Schreiben für Nichtfachleute

Die Personen, die auf Grundlage eines forensischen Berichts handeln, sind selten forensische Prüfer. Ein Richter entscheidet einen Fall, ein Rechtsanwalt berät einen Mandanten, eine Führungskraft entscheidet über Disziplinarmaßnahmen, und in manchen Ländern entscheiden Geschworene über die Schuldfrage. Wenn diese Personen den Bericht missverstehen, spielt die Qualität der Untersuchung keine Rolle. Für sie zu schreiben, ist eine eigenständige Fähigkeit, deren Techniken sich erlernen und vor der Unterzeichnung überprüfen lassen. Die persönliche Aussage als Sachverständiger, einschließlich mündlicher Aussage und Kreuzverhör, wird in der IDFE-Zertifizierung Forensic Report and Expert Testimony (FRET) behandelt.

Wer den Bericht liest

Ein Bericht muss ihnen allen gerecht werden. Die Lösung besteht nicht darin, technische Details zu entfernen, sondern sie in Ebenen anzuordnen, damit jeder Leser das Benötigte findet, ohne sich durch den Rest durcharbeiten zu müssen.

Verständliche Sprache

• Kurze Sätze. Ein Gedanke pro Satz; teilen Sie lange Sätze bei „und“, „welcher“ und „weil“ auf.
• Aktiv statt Passiv. „Ich untersuchte den Laptop“ ist klarer als „der Laptop wurde untersucht“ und zeigt, wer die Arbeit ausgeführt hat.
• Definieren Sie Fachbegriffe bei der ersten Verwendung, im Text oder in einem Glossar, und schreiben Sie jedes Akronym bei der ersten Verwendung aus.
• Erklären Sie einen Begriff einmal und verwenden Sie dann immer denselben Begriff. Wenn der Bericht einen Gegenstand als „den USB-Stick“ bezeichnet, sollte daraus später nicht „das USB-Laufwerk“ oder „der Wechseldatenträger“ werden; Leser könnten denken, dass es sich um drei Geräte handelt.
• Schreiben Sie Datums- und Zeitangaben eindeutig. „04/03/2026“ bezeichnet in verschiedenen Ländern unterschiedliche Daten; „4. März 2026“ oder „2026-03-04“ dagegen nicht. Geben Sie immer die Zeitzone an.
• Setzen Sie Vergleiche mit Bedacht ein. Zu sagen, dass das Löschen einer Datei dem Entfernen einer Katalogkarte aus einer Bibliothek gleicht, während das Buch im Regal bleibt, ist hilfreich. Erklären Sie jedoch, wo der Vergleich endet: Der Speicherplatz kann jederzeit wiederverwendet werden.

Aufbau: Antworten zuerst

Leser mit wenig Zeit lesen die erste Seite. Eine Kurzfassung am Anfang führt jede Frage auf und gibt auf höchstens einer Seite eine kurze Antwort mit den wesentlichen Einschränkungen. Im Hauptteil werden anschließend die Befunde und ihre Interpretation dargelegt, und die technischen Anhänge enthalten die Details, die Fachleute benötigen. Jede Aussage in der Kurzfassung muss mit den Schlussfolgerungen übereinstimmen und auf die Befunde zurückführbar sein: Die Kurzfassung verkürzt den Bericht, sie verändert ihn nicht.

Tabellen, Zeitleisten und Abbildungen

Eine Zeitleiste in Tabellenform mit einem Ereignis pro Zeile, Datum und Uhrzeit, dem Untersuchungsgegenstand als Quelle und einer verständlichen Beschreibung ist häufig die klarste Möglichkeit, einen Ablauf darzustellen. Abbildungen und Screenshots sind hilfreich, wenn sie beschriftet sind: Jede benötigt eine Nummer, eine Bildunterschrift, den Untersuchungsgegenstand und die Fundstelle, aus denen sie stammt, sowie einen Verweis im Text, der ihre Bedeutung erklärt. Eine Abbildung, die im Text nie erwähnt wird, sollte entfernt werden. Screenshots von Werkzeugausgaben sollten auf die relevanten Datensätze zugeschnitten und dürfen nicht auf andere Weise bearbeitet werden; wenn etwas hervorgehoben oder geschwärzt wird, muss die Bildunterschrift dies angeben. Diagramme benötigen beschriftete Achsen und Einheiten sowie einen Maßstab, der kleine Unterschiede nicht übertreibt.

