Beweisintegrität und Beweismittelkette · Lektion 5 von 5
Offenlegung und kritische Prüfung durch die Verteidigung
8 Min. Lesezeit
Jeder von Ihnen berichtete Befund wird von jemandem geprüft, dessen Aufgabe es ist, Schwachstellen darin zu finden. In Strafsachen ist das in der Regel ein Verteidiger, häufig beraten durch einen eigenen Sachverständigen; in Zivil- und Insolvenzverfahren ist es die Gegenseite. Die Offenlegung ist das Verfahren, durch das diese Personen das Material erhalten, um dies zu tun, und die kritische Prüfung ist die Art und Weise, wie sie damit umgehen. Ein Sachverständiger, der alles dokumentiert, auch unbequeme Ergebnisse aufbewahrt und jedes Urteil erklären kann, muss keine der beiden Seiten fürchten.
Warum die Offenlegung den Sachverständigen betrifft
Das Recht auf ein faires Verfahren umfasst das Recht, eine Verteidigung vorzubereiten. Artikel 14(3)(b) des Internationalen Pakts über bürgerliche und politische Rechte garantiert einer wegen einer Straftat angeklagten Person „ausreichend Zeit und Gelegenheit zur Vorbereitung ihrer Verteidigung“. Der UN-Menschenrechtsausschuss erläutert in seiner Allgemeinen Bemerkung Nr. 32 (2007), dass ausreichende Gelegenheit den Zugang zu den Dokumenten und sonstigen Beweisen umfasst, die die Anklage verwenden will, sowie zu entlastendem Material. Dahinter steht der Grundsatz der Waffengleichheit: Die Verteidigung muss prüfen können, wie die Beweise gegen den Angeklagten zustande gekommen sind.
Die Rechtssysteme unterscheiden sich darin, was offengelegt werden muss, wann, von wem und unter welcher Aufsicht. In manchen Systemen müssen Staatsanwälte alles herausgeben, was ihre Anklage untergraben könnte; in anderen kontrollieren der Untersuchungsrichter oder das Gericht den Zugang zu den Akten. Diese Lektion behandelt kein einzelnes Rechtssystem. Sie erklärt, was der Sachverständige tun muss, damit Staatsanwälte und Gericht die jeweils geltenden Pflichten erfüllen können:
- alles dokumentieren, auch Material, auf das Sie sich nicht gestützt haben;
- niemals allein entscheiden, dass etwas irrelevant ist, und es verwerfen;
- Material kennzeichnen, das Ihre Schlussfolgerungen untergraben oder der Verteidigung helfen könnte;
- sensibles Material kennzeichnen, damit andere entscheiden können, wie damit umzugehen ist.
Was typischerweise offengelegt werden muss
Der Bericht ist nur der sichtbare Teil. Ein Sachverständiger der Verteidigung wird in der Regel nach dem zugrunde liegenden Material fragen und kann in den meisten Rechtssystemen darauf zugreifen.
| Kategorie | Beispiele in einem Kryptofall |
|---|---|
| Untersuchte Materialien | Beweismittelliste, Rohtransaktionen, Exporte von Dienstleistern, Geräteabbilder (oder Zugriff darauf) |
| Arbeitsunterlagen | Zeitnahe Notizen, Abfragen, Skripte, Zwischendatensätze |
| Methodenunterlagen | Zum damaligen Zeitpunkt geltende SOPs, Validierungsunterlagen, Toolnamen und -versionen, Einstellungen |
| Grundlage der Zuordnung | Jedes verwendete Label, seine Quelle, das Datum und die Konfidenz |
| Integritätsunterlagen | Beweismittellog, Verwahrungsunterlagen, Hashes, Manifest des Beweispakets |
| Qualitätsunterlagen | Kommentare aus der technischen Prüfung, beigelegte Meinungsverschiedenheiten, relevante Nichtkonformitäten |
| Nicht verwendetes Material | Alles, was erhoben oder erstellt, aber im Bericht nicht verwendet wurde |
Nicht verwendetes Material verdient besondere Aufmerksamkeit. Dazu gehören die zweite Nachverfolgungsmethode, die Sie angewandt haben und deren Ergebnis abwich (siehe die Lektion Nachverfolgungsmethoden und ihre Folgen), die alternative Hypothese, die Sie geprüft und verworfen haben, ein Label aus einer zweiten Quelle, das dem von Ihnen verwendeten widersprach, Ausgaben eines Tools, das Sie aufgegeben haben, sowie Hinweise, die auf eine andere Person als den Verdächtigen deuteten. Material, das den Fall untergräbt, muss in einem fairen Verfahren gerade deshalb berücksichtigt werden. Bewahren Sie es auf, listen Sie es auf und beschreiben Sie es neutral.
