IT-Forensik · Ermittlungsbehörden
Wie werden belastende und entlastende digitale Spuren gleichermaßen untersucht?
Im Ermittlungsverfahren darf die IT-forensische Auswertung nicht darauf reduziert werden, eine bereits bestehende Verdachtshypothese technisch zu bestätigen.
Warum diese Frage für Ermittlungsbehörden wichtig ist
Digitale Ermittlungen müssen belastbare Tatsachen liefern, dürfen aber technische Indizien nicht überinterpretieren. Für die Ermittlungsarbeit ist daher nicht nur wichtig, ob ein Artefakt vorhanden ist, sondern was es tatsächlich beweist, welche Gegenhypothesen bestehen und welche weitergehenden Schlussfolgerungen gerade nicht zulässig sind.
Technische onderzoeksaanpak
Wir formulieren zu einer Ermittlungsannahme passende Prüfhypothesen und Gegenhypothesen. Belastende und entlastende Befunde werden nach demselben fachlichen Maßstab dokumentiert.
Waar de grens van de uitspraak ligt
Ein ergebnisoffener Ansatz kann dazu führen, dass eine Ermittlungsannahme bestätigt, eingeschränkt oder technisch nicht gestützt wird. Genau diese Offenheit ist fachlich notwendig.
Waarom LanCologne?
LanCologne arbeitet bei Ermittlungsaufträgen nicht nach dem Prinzip, eine vorgegebene Verdachtshypothese technisch zu bestätigen. Ausgangspunkt ist die konkrete Ermittlungsfrage. Dazu werden belastende und entlastende technische Möglichkeiten gleichermaßen geprüft.
Die übergebenen Beweismittel oder Datenbestände werden eindeutig dokumentiert. Soweit technisch möglich, erfolgt die Auswertung auf verifizierten Sicherungen beziehungsweise geeigneten Arbeitskopien. Automatisch erzeugte Treffer werden bei entscheidungserheblichen Fragen nicht ungeprüft übernommen. Herkunft, Entstehungslogik und Kontext des Artefakts werden kontrolliert; bei Bedarf erfolgt eine unabhängige Gegenprüfung anhand der zugrunde liegenden Daten oder mit einer zweiten fachlich geeigneten Methode.
Für eine Strafermittlungsbehörde ist entscheidend, dass aus einem technischen Indiz keine stärkere Aussage gemacht wird, als die Daten tatsächlich tragen. Deshalb unterscheiden wir zwischen Gerätebezug, Accountbezug, Benutzerbezug und Personenzuordnung ebenso wie zwischen Möglichkeit, tatsächlicher Nutzung und nachweisbarer Handlung.
Ebenso wichtig ist der Negativbefund. Wenn sich eine Ermittlungsannahme anhand der vorhandenen Daten nicht bestätigen lässt oder technisch plausible Alternativerklärungen bestehen, wird dies ausdrücklich dokumentiert. Das entspricht einer ergebnisoffenen sachverständigen Arbeitsweise und unterstützt die Pflicht, sowohl belastende als auch entlastende Umstände zu berücksichtigen.
Vom Ermittlungsauftrag zur belastbaren Aussage
Belastende und entlastende Befunde
Eine sachverständige Untersuchung muss ergebnisoffen bleiben. Stützen die Daten die Ermittlungsannahme, wird erläutert, wodurch. Widersprechen ihr belastbare Spuren oder bleibt eine alternative technische Erklärung bestehen, wird dies ebenso dokumentiert. Reicht der Datenbestand für keine sichere Aussage, wird ein Nichtnachweis als solcher bezeichnet.
Nachvollziehbar für Staatsanwaltschaft, Polizei, Verteidigung und Gericht
Der Hauptbefund wird in verständlicher Sprache formuliert. Gleichzeitig werden die prüfrelevanten technischen Grundlagen so dokumentiert, dass ein weiterer qualifizierter IT-Forensiker die Kernaussagen anhand derselben Datenbasis nachvollziehen kann. Damit bleibt die Untersuchung auch für spätere Gegenprüfungen oder eine gerichtliche Beweisaufnahme transparent.
LanCologne als externer IT-Forensik-Sachverständiger
Wenn eine Ermittlungsbehörde eine digitale Spezialfrage unabhängig und technisch belastbar klären lassen muss, unterstützt LanCologne mit einer nachvollziehbaren, ergebnisoffenen Untersuchung. Ziel ist nicht die größtmögliche Zahl an Treffern, sondern eine belastbare fachliche Antwort auf die konkrete Ermittlungsfrage.
Wettelijk kader
Die Ermittlungsleitung und die rechtliche Bewertung verbleiben bei den zuständigen Strafverfolgungsorganen. Nach § 160 StPO erforscht die Staatsanwaltschaft den Sachverhalt und hat sowohl belastende als auch entlastende Umstände zu ermitteln. § 161 StPO regelt ihre allgemeine Ermittlungsbefugnis und die Möglichkeit, Ermittlungen durch Behörden und Beamte des Polizeidienstes vornehmen zu lassen. Die Aufgaben der Polizei im Ermittlungsverfahren sind in § 163 StPO geregelt.
Für Sachverständige gelten grundsätzlich die §§ 72 ff. StPO. § 161a Abs. 1 StPO verpflichtet Sachverständige, auf Ladung vor der Staatsanwaltschaft zu erscheinen und ihr Gutachten zu erstatten; die sachverständigenbezogenen Vorschriften des siebenten Abschnitts gelten entsprechend, soweit nichts anderes bestimmt ist. § 82 StPO betrifft die Form der Gutachtenerstattung im Vorverfahren.
Sicherstellung und Beschlagnahme von Gegenständen mit möglicher Beweisbedeutung richten sich insbesondere nach §§ 94 und 98 StPO. § 110 Abs. 3 StPO regelt die Durchsicht elektronischer Speichermedien und ermöglicht unter den dort genannten Voraussetzungen auch die Sicherung untersuchungsrelevanter Daten. Die Entscheidung über Zulässigkeit, Umfang und Anordnung solcher Maßnahmen liegt bei den zuständigen staatlichen Stellen, nicht bei LanCologne.
Nach § 1 Abs. 3 JVEG steht eine Heranziehung durch Polizei oder andere Strafverfolgungsbehörden im Auftrag oder mit vorheriger Billigung der Staatsanwaltschaft einer staatsanwaltschaftlichen Heranziehung vergütungsrechtlich gleich.
Veelgestelde vragen
LanCologne – IT-Forensik für Strafermittlungsbehörden
Heeft u een digitale vraag? LanCologne ondersteunt u met een objectief, onbevooroordeeld IT-forensisch onderzoek.