Digitale Beweise richtig sichern: Warum der erste Umgang mit Daten entscheidend ist

Warum der erste Schritt so wichtig ist

Anders als ein physischer Gegenstand verändert sich ein digitales System im Betrieb ständig: Dateien werden geschrieben, Protokolle rotieren, Caches werden geleert, Updates laufen automatisch. Jeder Zugriff hinterlässt eigene Spuren: Wer eine Datei öffnet, ändert unter Umständen den Zeitstempel des letzten Zugriffs. Wer ein Gerät startet, startet Dutzende Prozesse.

Hinzu kommt, dass manche Daten nur kurz existieren. Der Arbeitsspeicher ist beim Ausschalten weg, Cloud-Protokolle werden nach Ablauf der Aufbewahrungsfrist überschrieben, Chatnachrichten können sich selbst löschen. Wer zu spät handelt, verliert Spuren, selbst wenn er alles richtig macht.

Was verloren geht, lässt sich später meist nicht rekonstruieren. Das gilt besonders, wenn der Original-Zustand nicht gesichert wurde.

Grundprinzipien der Sicherung

Leitfäden zur Beweissicherung (etwa RFC 3227) und fachliche Praxis nennen übereinstimmend einige Grundprinzipien.

Original möglichst nicht verändern. Die Auswertung erfolgt an Kopien, nicht am Original. Beim Erstellen der Kopie wird ein Schreibschutz eingesetzt, soweit möglich.

Nach Flüchtigkeit vorgehen. Zuerst werden Daten gesichert, die am schnellsten verloren gehen (etwa Arbeitsspeicher und Verbindungen), danach Datenträger und zuletzt Daten, die ohnehin dauerhaft vorliegen. Bei laufenden Systemen wird dazu abgewogen, ob Live-Maßnahmen nötig sind (Live Forensics).

Vollständig und nachvollziehbar sichern. Die Sicherung erfasst nicht nur sichtbare Dateien, sondern bei Bedarf den gesamten Datenträger als forensisches Abbild mit gelöschten und ungenutzten Bereichen.

Integrität belegen. Mit einem Hashwert wird festgehalten, dass Kopie und Original übereinstimmen; spätere Kontrollen zeigen, ob sich etwas geändert hat (Integritätsprüfung).

Alles dokumentieren. Wer hat was, wann, womit und warum getan? Welche Annahmen wurden getroffen? Diese Dokumentation macht die Sicherung überprüfbar.

Aufbewahrung nachvollziehbar halten. Übergaben, Lagerung und Zugriffe werden festgehalten (Chain of Custody).

Was ein Hashwert leistet und was nicht

Ein Hashwert ist eine Art digitaler Fingerabdruck von Daten. Ändert sich ein einziges Bit, ändert sich der Wert. Er zeigt damit, dass zwei Datenstände übereinstimmen, etwa Original und Kopie.

Was er nicht leistet: Er sagt nichts darüber, ob die Daten inhaltlich richtig sind oder wie sie entstanden sind. Wird er erst nach einer Veränderung berechnet, bestätigt er nur den veränderten Zustand. Und er ersetzt keine vollständige Beweiskette: Wer hatte das Medium, wo wurde es aufbewahrt, welche Schritte wurden vorgenommen? Hashwert und Dokumentation ergänzen sich.

Typische Fehler

Die folgende Liste zeigt häufige Fehler im ersten Umgang. Sie sind selten böswillig, sondern meist gut gemeint.

1. Gerät weiter benutzen. Jede Nutzung verändert Daten und kann Spuren überschreiben.
2. Selbst nachsehen. Dateien öffnen, Postfächer durchsuchen oder Einstellungen ändern verändert Zeitstempel und kann Beweise unbrauchbar machen.
3. Aufräumen. Löschen, Formatieren, „Bereinigen“ oder die Neuinstallation eines Systems vernichtet Spuren.
4. Neu starten oder ausschalten. Flüchtige Daten gehen verloren; auf einem laufenden System kann ein Neustart Beweisverlust bedeuten.
5. Nur Screenshots anfertigen. Screenshots zeigen den Inhalt, aber nicht Metadaten, Herkunft und technische Zusammenhänge. Sie sind besser als nichts, aber kein Ersatz für eine Sicherung.
6. Nachrichten nur weiterleiten. Beim Weiterleiten gehen technische Kopfzeilen und Anhänge in ursprünglicher Form oft verloren.
7. Ungeklärte Zuständigkeit. Wenn niemand weiß, wer entscheidet, vergeht Zeit, in der Protokolle überschrieben werden.
8. Unsachgemäße Aufbewahrung. Datenträger ohne Kennzeichnung oder Übergabeprotokoll sind später schwer zuzuordnen.

Was im Verdachtsfall zu tun ist

Ein konkreter Verdacht verlangt strukturiertes Vorgehen. Die folgende Reihenfolge ist als Orientierung gedacht und ersetzt keine Beratung im Einzelfall.

1. Ruhe bewahren und nichts verändern. Geräte nicht weiter nutzen, nicht aufräumen und nicht neu starten, bevor geklärt ist, ob Daten gesichert werden müssen.
2. Zuständige informieren. Geschäftsleitung, IT-Verantwortliche und gegebenenfalls Rechtsberatung und Datenschutz einbeziehen.
3. Beobachtungen festhalten. Datum, Uhrzeit, Auffälligkeiten, beteiligte Personen und bereits unternommene Schritte notieren.
4. Flüchtige und zeitkritische Quellen priorisieren. Dazu können Cloud-Protokolle, Postfächer und laufende Systeme gehören, deren Aufbewahrungsfristen ablaufen.
5. Sichern lassen. Eine fachkundige Sicherung wählt Methode und Werkzeuge passend zum Fall und dokumentiert sie.

Welche Meldepflichten bestehen, etwa bei Datenschutzverletzungen, ist rechtlich zu klären.

Besondere Situationen

Mobile Geräte. Smartphones verschlüsseln Daten, aktualisieren sich und löschen unter Umständen Daten aus der Ferne oder nach mehreren Fehlversuchen. Eine Sicherung erfordert angepasste Verfahren, und nicht in jedem Fall lässt sich ein vollständiges Abbild erstellen.

Cloud-Dienste. Hier gilt: Zugriff über die vom Anbieter bereitgestellten Wege und Berechtigungen, und rasch, bevor Aufbewahrungsfristen ablaufen (Cloud-Forensik).

Laufende Server. Ausschalten kann Spuren vernichten, Weiterbetrieb kann sie verändern. Die Abwägung gehört in die Hand von Fachleuten (Speicherforensik).

Was ein Sicherungsprotokoll mindestens enthalten sollte

Unabhängig vom Werkzeug sollte die Dokumentation einer Sicherung einige Grundangaben enthalten:

Ein solches Protokoll muss nicht aufwendig sein, sollte aber zeitnah entstehen. Spätere Rekonstruktionen aus der Erinnerung sind weniger belastbar.

Einordnung

„Gerichtsfest“ ist keine Eigenschaft, die eine technische Sicherung automatisch erwirbt. Eine sorgfältige, dokumentierte Sicherung verbessert die Nachvollziehbarkeit erheblich. Ob ein Ergebnis in einem Verfahren verwertet und wie es gewürdigt wird, entscheidet das Gericht. Der Beitrag ist eine allgemeine Information und ersetzt weder Rechtsberatung noch eine Untersuchung.