Beweiskette und rechtliche Verwertbarkeit

Die Beweismittelkette ist die chronologische Dokumentation, die die Erfassung, Übertragung, Aufbewahrung und Analyse von Beweismitteln ab dem Zeitpunkt ihrer Entdeckung bis zur Vorlage vor Gericht oder Archivierung nachverfolgt. Sie beantwortet folgende Fragen: Wer hat die Beweismittel erfasst, wann und wo geschah dies, wie wurden sie behandelt, wer hatte Zugriff darauf und wo wurden sie aufbewahrt? Eine lückenlose Beweismittelkette zeigt, dass die Beweismittel nach der Erfassung nicht manipuliert oder verändert wurden, was für ihre rechtliche Zulässigkeit unerlässlich ist.

Für jedes Beweismittel ist ein eigenes Formular zur Beweismittelkette erforderlich, das bei jeder Übergabe ausgefüllt wird. Zu den Pflichtangaben gehören: eine eindeutige Beweismittelkennung, eine Beschreibung des Beweisstücks, die Fallnummer, Datum und Uhrzeit der Erfassung, Name und Kontaktdaten der erfassenden Person, der Ort, an dem das Beweismittel erfasst wurde, kryptografische Hashwerte, die Unterschrift jeder Person, die das Beweismittel entgegennimmt oder übergibt, sowie der sichere Aufbewahrungsort. Lücken oder Unstimmigkeiten im Formular schwächen den Rechtsfall.

Der sachgemäße Umgang verhindert eine Verunreinigung der Beweismittel. Zu den bewährten Verfahren gehören: das Tragen von antistatischen Handschuhen beim Umgang mit physischer Hardware (statische Entladungen können elektronische Komponenten und Daten zerstören), die Verwendung von antistatischen Beuteln zur Aufbewahrung elektronischer Medien, das Verpacken von Beweismitteln in manipulationssicheren Verpackungen (Beweismittelbeutel, die mit Beweismittelband versiegelt und quer über der Versiegelung unterschrieben werden), die Aufbewahrung an einem sicheren, zugriffskontrollierten Ort mit einem Zugriffsprotokoll sowie das niemals eigenständige Öffnen der Verpackung von Beweismitteln ohne anwesenden Zeugen.

Damit digitale Beweismittel in Gerichtsverfahren zugelassen werden, müssen sie mehrere Kriterien erfüllen. Beweismittel müssen authentisch sein – es muss nachweisbar sein, dass sie tatsächlich das darstellen, was sie vorgeben zu sein (Hashwertprüfung). Sie müssen zuverlässig sein – sie müssen mit validierten Tools und anhand dokumentierter Verfahren erfasst worden sein. Sie müssen vollständig sein – der gesamte Kontext muss erhalten bleiben und darf nicht nur aus ausgewählten Ausschnitten bestehen. Sie müssen glaubwürdig sein – sie müssen so präsentiert werden, dass das Gericht sie verstehen kann. Außerdem muss die Beweismittelkette lückenlos sein – jede für die Beweismittel verantwortliche Person muss von der Erfassung bis zum Gericht dokumentiert sein.

Wenn Vorfälle kriminelle Aktivitäten umfassen, können Strafverfolgungsbehörden (FBI, Secret Service, lokale Cybercrime-Einheiten) Beweismittel anfordern. Konsultieren Sie vor der Übergabe von Beweismitteln die Rechtsberatung, um die Einhaltung von Vorladungen und Anordnungen zur Beweismittelerhaltung sicherzustellen. Strafverfolgungsbehörden können verlangen, dass Organisationen Beweismittel am ursprünglichen Ort aufbewahren, statt sie zu beseitigen – selbst wenn dies die Wiederherstellung verzögert. Das Verständnis des Verfahrens zur Beweissicherung und bereits etablierte Kontakte zu Strafverfolgungsbehörden beschleunigen diese Abstimmung während eines laufenden Vorfalls.

Ein Legal Hold (Litigation Hold) ist eine Mitteilung, die die routinemäßige Vernichtung oder Überschreibung von Unterlagen aussetzt, die für ein erwartetes oder laufendes Gerichtsverfahren relevant sind. Wenn eine Organisation infolge eines Sicherheitsvorfalls mit einem Gerichtsverfahren rechnen muss oder ein solches eingeleitet wurde, muss sie unverzüglich einen Legal Hold umsetzen und alle potenziell relevanten Beweismittel aufbewahren, einschließlich E-Mails, Protokollen, forensischen Images und Systemkonfigurationen. Wird kein Legal Hold umgesetzt und werden anschließend Beweismittel vernichtet, kann dies zu Sanktionen wegen Beweisvereitelung führen – Gerichte können Geschworene anweisen, daraus nachteilige Schlussfolgerungen zu ziehen.

