Verfassen des forensischen Gutachtens: Konfidenz und Sprache

Das Gutachten ist der einzige Teil einer Untersuchung, den die meisten Menschen jemals zu sehen bekommen, und in vielen Verfahren bildet es den Sachverständigenbeweis: Es wird lange vor jeder mündlichen Aussage gelesen und ist manchmal die einzige Form, in der dieser Beweis vorliegt. Leser handeln auf Grundlage seiner Formulierungen. Wenn ein Prüfer „wahrscheinlich“ schreibt und damit 60 % meint, ein Compliance-Verantwortlicher darunter aber 90 % versteht, wird ein Konto auf einer schwächeren Grundlage eingefroren, als irgendjemand beabsichtigt hatte. Ein Gutachten, das Beobachtungen mit Meinungen vermischt, seine Materialien nicht offenlegt oder undefinierte Wahrscheinlichkeitsbegriffe verwendet, bietet eine Angriffsfläche, die ein gut strukturiertes Gutachten vermieden hätte. Diese Lektion behandelt Aufbau, Befunde, die sprachliche Darstellung von Wahrscheinlichkeit, Konfidenz und Beweisunterstützung sowie die Frage, wie das Gutachten nach seiner Herausgabe überprüfbar und redlich bleibt.

Kennen Sie Ihre Leser

Führungskräfte benötigen eine Entscheidung (einfrieren, melden, abschließen); Compliance-Teams benötigen genaue Adressen, Beträge und die Konfidenz für jede Verbindung; technische Gutachter benötigen Abfragen, Versionen und Parameter; die Öffentlichkeit benötigt eine verständliche Darstellung ohne personenbezogene Daten von Privatpersonen; Gerichte benötigen Beweise, auf die sie sich verlassen und die sie überprüfen können. Unabhängig von der Leserschaft gilt: Stellen Sie die Kernaussage an den Anfang (BLUF), damit jemand, der nach dem ersten Absatz aufhört zu lesen, die richtige Schlussfolgerung und Konfidenz mitnimmt. Aus einer Hauptfassung abgeleitete Kurzfassungen nennen deren Kennung und Version und enthalten niemals eine Einschätzung oder Konfidenz, die in der Hauptfassung nicht enthalten ist. Wenn der Bericht zum Beweismittel wird, ändert sich noch mehr:

Ein gerichtlich anerkannter Aufbau

Die SWGDE-*Anforderungen an das Verfassen von Berichten in der digitalen und Multimedia-Forensik* (18-Q-002, Version 1.0, 2018) legen Mindestanforderungen fest, darunter der Auftrag und seine Befugnisgrundlage, untersuchte Gegenstände mit Kennungen wie Hashwerten, für Laien verständliche Ergebnisse, Beurteilungen mit ihrer Grundlage sowie der Verbleib der Gegenstände. ISO 21043-5:2025 verlangt Berichte, die für ihren vorgesehenen Verwendungszweck geeignet sind, und ISO/IEC 17025:2017, Abschnitt 7.8, regelt Berichte akkreditierter Laboratorien. Ein Aufbau, der allen drei gerecht wird:

1. Auftrag: wer den Auftrag erteilt hat, wann, auf welcher Befugnisgrundlage und die exakt zitierten Fragen.
2. Qualifikationen: was für diese Fragen relevant ist; der vollständige Lebenslauf gehört in einen Anhang.
3. Materialien: jeder erhaltene oder erhobene Gegenstand mit Kennung, Datum, Quelle und SHA-256-Hashwert sowie alles Angeforderte, das nicht bereitgestellt wurde.
4. Methoden: Datenquellen und Versionen der Nodes oder Datensätze, Werkzeuge und Versionen, Nachverfolgungsmethode und Abbruchregeln, Heuristiken, Quellen und Datumsangaben der Labels, die festgelegte Skala, der Datenstichtag als Blockhöhen je Blockchain sowie sämtliche Abweichungen von den Verfahren der Organisationseinheit.
5. Befunde: Befund für Befund, mit Verweisen auf Zeilen im Anhang.
6. Einschränkungen: was nicht eingesehen oder geprüft werden konnte, berücksichtigte Alternativen und was die Schlussfolgerungen ändern würde.
7. Schlussfolgerungen: eine direkte Antwort auf jede Frage in der Reihenfolge ihrer Stellung.
8. Erklärung: die unterzeichnete und datierte Erklärung des Sachverständigen zu seinen Pflichten.

