Digitale Beweise vor Gericht: Worauf kommt es bei der Beweissicherung an?

Opfer von Cyberkriminalität können Unternehmen ebenso wie Privatpersonen werden. Angreifer entwickeln ihre Methoden kontinuierlich weiter. Sie nutzen Künstliche Intelligenz, E-Mails, Schadsoftware und immer häufiger auch Apps und Messenger-Dienste auf dem Smartphone, um an das Geld ihrer Opfer zu gelangen und andere Ziele zu erreichen. Umso wichtiger ist die Beweissicherung.

Warum sind digitale Beweise so wichtig?

Cyberkriminalität kann sich in vielen Varianten zeigen:

• Digitale Gewalt in Form von Cybermobbing mit schweren psychischen Folgen für die Opfer
• Phishing, bei dem über täuschend echt wirkende E-Mails sensible Bankdaten der Opfer abgefragt werden
• Anlage- oder Kryptowährungsbetrug
• Lovescamming, bei dem den Opfern im Internet die große Liebe vorgespielt wird und sie oft um hohe Geldbeträge gebracht werden
• Jobscamming, bei dem die Opfer attraktive Jobangebote erhalten und ihnen in Wahrheit ihre Identität gestohlen und missbraucht wird
• Einschleusen von Schadsoftware, um an sensible Daten zu gelangen oder wichtige Daten zu vernichten

Das sind nur einige Formen von Cyberkriminalität. Auch Unternehmen können betroffen sein und empfindliche Schäden erleiden. In jedem Fall kommt es auf Beweise an. Bei der Aufklärung von Cyberkriminalität sind digitale Beweise essenziell. Sie dienen der Vorbereitung von Prozessen und können vor Gericht verwendet werden, wenn sie die entsprechenden Voraussetzungen erfüllen.

Der Beibringungsgrundsatz gilt in Zivilverfahren: Die Parteien sind dafür verantwortlich, die Fakten und Beweise selbst vorzulegen, und im Allgemeinen trägt jede Partei die Beweislast für die Tatsachen, die ihr zugutekommen. In Verfahren, in denen das Gericht den Sachverhalt von Amts wegen ermittelt, ist es anders – wie in Familiensachen und Angelegenheiten der freiwilligen Gerichtsbarkeit nach dem FamFG, zu denen auch Gewaltschutzsachen gehören, sowie vor Verwaltungs- und Sozialgerichten. Im Strafverfahren existiert keine Beweislast im zivilrechtlichen Sinne: Es obliegt der Staatsanwaltschaft und dem Gericht, den Sachverhalt von Amts wegen zu klären, einschließlich sowohl belastender als auch entlastender Faktoren; verbleibende Zweifel kommen der beschuldigten Person zugute. Doch können Polizei und Staatsanwaltschaft Beweise nur sichern, wenn sie davon wissen. Ein spezialisiertes Unternehmen kann für die digitale Beweissicherung beauftragt werden.

Was sind digitale Beweismittel?

Bei Beweismitteln, die ursprünglich in elektronischer Form entstanden sind, handelt es sich um digitale Beweismittel. Der Beibringungsgrundsatz gilt in Zivilverfahren: Die Parteien sind dafür verantwortlich, die Fakten und Beweise selbst vorzulegen, und im Allgemeinen trägt jede Partei die Beweislast für die Tatsachen, die ihr zugutekommen. In Verfahren, in denen das Gericht den Sachverhalt von Amts wegen ermittelt, ist es anders – wie in Familiensachen und Angelegenheiten der freiwilligen Gerichtsbarkeit nach dem FamFG, zu denen auch Gewaltschutzsachen gehören, sowie vor Verwaltungs- und Sozialgerichten. Im Strafverfahren existiert keine Beweislast im zivilrechtlichen Sinne: Es obliegt der Staatsanwaltschaft und dem Gericht, den Sachverhalt von Amts wegen zu klären, einschließlich sowohl belastender als auch entlastender Faktoren; verbleibende Zweifel kommen der beschuldigten Person zugute.

Digitale Beweismittel können in vielen Formen verwendet werden:

• Forensisch ausgelesene Daten aus Computern, mobilen Geräten und Fahrzeugen
• Bild- und Videoaufnahmen
• Logdateien
• Inhaltsdaten aus Cloud-Diensten
• E-Mails
• Messenger-Chats, beispielsweise aus WhatsApp, Signal oder Telegram

Die Besonderheit dieser digitalen Beweismittel besteht darin, dass sie keine unmittelbar wahrnehmbare körperliche Form haben. Sie können nur durch Auslesen, Aufbereiten und Darstellen sichtbar gemacht werden.

Damit diese digitalen Beweise aussagekräftig sind, müssen die technischen Verarbeitungsschritte nachvollziehbar und die Authentizität und Integrität der Daten gewährleistet sein.

Digitale Beweisdaten sind in der IT-Forensik nur dann belastbar, wenn eine vollständige Dokumentation über Herkunft, Sicherung und Verarbeitung vorliegt. Manipulationen, Fehlinterpretationen und Fehlverarbeitungen müssen zuverlässig ausgeschlossen werden können.

