Hashing, Protokollierung, Beweismittelkette und Qualitätsmanagement

Die Beweismittelkette ist die dokumentierte, lückenlose Aufzeichnung darüber, wer ein Asservat wann, wo und warum in seiner Obhut hatte – von der Sicherstellung bis zum Gericht. In Kryptofällen umfasst sie gleichzeitig zwei Arten von Asservaten: Daten, deren Integrität ein Hash nachweisen kann, und Geheimnisse wie Seed-Phrasen und private Schlüssel, die Beweismittel sind und zugleich die Kontrolle über Geld ermöglichen. Eine Lücke in einer der beiden Aufzeichnungen provoziert die Frage, die jeder Prüfer fürchtet: „Woher wissen Sie, dass dies dasselbe ist, was Sie sichergestellt haben?“ Hinter jedem Asservat steht eine zweite Frage: Hängen die Ergebnisse der Untersuchungseinheit vom Zufall oder von einer einzigen Person ab? Das Qualitätsmanagement beantwortet sie mit validierten Methoden, geprüftem Personal, Überprüfungen, Fehlerkorrekturen und schriftlichen Aufzeichnungen, deren Vorlage Gerichte und Sachverständige der Verteidigung zunehmend verlangen. Lektion 8.1 stellt die ISO/IEC-Normenfamilie vor und Lektion 3.6 die Prüfung einzelner Werkzeuge; diese Lektion behandelt die Aufzeichnungen, die beides belastbar machen.

Kryptografische Hashes für Beweismittel

Eine kryptografische Hashfunktion wandelt jede Eingabe in einen Hashwert fester Länge um. Dieselbe Eingabe ergibt immer denselben Hashwert, und die Änderung eines einzigen Bits verändert den Hashwert bis zur Unkenntlichkeit. Für Beweismittel sind vor allem die Resistenz gegen zweite Urbilder (bei einer gegebenen Datei kann niemand eine andere Datei mit demselben Hashwert erzeugen) und die Kollisionsresistenz (niemand kann zwei beliebige unterschiedliche Dateien mit demselben Hashwert erzeugen) wichtig.

SHA-256, definiert im Secure Hash Standard (FIPS 180-4), ist die übliche Wahl. Praktische Kollisionen wurden für MD5 im Jahr 2004 und für SHA-1 im Jahr 2017 nachgewiesen. Im Dezember 2022 kündigte NIST an, SHA-1 bis zum 31. Dezember 2030 vollständig auslaufen zu lassen. Ein Kollisionsangriff ermöglicht es, im Voraus zwei unterschiedliche Dateien mit demselben Hashwert vorzubereiten; er ermöglicht es nicht, eine Übereinstimmung mit einem Asservat zu fälschen, dessen Hash bei der Sicherstellung ordnungsgemäß berechnet wurde. Verwenden Sie für neue Arbeiten dennoch SHA-256 oder stärker und betrachten Sie SHA-256 als maßgeblichen Wert, wenn Werkzeuge aus Kompatibilitätsgründen zusätzlich MD5 oder SHA-1 aufzeichnen.

Eingabe (UTF-8, ohne abschließenden Zeilenumbruch): abc
SHA-256: ba7816bf8f01cfea414140de5dae2223b00361a396177a9cb410ff61f20015ad

Eingabe: Exhibit CF-2026-041-03: hardware wallet, seal 0048212
SHA-256: 65c7617d568df1b7356261ba71c236e0ab488bf248e9647e335420c0fd82c7cc

Eingabe: Exhibit CF-2026-041-03: hardware wallet, seal 0048217
SHA-256: 6f6f9af5cad09aa305273d9f214476f35336d839a08fbab33dce7edac5a3f051

Eingabe: die obige Zeile mit der Endung 0048212, gefolgt von einem Zeilenvorschub
SHA-256: 888e31c4c49eadae5afe51cec975ea78356ea105c5c9a239c0dd83d94c6ca62d

Der erste Hashwert ist der Standardtestwert für „abc“ und eignet sich zur Überprüfung jedes Werkzeugs; eine geänderte Ziffer oder ein unsichtbarer Zeilenvorschub ergibt einen nicht wiederzuerkennenden Hashwert. Berechnen Sie den Hash einer Datei genau so, wie Sie sie erhalten haben, niemals den einer Kopie, die mit einer Tabellenkalkulation oder einem Texteditor geöffnet und gespeichert wurde, denn erneutes Speichern kann Zeilenenden, Zeichenkodierung oder Datumsformate verändern.