Ein Analysebericht beginnt dagegen mit einem Titelblock (Kennung, Version, Verteilungsbeschränkungen, Datenstichtag) und drei bis fünf nummerierten Kerneinschätzungen. In beiden Fällen gehört die Antwort auf Frage 3 unter „Frage 3“ und darf nicht auf drei Befunde verteilt sein.

Tatsache, Schlussfolgerung, Annahme, Beurteilung

Ordnen Sie jede Aussage ein, bevor Sie die Formulierungen wählen.

Annahmen sind eine Schwachstelle von Gutachten: Erweist sich eine als falsch, entkräftet dies unbemerkt jede darauf aufgebaute Einschätzung. ISO/IEC 17025:2017, Abschnitt 7.8.7, verlangt, dass Beurteilungen und Interpretationen eindeutig gekennzeichnet und ihre Grundlagen dokumentiert werden; ein Absatzbeginn mit „Beobachtung“ oder „Beurteilung“ macht die Trennung sichtbar.

Die ENFSI-*Leitlinie für die evaluative Berichterstattung in der Forensik* (2015) unterscheidet zwischen technischer Berichterstattung (Befunde ohne Bewertung), ermittlungsorientierter Berichterstattung (Erklärungen, die angeboten werden, bevor konkurrierende Hypothesen formuliert werden können, typischerweise in einer frühen Phase: „vereinbar mit einer Einzahlungsadresse bei einem Verwahrdienst“) und evaluativer Berichterstattung (Befunde werden anhand mindestens eines Paars konkurrierender Hypothesen bewertet, gewöhnlich je einer von jeder Partei), die ein Gericht normalerweise in der Hauptverhandlung benötigt.

Begriffe benötigen eine festgelegte Skala

In seinem Aufsatz Begriffe zur Wahrscheinlichkeitsschätzung von 1964 beschrieb Sherman Kent eine Einschätzung aus dem Jahr 1951, die einen Angriff als „ernst zu nehmende Möglichkeit“ bezeichnete; Kollegen, die ihr zugestimmt hatten, meinten damit Wahrscheinlichkeiten von etwa 20 % bis 80 %. Berichte zur Nachverfolgung weisen dieselbe Unschärfe auf: „legt nahe“, „deutet darauf hin“, „möglicherweise“, „könnte“ und „scheint“ sind nahezu bedeutungslos. Abhilfe schafft eine veröffentlichte Begriffsskala mit zugeordneten Zahlenbereichen sowie eine getrennte Konfidenzaussage. Zwei häufig zitierte Skalen sind Praxisbeispiele, keine verbindlichen Regeln: die US Intelligence Community Directive 203 (ICD 203, Analytische Standards, Januar 2015) und der Wahrscheinlichkeitsmaßstab des britischen Professional Head of Intelligence Assessment (PHIA) (erneut veröffentlicht im März 2025).

Keine der beiden Skalen reicht bis 0 % oder 100 %: Gewissheiten werden als Tatsachen formuliert. Die Skalen unterscheiden sich an den Grenzen, PHIA lässt Lücken, und die beiden gleichwertigen Begriffssätze der ICD 203 sollten nicht vermischt werden. Wählen Sie eine Skala, geben Sie sie im Methodenteil wieder und verwenden Sie ausschließlich deren Begriffe.

