OSINT-Methodik

Open-Source-Recherchen liefern oft den Zusammenhang, den eine On-Chain-Analyse nicht aufzeigen kann: einen Beitrag, in dem ein Verdächtiger eine Adresse veröffentlicht hat, die Registrierungshistorie einer Betrugswebsite oder archivierte Nutzungsbedingungen eines Dienstes. Ein hastig aufgenommenes Bildschirmfoto ohne URL, Zeitangabe und Aufzeichnung dazu, wie es gefunden wurde, ist jedoch ein schwacher Beleg und ein leichtes Angriffsziel. In dieser Lektion geht es darum, wie Sie Open-Source-Arbeiten planen, durchführen, ohne die Ermittlungen offenzulegen, Beweismittel mit Herkunftsnachweis sammeln und Ergebnisse so dokumentieren, dass ein Gericht sich darauf stützen kann.

Open-Source-Informationen, Erkenntnisse und Beweise

Das Berkeley Protocol on Digital Open Source Investigations, das im Dezember 2020 vom Human Rights Center der UC Berkeley School of Law gemeinsam mit dem Büro des Hohen Kommissars der Vereinten Nationen für Menschenrechte veröffentlicht wurde, ist die wichtigste internationale Referenz für Open-Source-Arbeiten, die für Gerichtsverfahren bestimmt sind. Es unterscheidet Begriffe, die übernommen werden sollten:

• Open-Source-Informationen sind Informationen, die jedes Mitglied der Öffentlichkeit ohne besonderen Rechtsstatus oder unbefugten Zugriff beobachten, erwerben oder anfordern kann.
• Open-Source-Erkenntnisse (OSINT) sind Open-Source-Informationen, die hauptsächlich dazu dienen, Entscheidungen zu unterstützen, etwa darüber, worauf der Schwerpunkt gelegt oder welche Informationen angefordert werden sollen.
• Open-Source-Beweise sind Open-Source-Informationen mit Beweiswert, auf die man sich in Verfahren stützen kann, um Tatsachen festzustellen.

Die meisten OSINT-Ergebnisse in einem Kryptofall bleiben Erkenntnisse: Sie weisen auf den Dienst hin, an den man sich wenden sollte, oder auf das zu untersuchende Ziel. Nur Gegenstände, die nach beweisrechtlichen Standards gesammelt und gesichert wurden, können zu Beweisen werden. Planen Sie dies bereits bei der ersten Suche ein, denn eine verschwundene Seite lässt sich nicht erneut sammeln.

Was den Speicherort von Daten betrifft, erlaubt das Budapester Übereinkommen einer Vertragspartei den Zugriff auf öffentlich zugängliche (Open-Source-)gespeicherte Computerdaten, unabhängig davon, wo sich die Daten geografisch befinden (Artikel 32(a)). Die innerstaatlichen Vorschriften für Online-Recherchen von Ermittlern gelten weiterhin und unterscheiden sich von Land zu Land; maßgeblich sind die Vorgaben der Rechtsberater der Einheit.

Planung: der Erkenntniszyklus

Open-Source-Arbeiten folgen dem klassischen Erkenntniszyklus: Ausrichtung (was müssen wir wissen?), Sammlung, Verarbeitung, Analyse, Verbreitung und Rückmeldung als Grundlage für eine neue Ausrichtung. Das Berkeley Protocol beschreibt die Ermittlungsschritte als Online-Recherchen, vorläufige Bewertung, Sammlung, Sicherung, Überprüfung und ermittlungsbezogene Analyse.

Verfassen Sie vor der Suche einen kurzen Sammlungsplan für die Fallakte:

Der Plan sorgt dafür, dass sich die Recherche auf das beschränkt, was zur Beantwortung der Fragestellung erforderlich ist, und entspricht damit der Datenminimierung, die das Berkeley Protocol neben Genauigkeit, Sicherung und Sicherheit durch Technikgestaltung als methodisches Prinzip aufführt. Außerdem ermöglicht er es, dem Prüfer zu erklären, warum eine Quelle durchsucht wurde oder nicht.

Recherchestellung: zurechenbar, nicht zurechenbar und verdeckt

Wie ein Ermittler online auftritt, ist für die Sicherheit und den Fall von Bedeutung.

