IT-Forensik · Anwälte & Strafverteidiger

Wie kann die Verteidigung erkennen, ob relevante Daten bei der Auswertung durch Filter ausgeschlossen wurden?

Behördliche Auswertungen mit Tools wie Cellebrite, AXIOM oder X-Ways arbeiten fast immer mit Filtern: Zeiträume, Dateitypen, Kategorien, Suchbegriffe. Das ist methodisch richtig – kann aber dazu führen, dass entlastende Daten nie im Bericht auftauchen. Die Gegenprüfung fragt, was außerhalb der Filter lag.

Unverbindlich anfragen

Warum diese Frage für die Strafverteidigung wichtig ist

Nach Akteneinsicht kommt es darauf an, die technische Tatsachengrundlage von zusammenfassenden Ermittlungsbewertungen zu trennen. Gerade digitale Beweise können in Reports plausibel wirken, obwohl Extraktionsumfang, Zeitsemantik, Personenzuordnung oder Datenkontext eine differenziertere Bewertung verlangen.

Technischer Hintergrund

Typische Lücken entstehen durch zu enge Zeitfenster (falsche Zeitzone), ausgeschlossene Datenquellen (gelöschte Bereiche, Cloud-Artefakte, Apps ohne Parser), Kategorienfilter (z. B. nur „Bilder“) oder Stichworte ohne Varianten und Tippfehler.

Relevante Spuren und Datenquellen

  • Report-Konfiguration und Exportprotokolle des Auswertungstools
  • Extraktionsbericht (Umfang, Typ der Sicherung, Fehler)
  • Hashwerte und Fallstruktur
  • Ggf. die Rohdaten bzw. das Image selbst, wenn zugänglich

Grenzen

  • Ohne Zugriff auf die Rohdaten kann nur die Methodik geprüft werden, nicht der ausgeblendete Inhalt.
  • Ein Filter ist nicht automatisch fehlerhaft; entscheidend ist der Bezug zur Beweisfrage.

Mögliche Ergebnisse

  • Dokumentation der eingesetzten Filter und ihrer Auswirkung
  • Benennung möglicherweise nicht berücksichtigter Datenbereiche
  • Formulierungshilfen für Beweisanregungen

Warum LanCologne?

Nach Akteneinsicht besteht der Mehrwert einer unabhängigen IT-forensischen Gegenprüfung nicht darin, die behördliche Arbeit pauschal in Zweifel zu ziehen. Entscheidend ist vielmehr, die tragenden digitalen Feststellungen auf ihre tatsächliche Datenbasis zurückzuführen.

So gehen wir vor

  • Ermittlung der angewandten Filter aus Akte und Report.
  • Abgleich mit der konkreten Tat- und Verteidigungsfrage.
  • Wenn Rohdaten verfügbar: gezielte Prüfung der ausgeblendeten Bereiche.
  • Stellungnahme mit konkreten Prüfanregungen.

Belastende, entlastende und offene Befunde

Eine fachliche Gegenprüfung ist kein Versuch, zwangsläufig einen Fehler in der Ermittlungsakte zu finden. Technisch korrekte Befunde werden bestätigt. Werden Gegenbefunde, unvollständige Daten oder alternative technische Erklärungen festgestellt, werden auch diese nachvollziehbar dokumentiert. So erhält die Verteidigung eine realistische und belastbare Tatsachengrundlage.

Verständlich für den Strafverteidiger – reproduzierbar für weitere Forensiker

Der Hauptbefund wird klar und ohne unnötige Fachsprache formuliert. Prüfrelevante Datenquellen, Hashwerte, IDs, Zeitbezüge, Rohdatenfundstellen und methodische Schritte werden so dokumentiert, dass ein weiterer qualifizierter IT-Forensiker die wesentlichen Feststellungen fachlich nachvollziehen kann.

LanCologne als unabhängige technische Unterstützung der Strafverteidigung

Wenn ein Strafverteidiger nach Akteneinsicht einen digitalen Schlüsselbefund unabhängig prüfen lassen möchte, unterstützt LanCologne mit einer sachlichen und ergebnisoffenen IT-forensischen Gegenprüfung. Ziel ist eine klare Antwort darauf, was die vorhandenen technischen Daten tatsächlich belegen – und was nicht.

