IT-Forensik · Anwälte & Strafverteidiger

Wie wird geprüft, ob ein Dateifund aus einem Backup statt aus aktiver Nutzung stammt?

Eine Datei auf einem sichergestellten Gerät beweist nicht, dass der Nutzer sie dort gespeichert oder geöffnet hat. Sie kann durch eine Wiederherstellung aus einem Backup, eine Gerätemigration, eine Cloud-Synchronisation oder einen automatischen Import auf das Gerät gelangt sein.

Unverbindlich anfragen

Warum diese Frage für die Strafverteidigung wichtig ist

Gerade bei digitalen Beweisen können kleine Unterschiede in Datenquelle, Systemkontext oder Zeitsemantik die Aussage eines Befunds deutlich verändern. Für die Verteidigung ist deshalb entscheidend, ob der belastende Schluss tatsächlich aus den Primärdaten folgt oder ob eine technisch engere Bewertung erforderlich ist.

Technischer Hintergrund

Typisch sind iCloud- oder iTunes-Wiederherstellungen auf neue iPhones, Migrationsassistenten unter macOS, Windows-Profilübernahmen und OneDrive-/Google-Drive-Synchronisation. Solche Vorgänge erzeugen charakteristische Zeitmuster: viele Dateien mit nahezu identischen Erstellungszeiten, Restore-Protokolle, fehlende Nutzungsspuren.

Relevante Spuren und Datenquellen

  • Dateisystemzeiten im Vergleich (Erstellt vs. Geändert)
  • Restore- und Migrationsprotokolle
  • Nutzungsspuren: zuletzt geöffnet, Thumbnails, Jump Lists, LNK-Dateien, iOS-Biome/KnowledgeC
  • Cloud-Sync-Datenbanken

Grenzen

  • Fehlende Nutzungsspuren sind ein Indiz, kein Beweis für Nicht-Nutzung.
  • Ohne Rohdaten ist nur eine Prüfung der Methodik der Ermittlungsakte möglich.

Mögliche Ergebnisse

  • Datei mit hoher Wahrscheinlichkeit aus Restore/Migration übernommen
  • Nutzungsspuren vorhanden (Zeitpunkte)
  • Keine Aussage möglich – mit Begründung

Warum LanCologne?

Nach Akteneinsicht oder sobald der Verteidigung technisch relevante Unterlagen rechtmäßig vorliegen, kann eine unabhängige Gegenprüfung die tatsächliche Beweisstärke digitaler Befunde sichtbar machen. LanCologne arbeitet dabei nicht mit dem Ziel, zwangsläufig einen Fehler in der Ermittlungsakte zu finden.

So gehen wir vor

  • Feststellung, wie die Datei auf das Gerät gelangt ist.
  • Prüfung auf Nutzungsspuren nach diesem Zeitpunkt.
  • Bewertung mit Gegenhypothesen in einer Stellungnahme.

Belastende, entlastende und offene Befunde

Eine unabhängige Prüfung ist nur dann glaubwürdig, wenn auch belastende Befunde bestätigt werden, sobald die Daten sie tragen. Ebenso werden entlastende Gegenbefunde oder nicht auflösbare Unsicherheiten klar benannt. Ein technisch lediglich möglicher Ablauf wird nicht als feststehende Tatsache dargestellt.

Verständlich für den Strafverteidiger – technisch prüfbar für weitere Forensiker

Der Hauptbefund wird in klarer Sprache erläutert. Prüfrelevante Datenquellen, Integritätsinformationen, Zeitbezüge, IDs, Rohdatenfundstellen und methodische Schritte werden so dokumentiert, dass ein weiterer qualifizierter IT-Forensiker die wesentlichen Feststellungen fachlich nachvollziehen kann.

LanCologne als unabhängige technische Unterstützung der Strafverteidigung

Wenn ein Strafverteidiger einen digitalen Schlüsselbefund oder eine technische Schlussfolgerung aus der Ermittlungsakte unabhängig prüfen lassen möchte, unterstützt LanCologne mit einer sachlichen und ergebnisoffenen Gegenprüfung. Ziel ist eine belastbare Antwort darauf, was die vorhandenen Daten tatsächlich belegen – und wo ihre Aussage endet.

