Grundsätze für digitale Beweismittel

Ein Nachverfolgungsergebnis ist nur so belastbar wie der Umgang mit den zugrunde liegenden Beweismitteln. Sachverständige der Verteidigung und Gerichte greifen selten die Berechnungen einer Nachverfolgung an; sie hinterfragen, wie die Daten beschafft wurden, ob andere zum selben Ergebnis gelangen könnten und ob der Prüfer jeden Arbeitsschritt nachweisen kann. Diese Lektion legt die Grundsätze dar, auf denen alle weiteren Lektionen dieses Moduls aufbauen, und erläutert, warum Blockchain-Beweismittel diese in mancher Hinsicht gut und in anderer Hinsicht schlecht erfüllen.

Die ISO/IEC-Normenfamilie für die Forensik

Vier ISO/IEC-Normen des Komitees für Informationssicherheit befassen sich mit digitalen Beweismitteln, und eine Norm zur Konformitätsbewertung betrifft das Labor, das mit ihnen umgeht. Alle fünf werden Ihnen in diesem Kurs begegnen.

ISO/IEC 27037 ist Gegenstand dieser Lektion. Laut ihrer Kurzbeschreibung soll sie auch „den Austausch potenzieller digitaler Beweismittel zwischen Rechtsordnungen“ erleichtern, was wichtig ist, wenn ein Fall von internationaler Rechtshilfe abhängt. ISO/IEC 27041, 27042 und 17025 werden in der Lektion Hashing, Protokollierung, Beweismittelkette und Qualitätsmanagement erneut behandelt. ISO/IEC 27043 entspricht den Phasen, die in der Lektion Der Untersuchungszyklus: von der Frage zur Hypothese vermittelt werden.

Die vier Prozesse im Umgang mit Beweismitteln

ISO/IEC 27037 unterteilt den Umgang mit Beweismitteln in vier Prozesse. Die Norm wurde mit Blick auf Computer, Telefone, Speichermedien und Netzwerke verfasst und führt diese Geräte als Beispiele auf, nicht als abschließende Liste. Die Prozesse lassen sich problemlos auf Kryptofälle übertragen.

1. Identifizierung: Erkennen, was relevante Beweismittel enthalten könnte. An einem Durchsuchungsort sind dies Hardware-Wallets, Seed-Sicherungen auf Papier oder Metall, Telefone mit Wallet-Apps und Notizen mit Adressen (siehe die Lektion Wallets auf sichergestellten Geräten). In einem Onlinefall sind es die Transaktions-IDs, Adressen, Börsenkonten und Webseiten, die für die Fragestellungen von Bedeutung sind.
2. Sicherstellung: Übernahme physischer Gegenstände in amtliche Verwahrung, etwa eines Laptops, einer Hardware-Wallet oder eines Notizbuchs mit Seed-Wörtern.
3. Erfassung: Erstellung einer Kopie der Daten, etwa eines forensischen Abbilds eines Laufwerks, eines Exports eines Börsenkontos oder von Rohtransaktionen, die von einem Knoten abgerufen werden.
4. Erhaltung: Schutz der Integrität dessen, was sichergestellt oder erfasst wurde, vom Zeitpunkt der Sicherung bis zum Abschluss des Falls. Hashing, Versiegelung, kontrollierte Aufbewahrung und Übergabenachweise gehören alle dazu.

Die Norm benennt außerdem zwei Rollen. Ein Ersthelfer für digitale Beweismittel (Digital Evidence First Responder, DEFR) ist befugt und geschult, als Erster vor Ort tätig zu werden. Ein Spezialist für digitale Beweismittel (Digital Evidence Specialist, DES) verfügt über vertiefte technische Fähigkeiten und führt die komplexeren Arbeiten aus. Ein Streifenpolizist, der eine Hardware-Wallet und eine Seed-Karte in einen Beweismittelbeutel verpackt, handelt als DEFR. Der Prüfer, der später ein Abbild des Laptops des Eigentümers erstellt und Transaktionspfade anhand der Daten eines Knotens rekonstruiert, handelt als DES. Beide Rollen sollten innerhalb ihrer jeweiligen Kompetenz arbeiten und ihr Vorgehen dokumentieren.