Sensibles Material
Manches Material in einem Kryptofall darf nicht einfach herausgegeben werden. Die Aufgabe des Sachverständigen besteht darin, es zu identifizieren und zu erläutern, warum es sensibel ist; die Entscheidung über Zurückhaltung, Schwärzung oder Offenlegung unter Auflagen liegt bei den Staatsanwälten und dem Gericht.
- Seed-Phrasen und private Schlüssel: niemals offenlegen. Geben Sie stattdessen nicht geheime Kennungen an (Empfangsadressen, Ableitungspfad, Fingerabdruck des Hauptschlüssels) sowie die Transfer-TXIDs, aus denen hervorgeht, was mit den Geldern geschehen ist.
- Ermittlungsmethoden: Einzelheiten zu nicht zuordenbaren Recherchekonten und zur Infrastruktur (siehe die Lektion Ethik, Datenschutz und Sicherheit von Ermittlern).
- Personenbezogene Daten Dritter: andere Kunden in den Unterlagen einer Börse, Identitätsdokumente von Opfern, nicht zugehörige Adressen in einem Clusterexport.
- Vertrauliche Quellen und laufende Ermittlungen: Informationen, durch die eine Quelle aufgedeckt oder andere Personen gewarnt würden.
- Vertrauliche Informationen Dritter: interne Methoden eines Anbieters oder unter Auflagen bereitgestellte Label-Daten.
Dokumentieren Sie jede Schwärzung samt Begründung und der Person, die sie genehmigt hat, damit das Gericht die Entscheidung später überprüfen kann.
Herkunftsnachweis für Tools und Labels
Die kritische Prüfung durch die Verteidigung richtet sich zunehmend gegen die Tools und nicht gegen den Sachverständigen. Bereiten Sie sich darauf vor, indem Sie für jeden Befund, der von einem Label oder einer Schlussfolgerung eines Tools abhängt, einen Herkunftsnachweis aufbewahren.
{
"finding": "R-07: 4.25 BTC reached a deposit address of Service S",
"raw_basis": ["F-031", "F-032", "F-040"],
"link_type": "deterministic hops, then one heuristic link (change at F-032)",
"label": {"entity": "Service S", "source": "provider response REQ-2026-77",
"corroboration": "analytics tool label, snapshot 2026-10-12",
"confidence": "high"},
"tool": "tracing tool v12.3, method FIFO, hop limit 6",
"reproduced_without_tool": true
}Der Datensatz zeigt, welche Rohdaten den Befund stützen, welche Verknüpfungen deterministisch und welche heuristisch sind, woher die Zuordnung stammt und wie sie bestätigt wurde sowie welches Tool und welche Einstellungen die Nachverfolgung hervorgebracht haben. Das letzte Feld ist am wichtigsten. Wenn das Clustering oder die Labels eines kommerziellen Tools proprietär sind, kann die Verteidigung argumentieren, dass sie diese nicht überprüfen kann. Am überzeugendsten lässt sich dem begegnen, indem gezeigt wird, dass sich der Befund anhand von Rohdaten der Blockchain und einer unabhängigen Zuordnungsquelle, etwa den eigenen Unterlagen des Dienstleisters, nachvollziehen lässt und dass das Tool lediglich als Hilfsmittel und nicht als Grundlage dient. Wenn ein Befund von einem Label abhängt, das sich nicht unabhängig überprüfen lässt, geben Sie dies im Bericht an und stufen Sie den Befund entsprechend ein (siehe die Lektion Tools, Reproduzierbarkeit und Validierung).
Einwände von Sachverständigen der Verteidigung
In verschiedenen Fällen und Ländern wiederholen sich dieselben Angriffslinien. Die Tabelle führt sie zusammen mit den jeweiligen Vorbereitungsmaßnahmen auf; die meisten zielen auf eine Ebene eines Befunds, von den Rohdaten bis zur Schlussfolgerung (siehe die Lektion Grundsätze digitaler Beweismittel).