Ein übereinstimmender Hash beweist, dass eine Kopie Bit für Bit mit dem übereinstimmt, dessen Hash zuvor berechnet wurde. Er beweist nicht, dass der Inhalt authentisch, vollständig oder richtig interpretiert ist: Ein Anbieterexport mit einem einwandfreien Hash kann dennoch Fehler des Anbieters enthalten. Deshalb behandelt Lektion 7.5 die Authentifizierung als separaten Schritt.

Berechnen Sie Hashes überall dort, wo die Integrität später infrage gestellt werden könnte: bei der Erfassung (von Quelle und Kopie, mit Bestätigung ihrer Übereinstimmung; bei einem rohen Bitstream-Abbild sind beide Werte identisch, und Containerformate speichern den Quellhash im Container); beim Eingang von Dateien von Anbietern, Kollegen oder Behörden, wobei der Übermittlungsweg aufgezeichnet wird; vor und nach der Analyse, indem die Arbeitskopie mit dem Master abgeglichen wird; beim Export und bei der Offenlegung (Lektionen 8.2 und 8.4); und regelmäßig während der Aufbewahrung, als Integritätsprüfungen gegen unbemerkte Datenbeschädigungen.

Das Beweismittelprotokoll und Übergaben

Jedes Asservat erhält einen Datensatz im Beweismittelprotokoll, der mit jeder Weitergabe und Untersuchung des Asservats wächst. Ein strukturierter Datensatz ist maschinell überprüfbar:

{
  "exhibit_id": "CF-2026-041-01",
  "description": "Laptop, silver, serial ending 7Q2M",
  "authority_ref": "AUTH-2026-118",
  "seized": {"by": "Officer B", "utc": "2026-10-09T06:40:00Z", "seal": "0048211"},
  "acquisition": {
    "by": "Examiner E", "utc": "2026-10-11T08:12:00Z",
    "method": "SOP-IMG-02 v3, hardware write blocker WB-04",
    "tool": "imaging tool v4.2, validation record VAL-07",
    "image_file": "CF-2026-041-01.dd",
    "source_sha256": "1d89…ab85", "image_sha256": "1d89…ab85", "match": true
  },
  "custody": [
    {"utc": "2026-10-09T09:15:00Z", "from": "Officer B", "to": "Custodian D",
     "reason": "booked in", "seal_intact": true, "location": "Store 1, shelf 4"}
  ]
}

Der Werkzeugeintrag verweist auf einen Validierungsnachweis: Hier trifft die Beweismittelkette auf das Qualitätsmanagement. Bewahren Sie das Master-Abbild auf einem einmal beschreibbaren Speichermedium auf und analysieren Sie ausschließlich Arbeitskopien.

Ein Übergabeeintrag beantwortet sechs Fragen: Wer hat übergeben und wer hat empfangen, wann (UTC), wo, warum und in welchem Zustand, einschließlich der Angabe, ob das Siegel unversehrt war, und seiner Nummer. ISO/IEC 27037 enthält einen informativen Anhang zur Mindestdokumentation bei Übergaben. Beide Parteien unterschreiben. Digitale Asservate lassen sich kopieren; halten Sie deshalb fest, welche Kopie weitergegeben wurde: Master, Arbeitskopie oder Export. Verwenden Sie für elektronische Übertragungen einen verschlüsselten Kanal, senden Sie den Hash separat und lassen Sie den Empfänger beim Eingang den Hash berechnen. Eine Kopie, die mit einem anderen Hash ankommt, ist nicht „fast gleich“; sie ist eine andere Datei, bis die Abweichung erklärt ist.