Konfidenz ist nicht Wahrscheinlichkeit. Die Wahrscheinlichkeit beschreibt, wie wahrscheinlich eine Einschätzung zutrifft; die Konfidenz beschreibt, wie belastbar ihre Grundlage ist. Daher kann „wahrscheinlich“ mit niedriger Konfidenz und „ungefähr gleiche Chancen“ mit hoher Konfidenz einhergehen. PHIA stuft die Konfidenz anhand der Informationsbasis, der analytischen Sorgfalt sowie der Komplexität und Veränderlichkeit des Untersuchungsgegenstands als hoch, mittel oder niedrig ein; ICD 203 ergänzt eine übernehmenswerte Regel: Geben Sie Konfidenz und Wahrscheinlichkeit in getrennten Sätzen an. Bei On-Chain-Analysen hängt die Konfidenz von der Datenherkunft, der Zuverlässigkeit der Methode, der Unabhängigkeit der Belege (zwei übereinstimmende Methoden sind stärker als eine zweimal ausgeführte Methode), der Qualität der Labels und davon ab, ob konkurrierende Hypothesen weiterhin Bestand haben.

Stärke der Beweisunterstützung: die Frage des Gerichts

Vor Gericht hängt die Wahrscheinlichkeit, dass „diese Wallet dem Angeklagten gehört“, von sämtlichen Beweisen ab, von denen der Sachverständige viele nicht gesehen hat. Die forensische Antwort besteht darin, die Stärke der Beweisunterstützung anzugeben, die die Befunde für eine Hypothese gegenüber einer anderen liefern. ENFSI verlangt Ausgewogenheit (mindestens zwei Hypothesen), Logik (die Wahrscheinlichkeit der Befunde unter der jeweiligen Hypothese, nicht die Wahrscheinlichkeit der Hypothesen angesichts der Befunde), Robustheit und Transparenz. Die beispielhafte verbale Skala beruht auf dem Likelihood-Verhältnis (LR), das angibt, wie viel wahrscheinlicher die Befunde unter einer Hypothese als unter der anderen sind:

Für nur wenige Nachverfolgungsheuristiken liegen numerische Verhältnisse vor, daher verwenden die meisten Gutachten diese Begriffe verbal mit angegebenen Begründungen; entscheidend ist die Logik. Angenommen, ein Betrags-Zeit-Abgleich findet eine mögliche Bridge-Freigabe in einem Zeitfenster, in dem zufällig etwa einmal in 100 vergleichbaren Zeitfenstern eine solche Übereinstimmung vorkäme, während eine tatsächlich zugehörige Freigabe fast immer übereinstimmen würde. Das LR beträgt ungefähr 100 und liegt damit an der Grenze zwischen mäßiger und mäßig starker Unterstützung. Die richtige Aussage lautet: „Wenn die Freigabe nicht mit der Einzahlung zusammenhinge, wäre eine derart genaue Übereinstimmung etwa einmal in 100 Zeitfenstern zu erwarten.“ Die Formulierung „Es besteht nur eine Wahrscheinlichkeit von 1 %, dass die Freigabe nicht damit zusammenhängt“ ist die Vertauschung der bedingten Wahrscheinlichkeit oder der Anklägerfehlschluss: Sie macht aus einer Wahrscheinlichkeit der Befunde eine Wahrscheinlichkeit der Hypothese. Vermischen Sie niemals nachrichtendienstliche Wahrscheinlichkeitsbegriffe und Begriffe der Beweisunterstützung im selben Gutachten.

Unsicherheit kumuliert

Wenn vier aufeinanderfolgende Wechselgelderkennungen jeweils etwa 90 % zuverlässig sind und als unabhängig behandelt werden, sind alle vier mit einer Wahrscheinlichkeit von 0,9^4 ≈ 0,66 richtig: Die Aussage über den gesamten Pfad ist „wahrscheinlich“, obwohl jeder Schritt „sehr wahrscheinlich“ war. Tatsächliche Fehler sind selten unabhängig; dies zeigt daher eine Tendenz und ist keine Formel. Geben Sie die Wahrscheinlichkeit für die Aussage über den gesamten Pfad an, nicht nur für jeden einzelnen Übergang: Der Pfad erhält die A–D-Einstufung seines schwächsten Glieds (Lektion 3.2), und seine Wahrscheinlichkeit kann noch niedriger sein. Suchen Sie nach Bestätigungen, die die Kette umgehen. Zählen Sie bei Betrags-Zeit-Abgleichen die Kandidaten innerhalb eines dokumentierten Zeitfensters und einer dokumentierten Gebührentoleranz: Fünf Kandidaten bedeuten vor Berücksichtigung weiterer Beweise eine Ausgangswahrscheinlichkeit von ungefähr eins zu fünf.

