IT-Forensik · Gerichte
Kann festgestellt werden, ob ein Foto oder Video mit einem bestimmten Gerät aufgenommen wurde?
Medien enthalten häufig Geräte- und Aufnahmemetadaten, doch diese können fehlen, verändert oder durch Weiterverarbeitung ersetzt worden sein.
Für das Gericht ist nicht entscheidend, wie viele Programme eingesetzt werden. Entscheidend ist, welche technische Tatsache aus der vorhandenen Datenbasis belastbar festgestellt werden kann, wie diese Feststellung zustande kommt und welche Grenzen bei der Interpretation bestehen.
Die konkrete Beweisfrage
Wir prüfen EXIF-/Containerdaten, Codec- und Dateistrukturen, gerätespezifische Merkmale sowie korrespondierende Medienbibliotheken.
Warum der technische Kontext entscheidend ist
Digitale Spuren entstehen nicht isoliert. Betriebssystem, Anwendung, Cloud-Dienst, Netzwerk und Benutzerkontext können denselben sichtbaren Befund auf unterschiedliche Weise erzeugen. Deshalb wird ein einzelner Zeitstempel, Logeintrag oder Datenbankwert nicht ohne Prüfung seiner Entstehungslogik zur abschließenden Aussage erhoben. Soweit erforderlich, werden mehrere voneinander unabhängige Spuren miteinander korreliert.
Wo die Aussagegrenze liegt
Eine Modellangabe in Metadaten ist kein alleiniger Echtheitsbeweis. Eine belastbare Zuordnung zu einem konkreten Einzelgerät erfordert zusätzliche Merkmale.
Wie LanCologne die Beweisfrage bearbeitet
Bei LanCologne beginnt die gerichtliche IT-Forensik mit der Beweisfrage und nicht mit einem bestimmten Analyseprogramm. Zunächst wird festgelegt, welche technische Tatsache zu klären ist, welche Datenquellen hierfür Aussagekraft besitzen und welche alternativen Erklärungen ernsthaft geprüft werden müssen.
Die Ausgangsdaten und Beweismittel werden dokumentiert. Soweit technisch möglich, erfolgt die Auswertung auf verifizierten forensischen Sicherungen oder geeigneten Arbeitskopien. Automatisch erzeugte Treffer werden bei entscheidungserheblichen Fragen nicht ungeprüft übernommen. Maßgeblich sind Herkunft, Entstehungslogik und Kontext des jeweiligen Artefakts. Zentrale Befunde werden bei Bedarf anhand der zugrunde liegenden Daten oder mit einer zweiten fachlich geeigneten Methode kontrolliert.
Im Gutachten werden Tatsachenbefund, fachliche Interpretation und Schlussfolgerung getrennt. Ebenso wichtig ist die Aussagegrenze: Was ist technisch belegt? Was wird lediglich gestützt? Welche Gegenbefunde bestehen? Welche alternative Erklärung bleibt möglich? Was kann anhand der vorhandenen Daten nicht festgestellt werden?
Der Hauptteil wird für Richter und andere Verfahrensbeteiligte ohne IT-forensische Spezialkenntnisse verständlich formuliert. Die technische Prüfbarkeit bleibt erhalten. Die für eine unabhängige Nachprüfung wesentlichen Datenquellen, Integritätsinformationen, Artefakte und Untersuchungsschritte werden in einem technischen Teil nachvollziehbar dokumentiert.
Vom Auftrag zur belastbaren Aussage
Befund, Gegenbefund und Nichtnachweis
Ein gerichtliches Gutachten muss ergebnisoffen bleiben. Stützen die Daten eine Hypothese, wird erläutert, wodurch. Widersprechen belastbare Spuren der Hypothese, werden diese ebenso dargestellt. Reicht die Datenbasis nicht aus, wird der verbleibende Nichtnachweis ausdrücklich benannt. Aus einer Datenlücke wird keine scheinbar sichere Aussage konstruiert.
Verständlich für das Gericht – prüfbar für den Gegengutachter
Der fachliche Kern wird in verständlicher Sprache erläutert. Technische Begriffe werden nur dort verwendet, wo sie notwendig sind, und anschließend eingeordnet. Gleichzeitig werden die entscheidenden technischen Grundlagen so dokumentiert, dass ein unabhängiger IT-Forensiker die Herleitung anhand derselben Datenbasis nachvollziehen und gegebenenfalls reproduzieren kann.
Methodische Einordnung
Für gerichtliche IT-Forensik existiert kein gesetzlicher Katalog vorgeschriebener Analyseprogramme. Fachlich wesentlich sind eine kontrollierte Datenbasis, Integrität, dokumentierte Untersuchungsschritte, nachvollziehbare Schlussfolgerungen und die Möglichkeit unabhängiger Nachprüfung.
Der BSI-Grundschutz-Baustein DER.2.2 „Vorsorge für die IT-Forensik“ enthält hilfreiche Grundgedanken zur Vorbereitung auf spätere IT-forensische Untersuchungen und zur Spurensicherung bei IT-Sicherheitsvorfällen. Er ist jedoch ausdrücklich kein Regelwerk für IT-forensische Untersuchungen bei Straftaten; auch die eigentliche forensische Analyse ist nicht Gegenstand dieses Bausteins. Er wird daher nicht als strafprozessualer Forensikstandard dargestellt.
LanCologne als unabhängiger IT-Sachverständiger
Wenn ein Gericht eine konkrete digitale Beweisfrage technisch klären lassen muss, untersuchen wir die vorhandene Datenbasis unabhängig und ergebnisoffen. Ziel ist keine möglichst große Menge technischer Treffer, sondern eine fachlich begründete Antwort: verständlich für das Gericht, transparent in ihrer Herleitung und technisch nachprüfbar.
Rechtlicher Rahmen
Für den Sachverständigenbeweis in Zivilverfahren sind insbesondere die §§ 402 ff. ZPO maßgeblich. Nach § 404a ZPO leitet das Gericht die Tätigkeit des Sachverständigen und kann Art und Umfang seiner Tätigkeit bestimmen. Bei streitigem Sachverhalt bestimmt das Gericht, welche Tatsachen der Begutachtung zugrunde zu legen sind. § 407a ZPO verpflichtet den Sachverständigen unter anderem dazu, unverzüglich zu prüfen, ob der Auftrag in sein Fachgebiet fällt; Zweifel über Inhalt und Umfang des Auftrags sind durch das Gericht klären zu lassen. Das schriftliche Gutachten und mögliche Erläuterungen oder Ergänzungen sind in § 411 ZPO geregelt. Die abschließende Würdigung des Gutachtens zusammen mit dem gesamten Ergebnis der Beweisaufnahme bleibt Aufgabe des Gerichts (§ 286 ZPO).
Bei strafprozessualen Gutachten gelten für Sachverständige die §§ 72 ff. StPO; § 78 StPO betrifft die richterliche Leitung der Tätigkeit des Sachverständigen. Welche Vorschriften im konkreten Verfahren einschlägig sind, hängt von Verfahrensart und Auftrag ab. Die IT-forensische Begutachtung ersetzt keine rechtliche Bewertung.
Häufige Fragen
LanCologne – IT-Forensik für Gerichte
Sie haben eine digitale Frage? LanCologne unterstützt Sie mit einer sachlichen, ergebnisoffenen IT-forensischen Untersuchung.