Physische Asservate kommen in eine zugangskontrollierte Asservatenkammer mit einem Einlieferungsregister und manipulationsanzeigenden Beuteln, deren Siegelnummern im Protokoll stehen. Die digitale Aufbewahrung benötigt das entsprechende Gegenstück: einen dedizierten Speicher mit rollenbasiertem Zugriff, einmal beschreibbare Master und protokollierte Lesezugriffe, Verschlüsselung mit Schlüsseln, die von der Untersuchungseinheit und nicht von einer Einzelperson verwahrt werden, hashgeprüfte Sicherungskopien an einem zweiten Standort sowie eine dokumentierte Vernichtung.

Seed-Phrasen und Schlüssel als Beweismittel

Eine Seed-Karte, eine Datei mit einem privaten Schlüssel oder eine Hardware-Wallet ist sowohl ein Asservat als auch ein Inhaberinstrument: Wer es auslesen kann, kann die Gelder bewegen.

• Sichern Sie zuerst die Gelder, auf Grundlage Ihrer Befugnisse, indem Sie sie auf eine behördlich kontrollierte Wallet übertragen (Lektion 10.2).
• Kopieren Sie die Wörter oder Schlüssel niemals in Notizen, Protokolle, Berichte oder Fotos. Fotografieren Sie den versiegelten Beutel, nicht die Karte. Erfassen Sie eine nicht geheime Kennung, etwa die erste Empfangsadresse unter einem angegebenen Ableitungspfad oder den Fingerabdruck des Master-Schlüssels (Lektion 7.4).
• Vier-Augen-Prinzip: Bei jedem Öffnen eines Siegels müssen zwei namentlich benannte Personen anwesend sein; beide werden dokumentiert, und ein neues Siegel wird angebracht.
• Bewahren Sie es wie Bargeld auf, in einem Tresor mit eigenem Zugriffsprotokoll. Nach der Übertragung behält das Geheimnis seinen Beweiswert (es zeigt, wer die Wallet kontrollieren konnte), wird aber als kompromittiert behandelt.

Ein ausgearbeitetes Beispiel für das Übergabeprotokoll der Seed-Karte CF-2026-041-04:

Die Einträge 1 bis 3 sind vollständig. Eintrag 4 verletzt das Vier-Augen-Prinzip (nur eine Unterschrift bei einem geöffneten Siegel), und für mehr als zwei Tage danach ist der Aufenthaltsort der Karte nicht dokumentiert. Die Lösung besteht nicht darin, das Protokoll umzuschreiben. Der Prüfer fügt einen datierten Ergänzungseintrag hinzu, der alle weiteren um 14:05 anwesenden Personen nennt (mit deren jeweiliger Erklärung), angibt, wo die Karte bis zum 12. Oktober aufbewahrt wurde, und das Zugriffsprotokoll des Tresors enthält. Der Bericht benennt die Lücke und ihre Erklärung, und anhand der txid kann jeder auf der Blockchain bestätigen, wann die Gelder übertragen wurden. Eine offengelegte und erklärte Lücke lässt sich in der Regel bewältigen; eine Lücke, die zuerst von der Verteidigung entdeckt wird, ist weitaus schädlicher.

Der Qualitätsrahmen

ISO/IEC 17025:2017 legt „die allgemeinen Anforderungen an die Kompetenz, Unparteilichkeit und einheitliche Arbeitsweise von Laboratorien“ fest; digitale forensische Untersuchungseinheiten werden häufig nach dieser Norm akkreditiert. Der internationale Akkreditierungsleitfaden Module in einem forensisch-wissenschaftlichen Prozess erläutert ihre Anwendung auf forensische Arbeit einschließlich digitaler Beweismittel (und die Anwendung von ISO/IEC 17020 auf inspektionsartige Tätigkeiten wie die Untersuchung am Ereignisort).

ISO/IEC 27041:2015 gibt Hinweise zum Nachweis, dass Methoden „für den vorgesehenen Zweck geeignet“ sind; ISO/IEC 27042:2015 behandelt Analyse und Interpretation, einschließlich ausreichender Aufzeichnungen für eine „unabhängige Überprüfung“ und des Nachweises der Teamkompetenz. Die forensisch-wissenschaftliche Normenreihe ISO 21043 wurde 2025 um Teile zu Analyse, Interpretation und Berichterstattung erweitert.