Rechtlicher Rahmen

Das Akteneinsichts- und Besichtigungsrecht des Verteidigers richtet sich nach § 147 StPO. Nach Absatz 1 ist der Verteidiger befugt, die dem Gericht vorliegenden oder im Falle der Anklage vorzulegenden Akten einzusehen und amtlich verwahrte Beweisstücke zu besichtigen. Solange der Abschluss der Ermittlungen noch nicht in den Akten vermerkt ist, kann die Einsicht beziehungsweise Besichtigung nach Absatz 2 unter den dort genannten Voraussetzungen eingeschränkt werden. Nach § 147 Abs. 3 darf dem Verteidiger insbesondere die Einsicht in Gutachten von Sachverständigen in keiner Lage des Verfahrens versagt werden. Über die Gewährung der Akteneinsicht entscheidet im vorbereitenden Verfahren grundsätzlich die Staatsanwaltschaft (§ 147 Abs. 5).

Diese Rechte stehen dem Verteidiger zu, nicht LanCologne. Eine technische Gegenprüfung setzt deshalb voraus, dass die Verteidigung die betreffenden Unterlagen oder Daten rechtmäßig zur Verfügung stellen kann. LanCologne erlangt durch die private Beauftragung kein eigenes Besichtigungs-, Akteneinsichts- oder Zugriffsrecht gegenüber Staatsanwaltschaft oder Polizei.

§ 160 Abs. 2 StPO verpflichtet die Staatsanwaltschaft, sowohl belastende als auch entlastende Umstände zu ermitteln. Nach § 163a Abs. 2 StPO sind vom Beschuldigten zu seiner Entlastung beantragte Beweise zu erheben, wenn sie von Bedeutung sind. Eine unabhängige technische Prüfung kann deshalb tatsächliche Anhaltspunkte liefern, die der Verteidiger für weitere Beweisanregungen oder Anträge bewerten kann; die prozessuale Entscheidung trifft der Verteidiger beziehungsweise die zuständige Strafverfolgungsstelle.

Soweit amtlich sichergestellte, beschlagnahmte oder durchgesehene elektronische Beweismittel betroffen sind, sind insbesondere §§ 94, 98 und 110 StPO zu beachten. § 110 Abs. 3 regelt die Durchsicht elektronischer Speichermedien durch die hierzu befugten staatlichen Stellen und unter Voraussetzungen auch räumlich getrennte Speichermedien. Daraus entstehen keine hoheitlichen Befugnisse für einen privat beauftragten IT-Forensiker.

Ein privat von der Verteidigung beauftragter IT-Forensiker ist nicht allein aufgrund dieser Beauftragung ein förmlich herangezogener Sachverständiger nach §§ 72 ff. StPO. Diese prozessualen Rollen werden ausdrücklich getrennt.

Häufige Fragen

Kann LanCologne nach § 147 StPO selbst Akteneinsicht verlangen?+
Nein. Das Recht steht dem Verteidiger beziehungsweise unter den gesetzlichen Voraussetzungen dem Beschuldigten zu. LanCologne kann nur rechtmäßig zur Verfügung gestellte Aktenbestandteile und Daten technisch prüfen.
Wird bei der Gegenprüfung davon ausgegangen, dass die behördliche Auswertung fehlerhaft ist?+
Nein. Die Prüfung ist ergebnisoffen. Tragende Befunde können bestätigt, eingeschränkt oder technisch widerlegt werden.
Muss für jeden Report die gesamte forensische Untersuchung wiederholt werden?+
Nicht zwingend. Der Umfang richtet sich nach der konkreten Verteidigungsfrage und danach, welche technischen Feststellungen für den Tatvorwurf tatsächlich tragend sind.
Kann LanCologne den Strafverteidiger bei technischen Rückfragen an einen Sachverständigen unterstützen?+
Ja. Wir können technische Widersprüche, Datenlücken und Aussagegrenzen herausarbeiten und daraus einen fachlichen Fragenkatalog ableiten. Die prozessuale Verwendung entscheidet der Verteidiger.
Woran erkenne ich in der Akte, dass gefiltert wurde?+
An Reportangaben wie Zeitraum, Kategorien oder Suchbegriffen. Oft fehlen diese Angaben – auch das ist ein Befund.
Können Sie das Image der Behörde auswerten?+
Wenn es der Verteidigung rechtmäßig zur Verfügung gestellt wird, ja.
Ist das eine Kritik an der Polizei?+
Nein. Es geht um die Frage, ob die Datenbasis zur Schlussfolgerung passt.

Weiterführende Themen

LanCologne – IT-Forensik für Anwälte & Strafverteidiger

Sie haben eine digitale Frage? LanCologne unterstützt Sie mit einer sachlichen, ergebnisoffenen IT-forensischen Untersuchung.

Jetzt Kontakt aufnehmen