Qualitätsmanagement in der forensischen Einheit

Eine sorgfältig arbeitende untersuchende Person kann einen fundierten Bericht erstellen. Eine forensische Einheit muss jede Woche fundierte Berichte erstellen, durch unterschiedliche Personen und mit Werkzeugen, die jeden Monat aktualisiert werden. Qualitätsmanagement zeigt, dass die Ergebnisse einer Einheit nicht vom Zufall oder von einer einzelnen Person abhängen: Methoden werden validiert, Mitarbeitende sind kompetent und werden geprüft, die Arbeit wird überprüft, Fehler werden erkannt und behoben, und all das wird dokumentiert. Gerichte und Sachverständige der Verteidigung verlangen zunehmend entsprechende Nachweise und nicht nur den Bericht.

Die Standards in allgemeinen Begriffen

ISO/IEC 17025:2017 legt laut dem Wortlaut ihrer Zusammenfassung „die allgemeinen Anforderungen an die Kompetenz, Unparteilichkeit und konsistente Arbeitsweise von Laboratorien“ fest. Sie gilt für jede Organisation, die Labortätigkeiten durchführt, unabhängig von ihrer Größe, und Akkreditierungsstellen wenden sie an, um Kompetenz anzuerkennen. Digitale forensische Einheiten werden üblicherweise nach ihr akkreditiert. Die internationale Akkreditierungsgemeinschaft veröffentlicht außerdem Leitlinien mit dem Titel Module in a Forensic Science Process, die erläutern, wie Akkreditierungsstellen ISO/IEC 17025 auf forensische Arbeit einschließlich digitaler Beweismittel anwenden (und ISO/IEC 17020 auf Tätigkeiten der Inspektion, etwa die Tatortaufnahme).

Zwei Standards zur Informationssicherheit ergänzen die Einzelheiten zu digitalen Beweismitteln. ISO/IEC 27041:2015 enthält Leitlinien dazu, wie sich nachweisen lässt, dass Untersuchungsmethoden „zweckgeeignet“ sind: Anforderungen erfassen, Methoden anhand dieser Anforderungen validieren, den erforderlichen Validierungsumfang festlegen sowie Tests von Anbietern und Dritten nutzen. ISO/IEC 27042:2015 behandelt Analyse und Interpretation, einschließlich der Auswahl und Begründung von Methoden, der Dokumentation ausreichender Informationen für eine „unabhängige Überprüfung“ und des Nachweises von Kompetenz und Sachkunde des Teams. Die neuere Normenreihe ISO 21043 zur Forensik wurde 2025 um Teile zu Analyse, Interpretation und Berichterstattung erweitert.

Die Tabelle ordnet die für eine Krypto-forensische Einheit wichtigsten Klauseln der ISO/IEC 17025 zu.

Validierte Methoden

ISO/IEC 17025 unterscheidet zwischen Verifizierung, mit der nachgewiesen wird, dass die Einheit eine etablierte Methode korrekt anwenden kann, und Validierung, mit der nachgewiesen wird, dass eine von der Einheit entwickelte oder angepasste oder außerhalb ihres vorgesehenen Geltungsbereichs verwendete Methode für ihren vorgesehenen Zweck geeignet ist. Ein großer Teil der Krypto-Forensik fällt in die zweite Kategorie, weil sich Werkzeuge und Heuristiken schneller ändern, als eine standardisierte Methode entwickelt werden kann.

Definieren Sie die „Methode“ auf der Ebene, auf die sich ein Bericht stützt: „ERC-20-Transfers für eine Adresse aus einem Node extrahieren“, „Common-Input-Clustering auf Bitcoin anwenden“, „eine Hop-Sequenz aus Rohtransaktionen rekonstruieren“. Für jede Methode enthält ein Validierungsprotokoll nach dem Ansatz der ISO/IEC 27041:

1. die Anforderungen: Was muss die Methode leisten, auf welchen Chains und Datentypen und mit welcher Genauigkeit?
2. die Testdaten: eine unabhängig bekannte Referenz, etwa eigene Testtransaktionen, ein öffentlicher Datensatz oder Ergebnisse einer zweiten Methode;
3. die vor dem Test festgelegten Akzeptanzkriterien;
4. die Ergebnisse, bekannte Einschränkungen und die Bedingungen, unter denen die Methode nicht verwendet werden darf;
5. die Auslöser für eine erneute Validierung: eine neue Werkzeugversion, ein Protokoll-Upgrade, ein neuer Token-Typ.

