Lagerung und Aufbewahrung von Beweismitteln

Zwischen der Sicherstellung und dem Abschluss eines Falls verbringen Beweismittel den größten Teil der Zeit im Lager. Ein Fall kann sich über Jahre erstrecken, und der Gegenstand, der aus dem Lager entnommen wird, muss derselbe sein, der eingelagert wurde – weiterhin lesbar und mit lückenlos nachvollziehbarem Verbleib. Dazu ist mehr als ein verschlossener Schrank erforderlich: Physische Gegenstände und digitale Kopien benötigen jeweils eigene Schutzmaßnahmen, jemand muss festlegen, wie lange alles aufbewahrt wird, und der Abschluss eines Falls erfordert eine eigene Dokumentation. Die Verpackung für den Transport wird in Modul 3 behandelt.

Lagerung physischer Gegenstände

Physische Beweismittel wie Computer, Laufwerke, Telefone und Speicherkarten werden in einem eigens dafür vorgesehenen, gesicherten Bereich aufbewahrt: einem verschlossenen Raum, Schrank oder Tresor, der ausschließlich für Beweismittel genutzt wird.

• Zugangskontrolle: Nur namentlich benannte Verwahrungsverantwortliche besitzen Schlüssel oder Zugangskarten; alle anderen Personen werden beim Betreten registriert und begleitet.
• Protokolle: Jeder ein- oder ausgelagerte Gegenstand wird in der Dokumentation seiner Beweismittelkette erfasst. Auch der Zutritt zum Lager selbst wird protokolliert, entweder durch ein elektronisches Zugangssystem oder in einem durch Unterschrift bestätigten Register.
• Temperatur und Luftfeuchtigkeit: Stabile, gemäßigte und trockene Bedingungen, da Hitze, Feuchtigkeit und Kondensation Elektronik und Datenträger beschädigen.
• Statische Elektrizität: Laufwerke, Speicherkarten und Leiterplatten werden in Antistatikbeuteln aufbewahrt.
• Magnetfelder: Starke Magnete können magnetische Datenträger wie Festplatten und Magnetbänder beschädigen. Diese werden daher von Lautsprechern, Motoren und anderen magnetischen Geräten ferngehalten.
• Physische Sicherheit: Gegenstände werden so in Regalen gelagert, dass sie nicht herunterfallen oder zerdrückt werden können. Beschädigte oder aufgeblähte Lithiumbatterien, die eine Brandgefahr darstellen, werden gemäß den Sicherheitsvorgaben isoliert.

Gegenstände aus verschiedenen Fällen werden nicht in einem Behälter vermischt, und das Lager ist so organisiert, dass jeder Gegenstand anhand seiner Kennung schnell gefunden werden kann. Das Lager wird außerdem überprüft: In regelmäßigen Abständen gleicht die verwahrungsverantwortliche oder eine unabhängige Person die Gegenstände in den Regalen mit der Dokumentation der Beweismittelkette ab, bestätigt die Unversehrtheit der Siegel und meldet jeden fehlenden, falsch abgelegten oder nicht erfassten Gegenstand. Unstimmigkeiten werden untersucht und dokumentiert, nicht stillschweigend korrigiert.

Speicherung digitaler Beweismittel

Forensische Abbilder, Exporte und extrahierte Dateien erfordern in digitaler Form dieselbe Sorgfalt.

• Verschlüsselte Speicherung, damit ein verlorenes Laufwerk oder ein kompromittierter Server die Daten nicht offenlegt. Diese enthalten häufig personenbezogene Informationen über Personen, die nicht an dem Fall beteiligt sind (Modul 2).
• Zugriffskontrolle über individuelle Konten, deren Berechtigungen fallbezogen vergeben und entfernt werden, sobald sie nicht mehr benötigt werden; Zugriffe werden protokolliert.
• Eine zweite Kopie auf einem separaten Datenträger oder an einem separaten Standort, deren Hashwert mit dem bei der Erfassung ermittelten Wert abgeglichen wurde, damit ein einzelner Ausfall die Beweismittel nicht zerstören kann.
• Regelmäßige Integritätsprüfungen: Hashwerte werden nach einem festgelegten Zeitplan neu berechnet und mit den bei der Erfassung ermittelten Werten verglichen; die Ergebnisse werden protokolliert.
• Migration bei Bedarf: Speichermedien altern und Dateiformate geraten außer Gebrauch. Über Jahre aufbewahrte Beweismittel können daher auf neue Datenträger übertragen werden, wobei vor und nach der Übertragung eine Hashprüfung erfolgt.

Die Schlüssel und Passwörter, die den Beweismittelspeicher schützen, sind selbst von entscheidender Bedeutung: Gehen sie verloren, sind auch die Beweismittel verloren. Für ihre Verwaltung gelten dieselben Zugriffsregeln wie für die Beweismittel.

