IT-Forensik-Gutachten: Nutzen, Ablauf und Beweiswert

Das Anfertigen von Gutachten über den Zustand von Computern, Smartphones und Daten mag zunächst nicht nach einer lohnenden Aufgabe klingen. Jedoch steht dem scheinbar hohen Aufwand tatsächlich oft ein großer Nutzen gegenüber. Die forensische Sicherstellung und Analyse von Daten ist nämlich besonders bei „digitalen Notfällen" unerlässlich. Sämtliches digitale Equipment (Computer, Smartphones, Apps, Software…) kann schnell zu Tatwerkzeug werden und große Schäden anrichten. Durch den niederschwelligen Zugang zu modernen Technologien, insbesondere dem Internet, hat sich Kriminalität längst in den digitalen Raum verlagert. Manche illegalen Handlungen am PC, Smartphone und im Internet wirken schnell wie Kavaliersdelikte und die Hemmschwelle ohne sichtbare Opfer ist stark herabgesetzt. Die Möglichkeit, aus der Ferne gleich mehrere Ziele anzugreifen, tut sein Übriges.

Wann ein Gutachten weiterhilft

Im Strafrecht ist die Unterstützung der Behörden durch unabhängige IT-Forensiker dann notwendig, wenn Kapazitätsgrenzen erreicht werden oder spezielle Expertise gefordert ist. Enge und vertrauliche Zusammenarbeit zur Unterstützung der Rechtsprechung ist mir ein besonderes Anliegen.

Unternehmen können schnell durch das Verhalten innerer und äußerer Akteure große wirtschaftliche Schäden erleiden und in Folge auch an Reputation verlieren. Zum Schutz der Außenwirkung der betroffenen Firma, zur Aufklärung des Sachverhaltes und insbesondere zur Vorbereitung einer Klage ist in vielen Fällen eine sachgerechte digitalforensische Untersuchung unerlässlich. Zur Abwendung weiterer potenzieller Schäden sollte die jeweilige Situation in allen Fällen vollständig aufgeklärt werden.

Beispiel: Die Buchhaltung eines Unternehmens überweist eine hohe Summe an eine bis dato unbekannte Kontonummer. Es stellt sich heraus, dass die Rechnung gefälscht ist. Ein Mitarbeiter eines Unternehmens ist verdächtig, die Zahlen der Kontonummer vertauscht zu haben. Der Arbeits-Laptop wird forensisch sichergestellt und ausgewertet. Dabei können gelöschte Word-Dateien wiederhergestellt werden, die die betreffende Rechnung abbilden.

Privatgutachten oder Gerichtsgutachten?

Zu unterscheiden sind zwei Wege. Das Gerichtsgutachten wird von einem Gericht oder einer Staatsanwaltschaft in Auftrag gegeben; der Sachverständige wird dabei in der Regel aus der Liste der allgemein beeideten und gerichtlich zertifizierten Sachverständigen bestellt und ist - trotz Neutralitäts- und Objektivitätsgrundsatz - ausschließlich dem Gericht verpflichtet. Dieses stellt in der Bestellung des Sachverständigen die entsprechenden Fragen und bestimmt damit den Umfang und den Schwerpunkt des Gutachtens.

Das Privatgutachten beauftragt hingegen eine Partei selbst - etwa ein Unternehmen, ein Rechtsanwalt für seinen Mandanten oder eine Privatperson. Im Zivilprozess kann ein Privatgutachten als Beweismittel eingebracht werden; im Strafverfahren dient es häufig der Untermauerung einer Anzeige oder der Verteidigung. Auch wenn das Privatgutachten formal nicht denselben Stellenwert hat wie das Gutachten des gerichtlich bestellten Sachverständigen: Ein methodisch sauber erstelltes Gutachten eines anerkannten Experten wird in der Praxis ernst genommen - und ist oft der Anstoß, dass ein Verfahren überhaupt in Bewegung kommt.