Relevanz, Zuverlässigkeit und Hinlänglichkeit

ISO/IEC 27037 betrachtet drei Eigenschaften als grundlegend für digitale Beweismittel.

• Relevanz: Das Material steht in Bezug zu einer Fragestellung des Falls. Alle Transaktionen abzurufen, die eine große Börsen-Wallet jemals durchgeführt hat, ist keine relevante Beweismittelsammlung. Die 14 Einzahlungen abzurufen, die den Zahlungen des Opfers entsprechen, hingegen schon.
• Zuverlässigkeit: Das Material ist das, was es zu sein vorgibt, und der Prozess, durch den es gewonnen wurde, lässt sich überprüfen. Eine Rohtransaktion von einem Knoten mit dokumentiertem Block-Hash ist in diesem Sinne zuverlässig. Ein Screenshot einer Explorer-Seite ohne URL oder Zeitangabe ist wenig belastbar.
• Hinlänglichkeit: Es wurde genügend Material zusammengetragen, um die Schlussfolgerung zu stützen oder zu überprüfen. Hinlänglichkeit bedeutet nicht „so viel wie möglich“. Sie bedeutet, dass Sie sowohl nach dem gesucht haben, was Ihrer Hypothese widersprechen würde, als auch nach dem, was sie stützt.

Anschließend legt die Norm vier Anforderungen an den Umgang mit Beweismitteln selbst fest:

Beachten Sie den Unterschied zwischen den beiden mittleren Zeilen: Bei der Wiederholbarkeit bleibt alles gleich, während bei der Reproduzierbarkeit die Methode beibehalten wird, aber die Werkzeuge, die Bedingungen und in der Regel auch die Person bewusst geändert werden. Blockchain-Daten machen Reproduzierbarkeit in ungewöhnlich hohem Maße erreichbar, wie der letzte Abschnitt erläutert.

Die Notizen des Prüfers

Jede der oben genannten Anforderungen hängt von einer Gewohnheit ab: zeitnahen Notizen, die während der Arbeit verfasst und nicht später rekonstruiert werden. Gute Notizen ermöglichen es einem zweiten Prüfer, den Fall zu übernehmen und dieselben Ergebnisse zu erzielen. Sie ermöglichen Ihnen außerdem, Monate später eine Frage zu beantworten, mit der Sie nicht gerechnet haben.

Ein Notizeintrag sollte Folgendes festhalten:

• Datum und Uhrzeit in UTC sowie die Person, die den Eintrag verfasst hat;
• was mit welchem Asservat oder welcher Datenquelle und mit welchem Werkzeug in welcher Version getan wurde;
• die Eingaben (Ausgangsadressen, txids, Blockbereich) und den Speicherort der Ausgaben einschließlich ihrer Hashes;
• Entscheidungen und ihre Gründe, einschließlich der Pfade, die Sie bewusst nicht weiterverfolgt haben;
• negative Ergebnisse („keine weiteren Outputs von dieser Adresse nach Block 966.410“) und Auffälligkeiten;
• jede Abweichung vom Verfahren der Dienststelle und deren Grund.

2026-10-14T09:42Z  A. Examiner  Fall CF-2026-041
Quelle: eigener Bitcoin-Knoten, Client v30.x, vollständig bis Höhe 971,031 synchronisiert
Aktion: tx 4f3a…c21e abgerufen (Block 966,204, Hash 0000…3b9e), 6 Outputs
Ausgabe gespeichert: raw/4f3a_c21e.json  SHA-256 im Beweismittelprotokoll dokumentiert
Entscheidung: Output 2 als Wechselgeld behandelt (gleicher Skripttyp wie Inputs, nicht rund);
              Output 4 (0.30 BTC) ist die relevante Zahlung. Outputs 1, 3, 5, 6 zur
              späteren Prüfung zurückgestellt: Beträge und Zeitpunkt passen nicht zur Zahlung des Opfers (Notiz 17)

Der Eintrag dokumentiert die Quelle, den genauen Block, die Ausgabedatei und den Grund, warum einige Outputs zurückgestellt wurden. Die Entscheidung ist als Einschätzung gekennzeichnet, nicht als Tatsache, sodass eine überprüfende Person erkennt, dass sie geprüft werden muss. Notizen sind Teil der Fallakte und unterliegen in der Regel der Offenlegung. Schreiben Sie sie daher so, als würde die Verteidigung sie lesen (siehe die Lektion Offenlegung und Prüfung durch die Verteidigung).