Validierte Methoden

ISO/IEC 17025 unterscheidet zwischen Verifizierung (die Untersuchungseinheit kann eine etablierte Methode korrekt durchführen) und Validierung (eine von der Untersuchungseinheit entwickelte, angepasste oder außerhalb ihres Anwendungsbereichs eingesetzte Methode ist für den vorgesehenen Zweck geeignet). Ein Großteil der Kryptoforensik benötigt eine Validierung, weil sich Werkzeuge und Heuristiken schneller ändern als jede Standardmethode. Definieren Sie jede Methode auf der Ebene, auf die sich ein Bericht stützt, etwa „Extraktion von ERC-20-Transfers für eine Adresse aus einem Knoten“. Der Validierungsnachweis enthält Anforderungen, Testdaten mit gesicherter Referenzwahrheit (eigene Testtransaktionen der Untersuchungseinheit, einen öffentlichen Datensatz, eine zweite Methode), vor dem Test festgelegte Akzeptanzkriterien, Ergebnisse und Einschränkungen sowie Auslöser für eine erneute Validierung: eine neue Werkzeugversion, eine Protokollaktualisierung, einen neuen Token-Typ.

Ein gängiger Test vergleicht die Ausgabe eines Werkzeugs mit einer direkt aus einem Knoten extrahierten Referenz. Beide Tabellen folgen dem Aufbau von token_transfers aus Lektion 2.7:

-- Transfers, die das Werkzeug übersehen (Werkzeugseite null) oder erfunden hat (Referenzseite null)
SELECT COALESCE(r.transaction_hash, t.transaction_hash) AS transaction_hash,
       COALESCE(r.log_index, t.log_index)               AS log_index,
       CASE WHEN t.transaction_hash IS NULL THEN 'missing in tool'
            WHEN r.transaction_hash IS NULL THEN 'extra in tool'
            ELSE 'amount differs' END                   AS finding
FROM reference_transfers r
FULL OUTER JOIN tool_transfers t
  ON t.transaction_hash = r.transaction_hash AND t.log_index = r.log_index
WHERE t.transaction_hash IS NULL OR r.transaction_hash IS NULL
   OR t.amount_raw <> r.amount_raw;

Der vollständige äußere Verbund behält Zeilen bei, die nur auf einer der beiden Seiten vorkommen. Die Abfrage listet daher jeden Transfer auf, den das Werkzeug übersehen hat, jeden vom Werkzeug gemeldeten Transfer, der im Knoten nicht enthalten ist, und jede Betragsabweichung. Angenommen, die Referenz enthält 1.284 Transfers, und drei Zeilen werden zurückgegeben, die alle von einem Token mit Transfergebühr stammen, bei dem das Werkzeug den gesendeten statt des empfangenen Betrags meldet. Der Nachweis hält diese Einschränkung fest, und die Prüfer überprüfen diesen Token-Typ manuell.

Überprüfung, Kompetenz und Fehlermanagement

Bevor ein Bericht die Untersuchungseinheit verlässt, prüft ein zweiter qualifizierter Prüfer im Rahmen der fachlichen Überprüfung, ob die Daten jeden Befund stützen, die Methode geeignet war und korrekt angewandt wurde, Alternativen berücksichtigt wurden und die sprachlichen Angaben zum Grad der Sicherheit nicht über die Beweislage hinausgehen. Die administrative Überprüfung kontrolliert txids, Asservatennummern, Einheiten und Datumsangaben. Bei Befunden, von denen ein Fall abhängt, wiederholt ein zweiter Prüfer im Rahmen einer blinden Verifizierung den entscheidenden Schritt, ohne die erste Schlussfolgerung zu kennen. Meinungsverschiedenheiten werden geklärt und dokumentiert, niemals gelöscht.

