Was Daten zu Beweismitteln macht

Jede Untersuchung, die einen Computer, ein Telefon oder ein Onlinekonto betrifft, endet mit derselben Frage: Kann man sich darauf verlassen, dass diese Daten zeigen, was geschehen ist? Eine Datei auf einem Laptop besteht zunächst nur aus Daten. Sie wird zu einem digitalen Beweismittel, wenn sie für eine zu entscheidende Frage relevant ist und so gehandhabt wurde, dass andere sich auf sie verlassen können. Beides voneinander zu unterscheiden und zu wissen, wie internationale Normen digitale Beweismittel beurteilen, ist der Ausgangspunkt für jeden Prüfer.

Daten, Informationen und Beweismittel

Es ist hilfreich, drei Begriffe voneinander zu trennen, die oft so verwendet werden, als bedeuteten sie dasselbe.

• Daten sind das, was gespeichert ist: Bytes in einer Datei, ein Datenbankdatensatz, eine Protokollzeile, der Inhalt des Arbeitsspeichers.
• Informationen sind Daten, die im Kontext interpretiert werden. Eine Zeile in einer Datenbank zum Browserverlauf besteht aus Daten; „dieses Konto hat diese Webseite um 14:02 UTC besucht“ ist eine Information.
• Beweismittel sind Informationen, die dazu beitragen, eine strittige Tatsache zu beweisen oder zu widerlegen, und die so identifiziert, erhoben und gesichert wurden, dass sich ihre Herkunft und Integrität nachweisen lassen.

ISO/IEC 27037, der internationale Leitfaden zur Identifizierung, Sicherstellung, Erfassung und Erhaltung digitaler Beweismittel, definiert digitale Beweismittel als Informationen oder Daten, die in binärer Form gespeichert oder übertragen werden und auf die man sich als Beweismittel stützen kann. Bis zur Untersuchung bezeichnet die Norm sie als potenzielle digitale Beweismittel: Noch weiß niemand, ob sie von Bedeutung sind. Deshalb müssen sie so gehandhabt werden, als könnten sie es sein.

Was digitale Beweismittel besonders macht

Digitale Beweismittel folgen derselben Logik wie alle anderen Beweismittel. Sie weisen jedoch Besonderheiten auf, die jeden Arbeitsschritt prägen.

• Sie sind latent. Niemand kann einen Datenträger lesen, indem er ihn ansieht. Werkzeuge und ein Prüfer sind erforderlich, um die Daten sichtbar zu machen. Deshalb muss auch die Methode selbst erläutert werden und vertrauenswürdig sein.
• Sie sind empfindlich. Daten können durch die gewöhnliche Nutzung des Geräts, ein automatisches Update oder einen unachtsamen Prüfer verändert, überschrieben oder zerstört werden. Lektion 1.2 behandelt dies ausführlich.
• Eine exakte Kopie ist möglich. Anders als ein von einem Glas abgenommener Fingerabdruck ist eine Bit-für-Bit-Kopie eines Laufwerks mit dem Original identisch. Ein kryptografischer Hashwert, beispielsweise SHA-256, ermöglicht es jedem zu überprüfen, dass die Kopie nicht verändert wurde (Modul 4).
• Sie enthalten Metadaten. Dateien, Nachrichten und Datensätze enthalten Daten über sich selbst: Zeitstempel, Autoren, Gerätekennungen, Standorte. Metadaten beantworten die Frage oft besser als der Inhalt.
• Sie sind umfangreich und vermischt. Ein einziges Telefon enthält Daten aus mehreren Lebensjahren einer Person sowie Daten anderer Personen. Prüfer müssen das Relevante finden, ohne den Umfang ihrer Untersuchungsbefugnis zu überschreiten (Modul 2).
• Sie befinden sich oft anderswo. E-Mails, Chats und Dokumente können auf Servern in anderen Ländern liegen und über mehrere Geräte hinweg synchronisiert sein.

Drei Prüfkriterien: Relevanz, Zuverlässigkeit und Hinlänglichkeit

ISO/IEC 27037 nennt drei Grundsätze für digitale Beweismittel. Sie bilden eine nützliche Checkliste für jedes Element, dessen Erhebung Sie erwägen.

Hinlänglichkeit bedeutet nicht, alles zu erheben. Sie bedeutet, genug zu erheben, um die Frage zu beantworten und andere Erklärungen zu prüfen, und dabei im Rahmen der Befugnis zu bleiben.

Vier Aspekte einer sachgerechten Handhabung

Dieselbe Norm führt vier Aspekte auf, die die Handhabung digitaler Beweismittel nachvollziehbar und vertretbar machen. Sie begegnen Ihnen in jedem Modul dieses Kurses wieder.

