IT-Forensik & Digitale Beweissicherung im Strafverfahren

1. Digitale Asservate im Schnittfeld strafprozessualer Zwangsmaßnahmen

Die Durchsuchung von Wohn- und Geschäftsräumen nach §§ 102, 103 StPO dient in der heutigen Ermittlungspraxis nahezu ausnahmslos der Sicherung elektronischer Datenträger. Smartphones, Notebooks, Workstations, Netzwerkspeicher (NAS), externe Festplatten und zunehmend auch Cloud-Speicher stellen die primären Erkenntnisquellen für Ermittlungsbehörden dar. Ob im Wirtschaftsstrafrecht, bei Steuerhinterziehungsvorwürfen oder in Verfahren des allgemeinen Strafrechts: Digitale Spuren entscheiden häufig über Anklageerhebung oder Verfahrenseinstellung.

Für die betroffenen Bürger und Unternehmen bedeutet der Zugriff auf elektronische Speichergeräte einen tiefgreifenden Eingriff in elementare Grundrechte. Berührt sind nicht nur das Grundrecht auf Unverletzlichkeit der Wohnung (Art. 13 Abs. 1 GG), sondern insbesondere das Fernmeldegeheimnis (Art. 10 GG) und das verfassungsrechtlich garantierte Recht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme (Art. 2 Abs. 1 i. V. m. Art. 1 Abs. 1 GG, sog. IT-Grundrecht).

Die strafrechtliche Verteidigung steht vor der anspruchsvollen Aufgabe, die behördliche Beweiserhebung vom Moment des ersten Zugriffs an auf formelle und materielle Rechtmäßigkeit zu überprüfen. Einen vertieften Einblick in die Praxis unzulässiger Durchsuchungen und zeitlicher Grenzen im Ermittlungsverfahren gibt der Fachbeitrag von Rechtsanwalt Thomas Koll zu rechtswidrigen Durchsuchungen bei Altfällen (blog.ra-koll.de), der sich mit den verfassungsrechtlichen Maßstäben von Durchsuchung und Beschlagnahme auseinandersetzt.

2. Sicherstellung vs. Durchsicht: Die Systematik der §§ 94, 98 und 110 StPO

In der Durchsuchungspraxis wird der grundlegende Unterschied zwischen einer förmlichen Beschlagnahme nach §§ 94, 98 StPO und einer vorläufigen Sicherstellung zur Durchsicht gemäß § 110 StPO von den Ermittlungsbehörden häufig verwischt. Dies führt regelmäßig zu gravierenden Verfahrensfehlern, die im Rahmen der Strafverteidigung gerügt werden müssen.

2.1 Beschlagnahme nach §§ 94, 98 StPO

Die förmliche Beschlagnahme setzt voraus, dass der Gegenstand als Beweismittel für die konkrete Untersuchung von Bedeutung sein kann. Sie steht gemäß § 98 Abs. 1 S. 1 StPO grundsätzlich unter dem Vorbehalt richterlicher Anordnung. Nur bei Gefahr im Verzug ist die Staatsanwaltschaft und in deren Auftrag die Polizei zur vorläufigen Anordnung befugt. Widerspricht der Betroffene der Beschlagnahme ausdrücklich, muss die Staatsanwaltschaft binnen drei Tagen die richterliche Bestätigung beantragen (§ 98 Abs. 2 S. 1 StPO).

2.2 Vorläufige Sicherstellung zur Durchsicht (§ 110 StPO)

Da die Ermittlungsbeamten vor Ort auf Terabyte-großen Festplatten oder verschlüsselten Smartphones selten ad hoc beurteilen können, welche Dateien beweisrelevant sind, greifen sie auf das Institut der Durchsicht nach § 110 StPO zurück. Gemäß § 110 Abs. 1 StPO steht das Recht zur Durchsicht von Papieren grundsätzlich der Staatsanwaltschaft und auf deren Anordnung den Ermittlungspersonen zu.

