Was ein Bericht enthalten muss

Für die meisten an einem Fall beteiligten Personen ist der Bericht die Untersuchung. Richter, Rechtsanwälte, Führungskräfte und andere Prüfer werden nur selten ein forensisches Abbild öffnen; sie lesen, was der Prüfer darüber geschrieben hat. Eine fundierte Untersuchung mit einem schwachen Bericht kann scheitern, weil niemand erkennen kann, was getan wurde oder wie weit dem Ergebnis zu vertrauen ist. Jeder Teil eines Berichts dient dazu, eine Frage zu beantworten, die sich ein Leser stellen wird. Lektion 7.2 behandelt Einschränkungen, und Lektion 7.3 behandelt das Schreiben für Leser ohne Fachkenntnisse. Die während der Arbeit geführten Notizen, die den Bericht stützen, werden in Modul 5 behandelt.

Wozu ein Bericht dient

Ein forensischer Bericht vermittelt Befunde so, dass andere sie verstehen, überprüfen und sich auf sie verlassen können. Jedes dieser Verben verweist auf eine andere Lesergruppe.

• Verstehen: Die Person, die entscheiden muss, etwa ein Richter, ein Spruchkörper oder eine Führungskraft, benötigt klare Antworten auf die gestellten Fragen.
• Überprüfen: Eine überprüfende Person oder ein von der Gegenseite beauftragter Prüfer benötigt genügend Einzelheiten, um die Methode zu prüfen und die Arbeit zu wiederholen.
• Verlassen: Alle müssen wissen, worauf die Befunde beruhen und wo ihre Grenzen liegen, damit eine Entscheidung nicht über das hinausgeht, was die Beweismittel stützen.

ISO/IEC 27042, die Norm zur Analyse und Interpretation digitaler Beweismittel (Modul 1), ist die übliche internationale Referenz für die Berichterstattung über diese Arbeit. Allgemein verlangt sie, dass ein Bericht deutlich macht, was untersucht wurde, wie es untersucht wurde, was festgestellt wurde und wie sich jede Schlussfolgerung aus den Befunden ergibt. Nach ISO/IEC 17025 akkreditierte Labore müssen außerdem die Anforderungen dieser Norm an die Berichterstattung über Ergebnisse erfüllen.

Der typische Aufbau

Berichtsformate unterscheiden sich je nach Organisation und Land, doch die meisten enthalten dieselben Bausteine, üblicherweise in dieser Reihenfolge.

Tatsachen, Ableitungen und fachliche Einschätzungen

Ein Leser muss unterscheiden können, was der Prüfer beobachtet und was er daraus geschlossen hat. Drei Arten von Aussagen sollten voneinander getrennt und so formuliert werden, dass der Unterschied erkennbar ist.

• Tatsache (Beobachtung): Was die Daten enthalten und was jeder mit demselben Abbild überprüfen kann. "Der SYSTEM-Registry-Hive auf Untersuchungsgegenstand 1.1 enthält einen Eintrag für ein USB-Speichergerät mit der Seriennummer 0A1B2C."
• Ableitung: Eine Schlussfolgerung, die durch logisches Schließen aus Tatsachen gewonnen wird. "Dieses Gerät wurde am 4. März 2026 mit dem Laptop verbunden."
• Fachliche Einschätzung: Die auf Fachwissen beruhende Bewertung des Prüfers, was die Befunde im Hinblick auf die Fragen bedeuten, beispielsweise wie stark sie eine Erklärung gegenüber einer anderen stützen.

Viele Rechtssysteme erlauben Sachverständigen, fachliche Einschätzungen abzugeben, die gewöhnlichen Zeugen nicht gestattet sind, jedoch nur innerhalb ihres Fachgebiets und unter Angabe der Grundlage. Eine fachliche Einschätzung ohne ihre Grundlage ist für einen Leser, der sie abwägen muss, von geringem Nutzen.

Reproduzierbarkeit: genügend Einzelheiten, um die Arbeit zu wiederholen

Modul 1 definierte Reproduzierbarkeit: Ein anderer Prüfer erzielt mit derselben Methode dasselbe Ergebnis. Ein Bericht ermöglicht dies nur, wenn er Folgendes dokumentiert:

• die Hashwerte jedes Untersuchungsgegenstands und jedes Abbilds, damit ein zweiter Prüfer bestätigen kann, dass ihm dieselben Daten vorliegen;
• den Namen und die genaue Version jedes Werkzeugs, da sich das Parsing-Verhalten und bekannte Fehler zwischen Versionen ändern;
• Einstellungen, die die Ergebnisse beeinflussen, etwa die zur Anzeige von Zeitstempeln verwendete Zeitzone (Modul 6);
• den genauen Fundort jedes Befunds: Dateipfad, Registrierungsschlüssel, Datenbanktabelle oder Datensatznummer;
• wie gelöschte oder verborgene Daten wiederhergestellt und wie wesentliche Ergebnisse überprüft wurden, beispielsweise mit einem zweiten Werkzeug oder durch manuelle Prüfung.