| Einwand | Typische Frage | Vorbereitung |
|---|---|---|
| Fehlerraten heuristischer Verfahren | „Wie hoch ist die Fehlerrate der von Ihnen verwendeten Wechselgeldheuristik?“ | Führen Sie die Forschungsergebnisse korrekt an: Die veröffentlichten Zahlen variieren stark je nachdem, wie sie gemessen werden (siehe die IDFE-BA-Lektion Bewertung der Clusterqualität). Kennzeichnen Sie, welche Verknüpfungen auf Heuristiken beruhen, und zeigen Sie, dass die Schlussfolgerung Bestand hat, wenn die schwächste davon entfernt oder als unsicher behandelt wird |
| Qualität der Labels | „Wer hat gesagt, dass dieser Cluster zu einer Börse gehört, und wann?“ | Labels können veraltet, zirkulär (mehrere Quellen übernehmen sie von einer ursprünglichen Quelle) oder ungeprüft sein. Bewahren Sie datierte Label-Snapshots und unabhängige Bestätigungen auf, vorzugsweise die eigenen Unterlagen des Dienstes |
| Intransparenz des Tools | „Sie können nicht erklären, wie die Software zu diesem Ergebnis gekommen ist.“ | Erneute Durchführung anhand der Rohdaten, Validierungsunterlagen und bekannte Einschränkungen des Tools |
| Methodenwahl | „Bei einer anteiligen Kürzung erhielt mein Mandant 0,03 BTC, nicht 4,25.“ | Geben Sie die Nachverfolgungsmethode und den Grund für ihre Eignung für die Fragestellung an; legen Sie das Ergebnis nach einer zweiten Methode offen |
| Integrität und Verwahrung | „Woher wissen Sie, dass dieser Export dem entspricht, was die Börse gesendet hat?“ | Hashes beim Eingang, Authentifizierung durch den Dienstleister und eine lückenlose Dokumentation der Verwahrung (siehe die Lektion Hashing, Protokollierung und Beweismittelkette) |
| Datenfehler | „Sind diese Zeitangaben in UTC oder Ortszeit?“ | Falsche Zeitzonen, falsch eingegebene TXIDs, Token-Dezimalstellen und vor einer Reorganisation erstellte Erfassungen lassen sich durch Abgleiche mit einer zweiten Quelle und eine administrative Prüfung erkennen |
| Voreingenommenheit und alternative Erklärungen | „Haben Sie berücksichtigt, dass die Adresse zu einem gemeinsam genutzten Verwahrungsdienst oder einem CoinJoin-Teilnehmer gehört?“ | Dokumentieren Sie die geprüften Alternativen und warum Sie sie verworfen haben (siehe die IDFE-BA-Lektion Von der Fragestellung zur Hypothese) |
Vorbereitung auf Antworten
Führen Sie vor der Unterzeichnung des Berichts eine eigene kritische Prüfung aus gegnerischer Perspektive durch. Ein Einwandsregister führt jeden wichtigen Befund, seine schwächste Verknüpfung, die alternativen Erklärungen, die zu ihrer Prüfung unternommenen Schritte und die verbleibende Unsicherheit auf. Es zwingt dazu, die Schlussfolgerungen auf das zu beschränken, was die Beweismittel stützen, und dient zugleich als Vorbereitung auf eine Aussage (siehe die Lektion Aussage und Kreuzverhör).
Betrachten Sie den Entwurf eines Satzes: „Die Adresse bc1q…7k3f gehört dem Angeklagten.“ Ein Sachverständiger der Verteidigung wird fragen, worauf diese Aussage beruht. Die ehrliche Antwort lautet: auf einer Verknüpfung durch gemeinsame Eingabe sowie auf einer Auszahlung von einem Börsenkonto, das der Dienstleister dem Angeklagten zuordnet. Das Register führt zu einer besseren Formulierung: „Die Adresse bc1q…7k3f erhielt eine Auszahlung von einem Börsenkonto, das laut den Unterlagen des Dienstleisters dem Angeklagten zuzuordnen ist (hohe Konfidenz), und wurde gemeinsam mit der Adresse bc1q…2m9d ausgegeben (heuristische Verknüpfung, mittlere Konfidenz).“ Die zweite Fassung trennt die Fakten, benennt ihre Quellen und bewertet jede Verknüpfung. Sie ist schwerer anzugreifen, weil sie nur das behauptet, was sich verteidigen lässt.
Wenn ein Einwand zutrifft, räumen Sie dies klar ein und erklären Sie, wie sich das auf die Schlussfolgerung auswirkt. Ein Sachverständiger, der eine schwache Verknüpfung einräumt und zeigt, dass die Schlussfolgerung trotzdem Bestand hat, ist glaubwürdiger als jemand, der jeden Punkt verteidigt.
Prüfungsschwerpunkt: die Grundlage der Offenlegung im Recht auf ein faires Verfahren (Artikel 14(3)(b) des ICCPR, Allgemeine Bemerkung Nr. 32, Waffengleichheit) und die Rolle des Sachverständigen unabhängig vom Rechtssystem; die Kategorien offenzulegenden Materials, einschließlich Notizen, Methodenunterlagen und Label-Quellen; nicht verwendetes Material und warum untergrabende Ergebnisse aufbewahrt und aufgelistet werden müssen; sensibles Material (Seed-Phrasen, Ermittlungsmethoden, Daten Dritter, Quellen), das der Sachverständige kennzeichnet und über das Staatsanwälte oder das Gericht entscheiden; Herkunftsnachweise und erneute Durchführung ohne das Tool; wiederkehrende Einwände der Verteidigung und die jeweilige Vorbereitung darauf; das Einwandsregister; überzogene Behauptungen in abgestufte, mit Quellen belegte Aussagen umformulieren; Einschränkungen einräumen.