Den forensischen Bericht verfassen

Der forensische Bericht ist das Beweismittel des Sachverständigen. In vielen Verfahren wird er lange gelesen, bevor jemand aussagt, und in manchen ist er die einzige Form, in der das Beweismittel überhaupt vorliegt. Ein Bericht, der Beobachtungen mit Meinungen vermischt, seine Materialien verbirgt oder undefinierte Wahrscheinlichkeitsbegriffe verwendet, lädt zu Einwänden ein, denen ein gut strukturierter Bericht von vornherein den Boden entzogen hätte.

Das Handwerk des analytischen Schreibens wird in den IDFE-BA-Lektionen Den analytischen Bericht verfassen und Konfidenz, Unsicherheit und Sprache behandelt: zuerst das Fazit, Feststellungen als Behauptung, Beleg, Begründung und Konfidenz formulieren, eine Wahrscheinlichkeitsskala festlegen, Transaktionsanhänge anhand von Abfragen erstellen. Diese Lektion ergänzt die Ebene, die ein Gericht darüber hinaus benötigt.

Was sich ändert, wenn der Bericht ein Beweismittel ist

Eine von Gerichten anerkannte Struktur

Die Standards für die forensische Berichterstattung stimmen in den grundlegenden Bestandteilen überein. Die SWGDE Requirements for Report Writing in Digital and Multimedia Forensics (Dokument 18-Q-002, Version 1.0, 2018) legt Mindestanforderungen fest, etwa den Auftrag und dessen Rechtsgrundlage, die untersuchten Gegenstände mit Kennungen wie Hashwerten, für Laien verständliche Ergebnisse, Meinungen samt ihrer Grundlage und den Verbleib der Gegenstände. ISO 21043-5:2025 ergänzt, dass Berichte für ihren vorgesehenen Verwendungszweck geeignet sein müssen, und ISO/IEC 17025:2017, Klausel 7.8, regelt Berichte akkreditierter Laboratorien. Eine Struktur, die alle drei erfüllt:

1. Auftrag: wer den Sachverständigen beauftragt hat, wann und auf welcher Grundlage (Durchsuchungsbeschluss, gerichtliche Anordnung, Vertrag) sowie die Fragen, wörtlich zitiert.
2. Qualifikationen: einschlägige Ausbildung, Erfahrung, Akkreditierung und frühere Zeugenaussagen, beschränkt auf das, was für diese Fragen relevant ist; ein vollständiger Lebenslauf kommt in einen Anhang.
3. Materialien: jeder erhaltene oder erhobene Gegenstand (Exporte, Abbilder, Datensätze, Werkzeugausgaben), jeweils mit Kennung, Eingangsdatum, Quelle und SHA-256-Hashwert, außerdem alles, was angefordert, aber nicht bereitgestellt wurde.
4. Methoden: Datenquellen und Versionen von Nodes oder Datensätzen, Werkzeuge und Versionen, Rückverfolgungsmethode und Abbruchregeln, Heuristiken, Quellen und Daten von Labels, verwendete Konfidenzskala sowie jede Abweichung von den Verfahren der Einheit.
5. Feststellungen: was beobachtet wurde, Feststellung für Feststellung, mit Verweisen auf die Zeilen in den Anhängen.
6. Einschränkungen: was nicht eingesehen oder geprüft werden konnte und was die Schlussfolgerungen ändern würde.
7. Schlussfolgerungen: eine direkte Antwort auf jede Frage, in derselben Reihenfolge wie im Auftrag.
8. Erklärung: die Pflichterklärung des Sachverständigen, unterzeichnet und datiert.

Die Fragen in der Reihenfolge zu beantworten, in der sie gestellt wurden, ist wichtiger, als es zunächst scheint: Wer die Schlussfolgerungen liest, sollte die Antwort auf Frage 3 unter „Frage 3“ finden und nicht verteilt über drei Feststellungen.