Ein Bericht muss nicht jeden Klick auflisten. Diese Detailtiefe enthalten die zeitnah geführten Notizen (Modul 5), die offengelegt werden können, wenn eine überprüfende Person sie anfordert.

Schlussfolgerungen, die die Fragen beantworten

Jede Frage im Auftrag sollte eine Antwort erhalten, in derselben Reihenfolge und mit derselben Nummerierung, selbst wenn die Antwort lautet: "Dies konnte nicht festgestellt werden". Schlussfolgerungen führen nichts Neues ein: Jede sollte auf zuvor dargelegte Befunde zurückführbar sein. Entlastende Befunde gehören ebenso deutlich in die Schlussfolgerungen wie belastende (Modul 1). Wird ein Bericht später korrigiert oder erweitert, wird eine neue Version oder ein ergänzender Bericht herausgegeben, und die Änderungen werden angegeben, statt den früheren Text stillschweigend zu ersetzen.

Ein Praxisbeispiel: Datendiebstahl per USB

Nordvale Engineering vermutet, dass ein Ingenieur vor seiner Kündigung Konstruktionsdateien kopiert hat. Der Bericht des Prüfers wird nachfolgend skizziert.

1. Identifikation: Bericht NV-2026-014, Version 1.0; Name und Qualifikationen des Prüfers; Auftrag am 10. März 2026 erhalten; Untersuchung vom 11. bis 18. März; Bericht vom 20. März.
2. Fragen: Q1, wurde zwischen dem 1. und 15. März 2026 ein USB-Speichergerät mit dem Laptop NV-LT-0193 verbunden? Q2, wurden Dateien aus dem Projektordner Hydra auf ein solches Gerät übertragen? Q3, welches Benutzerkonto wurde zu diesem Zeitpunkt verwendet?
3. Untersuchungsgegenstände: Untersuchungsgegenstand 1, der Laptop mit seiner Seriennummer; Untersuchungsgegenstand 1.1, sein forensisches Abbild mit dem bei der Erfassung und Verifizierung dokumentierten SHA-256-Wert; Untersuchungsgegenstand 2, ein Export der Zugriffsprotokolle des Dateiservers mit eigenem Hashwert.
4. Methoden: Abbilderstellung über einen Schreibblocker; Werkzeuge mit genauen Versionen benannt; alle Zeiten in UTC angegeben.
5. Befunde: Geräteeinträge im SYSTEM-Registry-Hive und in setupapi.dev.log; Verknüpfungsdateien (LNK), die zeigen, dass Dateien mit denselben Namen wie Hydra-Dateien vom Volume des Geräts geöffnet wurden (Modul 6).
6. Interpretation: Die Befunde stützen eine Übertragung auf das Gerät; eine automatische Datensicherung wurde in Betracht gezogen und ausgeschlossen, da keine Sicherungssoftware konfiguriert war.
7. Einschränkungen: Das USB-Gerät stand nicht zur Verfügung, weshalb sein Inhalt nicht bestätigt werden konnte; die Befunde identifizieren ein Konto, keine Person.
8. Schlussfolgerungen: Antworten auf Q1, Q2 und Q3, jeweils mit Verweis auf die Befunde.
9. Anhänge: Ereigniszeitleiste, Liste der USB-Geräte, Glossar.

Prüfungsschwerpunkt: Gehen Sie die Abschnitte eines forensischen Berichts durch und prüfen Sie, welche Frage jeder beantwortet, insbesondere eingegangene Untersuchungsgegenstände mit IDs und Hashwerten, Werkzeuge mit genauen Versionen sowie Schlussfolgerungen, die jede Frage beantworten. Sie sollten Tatsachen, Ableitungen und fachliche Einschätzungen voneinander unterscheiden und erläutern können, welche Einzelheiten einen Bericht reproduzierbar machen. Merken Sie sich ISO/IEC 27042 als Referenz für die Berichterstattung über Analyse und Interpretation sowie die Anforderung, dass Schlussfolgerungen auf Befunde zurückführbar sein müssen.