Einschränkungen darlegen

Jede Untersuchung hat Grenzen. Manche Untersuchungsgegenstände wurden nicht bereitgestellt, manche Daten waren verschlüsselt oder überschrieben, manche Werkzeuge konnten ein Format nicht lesen, und manche Befunde lassen sich durch mehr als eine Erklärung deuten. Ein Bericht, der diese Grenzen verschweigt, führt seine Leser in die Irre; ein Bericht, der sie darlegt, zeigt den Lesern genau, inwieweit sie sich auf den jeweiligen Befund verlassen können.

Warum Einschränkungen in den Bericht gehören

• Entscheidungen hängen von ihnen ab. Eine Führungskraft oder ein Gericht, das auf Grundlage eines Befunds handelt, muss dessen Grenzen kennen.
• Sie werden ohnehin entdeckt. Ein von der Gegenseite beauftragter Prüfer wird nach Lücken suchen. Eine Einschränkung, die bereits im Bericht steht, fällt nicht ins Gewicht; eine erst später entdeckte Einschränkung beschädigt die Glaubwürdigkeit des gesamten Berichts.
• Unparteilichkeit erfordert es. Der Prüfer dient der Feststellung von Tatsachen, nicht einer Partei (Modul 2), und die Grenzen der Arbeit gehören zu diesen Tatsachen.

Eine Einschränkung darzulegen, ist kein Eingeständnis schlechter Arbeit. Es zeigt, dass der Prüfer die Methode gut genug versteht, um ihre Grenzen zu kennen.

Arten von Einschränkungen

• Einschränkungen des Untersuchungsumfangs: was nicht untersucht wurde. Nicht bereitgestellte Untersuchungsgegenstände, Konten oder Cloud-Daten außerhalb der erteilten Befugnis, ein eingeschränkter Zeitraum oder nicht gestellte Fragen.
• Datenbedingte Einschränkungen: was in den Daten nicht verfügbar war. Verschlüsselte Volumes ohne Schlüssel, gelöschte Daten, die überschrieben oder durch TRIM gelöscht wurden (Modul 1), durch Rotation überschriebene oder nie aktivierte Protokolle, beschädigte Datenträger.
• Werkzeugbedingte Einschränkungen: was die Werkzeuge nicht zuverlässig leisten konnten. Ein Parser, der eine neue App-Version nicht unterstützt, bekannte Fehler in einer Werkzeugversion oder nie validierte Funktionen (ISO/IEC 27041). Werkzeugtestberichte, etwa die des Programms NIST Computer Forensics Tool Testing (CFTT), helfen Prüfern, diese Grenzen zu kennen.
• Zeit- und ressourcenbedingte Einschränkungen: eine Frist, die bei einigen Untersuchungsgegenständen nur eine Stichwortsuche zuließ, oder nicht verfügbare Ausrüstung.
• Interpretationsbedingte Einschränkungen: Befunde, die sich durch mehr als eine Erklärung deuten lassen, etwa ein gemeinsam genutztes Konto, Fernzugriff, Schadsoftware oder eine falsch eingestellte Systemuhr.

Häufige Einschränkungen und ihre Formulierung

Eine gute Formulierung benennt die Einschränkung, ihre Ursache und ihre Auswirkung auf die Befunde, ohne sich zu entschuldigen oder vage zu bleiben.

Den Grad der Sicherheit ausdrücken

Leser müssen wissen, wie stark die Befunde eine Schlussfolgerung stützen. Zwei Ansätze sind üblich.

Verbale Skalen

Eine verbale Skala verwendet einen festen Satz von Formulierungen, etwa schwache, mäßige, starke und sehr starke Unterstützung. Die Skala wird einmal im Bericht definiert, häufig in einem Anhang, und dieselben Wörter haben stets dieselbe Bedeutung. Das Vermischen ungenauer Begriffe wie "vermutlich", "wahrscheinlich" und "vereinbar mit" verwirrt die Leser. "Vereinbar mit" ist eine besondere Falle: Es bedeutet lediglich, dass die Befunde einer Erklärung nicht widersprechen, doch viele Leser verstehen es als starke Unterstützung.