Tatsachen von Meinungen trennen

ISO/IEC 17025:2017, Klausel 7.8.7, verlangt, dass Meinungen und Interpretationen in Berichten eindeutig als solche gekennzeichnet und ihre Grundlagen dokumentiert werden. Die ENFSI Guideline for Evaluative Reporting in Forensic Science (2015) unterscheidet drei Arten von Ergebnissen, die sich gut auf die Arbeit mit Kryptowährungen übertragen lassen:

• Technische Berichterstattung beschreibt Feststellungen ohne Bewertung: die Transaktion, den Block, den Betrag.
• Ermittlungsbezogene Berichterstattung bietet Erklärungen für Feststellungen, wenn noch kein Paar konkurrierender Hypothesen formuliert werden kann, typischerweise in einem frühen Verfahrensstadium: „Das Muster ist mit einer Einzahlungsadresse bei einem Verwahrdienst vereinbar.“
• Bewertende Berichterstattung bewertet Feststellungen anhand mindestens eines Paars konkurrierender Hypothesen, üblicherweise je einer aus der Darstellung jeder Partei, und ist das, was ein Gericht im Hauptverfahren normalerweise benötigt.

Eine einfache Konvention macht die Trennung für alle Leser sichtbar: Absätze mit „Beobachtung“ oder „Meinung“ beginnen oder sie für jede Feststellung in getrennten Unterabschnitten führen. Eine Beobachtung enthält einen Quellenverweis und keinen Wahrscheinlichkeitsbegriff. Eine Meinung nennt die Methode und gibt die Alternative an, mit der sie verglichen wurde.

Konfidenzsprache für das Gericht

Die in IDFE-BA vermittelten Wahrscheinlichkeitsskalen, etwa „sehr wahrscheinlich (80–95 %)“, bewerten, wie wahrscheinlich eine Hypothese ist. Sie eignen sich für die Arbeit in den Bereichen Nachrichtendienst und Compliance. Vor Gericht entsteht ein Problem: Die Wahrscheinlichkeit einer Hypothese, etwa „Diese Wallet gehört dem Angeklagten“, hängt von allen Beweisen im Verfahren ab, von denen der Sachverständige viele nicht gesehen hat. Die forensische Antwort besteht darin, die Stärke der Unterstützung anzugeben, die die Feststellungen des Sachverständigen für eine Hypothese gegenüber einer anderen liefern.

Die ENFSI-Leitlinie legt vier Anforderungen an bewertende Meinungen fest: Ausgewogenheit (mindestens zwei Hypothesen), Logik (die Wahrscheinlichkeit der Feststellungen unter jeder Hypothese beurteilen, nicht die Wahrscheinlichkeit der Hypothesen angesichts der Feststellungen), Belastbarkeit (einer Prüfung standhaltende und auf geeigneten Daten beruhende Schlussfolgerungen) und Transparenz (ein nachvollziehbarer Prozess, der in der Fallakte und im Bericht dokumentiert ist). Ihre beispielhafte verbale Skala basiert auf dem Likelihood-Quotienten: wie oft wahrscheinlicher die Feststellungen unter einer Hypothese als unter der anderen sind:

Nur wenige Rückverfolgungsheuristiken werden mit numerischen Likelihood-Quotienten angegeben; deshalb verwenden die meisten Berichte zu Kryptowährungen solche Begriffe verbal und nennen die Gründe. Entscheidend ist die Logik. Angenommen, ein Abgleich von Betrag und Zeitpunkt ergibt eine passende Freigabe in einem Zeitfenster, in dem zufällig etwa einmal in 100 vergleichbaren Fenstern eine passende Freigabe zu erwarten wäre. Die korrekte Aussage lautet: „Wenn die Freigabe nichts mit der Einzahlung zu tun hätte, wäre eine so genaue Übereinstimmung etwa einmal in 100 Fenstern zu erwarten.“ Wenn eine tatsächlich zusammenhängende Freigabe fast immer eine solche Übereinstimmung ergeben würde, läge der Likelihood-Quotient ungefähr bei 100, an der Grenze zwischen mäßiger und mäßig starker Unterstützung. Zu schreiben: „Es besteht nur eine Wahrscheinlichkeit von 1 %, dass die Freigabe nichts mit der Einzahlung zu tun hat“, ist die Vertauschung der Bedingung, oft als Staatsanwaltsfehlschluss bezeichnet: Dabei wird stillschweigend eine Wahrscheinlichkeit der Feststellungen in eine Wahrscheinlichkeit der Hypothese umgewandelt. Legen Sie im Abschnitt zu den Methoden eine Skala fest und vermischen Sie in einem Bericht niemals Begriffe aus der Nachrichtendienstanalyse mit Begriffen zur Stärke der Unterstützung.