Befunde formulieren

Ein zuverlässiges Muster lautet Aussage, Belege, Begründung, Konfidenz:

Befund 3. Die Gelder erreichten Börse K. Zwischen den Bitcoin-Blöcken 941.203 und 941.219 wurden drei Outputs der Peel Chain mit insgesamt 2,95 BTC an bc1q…k8p0, bc1q…2rtd und bc1q…v9ae ausgezahlt (Anhang A, Zeilen 14–16). Die Guthaben aller drei Adressen wurden später jeweils zusammen mit denen von mehr als 100 anderen Adressen in einer Sweep-Transaktion in eine Hot Wallet übertragen, die auf einer von Börse K selbst veröffentlichten Liste von Reserveadressen steht (Zeilen 21–22). Anhand der Common-Input-Heuristik und des Sweep-Musters schätzen wir ein, dass es sich sehr wahrscheinlich um Einzahlungsadressen von Börse K handelt. Wir haben mittlere Konfidenz in diese Einschätzung, da der Pfad auf Wechselgelderkennung über mehrere Übergänge angewiesen ist; die eigenen Aufzeichnungen von Börse K würden die Frage klären.

Der Text nennt Blockbereiche und Anhangzeilen, benennt die Methode, verwendet einen festgelegten Begriff, gibt die Konfidenz getrennt an und sagt, was den Zweifel ausräumen würde. In einem forensischen Gutachten wird derselbe Befund als Beurteilung gekennzeichnet, benennt die konkurrierende Hypothese und verwendet die Skala der Beweisunterstützung. Schreiben Sie im Aktiv; geben Sie Zahlen mit Einheiten an, im Text gerundet und im Anhang exakt; definieren Sie jeden Fachbegriff einmal; verwenden Sie jeden Begriff mit nur einer Bedeutung; und lassen Sie kein Adjektiv („verdächtig“, „eindeutig“) die Arbeit von Beweisen übernehmen. Wenn jeder Befund als strukturierter Datensatz geführt wird, aus dem Text und Anhänge erzeugt werden, kann keine Einschränkung unbemerkt entfallen:

{
  "finding_id": "F3",
  "question": 2,
  "type": "opinion",
  "statement": "bc1q…k8p0 is a deposit address of Exchange K",
  "propositions": ["deposit address of Exchange K", "address unrelated to Exchange K"],
  "basis": ["appendix_A_rows_14_16", "appendix_A_rows_21_22", "exchange_k_published_reserve_list_2026-03-20"],
  "method": "sweep pattern and common-input heuristic, CoinJoin and PayJoin excluded",
  "support": "strong support for the first proposition",
  "limitations": ["path relies on change detection over 4 hops"],
  "tools": [{"name": "examiner graph tool", "version": "4.2.1"}],
  "data_cutoff": {"bitcoin_block": 941350}
}

Einschränkungen

Typische Einschränkungen bei On-Chain-Analysen: Abdeckung (Blockchains, Token oder Layer außerhalb des Untersuchungsumfangs); Datenstichtag (Gelder können nach dem angegebenen Block weiterbewegt worden sein); Heuristiken und ihre Fehlerquellen, etwa CoinJoin, das die Common-Input-Heuristik außer Kraft setzt; Labels mit Quellen, Datumsangaben und dem Hinweis, ob sie überprüft wurden; Off-Chain-Lücken, da interne Kontenaufzeichnungen von Verwahrdiensten ohne rechtliche Maßnahmen nicht einsehbar sind; und fehlende Beweise.