Wichtige Anforderungen an die digitalen Beweise

Die Beweissicherung steht vor einigen Herausforderungen, damit die Beweise tatsächlich im Zivil- oder Strafprozess verwendbar sind. Digitale Beweise können herkömmliche Methoden ersetzen oder ergänzen. Ein Vorteil besteht darin, dass die Informationen schneller verfügbar und auch präziser als andere Informationen sein können.

Damit die digitalen Beweise tatsächlich vor Gericht nutzbar sind, müssen sie den folgenden Anforderungen gerecht werden:

• Manipulationssicherheit: Die digitalen Daten sind nur dann uneingeschränkt verlässlich, wenn sie nicht manipuliert werden können. Dafür müssen sie unverändert sein und lückenlos dokumentiert werden. Zur Gewährleistung der Echtheit werden kryptografische Verfahren wie digitale Signaturen genutzt.
• Sicherheit bei Speicherung und Übertragung: Zusätzliche Risiken entstehen bei der Speicherung und Übertragung der digitalen Beweismittel. Sachverständige müssen auf sichere Kommunikationskanäle und verschlüsselte Speichermethoden achten. Sensible Daten können durch unsachgemäße Handhabung verändert werden oder in die falschen Hände gelangen. Die Integrität der Daten muss gewährleistet sein.
• Sorgfältige Speicherung auch bei komplexen Beweismitteln: Häufig sind digitale Beweismittel deutlich komplexer als herkömmliche Beweise. Daher kommt es darauf an, Bedienfehler bei der Speicherung und Verarbeitung zu vermeiden. Aus großen Datenmengen müssen die für den Sachverhalt relevanten Informationen herausgefiltert werden. Das ist bspw. mit einer spezialisierten Softwarelösung möglich.
• Erhebung im Einklang mit dem Recht: Die digitalen Beweismittel müssen den rechtlichen Vorgaben entsprechen, vor allem den derzeit gültigen datenschutzrechtlichen Bestimmungen. Im Zivilprozess führt ein Verstoß gegen den Datenschutz jedoch nicht automatisch zu einem Verwertungsverbot. So hat der Bundesgerichtshof beispielsweise Dashcam-Aufnahmen trotz eines Datenschutzverstoßes als verwertbar angesehen und betont, dass eine Interessenabwägung im Einzelfall erforderlich ist (BGH, Urteil vom 15.05.2018, VI ZR 233/17).

Damit der Beweiswert von digitalen Beweismitteln tatsächlich gewährleistet ist, muss die forensische Vorgehensweise nachprüfbar sein. Die vollständigen Rohdaten als Quelle für die Beweismittel müssen verfügbar sein. Die Auswertung der Daten muss auch für das Gericht nachvollziehbar sein. Anderenfalls verlieren diese Daten ihre Überzeugungskraft.

Mitunter muss ein Gegengutachter hinzugezogen werden. Ein unabhängiger IT-Forensiker muss die vorhandenen digitalen Beweismittel technisch prüfen können. Es kommt auf relevante Artefakte, untersuchte Datenquellen, Zeitbezüge, Integritätsinformationen und methodische Schritte an.

Schnelles Handeln bei der Beweissicherung wichtig

Damit die digitalen Beweise aussagekräftig und vor Gericht verwendbar sind, kommt es auf schnelles Handeln bei der Beweissicherung an. Es ist möglich, dass die Daten versehentlich gelöscht oder überschrieben werden.

Eine Weiternutzung des Computers oder mobilen Geräts macht die digitalen Beweise nicht in jedem Fall unbrauchbar.

Bei der Beweisbewertung ist zu berücksichtigen, dass ein Gerät nach dem relevanten Ereignis weiterhin benutzt wurde.

Ein Problem bei Messenger-Diensten wie WhatsApp oder Telegram besteht darin, dass die vorhandenen Chatverläufe von einem der Beteiligten für alle gelöscht werden können. Es ist dann nicht oder nur erschwert möglich, einen solchen Chatverlauf wiederherzustellen.

Herausforderung bei der Sicherung von Beweismitteln

Damit die digitalen Beweismittel tatsächlich verwendbar sind, steht die Sicherung dieser Daten im Mittelpunkt der Beweissicherung. Der wichtigste Grundsatz lautet, dass die Daten zuerst gesichert werden müssen, bevor eine Analyse erfolgt. Eine Analyse von laufenden Systemen kann die Spuren verändern. Bis die Beweissicherung abgeschlossen ist, darf nichts verändert werden.

Um ein möglichst genaues forensisches Abbild zu erzeugen, muss eine Bit-für-Bit-Kopie des gesamten Datenträgers erfolgen. Dazu gehören auch gelöschte Bereiche und unzugewiesene Speichersegmente. Nur so kann nachgewiesen werden, dass nichts verändert wurde.

Die Beweismittelkette (Chain of Custody) muss lückenlos und nachvollziehbar sein. Als Ergebnis muss eine Zeitlinie mit verständlicher Reihenfolge der technischen Ereignisse entstehen, um das Gericht überzeugen zu können.

Damit die Artefakte tatsächlich beweiskräftig sind, müssen sie aussagekräftig sein. In Chatprotokollen kommt es auf Metadaten wie Absender und Zeit an. E-Mails müssen über Header verfügen. Serverlogs müssen nachvollziehbar dokumentiert sein.