Der Likelihood-Ansatz

Bei der evaluativen Berichterstattung betrachtet der Prüfer zwei konkurrierende Hypothesen, beispielsweise "der Benutzer hat die Dateien kopiert" und "ein automatischer Prozess hat die Dateien kopiert", und fragt, wie viel wahrscheinlicher die Befunde sind, wenn die eine statt der anderen Hypothese zutrifft. Das Verhältnis dieser beiden Wahrscheinlichkeiten ist das Likelihood-Verhältnis, und verbale Skalen werden häufig dessen Wertebereichen zugeordnet. Die 2015 vom European Network of Forensic Science Institutes (ENFSI) veröffentlichte Leitlinie zur evaluativen Berichterstattung ist ein häufig zitiertes Beispiel. Bei diesem Ansatz äußert sich der Prüfer zu den Befunden, nicht zur Wahrscheinlichkeit, dass eine Hypothese zutrifft; diese Entscheidung liegt beim Gericht oder beim Entscheidungsträger.

Keine Belege gefunden bedeutet nicht, dass das Nichtvorliegen belegt ist

"Es wurden keine Belege für Schadsoftware gefunden" bedeutet, dass bei den durchgeführten Suchen keine gefunden wurden. Es bedeutet nicht, dass keine Schadsoftware vorhanden war. Die Feststellung des Nichtvorliegens ist nur dann aussagekräftig, wenn zwei Bedingungen erfüllt sind: Die Spur wäre entstanden, wenn das Ereignis stattgefunden hätte, und die Spur wäre erhalten geblieben und mit den verwendeten Methoden gefunden worden. Ein Bericht sollte daher angeben, wo und wie der Prüfer gesucht hat, beispielsweise "An den in Anhang B aufgeführten Speicherorten wurden keine Einträge zu USB-Speichergeräten gefunden", und ob dort Spuren zu erwarten wären.

Überzogene Aussagen vermeiden

• Ein Gerät oder Konto ist keine Person. Aktivität unter einem Konto zeigt, dass das Konto verwendet wurde, nicht, wer es verwendet hat. Gemeinsam genutzte Passwörter, Fernzugriff und Schadsoftware sind mögliche Erklärungen, die zu berücksichtigen sind.
• Ein Zeitstempel ist ein aufgezeichneter Wert. Er hängt von der Systemuhr und deren Zeitzoneneinstellung ab und kann verändert werden (Modul 6).
• Vorhandensein bedeutet nicht Kenntnis. Eine Datei in einem Browsercache oder einem Download-Ordner zeigt nicht, dass der Benutzer sie geöffnet hat oder ihren Inhalt kannte.
• Vermeiden Sie absolute Wörter wie "beweist", "zweifellos" und "ohne jeden Zweifel" sowie rechtliche Schlussfolgerungen wie "gestohlen" oder "schuldig", die dem Gericht vorbehalten sind.

Ein ausgearbeitetes Beispiel: eine überzogene Aussage umformulieren

Ein Berichtsentwurf zum Fall Nordvale (Lektion 7.1) enthält diesen Satz: "Die Analyse beweist, dass Herr Marsh am 4. März die Konstruktionsdateien gestohlen hat, indem er sie auf sein USB-Laufwerk kopierte." Er nennt eine Person, obwohl die Daten nur ein Konto erkennen lassen, verwendet "beweist" und "gestohlen", unterstellt, wem das Laufwerk gehörte, und behauptet einen Kopiervorgang, der nicht unmittelbar beobachtet wurde.

Eine bessere Fassung: "Am 4. März 2026 zwischen 09:12 und 09:40 UTC war, während das Konto jmarsh angemeldet war, ein USB-Speichergerät mit der Seriennummer 0A1B2C an Untersuchungsgegenstand 1 angeschlossen. Für diesen Zeitraum verzeichnen die Serverprotokolle (Untersuchungsgegenstand 2), dass unter dem Konto elf Dateien im Ordner Hydra gelesen wurden; anschließend wurden Dateien mit denselben Namen vom Gerät geöffnet. Meiner Einschätzung nach stützen diese Befunde stark die Hypothese, dass die Dateien mit diesem Laptop auf das Gerät kopiert wurden, statt auf anderem Wege auf das Gerät gelangt zu sein. Die Befunde zeigen nicht, wer den Laptop benutzte, und das Gerät stand für eine Untersuchung nicht zur Verfügung."

Prüfungsschwerpunkt: Sie sollten die fünf Arten von Einschränkungen (Untersuchungsumfang, Daten, Werkzeuge, Zeit und Ressourcen, Interpretation) benennen und ein Beispiel zuordnen können. Rechnen Sie mit Fragen dazu, warum Einschränkungen einen Bericht stärken, zu konsistenten verbalen Skalen, zum Likelihood-Ansatz (Bewertung der Befunde unter zwei konkurrierenden Hypothesen), zum Unterschied zwischen "es wurden keine Belege gefunden" und Belegen für das Nichtvorliegen sowie zu überzogenen Aussagen, etwa der Gleichsetzung eines Kontos mit einer Person.