Interne Untersuchungen

Besonders bei internen Untersuchungen im Unternehmensbereich kann die forensische Analyse Wirkung zeigen und für Aufklärung sorgen. Dazu ist allerdings der technisch und methodisch korrekte Ablauf der forensischen Sicherstellung, der Datenaufarbeitung und der Analyse zwingend notwendig. Von Ermittlungen durch intern Beschäftigte ist jedenfalls abzuraten, da den auf den ersten Blick geeignet scheinenden Stellen (klassischerweise z.B. die IT-Abteilung) das nötige Fachwissen sowie die menschliche und organisatorische Distanz zum Sachverhalt fehlt. Dabei ergibt sich im Übrigen auch ein hohes Datenschutzrisiko! Durch unabhängige, spezialisierte Experten können neutrale Untersuchungen durchgeführt und Gutachten erstellt werden, die in weiterer Folge auch als Beweismittel eingebracht werden können.

Wie eine Begutachtung abläuft

Am Anfang steht ein erstes Beratungsgespräch: Was ist passiert, welche Geräte und Konten sind betroffen, welche Frage soll das Gutachten beantworten? Danach folgt die forensische Sicherstellung - von den betroffenen Datenträgern wird mit geeigneten Methoden eine Arbeitskopie („Image") erstellt, die weitere Untersuchung erfolgt ausschließlich an dieser Kopie. Jeder Schritt wird dokumentiert, damit die Beweismittelkette (Chain of Custody) nachvollziehbar bleibt. Die Analyse selbst richtet sich nach der Fragestellung: Wiederherstellung gelöschter Dateien, Auswertung von Chat-Verläufen, Prüfung von Metadaten, Rekonstruktion von Benutzeraktivitäten. Das Ergebnis ist ein schriftliches Gutachten, das Befund und Schlussfolgerungen so darstellt, dass auch ein technischer Laie - etwa ein Richter - nachvollziehen kann, wie die Ergebnisse zustande gekommen sind. Bei Bedarf wird das Gutachten vor Gericht mündlich erörtert.

Den richtigen Sachverständigen finden

Wichtig ist die Heranziehung von fachlich spezialisierten bzw. anerkannten Forensikern mit tatsächlicher praktischer Erfahrung; insbesondere auch mit den mit der Tat zusammenhängenden Themen (z.B. Wirtschaftskriminalität, allg. Strafrecht). Vermeiden Sie unbedingt die Beauftragung von Computer- und Handy-Shops, generischen IT-Unternehmen, „Alleskönnern" und reinen Theoretikern.

Häufige Fragen

Was kostet ein IT-Forensik-Gutachten?

Das hängt vom Umfang ab: Anzahl der Geräte, Datenmenge, Fragestellung. Nach dem Erstgespräch lässt sich der Aufwand realistisch eingrenzen; eine Kostenschätzung erfolgt vor Beginn der Arbeiten.

Wer darf ein Gutachten erstellen?

Ein Privatgutachten darf in Österreich grundsätzlich jeder erstellen, der sich als fachkundig sieht. Vom Gericht bestellt werden in der Regel jedoch allgemein beeidete und gerichtlich zertifizierte Sachverständige, da deren Fachkunde in einem weitreichenden Zertifizierungsverfahren nachgewiesen wurde (und alle 5 Jahre überprüft wird). Auch beim Privatgutachten lohnt deshalb der Blick auf Zertifizierung und praktische Erfahrung.

Wie lange dauert eine Begutachtung?

Die Sicherstellung bzw. forensische Datensicherung ist meist innerhalb weniger Tage erledigt; die Dauer der Analyse hängt von Datenmenge und Fragestellung ab. Eine erste Einschätzung ist oft schon nach der Sichtung möglich.

Was soll ich vor der Beauftragung tun?

So wenig wie möglich: nichts „aufräumen", nichts löschen, keine Passwörter ändern, das betroffene Gerät nach Möglichkeit nicht weiter benutzen. Notieren Sie stattdessen, was wann aufgefallen ist.

Der nächste Schritt

Sie stehen vor einem digitalen Vorfall oder brauchen ein belastbares Gutachten? Einen Überblick über meine Tätigkeit gibt die Seite Leistungen; für eine erste Einschätzung Ihres Falls nehmen Sie Kontakt auf - je früher, desto mehr Spuren sind noch vorhanden.

Der vorliegende Artikel versteht sich als unverbindlich und hat rein informativen Charakter. Er kann eine Begutachtung, die auf eine bestimmte und explizite Situation bezogen ist, niemals ersetzen.