Masterkopien und Arbeitskopien

Eine gängige Praxis besteht darin, von jedem forensischen Abbild eine Masterkopie aufzubewahren, die niemals direkt untersucht wird. Sie wird schreibgeschützt gespeichert, und ihr Hashwert stimmt mit dem bei der Erfassung protokollierten Wert überein. Prüfer arbeiten mit Arbeitskopien, die von der Masterkopie erstellt und vor der Verwendung durch einen Hashvergleich überprüft werden. Wird eine Arbeitskopie beschädigt, durch ein Werkzeug verändert oder einfach nicht mehr als vertrauenswürdig angesehen, wird eine neue Kopie von der Masterkopie erstellt. Das Originalgerät bleibt, sofern es aufbewahrt wird, versiegelt im Beweismittellager und wird nur aus einem dokumentierten Grund erneut geöffnet, etwa wenn eine erneute Erfassung erforderlich ist.

Lagerungs- und Speicheranforderungen nach Beweismitteltyp

Aufbewahrungsfristen und rechtliche Aufbewahrungspflichten

Wie lange Beweismittel aufbewahrt werden, entscheidet nicht der Prüfer. Aufbewahrungsfristen werden durch Gesetze, Verträge oder organisatorische Richtlinien festgelegt und unterscheiden sich je nach Fallart und Rechtsordnung. Beweismittel in schweren Strafsachen werden häufig viele Jahre aufbewahrt, da Rechtsmittel und Überprüfungen folgen können, während für eine unternehmensinterne Untersuchung die Richtlinie zur Aktenaufbewahrung der Organisation gelten kann. Für jeden Gegenstand sollte die Aufbewahrungsfrist oder ihr Enddatum dokumentiert werden, und nichts wird vor diesem Zeitpunkt vernichtet.

Eine rechtliche Aufbewahrungspflicht, auch als Legal Hold oder Litigation Hold bezeichnet, hat Vorrang vor der regulären Aufbewahrungsfrist: Wenn ein Gerichtsverfahren läuft oder vernünftigerweise zu erwarten ist, müssen relevante Gegenstände und Daten erhalten bleiben, selbst wenn ihre reguläre Aufbewahrungsfrist abgelaufen ist. Solche Aufbewahrungspflichten sind bei Zivilprozessen und der elektronischen Beweisermittlung üblich, mit der sich ISO/IEC 27050 befasst. Vor jeder Aussonderung bestätigt die verwahrungsverantwortliche Person, dass keine solche Aufbewahrungspflicht besteht.

Rückgabe und Entsorgung

Am Ende eines Falls werden Gegenstände an ihre Eigentümer zurückgegeben, länger aufbewahrt oder vernichtet. Für jedes dieser Ergebnisse ist Folgendes erforderlich:

1. Eine Genehmigung der dazu berechtigten Person oder Stelle, die in der Fallakte dokumentiert wird.
2. Eine vollständige Liste des Gegenstands und sämtlicher Kopien, einschließlich Arbeitskopien, zweiter Kopien und Exporte, damit keine vergessen wird.
3. Rückgabe gegen Unterschrift, wodurch die Dokumentation der Beweismittelkette abgeschlossen wird, oder Vernichtung mit einem für den Datenträger geeigneten Verfahren, etwa Überschreiben, kryptografisches Löschen oder physische Zerstörung. NIST SP 800-88 beschreibt Verfahren zur sicheren Bereinigung von Datenträgern.
4. Ein Vernichtungsnachweis: Was wurde wie, wann, durch wen und in wessen Anwesenheit vernichtet? Dieser Nachweis wird häufig als Bescheinigung ausgestellt.

Das Löschen einer Datei von einem Beweismittelserver ist keine sichere Entsorgung: Die Daten können auf dem Datenträger und in Sicherungskopien verbleiben. Am häufigsten werden Kopien vergessen, die außerhalb des Beweismittelspeichers aufbewahrt werden, etwa auf dem Arbeitsplatzrechner eines Prüfers oder dem Laptop einer mit der Durchsicht betrauten Person. Die Fallakte einschließlich der Notizen, der Dokumentation der Beweismittelkette und des Vernichtungsnachweises wird in der Regel auch dann noch aufbewahrt, wenn die Beweismittel selbst nicht mehr vorhanden sind, damit die Arbeit weiterhin überprüft werden kann.

Qualitätsrahmenwerke

Lagerung, Speicherung und Handhabung sind Teil des Qualitätssystems eines Labors: ISO/IEC 17025 legt allgemeine Anforderungen an die Kompetenz von Prüf- und Kalibrierlaboratorien fest und wird zur Akkreditierung vieler forensischer Labore verwendet, während ISO/IEC 27037 unter anderem die Erhaltung digitaler Beweismittel behandelt.

Prüfungsschwerpunkt: Lernen Sie die Anforderungen an die Lagerung physischer Gegenstände (Zugangskontrolle, Protokolle, stabile Temperatur und Luftfeuchtigkeit, Schutz vor statischer Elektrizität und Magnetfeldern) und an die Speicherung digitaler Beweismittel (Verschlüsselung, Zugriffskontrolle, eine verifizierte zweite Kopie, regelmäßige Hashprüfungen) sowie den Unterschied zwischen Master- und Arbeitskopien. Rechnen Sie mit Fragen zu gesetzlich, vertraglich oder durch Richtlinien festgelegten Aufbewahrungsfristen, rechtlichen Aufbewahrungspflichten, die eine reguläre Löschung außer Kraft setzen, sowie zur genehmigten und dokumentierten Rückgabe oder Vernichtung sämtlicher Kopien. Ordnen Sie ISO/IEC 17025 als Norm für die Laborkompetenz ein.