Neutraler Ton

Beschreiben Sie; argumentieren Sie nicht. Vermeiden Sie emotional gefärbte Wörter wie „verdächtig“, „offensichtlich“ oder „versuchte zu verbergen“ und vermeiden Sie Aussagen über Absicht oder Schuld, über die das Gericht zu befinden hat. Schreiben Sie „der Verdächtige“ oder „das Opfer“ nur dann, wenn dies die formelle Rolle ist; verwenden Sie andernfalls den Kontonamen oder die Nummer des Untersuchungsgegenstands. Stellen Sie entlastende Befunde ebenso sachlich und deutlich heraus wie belastende, und wahren Sie denselben Ton, unabhängig davon, wer Sie beauftragt hat. Ein hilfreicher Test besteht darin, sich zu fragen, ob der Bericht genauso formuliert wäre, wenn die Gegenseite ihn angefordert hätte.

Fachsprache in verständliche Sprache übertragen

Checkliste zur Überprüfung vor der Unterzeichnung

1. Jede Frage wird in der vorgegebenen Reihenfolge sowohl in der Kurzfassung als auch in den Schlussfolgerungen beantwortet.
2. Jede Schlussfolgerung lässt sich auf einen Befund zurückführen, und jede fachliche Einschätzung nennt ihre Grundlage.
3. Tatsachen, Ableitungen und fachliche Einschätzungen sind so formuliert, dass der Unterschied erkennbar ist.
4. Einschränkungen werden dort genannt, wo sie einen Befund betreffen (Lektion 7.2).
5. Untersuchungsgegenstände sind mit Kennungen und Hashwerten versehen; bei Werkzeugen sind die genauen Versionen angegeben.
6. Fachbegriffe sind definiert, Begriffe werden einheitlich verwendet, und Zeitangaben enthalten eine Zeitzone.
7. Der Ton ist neutral, und es wird keine Person benannt, wenn die Daten lediglich ein Konto erkennen lassen.
8. Ein zweiter Prüfer hat den technischen Inhalt überprüft, und idealerweise hat eine fachfremde Person die Kurzfassung gelesen.

Ein ausgearbeitetes Beispiel: Überarbeitung eines Absatzes

Vorher: „Die Analyse der E01 ergab für report.docx einen $SI-Erstellungszeitstempel, der vor dem $FN-Erstellungszeitstempel in der MFT liegt, was auf Timestomping durch die untersuchte Person hindeutet.“ Für Fachleute ist der Satz korrekt, für alle anderen jedoch unverständlich, und „durch die untersuchte Person“ behauptet mehr, als die Daten zeigen.

Nachher: „Ich untersuchte die Kopie des Datenträgers des Laptops (Untersuchungsgegenstand 1.1). Das Windows-Dateisystem NTFS führt für jede Datei zwei Sätze von Datumsangaben. Bei der Datei report.docx liegt das Erstellungsdatum in dem Satz, den gewöhnliche Programme ändern können, vor dem Erstellungsdatum in dem Satz, den das System normalerweise selbst verwaltet. Dieses Muster kann durch Software entstehen, die Datumsangaben von Dateien absichtlich verändert, hat aber auch alltägliche Ursachen, etwa Installationsprogramme und Archivierungswerkzeuge, die die ursprünglichen Datumsangaben einer Datei wiederherstellen. Für sich allein zeigt es nicht, wer die Datumsangaben geändert hat oder warum.“

Die überarbeitete Fassung ist länger, aber nun können alle Leser ihr folgen, und die alternative Erklärung ist sichtbar statt verborgen.

Prüfungsschwerpunkt: Denken Sie zuerst daran, wer einen forensischen Bericht liest und was die jeweiligen Leser benötigen, sowie an die Techniken verständlicher Sprache: kurze Sätze, Aktiv statt Passiv, einmal definierte und einheitlich verwendete Begriffe, ausgeschriebene Akronyme, eindeutige Datumsangaben mit Zeitzonen und wohlüberlegte Vergleiche. Die Fragen behandeln außerdem die Platzierung der Antworten am Anfang in einer Kurzfassung, die mit den Schlussfolgerungen übereinstimmt, beschriftete Abbildungen und Zeitleisten, einen neutralen Ton ohne emotional gefärbte Wörter oder rechtliche Schlussfolgerungen sowie die Überprüfungen vor der Unterzeichnung.