Das Berkeley Protocol fordert Ermittler auf, ihre digitale Spur zu minimieren, und Organisationen dazu, ordnungsgemäß anonymisierte, nicht zurechenbare Infrastruktur bereitzustellen, wenn Forschende online gehen. Es fordert Ermittler außerdem auf, falsche Darstellungen zu vermeiden, etwa den Beitritt zu geschlossenen Gruppen unter Vorspiegelung falscher Tatsachen, der Datenschutzrechte verletzen und Ermittlungen beeinträchtigen kann; solche Arbeiten benötigen eine eigene Befugnis. Selbst eine Abfrage der Adresse eines Verdächtigen über einen öffentlichen Explorer teilt dem Betreiber des Explorers mit, dass jemand daran interessiert ist. Sensible Abfragen auf dem eigenen Node durchzuführen, vermeidet dies (siehe die IDFE-BA-Lektion Node-APIs und Datenzugriff sowie die Lektion Ethik, Datenschutz und Sicherheit von Ermittlern).

Suchtechnik

Suchmaschinen unterstützen Operatoren, mit denen sich Ergebnisse eingrenzen lassen. Syntax und Unterstützung unterscheiden sich je nach Suchmaschine und ändern sich im Laufe der Zeit. Notieren Sie daher zu jedem Ergebnis die genaue Suchanfrage.

Praktische Hinweise für Kryptofälle:

• Suchen Sie nach vollständigen Adressen, mit und ohne Anführungszeichen, in mehreren Suchmaschinen sowie in Code-Repositories und Paste-Seiten. Adressen sind lange, eindeutige Zeichenfolgen. Ein Treffer ist daher selten Zufall, kann jedoch eine Kopie sein (siehe die Lektion On-Chain- und Off-Chain-Kennungen verknüpfen).
• Suchen Sie nach Handles und ihren Varianten: Unterstriche, Ziffern, gängige Ersetzungen.
• Prüfen Sie Webarchive. Die Wayback Machine des Internet Archive und andere Archive enthalten frühere Versionen von Seiten, oft von bevor eine Betrugswebsite ihre Einzahlungsadressen entfernte oder ein Forennutzer einen Beitrag bearbeitete. Archivkopien sind selbst Aufzeichnungen Dritter; geben Sie die Archiv-URL und den vom Archiv aufgezeichneten Erfassungszeitpunkt an.
• Erfassen Sie zuerst, analysieren Sie später. Aktive Seiten ändern sich und verschwinden, manchmal weil die Zielperson von dem Interesse erfahren hat.

Sammlung mit Herkunftsnachweis

Zu jedem gesammelten Gegenstand müssen genügend Informationen vorliegen, um später festzustellen, worum es sich handelt, woher er stammt, wann und wie er erfasst wurde und dass er nicht verändert wurde. Die SWGDE-Empfehlung Best Practices for Acquiring Online Content (Dokument 21-F-001) empfiehlt, die vollständige URL-Abfolge zu erfassen, Zugriffsdatum, -uhrzeit und Zeitzone zu dokumentieren, Metadaten zu erhalten, jede erworbene Datei mit NIST-zugelassenen Algorithmen zu hashen und den Prüfer, den Browser und die zugreifende IP-Adresse zu dokumentieren. Das Berkeley Protocol ergänzt, dass Ermittler die verwendeten Tools und Software dokumentieren sollten.

Ein Eintrag im Sammlungsprotokoll:

{
  "item_id": "OS-0007",
  "case_id": "CF-2026-0142",
  "url": "https://forum.example/t/48213?page=3#post-912",
  "query": "\"bc1q…7k3f\" site:forum.example",
  "captured_utc": "2026-03-06T10:41:12Z",
  "method": "full-page capture + HTML source + WARC",
  "tool": "open-source capture tool v3.2, browser 128",
  "files": [
    {"name": "OS-0007.warc.gz", "sha256": "5b0e…11d4"},
    {"name": "OS-0007.png", "sha256": "c3a9…7e20"}
  ],
  "archive_copy": "web archive capture requested 2026-03-06T10:44Z",
  "posture": "non-attributable, research host RH-2",
  "collector": "EX-07",
  "note": "post dated 2023-11-14 shows address in user signature"
}

Der Eintrag enthält die vollständige URL einschließlich des Beitragsankers, die genaue Suchanfrage, mit der der Beitrag gefunden wurde, den Erfassungszeitpunkt in UTC und die Erfassungsmethode. Er sichert drei Formen der Seite: eine WARC-Datei (das als ISO 28500 standardisierte Webarchivformat), die den HTTP-Austausch bewahrt und schwer anzufechten ist; ein Bildschirmfoto, das Lesende nachvollziehen können; und den HTML-Quelltext. Für jede Datei wird bei der Erfassung ein SHA-256-Hash berechnet. Eine gleichzeitig angeforderte unabhängige Archivkopie liefert eine Aufzeichnung der Seite durch Dritte. In der Notiz wird das auf dem Beitrag angezeigte Datum, bei dem es sich um eine Angabe der Plattform handelt, vom Erfassungszeitpunkt unterschieden, der eine eigene Beobachtung des Prüfers darstellt.