Digitale Beweismittel müssen die Beweisregeln erfüllen. Die Authentifizierung erfordert den Nachweis, dass die Beweismittel tatsächlich das sind, was die vortragende Partei behauptet – die Hash-Verifizierung und die Dokumentation der Beweismittelkette dienen diesem Zweck. Computergenerierte Aufzeichnungen (Protokolle, automatisch erstellte Berichte) können mit Hörensagen-Einwänden konfrontiert werden, sind aber häufig als Geschäftsunterlagen nach Ausnahmen von den Hörensagenregeln zulässig. Sachverständige (forensische Analysten) erläutern als Zeugen, wie Beweismittel gesammelt und analysiert wurden; ihre Methodik muss einer Kreuzvernehmung nach den Daubert-Standards vor US-Gerichten standhalten.

Beweismittel müssen für die Dauer des Gerichtsverfahrens sicher aufbewahrt werden – dieses kann sich über Jahre nach dem ursprünglichen Vorfall hinaus erstrecken. Physische Beweismittel erfordern: verschlossene, klimatisierte Lagerräume mit Zugriffsprotokollen, manipulationssichere Siegel, die bei jedem Zugriff auf die Beweismittel ausgetauscht und durch eine Dokumentation ergänzt werden, sowie Schutz vor Umwelteinflüssen (Feuchtigkeit, Hitze, magnetischen Feldern). Digitale Beweismittel (Festplatten-Images, PCAP-Dateien) sollten auf einmal beschreibbaren Medien gespeichert werden; die Prüfsummen sollten regelmäßig verifiziert werden, um eine Verschlechterung der Speichermedien zu erkennen.

In Strafverfahren oder Zivilprozessen können forensische Analysten als Sachverständige geladen werden, um einem Richter oder einer Jury ihre Methoden und Ergebnisse zu erläutern. Sachverständige müssen qualifiziert sein und Ausbildung, Schulungen sowie Erfahrung in der digitalen Forensik nachweisen. Ihre Methodik muss wissenschaftlich valide und konsistent angewendet sein. Forensische Berichte müssen objektiv und reproduzierbar sein und in einer Sprache verfasst werden, die auch für nicht technische Entscheidungsträger verständlich ist. Die Verteidigung wird in der Kreuzvernehmung die Methodik, die Gültigkeit der eingesetzten Werkzeuge und die Beweismittelkette infrage stellen.

Die Beweisstandards unterscheiden sich zwischen internen Unternehmensuntersuchungen und Strafverfahren. Interne Untersuchungen richten sich nach dem Arbeitsrecht und den Unternehmensrichtlinien – maßgeblich ist, ob die Beweislage ausreicht, um eine Maßnahme der Personalabteilung zu begründen. Strafrechtliche Ermittlungen erfordern die höheren Beweisstandards, die für eine Anklage und einen Schuldspruch ohne vernünftigen Zweifel notwendig sind. Von privaten Ermittlern gesammelte Beweismittel (ohne hoheitliche Befugnisse der Strafverfolgung) können vor Gericht zulässig sein, müssen jedoch rechtmäßig erhoben worden sein – Beschäftigte haben im Allgemeinen keine berechtigte Erwartung auf Privatsphäre in Unternehmenssystemen, über deren Überwachung sie informiert wurden.

Digitale Ermittlungen überschreiten häufig internationale Grenzen, da Angreifer den Datenverkehr über Server in mehreren Ländern leiten. Dies führt zu Komplikationen: Die Beschaffung von Beweismitteln von ausländischen Servern erfordert Rechtshilfeabkommen (Mutual Legal Assistance Treaties, MLATs) zwischen den Ländern, Cloud-Anbieter dürfen möglicherweise ohne lokale gerichtliche Anordnungen keine Daten herausgeben, und die DSGVO schränkt die Übermittlung personenbezogener Daten außerhalb der EU ein. Bei Vorfällen mit grenzüberschreitenden Aktivitäten sollten Organisationen mit einer Rechtsberatung zusammenarbeiten, die Erfahrung im internationalen Cyberrecht hat.

Testen Sie Ihr Verständnis der CompTIA-Security+-Konzepte (SY0-701) aus dieser Lektion.

In dieser Lektion haben Sie gelernt: Die Dokumentation der Beweismittelkette erfasst jede verwahrende Person und jede Übergabe von der Sicherstellung bis zur Vorlage vor Gericht, Legal Holds müssen unverzüglich umgesetzt werden, sobald ein Gerichtsverfahren absehbar ist, um Sanktionen wegen Beweisvereitelung zu verhindern, und digitale Beweismittel müssen authentisch, zuverlässig und vollständig sein und durch kryptografische Hashes verifiziert werden, damit sie rechtlich zulässig sind. Als Nächstes untersuchen wir forensische Artefakte in Windows, darunter die Registrierung, Ereignisprotokolle und Prefetch-Dateien.