Was Blockchain-Beweismittel unterscheidet

Die meisten digitalen Beweismittel befinden sich auf einem einzelnen Gerät, das sichergestellt und von dem ein Abbild erstellt werden muss, bevor jemand sie untersuchen kann. Öffentliche Blockchain-Daten unterscheiden sich in dreierlei Hinsicht.

Sie sind öffentlich. Zum Lesen des Transaktionsregisters ist keine richterliche Anordnung erforderlich, und keine einzelne Kopie ist „das Original“. Jeder vollständige Knoten hält denselben Verlauf vor. Das macht nicht jede Tatsache öffentlich: Die Person hinter einer Adresse, das interne Kontenbuch einer Börse und das Gerät, das eine Transaktion signiert hat, befinden sich sämtlich außerhalb der Blockchain und müssen weiterhin durch Sicherstellung oder rechtliche Verfahren erlangt werden.

Sie lassen sich replizieren. Eine Transaktions-ID ist selbst ein Hash der Transaktionsdaten, und jeder Block-Header bindet seine Transaktionen sowie den vorherigen Block kryptografisch ein. Jeder, der über einen Knoten verfügt, kann dieselbe Transaktion abrufen und prüfen, ob sie mit ihrer ID und ihrem Block übereinstimmt. Zwei Prüfer auf verschiedenen Kontinenten können mit unterschiedlicher Software dieselben Rohdaten bestätigen. Dadurch wird Reproduzierbarkeit, die bei den meisten Gerätebeweismitteln am schwersten zu erfüllende der vier Anforderungen, für rohe Blockchain-Daten nahezu automatisch erreicht, sofern der Prüfer Block-Hashes dokumentiert und die Finalität abwartet (siehe die Lektion Erhaltung von On-Chain-Beweismitteln).

Sie werden interpretiert. Rohdaten zeigen, dass Werte zwischen Adressen übertragen wurden. Sie sagen nicht aus, wer diese kontrolliert, welcher Output Wechselgeld ist oder ob eine Einzahlung einem Verdächtigen zuzuordnen ist. Solche Aussagen beruhen auf Heuristiken, Kennzeichnungen und Schlussfolgerungen, und genau dort entstehen Fehler. ISO/IEC 27042 befasst sich mit genau dieser Ebene.

Ein fundierter Bericht hält diese Ebenen sichtbar auseinander. Die Lektion Datenqualität, Normalisierung und Provenienz behandelt die Dokumentation der Rohdatenebene. Die Lektion Nachverfolgung nach beweisrechtlichen Anforderungen behandelt die Bewertung der darauf aufbauenden Verknüpfungen.

Prüfungsschwerpunkt: der Geltungsbereich von ISO/IEC 27037, 27041, 27042, 27043 und 17025 gemäß ihren Kurzbeschreibungen; die vier Prozesse nach 27037 (Identifizierung, Sicherstellung, Erfassung, Erhaltung) und der Unterschied zwischen Sicherstellung und Erfassung; die Rollen DEFR und DES; Relevanz, Zuverlässigkeit und Hinlänglichkeit, einschließlich Hinlänglichkeit als Überprüfung einer Hypothese, nicht als Datenmenge; Auditierbarkeit, Wiederholbarkeit, Reproduzierbarkeit und Begründbarkeit sowie Wiederholbarkeit im Vergleich zu Reproduzierbarkeit; was zeitnahe Notizen dokumentieren müssen, einschließlich Entscheidungen und negativer Ergebnisse; warum Blockchain-Daten öffentlich und replizierbar sind, ihre Bedeutung jedoch interpretiert wird; die Trennung der Ebenen Rohdaten, dekodierte Daten, heuristische Verknüpfungen, Kennzeichnungen und Schlussfolgerungen.