolgerungen und die Möglichkeit unabhängiger Nachprüfung.
Der BSI-Grundschutz-Baustein DER.2.2 „Vorsorge für die IT-Forensik“ enthält hilfreiche Grundgedanken zur Vorbereitung auf spätere IT-forensische Untersuchungen und zur Spurensicherung bei IT-Sicherheitsvorfällen. Er ist jedoch ausdrücklich kein Regelwerk für IT-forensische Untersuchungen bei Straftaten; auch die eigentliche forensische Analyse ist nicht Gegenstand dieses Bausteins. Er wird daher nicht als strafprozessualer Forensikstandard dargestellt.
LanCologne als unabhängiger IT-Sachverständiger
Wenn ein Gericht eine konkrete digitale Beweisfrage technisch klären lassen muss, untersuchen wir die vorhandene Datenbasis unabhängig und ergebnisoffen. Ziel ist keine möglichst große Menge technischer Treffer, sondern eine fachlich begründete Antwort: verständlich für das Gericht, transparent in ihrer Herleitung und technisch nachprüfbar.
Marco jurídico
Für den Sachverständigenbeweis in Zivilverfahren sind insbesondere die §§ 402 ff. ZPO maßgeblich. Nach § 404a ZPO leitet das Gericht die Tätigkeit des Sachverständigen und kann Art und Umfang seiner Tätigkeit bestimmen. Bei streitigem Sachverhalt bestimmt das Gericht, welche Tatsachen der Begutachtung zugrunde zu legen sind. § 407a ZPO verpflichtet den Sachverständigen unter anderem dazu, unverzüglich zu prüfen, ob der Auftrag in sein Fachgebiet fällt; Zweifel über Inhalt und Umfang des Auftrags sind durch das Gericht klären zu lassen. Das schriftliche Gutachten und mögliche Erläuterungen oder Ergänzungen sind in § 411 ZPO geregelt. Die abschließende Würdigung des Gutachtens zusammen mit dem gesamten Ergebnis der Beweisaufnahme bleibt Aufgabe des Gerichts (§ 286 ZPO).
Bei strafprozessualen Gutachten gelten für Sachverständige die §§ 72 ff. StPO; § 78 StPO betrifft die richterliche Leitung der Tätigkeit des Sachverständigen. Welche Vorschriften im konkreten Verfahren einschlägig sind, hängt von Verfahrensart und Auftrag ab. Die IT-forensische Begutachtung ersetzt keine rechtliche Bewertung.
Preguntas frecuentes
LanCologne – IT-Forensik für Gerichte
¿Tiene alguna duda relacionada con el ámbito digital? LanCologne le ofrece apoyo mediante una investigación forense informática objetiva y sin prejuicios.