Ein üblicher Validierungstest vergleicht die Ausgabe eines Werkzeugs mit einer direkt aus einem Node extrahierten Referenz:

-- Transfers, die das Werkzeug übersehen hat (tool-Seite null) oder erfunden hat (reference-Seite null)
SELECT COALESCE(r.tx_hash, t.tx_hash)     AS tx_hash,
       COALESCE(r.log_index, t.log_index) AS log_index,
       CASE WHEN t.tx_hash IS NULL THEN 'missing in tool'
            WHEN r.tx_hash IS NULL THEN 'extra in tool'
            ELSE 'amount differs' END     AS finding
FROM reference_transfers r
FULL OUTER JOIN tool_transfers t
  ON t.tx_hash = r.tx_hash AND t.log_index = r.log_index
WHERE t.tx_hash IS NULL OR r.tx_hash IS NULL
   OR t.raw_amount <> r.raw_amount;

Der Full Outer Join behält Zeilen, die nur auf einer der beiden Seiten vorkommen. Die Abfrage listet daher jeden Transfer auf, den das Werkzeug übersehen hat, jeden Transfer, den es gemeldet hat, der aber nicht im Node enthalten ist, und jede Abweichung beim Betrag. Angenommen, die Referenz enthält 1.284 Transfers und die Abfrage liefert drei Zeilen, alle von einem Token mit Transfergebühr, bei dem das Werkzeug den gesendeten statt des empfangenen Betrags meldet. Das Validierungsprotokoll hält diese Einschränkung fest, und die Untersuchenden müssen diesen Token-Typ manuell prüfen. Datenbank-Engines ohne FULL OUTER JOIN können stattdessen zwei Left Joins vereinigen.

Überprüfung

Bevor ein Bericht die Einheit verlässt, sind üblicherweise zwei Arten der Überprüfung vorgesehen.

• Technische Überprüfung: Eine zweite qualifizierte untersuchende Person prüft, ob die Daten jeden Befund stützen, die Methode geeignet und korrekt angewandt wurde, alternative Erklärungen berücksichtigt wurden und Schlussfolgerungen sowie Formulierungen zur Sicherheit nicht über die Beweislage hinausgehen.
• Administrative Überprüfung: Referenzen, txids, Beweisstücknummern, Einheiten, Daten und Formatierung sind konsistent.

Bei Befunden, von denen ein Fall abhängt, etwa der Verbindung zwischen einem Diebstahl und einer Einzahlung bei einer Börse, setzen manche Einheiten auf blinde Verifizierung: Eine zweite untersuchende Person wiederholt den entscheidenden Schritt, ohne die Schlussfolgerung der ersten Person zu kennen. Dokumentieren Sie die überprüfende Person, den Umfang der Überprüfung und deren Ergebnis. Meinungsverschiedenheiten werden beigelegt und in der Fallakte dokumentiert, niemals gelöscht, denn die dokumentierte Beilegung einer Meinungsverschiedenheit zeigt, dass das System funktioniert.

Kompetenz und Eignungsprüfungen

Die Kompetenz wird für jede Person und jede Methode dokumentiert: Schulung, beaufsichtigte Fallbearbeitung, eine Kompetenzprüfung und eine formelle Autorisierung vor der selbstständigen Arbeit. ISO/IEC 17025 verlangt außerdem, dass die Einheit ihre Ergebnisse überwacht, üblicherweise durch Eignungsprüfungen (ein externer Anbieter sendet einen Testfall mit bekannter Lösung) und Ringversuche (mehrere Einheiten untersuchen dasselbe Material). ISO/IEC 17043 legt Anforderungen an Anbieter von Eignungsprüfungen fest.

Externe Programme für Krypto-Tracking sind nach wie vor rar, daher entwickeln Einheiten eigene. Eine Einheit kann einen Testfall mit bekannter Lösung aus eigenen Testtransaktionen erstellen, mit einem CoinJoin-Köder und einem Bridge-Hop, und ihn den Untersuchenden verblindet vorlegen. Sie kann außerdem anonymisierte Fälle mit einer Partnereinheit austauschen und die ermittelten Hop-Sequenzen und Konfidenzstufen vergleichen. Dokumentieren Sie die Ergebnisse, einschließlich Fehlschlägen, und ergreifen Sie Maßnahmen.