Anhänge und Reproduzierbarkeit

Anhänge machen den Bericht überprüfbar: vollständige Transaktionstabellen mit Block-Hashes (siehe die IDFE-BA-Lektion Den analytischen Bericht verfassen), Flussdiagramme und Zeitachsen (siehe die Lektion Visuelle Beweise für Gerichte), die Materialliste mit Hashwerten und das Beweispaket, mit dem ein anderer Sachverständiger die Arbeit wiederholen kann (siehe On-Chain-Beweise sichern). Viele Einheiten halten jede Feststellung als strukturierten Datensatz fest, aus dem sowohl der Berichtstext als auch die Anhänge erzeugt werden:

{
  "finding_id": "F3",
  "question": 2,
  "type": "opinion",
  "statement": "bc1q…k8p0 is a deposit address of Exchange K",
  "propositions": ["deposit address of Exchange K", "address unrelated to Exchange K"],
  "basis": ["appendix_A_rows_14_16", "appendix_B_row_21", "exchange_k_published_reserve_list_2026-03-20"],
  "method": "sweep pattern and common-input heuristic, CoinJoin and PayJoin excluded",
  "support": "strong support for the first proposition",
  "limitations": ["path relies on change detection over 4 hops"],
  "tools": [{"name": "examiner graph tool", "version": "4.2.1"}],
  "data_cutoff": {"bitcoin_block": 941350}
}

Der Datensatz verknüpft die Feststellung mit der Frage, die sie beantwortet, kennzeichnet sie als Meinung, nennt beide Hypothesen, führt ihre Grundlage anhand von Zeilen in den Anhängen und einer datierten Quelle auf und hält Methode, Werkzeugversion und Stichtag fest. Ein Prüfer kann jedes Element kontrollieren; ein Berichtsgenerator kann die Einschränkung nicht weglassen, ohne dass dies auffällt.

Erklärung, Unterschrift und Änderungen

In der Erklärung bestätigt der Sachverständige die Pflichten, die in der Lektion Rolle und Pflichten des Sachverständigen behandelt werden. Der Wortlaut variiert je nach Rechtssystem, doch üblicherweise erklärt der Sachverständige, dass er seine Pflicht gegenüber dem Gericht versteht und erfüllt hat, dass die Meinungen seine eigenen sind und in sein Fachgebiet fallen, dass er alle Angelegenheiten erwähnt hat, die er für relevant hält, auch solche, die seinen Meinungen entgegenstehen, dass er jeden Interessenkonflikt offengelegt hat und dass er das Gericht benachrichtigen wird, falls sich seine Meinung ändert.

Nach der Ausstellung wird ein Bericht niemals stillschweigend geändert. ISO/IEC 17025:2017, Klausel 7.8.8, verlangt, dass Änderungen an einem ausgestellten Bericht eindeutig gekennzeichnet werden, gegebenenfalls mit Angabe des Grundes, und dass ein Ersatzbericht eindeutig identifiziert wird und auf den ursprünglichen Bericht verweist, den er ersetzt. In Verfahren zu Kryptowährungen sind Änderungen üblich, weil Börsendaten verspätet eintreffen oder sich Gelder nach dem Stichtag erneut bewegen. Jede Änderung sollte angeben, was geändert wurde, warum und welche Schlussfolgerungen davon betroffen sind, damit das Gericht erkennen kann, dass der Sachverständige seine Meinung aufgrund von Beweisen und nicht aufgrund von Druck aktualisiert hat.

Prüfungsschwerpunkt: Unterschiede zwischen forensischem und analytischem Bericht (namentlich genannter unterzeichnender Sachverständiger, wörtlich übernommene Fragen, mit Hashwerten versehene Materialien, gekennzeichnete Meinungen, formelle Änderungen, Erklärung); die achtteilige Struktur und die Beantwortung der Fragen in der richtigen Reihenfolge; SWGDE-Mindestanforderungen an den Berichtinhalt und die Anforderung von ISO/IEC 17025, Meinungen und Interpretationen zu kennzeichnen und ihre Grundlage zu dokumentieren; technische, ermittlungsbezogene und bewertende Berichterstattung; Ausgewogenheit, Logik, Belastbarkeit und Transparenz nach ENFSI; Likelihood-Quotient und seine verbale Skala; Erkennen der vertauschten Bedingung (Staatsanwaltsfehlschluss); strukturierte Datensätze zu Feststellungen; Inhalte der Erklärung und Änderungen, die jede Änderung benennen, den Grund angeben und auf den ursprünglichen Bericht verweisen.