§ 110 Abs. 3 StPO regelt die Durchsicht elektronischer Speichermedien: Diese dürfen auch an einem anderen Ort – typischerweise in den IT-Forensik-Laboren der Landeskriminalämter oder des Zolls – vorgenommen werden. Die Mitnahme zur Durchsicht stellt jedoch keine endgültige Beschlagnahme dar, sondern ein vorläufiges Verwahrungsverhältnis eigener Art.

3. Forensische Integritätssicherung: Bitstream-Imaging, Hashwerte und Chain of Custody

Digitale Spuren sind flüchtig und manipulationsanfällig. Bereits das bloße Booten eines beschlagnahmten Betriebssystems verändert Zugriffszeiten (Access Timestamps), temporäre Swap-Dateien und Protokolldateien. Eine gerichtsverwertbare Beweissicherung muss daher zwingend den Grundsätzen internationaler Standards (z. B. ISO/IEC 27037) entsprechen.

3.1 Bitstream-Imaging vs. logische Sicherung

Bei der Sicherung von Massenspeichern (HDD, NVMe-SSDs, USB-Medien) ist das Erstellen eines vollständigen Bitstream-Images (Bit-für-Bit-Kopie) zwingend erforderlich:

• Raw / dd: Reine sequentielle Sektorenabbilder ohne Metadaten.
• Expert Witness Format (E01 / Ex01): Proprietärer, de-facto Standard forensischer Suiten wie EnCase mit integrierter Kompression und Hash-Validierung.
• Advanced Forensic Format (AFF4): Offener, modularer Standard zur Speicherung komplexer physischer und logischer Datensätze inklusive Speicherdumps.

Während Bit-Kopien auch unpartitionierten Speicherbereich (Unallocated Space) und gelöschte Dateireste erfassen, greifen rein logische Dateisicherungen (z. B. bei iOS- oder modernen Android-Extraktionen mit hardwarebasierter File-Based Encryption) nur auf das sichtbare Dateisystem zu.

3.2 Kryptographische Prüfsummen (SHA-256) und Chain of Custody

Vor Beginn des Kopiervorgangs muss das Originalmedium über hardwareseitige Schreibblocker (Write-Blocker) gesichert werden. Unmittelbar nach Erzeugung des Images ist ein kryptographischer Hashwert (mindestens SHA-256) über den gesamten Datenstrom zu errechnen und im Sicherungsprotokoll festzuhalten.

Jede Veränderung auch nur eines einzigen Bits führt aufgrund des Avalanche-Effekts zu einem völlig abweichenden Hashwert. Stimmt der Hashwert des Arbeitsabbildes nicht exakt mit dem Referenz-Hashwert der Erstasservierung überein, ist die forensische Beweiskette unterbrochen – ausführlich dargelegt im Fachbeitrag zur Chain of Custody (CoC) im IT-Strafrecht auf Computerstrafrecht.info. Die Verteidigung kann in solchen Fällen die Verwertbarkeit des Abbildes mit Aussicht auf Erfolg erschüttern.

4. Grenzen der Durchsicht: Suchwortlisten, Kernbereichsschutz und Berufsgeheimnisse

Die Durchsicht nach § 110 Abs. 3 StPO berechtigt die Ermittler nicht zu einem unbegrenzten „Ausforschen“ des gesamten Privat- und Geschäftslebens des Beschuldigten. Die Durchsicht muss sich strikt im Rahmen des im Durchsuchungsbeschluss konkretisierten Tatvorwurfs bewegen.

4.1 Festlegung transparenter Suchwortlisten

Um dem Verhältnismäßigkeitsprinzip zu genügen, sind Ermittlungsbehörden gehalten, die Durchsicht anhand nachvollziehbarer Suchwortlisten (Keywords) durchzuführen. Werden bei einer Durchsuchung wegen des Vorwurfs eines isolierten Betrugsdelikts sämtliche Festplatten mittels globaler Volltextindizes ohne Einschränkung durchsucht, liegt ein unverhältnismäßiger Eingriff vor. Die Verteidigung hat das Recht, die Offenlegung der verwendeten Suchparameter, Booleschen Operatoren und Filterkriterien zu fordern.