Fehlermanagement

Die Scientific Working Group on Digital Evidence (SWGDE) vertritt in Establishing Confidence in Digital and Multimedia Evidence Forensic Results by Error Mitigation Analysis (Version 2.0, 2018) die Auffassung, dass eine einzelne Fehlerrate bei digitalen Beweismitteln häufig irreführend ist. Fehler von Werkzeugen sind überwiegend systematisch und werden durch Softwarelogik verursacht, die unter bestimmten Bedingungen versagt, und nicht durch Zufall. Die Antwort darauf ist die Fehlerminderungsanalyse: mögliche Fehlerquellen bei jeder Aufgabe identifizieren, Kontrollen anwenden und dokumentieren (Werkzeugtests, Verfahren, Schulungen, Peer Review, eine zweite Methode) und Fehlerraten angeben, sofern sie messbar sind. Die wissenschaftliche Grundlagenprüfung des NIST zu digitalen Untersuchungstechniken (NISTIR 8354, 2022) stellte fest, dass die Techniken auf etablierten Methoden der Informatik beruhen. Sie warnte außerdem davor, dass sich die Bedeutung von Artefakten mit Änderungen an Software wandeln kann, was unmittelbar für Labels und Wallet-Software gilt.

Bei Krypto-Arbeiten lassen sich Fehler üblicherweise in drei Gruppen einteilen:

Wenn ein Fehler entdeckt wird, behandelt ISO/IEC 17025 ihn als nichtkonforme Arbeit (Klausel 7.10), auf die Korrekturmaßnahmen folgen (Klausel 8.7). Halten Sie die betroffenen Arbeiten an. Bewerten Sie die Auswirkungen, auch auf frühere Fälle: Wenn sich ein Cluster-Label eines Werkzeugs als falsch erweist, durchsuchen Sie die Falldatenbank nach jedem Bericht, der sich auf dieses Label gestützt hat. Benachrichtigen Sie alle, die davon erfahren müssen; dazu können auch Staatsanwälte in abgeschlossenen Fällen gehören. Ermitteln Sie die Grundursache, beheben Sie sie und prüfen Sie später, ob die Korrektur wirksam war.

Dokumentationsstandards

Die Dokumente einer Einheit unterliegen einer kontrollierten Verwaltung: Standardarbeitsanweisungen mit Versionsnummern und Genehmigungsdaten, Vorlagen für Notizen und Berichte, Validierungsprotokolle, Kompetenznachweise sowie ein Verzeichnis der eingesetzten Werkzeuge und Versionen. Ersetzte Versionen werden archiviert, nicht gelöscht, denn ein Bericht von vor zwei Jahren muss anhand des damals geltenden Verfahrens gelesen werden. Ein aussagekräftiger Test des gesamten Systems ergibt sich aus der Anforderung, die ISO/IEC 27042 nahelegt: Könnte eine andere kompetente untersuchende Person allein anhand der Fallakte dieselben Ergebnisse erzielen und jede dabei getroffene Beurteilung nachvollziehen?

Prüfungsschwerpunkt: Geltungsbereich von ISO/IEC 17025:2017 (Kompetenz, Unparteilichkeit, konsistente Arbeitsweise) und Rolle der Akkreditierungsleitlinien bei ihrer Anwendung auf digitale Beweismittel; ISO/IEC 27041 (zweckgeeignete Methoden, Validierung) und ISO/IEC 27042 (Analyse, Interpretation, unabhängige Überprüfung); die Anforderungen der ISO/IEC 17025, die Entscheidungen in einer Krypto-Einheit bestimmen: etablierte Methoden verifizieren, aber von der Einheit entwickelte oder geänderte Methoden validieren, Meinungen und Interpretationen in Berichten kennzeichnen und Fehler als nichtkonforme Arbeit behandeln; Inhalt eines Validierungsprotokolls, darin festgehaltene Einschränkungen und Auslöser für eine erneute Validierung, geprüft anhand einer aus einem Node gewonnenen Referenz; technische, administrative und blinde Überprüfung; Kompetenzautorisierung, Eignungsprüfungen und Ringversuche; Fehlerminderungsanalyse der SWGDE und systematische Werkzeugfehler; nach einem Fehler Arbeiten anhalten, frühere Fälle bewerten und Betroffene benachrichtigen.