Anhänge und Reproduzierbarkeit

Der zentrale Anhang ist eine Transaktionstabelle: eine Zeile je herangezogener Transaktion mit Blockchain, vollständigem Transaktionshash, Blockhöhe, Blockhash (als Nachweis, welche Version der Blockchain gelesen wurde), UTC-Zeit, Absender, Empfänger, Vermögenswert, Betrag und Befund. Verkürzte Kennungen sind im Haupttext in Ordnung, doch gekürzte Hashwerte in einem Anhang lassen sich nicht überprüfen. Erzeugen Sie die Tabelle durch eine Abfrage, die die Belegliste des Falls mit Transaktionen und Blöcken verknüpft, damit sie nicht von den Daten abweichen kann; ergänzen Sie eine Adresstabelle (Adresse, Rolle, Label, Labelquelle und Datum), die versionierten Abfragen, Flussdiagramme und Zeitachsen (Lektion 9.3) sowie das Beweispaket zur erneuten Durchführung (Lektion 8.2). Dokumentieren Sie, was ein zweiter Prüfer benötigt, um dieselben Zahlen zu erhalten: Datenquelle und Version, Finalitätstiefe, Commit der Abfrage, Labelbestand und Datum sowie Preisquelle und Methode für Fiatwerte.

Erklärung, Nachträge und Überprüfung

Die Erklärung besagt typischerweise, dass der Sachverständige seine Pflicht gegenüber dem Gericht versteht und erfüllt hat, dass die Beurteilungen seine eigenen sind und in sein Fachgebiet fallen, dass alle relevanten Umstände erwähnt sind, einschließlich jener, die die Beurteilungen abschwächen, dass Interessenkonflikte offengelegt werden und dass das Gericht bei einer Änderung der Beurteilung informiert wird (Lektion 9.1).

Ein herausgegebenes Gutachten wird niemals stillschweigend bearbeitet. ISO/IEC 17025:2017, Abschnitt 7.8.8, verlangt, dass Änderungen eindeutig gekennzeichnet werden, gegebenenfalls mit Begründung, und dass ein Ersatzgutachten eindeutig identifiziert wird und auf das Original verweist. Nachträge sind in Kryptofällen üblich, weil Aufzeichnungen von Börsen verspätet eintreffen oder Gelder nach dem Datenstichtag weiterbewegt werden; jeder Nachtrag gibt an, was sich geändert hat, warum und welche Schlussfolgerungen betroffen sind, damit das Gericht erkennt, dass sich die Beurteilung aufgrund von Beweisen und nicht aufgrund von Druck geändert hat. Analyseberichte führen eine Versionsnummer und ein Änderungsprotokoll.

Vor der Freigabe prüft ein Gutachter, ob die Schlussfolgerungen mit den Befunden und die Befunde mit dem Anhang übereinstimmen, überprüft eine Stichprobe zitierter Transaktionen erneut anhand eines Nodes, bestätigt, dass die festgelegte Skala verwendet und die Konfidenz getrennt angegeben wird, argumentiert für die wichtigste Alternative, prüft Abbildungen hinsichtlich beobachteter gegenüber erschlossenen Verbindungen und führt eine Datenschutzprüfung durch (Lektion 1.5).

Prüfungsschwerpunkt: Rechnen Sie damit, die zusätzlichen Anforderungen eines forensischen Gutachtens gegenüber einem Analysebericht und den achtteiligen Aufbau benennen zu müssen, einschließlich der SWGDE-Mindestanforderungen und der Abschnitte der ISO/IEC 17025 zu Beurteilungen und Nachträgen. Seien Sie darauf vorbereitet, Aussagen als Tatsache, Schlussfolgerung, Annahme oder Einschätzung einzuordnen; Kents Beispiel, die Maßstäbe von ICD 203 und PHIA, die Festlegung einer einzigen Skala und die Konfidenzangabe in einem getrennten Satz zu erklären; technische, ermittlungsorientierte und evaluative Berichterstattung, die vier ENFSI-Anforderungen und die Skala des Likelihood-Verhältnisses zu unterscheiden; die Vertauschung der bedingten Wahrscheinlichkeit zu erkennen; kumulierende Unsicherheit zu berechnen (0,9^4 ≈ 0,66); und sachgerechte Befunde, Einschränkungen und Anhänge mit Blockhashes und vollständigen Kennungen zu erkennen.