Treten im Rahmen der Durchsicht Fragestellungen zu Computerstraftaten im engeren Sinne auf – wie das Ausspähen von Daten (§ 202a StGB) oder Sabotagehandlungen (§ 303b StGB) –, bedarf es einer differenzierten Einordnung des Tatbestandskatalogs. Fundierte wissenschaftliche und praxisnahe Abhandlungen hierzu finden sich auf Computerstrafrecht.info – IT-Strafrecht und digitale Forensik.

5. Angriffsflächen der Verteidigung: Akteneinsicht in Rohdaten und Rechtsschutz

In der Praxis begnügen sich Strafverfolgungsbehörden häufig damit, der Akte lediglich summarische Auswerteberichte (z. B. „polizeilicher Ermittlungsbericht über die Auswertung des Mobiltelefons“) beizufügen. Diese Berichte enthalten meist nur eine selektive, belastende Auswahl von Chat-Auszügen oder Browser-Verläufen.

5.1 Der Anspruch auf Zugang zu Rohdaten und Forensik-Dateien (§ 147 StPO)

Das Bundesverfassungsgericht hat in ständiger Rechtsprechung klargestellt, dass der Grundsatz des fairen Verfahrens (Art. 2 Abs. 1 i. V. m. Art. 20 Abs. 3 GG) und das Recht auf eine effektive Verteidigung verlangen, dass der Verteidigung nicht nur die in der Hauptakte abgehefteten Beweise zur Verfügung gestellt werden. Dem Verteidiger steht ein unentziehbares Recht auf Zugang zu den nicht zur Akte genommenen amtlichen Beweismitteln und Rohmessdaten zu.

Dies umfasst im Bereich der IT-Forensik:

• Vollständige forensische Abbilder (.E01, .dd) bzw. logische Extraktionsarchive (z. B. Cellebrite .ufdr, Magnet .mfdb)
• Systemprotokolle und Logfiles über den Extraktionsverlauf
• Dokumentation der kryptographischen Prüfsummen vor und nach der Sicherung
• Die exakte Liste der bei der Auswertung eingesetzten Suchbegriffe

Nur bei Kenntnis der vollständigen Rohdaten kann ein durch die Verteidigung beauftragter IT-Sachverständiger überprüfen, ob Entlastungstatsachen unberücksichtigt blieben, Zeitstempel falsch interpretiert wurden (z. B. Missachtung der UTC-Verschiebung) oder ob Systemartefakte fälschlich als menschliche Interaktion gedeutet wurden. Typische Fallstricke bei der behördlichen Auswertung von IP-Adressen und Datenspeichern analysiert Rechtsanwalt Thomas Koll im Fachbeitrag zu anonymen Hinweisen und IP-Speicherungen im Vorverfahren (blog.ra-koll.de).

5.2 Förmlicher Rechtsschutz: Der Antrag nach § 98 Abs. 2 S. 2 StPO

Widerspricht der Betroffene der Beschlagnahme oder der Fortdauer der Durchsicht, ist das zuständige Ermittlungsgericht anzurufen. Mit dem Antrag nach § 98 Abs. 2 S. 2 StPO (analog bei Durchsicht nach § 110 StPO) kann die Rechtswidrigkeit der Anordnung oder Vollziehung geltend gemacht und die unverzügliche Herausgabe der Datenträger sowie die Löschung unzulässig gefertigter Arbeitskopien verlangt werden.

6. Fazit & Checkliste für die Strafverteidigung

Die Digitalisierung des Beweismaterials hat die IT-Forensik zum Herzstück moderner Strafverteidigung gemacht. Reine Aktenkenntnis reicht nicht aus; Verteidiger müssen in der Lage sein, die forensische Methodik der Ermittler kritisch zu hinterfragen.