Rechtlicher Rahmen

Das Akteneinsichts- und Besichtigungsrecht des Verteidigers richtet sich nach § 147 StPO. Nach Absatz 1 ist der Verteidiger befugt, die dem Gericht vorliegenden oder im Falle einer Anklage vorzulegenden Akten einzusehen und amtlich verwahrte Beweisstücke zu besichtigen. Vor Abschluss der Ermittlungen kann die Einsicht nach Absatz 2 unter den dort genannten Voraussetzungen eingeschränkt werden. Nach Absatz 3 darf die Einsicht in Gutachten von Sachverständigen dem Verteidiger in keiner Lage des Verfahrens versagt werden.

Diese Rechte stehen dem Verteidiger zu, nicht LanCologne. Eine technische Gegenprüfung durch einen privat beauftragten IT-Forensiker setzt voraus, dass die Verteidigung die betreffenden Unterlagen oder Daten rechtmäßig zur Verfügung stellen kann. LanCologne erhält durch die Beauftragung kein eigenes Akteneinsichts-, Besichtigungs- oder Zugriffsrecht gegenüber Staatsanwaltschaft oder Polizei.

§ 160 Abs. 2 StPO verpflichtet die Staatsanwaltschaft ausdrücklich, sowohl belastende als auch entlastende Umstände zu ermitteln. Nach § 163a Abs. 2 StPO sind vom Beschuldigten zu seiner Entlastung beantragte Beweise zu erheben, wenn sie von Bedeutung sind. Eine unabhängige technische Prüfung kann daher Tatsachen und Gegenbefunde liefern, deren prozessuale Verwendung der Strafverteidiger bewertet.

Soweit amtlich sichergestellte, beschlagnahmte oder durchgesehene elektronische Beweismittel betroffen sind, sind insbesondere §§ 94, 98 und 110 StPO zu beachten. Diese Vorschriften verleihen einem privat beauftragten IT-Forensiker keine hoheitlichen Befugnisse.

Ein privat von der Verteidigung beauftragter IT-Forensiker ist nicht allein durch diese Beauftragung ein förmlich herangezogener Sachverständiger nach §§ 72 ff. StPO. Privatgutachten, technische Beratung und eine förmliche Sachverständigenstellung sind prozessual auseinanderzuhalten.

Ergeben die Ermittlungen keinen genügenden Anlass zur Erhebung der öffentlichen Klage, stellt die Staatsanwaltschaft das Verfahren nach § 170 Abs. 2 StPO ein. Ein verteidigerseitiger technischer Befund garantiert eine solche Entscheidung nicht, kann aber ein relevanter Teil der Tatsachengrundlage sein.

Häufige Fragen

Muss eine technische Gegenprüfung zu einem anderen Ergebnis als die Ermittlungsbehörde kommen?+
Nein. Eine seriöse Gegenprüfung kann den Erstbefund bestätigen, einschränken oder widerlegen. Maßgeblich sind die Daten, nicht das gewünschte Ergebnis.
Kann LanCologne selbst Akteneinsicht nach § 147 StPO verlangen?+
Nein. Das Recht steht dem Verteidiger zu. LanCologne kann nur rechtmäßig zur technischen Prüfung überlassene Unterlagen und Daten untersuchen.
Ist eine verteidigerseitige Stellungnahme automatisch ein Gutachten nach §§ 72 ff. StPO?+
Nein. Eine privat beauftragte Stellungnahme oder ein Privatgutachten ist von einer förmlichen Sachverständigenheranziehung im Strafverfahren zu unterscheiden.
Kann ein technischer Gegenbefund eine Einstellung des Verfahrens garantieren?+
Nein. Die Entscheidung trifft die Staatsanwaltschaft beziehungsweise später das Gericht. Der Gegenbefund kann jedoch eine belastbare technische Tatsachengrundlage liefern.
Woran erkennt man eine Backup-Wiederherstellung?+
An typischen Zeitmustern, Restore-Protokollen und an der Herkunft ganzer Dateigruppen.
Reicht der behördliche Report dafür?+
Meist nicht, weil Reports Dateien zeigen, aber selten deren Herkunft erklären.
Gilt das auch für Bilder in Messenger-Ordnern?+
Ja. Automatische Downloads sind ein eigenes, häufiges Szenario.

Weiterführende Themen

LanCologne – IT-Forensik für Anwälte & Strafverteidiger

Sie haben eine digitale Frage? LanCologne unterstützt Sie mit einer sachlichen, ergebnisoffenen IT-forensischen Untersuchung.

Jetzt Kontakt aufnehmen