1. Überprüfbarkeit: Eine unabhängige Person kann nachvollziehen, was getan wurde, weil jede Handlung dokumentiert wurde.
2. Wiederholbarkeit: Derselbe Prüfer erzielt mit derselben Methode und denselben Werkzeugen unter denselben Bedingungen dasselbe Ergebnis.
3. Reproduzierbarkeit: Ein anderer Prüfer erzielt mit anderen Werkzeugen oder in einem anderen Labor unter Anwendung derselben Methode dasselbe Ergebnis.
4. Begründbarkeit: Jede Handlung und Entscheidung lässt sich als die unter den gegebenen Umständen beste verfügbare Wahl erklären.

Wiederholbarkeit und Reproduzierbarkeit sind der Grund dafür, dass Prüfer mit verifizierten Kopien arbeiten und Werkzeuge vermeiden, deren Ergebnisse sich nicht überprüfen lassen. Begründbarkeit ist wichtig, wenn der ideale Schritt nicht möglich war: Musste ein Telefon im eingeschalteten Zustand untersucht werden, sollte in den Notizen stehen, warum.

Beweismittel für beide Seiten

Beweismittel, die einen Vorwurf stützen, werden als belastend bezeichnet; Beweismittel, die ihn abschwächen, als entlastend. Ein Prüfer sucht nach beidem. Ein Protokoll, das zeigt, dass über ein Konto Dateien kopiert wurden, ist belastend. Zeigt dasselbe Protokoll, dass das Konto benutzt wurde, während sich sein Inhaber auf einem Flug befand, ist dies entlastend und muss ebenso deutlich berichtet werden. Die forensische Untersuchung dient der Tatsachenfeststellung, nicht einer Partei.

Häufige Fehlvorstellungen

Vier Annahmen verursachen die meisten anfänglichen Fehler im Umgang mit digitalen Beweismitteln.

• „Gelöscht bedeutet verschwunden.“ Beim Löschen einer Datei wird gewöhnlich nur der Verweis auf sie entfernt; der Inhalt bleibt oft erhalten, bis er überschrieben wird. Auch das Gegenteil trifft zu: Manche Systeme, etwa Solid-State-Laufwerke, löschen gelöschte Daten schnell endgültig (Lektion 1.2).
• „Ein Screenshot reicht aus.“ Ein Screenshot zeigt, was auf einem Bildschirm angezeigt wurde, nicht, woher die Daten stammen. Er ist ein nützlicher Hinweis, aber kein Ersatz für die Quelle.
• „Das Werkzeug hat immer recht.“ Forensische Werkzeuge analysieren Daten entsprechend dem Verständnis ihrer Entwickler. Ergebnisse müssen überprüft werden, insbesondere bei neuen Versionen von Betriebssystemen und Apps.
• „Mehr Daten sind immer besser.“ Alles zu erheben kann die Befugnis überschreiten, die Privatsphäre anderer Menschen verletzen und die relevanten Elemente in der Datenmenge untergehen lassen. Erheben Sie, was die Fragestellungen erfordern und was zur Prüfung alternativer Erklärungen benötigt wird.

Ein Praxisbeispiel

Ein Unternehmen vermutet, dass ein Mitarbeiter vor seiner Kündigung eine vertrauliche Preisliste an einen Wettbewerber geschickt hat. Die erste Datei, die auftaucht, ist ein Screenshot einer E-Mail, die von einem Kollegen weitergeleitet wurde.

• Der Screenshot ist relevant, weist aber eine geringe Zuverlässigkeit auf: Er kann bearbeitet werden und zeigt keine Kopfzeilendaten, die belegen, wer die Nachricht wann und an wen gesendet hat.
• Das Postfach auf dem Mailserver des Unternehmens, das mit seinen Kopfzeilen exportiert und anhand von Hashwerten verifiziert wurde, ist wesentlich zuverlässiger.
• Für die Hinlänglichkeit sichert der Prüfer außerdem den Ordner für gesendete Nachrichten, die Transportprotokolle des Mailservers und den Laptop des Mitarbeiters, damit andere Erklärungen geprüft werden können, etwa ein Konto mit delegiertem Zugriff oder ein gemeinsam genutztes Passwort.

Dieselbe Tatsache, „diese E-Mail wurde gesendet“, ist je nach Herkunft und Handhabung ein schwaches oder starkes Beweismittel.

Prüfungsschwerpunkt: Machen Sie sich den Unterschied zwischen Daten, Informationen und digitalen Beweismitteln klar, ebenso die drei Grundsätze der ISO/IEC 27037 (Relevanz, Zuverlässigkeit, Hinlänglichkeit) und ihre vier Aspekte der Handhabung (Überprüfbarkeit, Wiederholbarkeit, Reproduzierbarkeit, Begründbarkeit), und unterscheiden Sie Wiederholbarkeit von Reproduzierbarkeit. Die Fragen prüfen auch, was digitale Beweismittel besonders macht: Sie sind latent, empfindlich, exakt kopierbar und anhand von Hashwerten verifizierbar sowie reich an Metadaten. Denken Sie daran, dass Prüfer sowohl nach entlastenden als auch nach belastenden Beweismitteln suchen.