IT-Forensik · Privatpersonen

Wie kann ich Daten von USB-Sticks, Speicherkarten oder externen Festplatten als private Beweismittel sichern lassen?

Wer Dateien von einem USB-Stick einfach auf den eigenen Rechner kopiert, verändert Zeitstempel und verliert gelöschte Dateien sowie Metadaten. Eine beweissichere Sicherung erfasst den ganzen Datenträger bitgenau, ohne ihn zu verändern, und belegt das mit Hashwerten.

Unverbindlich anfragen

Warum diese Frage für Privatpersonen wichtig ist

Digitale Daten können bei privaten Schadensfällen, Unfällen und Rechtsstreitigkeiten entscheidende zeitliche oder technische Hinweise enthalten. Ihre Aussagekraft hängt jedoch von Herkunft, Vollständigkeit und Kontext ab. Eine unabhängige Untersuchung verhindert, dass ein einzelner Zeitstempel oder Screenshot überinterpretiert wird.

Technischer Hintergrund

Schon das Anstecken an ein Windows- oder macOS-System kann Daten schreiben (z. B. Indexdateien, Papierkorb- oder Spotlight-Ordner). Deshalb wird über einen Schreibblocker gearbeitet. Bei Flash-Speichern kommt hinzu, dass gelöschte Daten durch interne Prozesse verschwinden können.

Relevante Spuren und Datenquellen

  • Vollständiges Abbild inklusive nicht zugewiesener Bereiche
  • Dateisystem-Metadaten (Erstellt, Geändert, Zugriff)
  • Gelöschte Dateien und Fragmente
  • Volumeseriennummer und Gerätekennung (für spätere Zuordnung zu Rechnern)

Grenzen

  • Was vor der Sicherung bereits überschrieben wurde, ist nicht wiederherstellbar.
  • Auf welchem Rechner ein Stick genutzt wurde, zeigt sich am Rechner, nicht am Stick selbst.

Mögliche Ergebnisse

  • Gesichertes Abbild mit Hashwert und Sicherungsprotokoll
  • Auflistung relevanter (auch gelöschter) Dateien
  • Zeitbezüge zu Dateien

Warum LanCologne?

Private IT-forensische Untersuchungen haben häufig unmittelbare persönliche, finanzielle oder rechtliche Folgen. Deshalb reicht es nicht, Daten lediglich mit einem Analyseprogramm zu öffnen.

So gehen wir vor

  • Datenträger nicht mehr selbst benutzen; Übergabe dokumentieren.
  • Forensisches Abbild über Schreibblocker, Berechnung von Hashwerten.
  • Auswertung ausschließlich am Abbild; Bericht mit Beweismittelkette.

Technische Daten müssen im Kontext interpretiert werden

Ein Logeintrag, Standortpunkt oder Dateizeitstempel ist zunächst ein technisches Artefakt. Erst die Kenntnis seiner Entstehungslogik und der Vergleich mit weiteren unabhängigen Datenquellen erlauben eine belastbare Interpretation.

Beweissicherung bedeutet nicht automatisch Beweiswürdigung

LanCologne kann digitale Daten sichern, untersuchen und ihre technische Aussagekraft erklären. Ob ein Beweismittel rechtlich zulässig ist, welche Ansprüche daraus folgen oder wie ein Gericht es würdigt, bleibt von der technischen Untersuchung getrennt.

Warum LanCologne für private IT-forensische Beweisfragen?

LanCologne untersucht nicht mit dem Ziel, die Vermutung des Auftraggebers zu bestätigen. Wir formulieren eine prüfbare technische Beweisfrage, arbeiten auf der verfügbaren Primärdatenbasis und dokumentieren positive, negative und offene Befunde. Das Ergebnis soll für den Privatkunden verständlich und für Anwalt, Versicherung, Ermittlungsbehörde, Gericht oder einen weiteren IT-Forensiker fachlich nachvollziehbar sein.

Rechtlicher Rahmen

Welche gesetzlichen Vorschriften relevant sind, hängt vom konkreten privaten Sachverhalt ab. Bei unbefugten Zugriffen auf besonders gesicherte Daten können §§ 202a ff. StGB eine Rolle spielen. Bei Betrug oder computerbezogenem Vermögensschaden kommen je nach Fall insbesondere §§ 263 und 263a StGB in Betracht. Bei Nachstellung kann § 238 StGB relevant sein. Die strafrechtliche Einordnung trifft jedoch nicht der IT-Forensiker.

Bei privaten Audioaufnahmen ist § 201 StGB zu beachten. Die Vorschrift schützt unter ihren Voraussetzungen die Vertraulichkeit des nichtöffentlich gesprochenen Wortes. Die technische Möglichkeit, eine Aufnahme auszuwerten, ist daher von der Frage zu trennen, ob sie rechtmäßig hergestellt oder verwendet wurde.

Bild- und Videoaufnahmen können Persönlichkeits- und Datenschutzfragen berühren. Für Bildnisse enthalten insbesondere §§ 22 und 23 KunstUrhG Regelungen. Bei bestimmten Bildaufnahmen kann zudem § 201a StGB einschlägig sein. Bei privaten Kameras, Dashcams oder Smart-Home-Systemen können zusätzlich datenschutzrechtliche Fragen entstehen, die im Einzelfall juristisch bewertet werden müssen.

Elektronische Dokumente können in Zivilverfahren Gegenstand des Augenscheinsbeweises nach § 371 ZPO sein. Für Sachverständigenbeweis gelten §§ 402 ff. ZPO. Ein privat beauftragtes IT-forensisches Gutachten wird dadurch nicht automatisch zu einem gerichtlichen Sachverständigengutachten; es kann aber technische Tatsachen, Primärdaten und Beweisfragen für Anwalt und Gericht nachvollziehbar aufbereiten.

LanCologne leistet technische Tatsachenfeststellung, keine Rechtsberatung. Fragen nach Zulässigkeit, Verwertbarkeit, Haftung, Ansprüchen oder strafrechtlicher Verantwortlichkeit bleiben Rechtsanwälten, Ermittlungsbehörden und Gerichten vorbehalten.

Häufige Fragen

Wie kann ich Daten von USB-Sticks, Speicherkarten oder externen Festplatten als private Beweismittel sichern lassen?
Digitale Daten können bei privaten Schadensfällen, Unfällen und Rechtsstreitigkeiten entscheidende zeitliche oder technische Hinweise enthalten. Ihre Aussagekraft hängt jedoch von Herkunft, Vollständigkeit und Kontext ab. Eine unabhängige Untersuchung verhindert, dass ein einzelner Zeitstempel oder Screenshot überinterpretiert wird.
Darf ich die Dateien vorher selbst ansehen?
Besser nicht. Jeder Zugriff kann Metadaten verändern.
Was ist ein Hashwert?
Ein digitaler Fingerabdruck des Abbilds. Er zeigt später, dass die Daten unverändert sind.
Kann man sehen, wer etwas auf den Stick kopiert hat?
Am Stick selbst meist nicht. Dafür werden die Rechner benötigt, an denen er angeschlossen war.

Weiterführende Themen

LanCologne – IT-Forensik für Privatpersonen

Sie haben eine digitale Frage? LanCologne unterstützt Sie mit einer sachlichen, ergebnisoffenen IT-forensischen Untersuchung.

Jetzt Kontakt aufnehmen