Überprüfung und Analyse

Gesammelte Gegenstände sind zunächst Behauptungen, bis sie überprüft wurden. Das Berkeley Protocol fordert Ermittler auf festzustellen, ob Informationen authentisch sind, und jeden Gegenstand auf Zuverlässigkeit, Relevanz und Beweiswert zu prüfen. Ein praktikables Vorgehen ist die Prüfung der Quelle (wer hat sie veröffentlicht, und ist das Konto authentisch und etabliert?), des Inhalts (ist er in sich schlüssig und mit anderen Informationen vereinbar?) und der technischen Spuren (Metadaten, Seitenstruktur, Archivgeschichte). Bei Krypto-OSINT bietet die Blockchain eine starke unabhängige Überprüfung: Wenn ein Beitrag vom November 2023 eine Adresse zeigt, existierte diese Adresse damals bereits und verhielt sie sich im Einklang mit dem Beitrag? Aussagekräftiger ist ein Beitrag, der eine Adresse veröffentlicht, bevor sie erstmals Mittel erhielt, als einer, der erst nach einer öffentlichen Warnung erscheint und dessen Adresse jede Person hätte kopieren können.

Bei der Analyse werden anschließend konkurrierende Erklärungen gegeneinander abgewogen: Der Verfasser kontrolliert die Adresse; der Verfasser hat sie kopiert; das Konto wurde imitiert oder kompromittiert. Dokumentieren Sie jede Hypothese sowie die dafür und dagegen sprechenden Beweise und bewerten Sie die daraus abgeleitete Verknüpfung (siehe die Lektion Von der Adresse zur Entität zur Person).

OSINT für das Gericht dokumentieren

Ein Open-Source-Beweismittel ist belastbar, wenn ein anderer Prüfer denselben Weg nachvollziehen und jedes Element überprüfen könnte. Die Fallakte sollte Folgendes enthalten:

1. Den Sammlungsplan und alle daran vorgenommenen Änderungen samt Begründung.
2. Das Sammlungsprotokoll mit Hashes sowie die erfassten Dateien in geschützter Aufbewahrung unter Wahrung der Beweismittelkette (siehe die Lektionen On-Chain-Beweise sichern und Hashing, Protokollierung und Beweismittelkette).
3. Zeitnahe Notizen, einschließlich erfolgloser Suchvorgänge, die relevant sind, wenn die Verteidigung fragt, was sonst noch geprüft wurde.
4. Überprüfungsschritte und deren Ergebnisse für jeden Gegenstand, auf den man sich stützt.
5. Eine Erklärung zur Recherchestellung und zu jeder Interaktion, die bestätigt, dass kein unbefugter Zugriff und keine falsche Darstellung erfolgt sind.

Nennen Sie im Bericht jedes Element anhand seiner Kennung, zitieren Sie nur das Erforderliche und schwärzen Sie Angaben zu unbeteiligten Personen. Bewahren Sie identifizierende Informationen über Privatpersonen in einem zugangsbeschränkten Anhang auf, wie in der IDFE-BA-Lektion Datenschutz, Ethik und verantwortungsvolle Offenlegung beschrieben.

Prüfungsschwerpunkt: Open-Source-Informationen, Erkenntnisse und Beweise gemäß der Definition im Berkeley Protocol (2020) und dessen Ermittlungsschritte; Artikel 32(a) des Budapester Übereinkommens zu öffentlich zugänglichen Daten; der Erkenntniszyklus und ein schriftlicher Sammlungsplan mit Abbruchregeln; zurechenbare, nicht zurechenbare und verdeckte Recherchestellungen sowie die Gründe, warum verdeckte Arbeit eine besondere Befugnis erfordert; Suchoperatoren und die Aufzeichnung der genauen Suchanfrage; Webarchive und die Erfassung vor der Analyse; Sammlungsprotokolle mit vollständiger URL, UTC-Zeit, Methode, Tool-Version, SHA-256-Hashes und WARC (ISO 28500) gemäß SWGDE 21-F-001; Überprüfung von Quelle, Inhalt und technischen Merkmalen sowie die Nutzung der Blockchain zur Prüfung datierter Behauptungen; Bestandteile einer gerichtsfesten OSINT-Akte.