Die Kompetenz wird für jede Person und jede Methode dokumentiert: Schulung, beaufsichtigte Fallarbeit, eine Kompetenzprüfung und formelle Autorisierung. Die Ergebnisse werden durch Eignungsprüfungen (ein Fall mit bekanntem Ergebnis von einem externen Anbieter; ISO/IEC 17043 regelt die Anforderungen an Anbieter) und Laborvergleiche überwacht. Externe Krypto-Prüfprogramme sind selten, daher erstellen Untersuchungseinheiten Fälle mit bekanntem Ergebnis anhand eigener Testtransaktionen, mit einer CoinJoin-Ablenkung und einem Übergang über eine Bridge, oder tauschen anonymisierte Fälle mit einer Partnereinheit aus. Dokumentieren Sie Fehlschläge und ergreifen Sie entsprechende Maßnahmen.

Die SWGDE-Veröffentlichung Vertrauen in forensische Ergebnisse zu digitalen und multimedialen Beweismitteln durch Fehlervermeidungsanalyse schaffen (Version 2.0, 2018) argumentiert, dass eine einzelne Fehlerquote häufig irreführend ist, weil Fehler digitaler Werkzeuge überwiegend systematisch und nicht zufällig sind. Ihre Fehlervermeidungsanalyse identifiziert wahrscheinliche Fehlerquellen je Aufgabe, wendet Kontrollmaßnahmen an, dokumentiert diese und nennt Quoten, soweit sie messbar sind. NISTIR 8354 (2022) ergänzt, dass sich die Bedeutung von Artefakten mit Softwareänderungen verändert, was unmittelbar auf Labels und Wallets zutrifft.

Ein entdeckter Fehler stellt nichtkonforme Arbeit dar (Abschnitt 7.10), auf die eine Korrekturmaßnahme folgt (Abschnitt 8.7): betroffene Arbeiten stoppen, Auswirkungen auf frühere Fälle bewerten (wenn sich ein Cluster-Label als falsch erweist, jeden Bericht ermitteln, der sich darauf stützte), diejenigen benachrichtigen, die davon wissen müssen, gegebenenfalls einschließlich der Staatsanwaltschaft in abgeschlossenen Fällen, die Grundursache beheben und die Wirksamkeit der Behebung bestätigen.

Dokumente werden gelenkt: versionierte Verfahrensanweisungen, Vorlagen, Validierungs- und Kompetenznachweise sowie ein Werkzeugregister. Abgelöste Versionen werden archiviert, denn ein alter Bericht muss im Kontext der damals gültigen Verfahrensanweisung gelesen werden. Der Maßstab für das gesamte System ergibt sich aus ISO/IEC 27042: Könnte ein anderer kompetenter Prüfer allein anhand der Fallakte dieselben Ergebnisse erzielen und jede Beurteilung nachvollziehen?

Prüfungsschwerpunkt: Was die Beweismittelkette nachweisen muss; Resistenz gegen zweite Urbilder und Kollisionsresistenz, SHA-256 nach FIPS 180-4, MD5- und SHA-1-Kollisionen sowie das Auslaufen von SHA-1 bis 2030; warum ein geändertes Byte oder Zeilenende den Hashwert verändert und warum Hashes von Dateien im empfangenen Zustand berechnet werden müssen; was ein übereinstimmender Hash nicht beweist; wann Hashes zu berechnen sind; Felder des Beweismittelprotokolls und die sechs Fragen einer Übergabe; Seed-Phrasen als Inhaberinstrumente (zuerst Gelder sichern, das Geheimnis niemals dokumentieren, Vier-Augen-Prinzip, nicht geheime Kennungen); Behebung einer Lücke in der Beweismittelkette durch einen Ergänzungseintrag statt durch Umschreiben; Anwendungsbereich und zentrale Abschnitte der ISO/IEC 17025, 27041 und 27042; Verifizierung gegenüber Validierung und der Inhalt eines Validierungsnachweises; fachliche, administrative und blinde Überprüfung; Eignungsprüfungen; SWGDE-Fehlervermeidung und systematische Fehler; Arbeitsstopp, Bewertung früherer Fälle und Benachrichtigung nach einem Fehler.