Chain of Custody: Warum die Dokumentation digitaler Beweismittel wichtig ist

Warum digitale Beweismittel besondere Anforderungen haben

Ein physischer Gegenstand ist an einem Ort, und Veränderungen sind meist sichtbar. Digitale Daten lassen sich verlustfrei kopieren, unbemerkt verändern und an vielen Orten gleichzeitig speichern. Ein Datenträger kann äußerlich unverändert sein, während sich sein Inhalt geändert hat. Deshalb genügt es nicht, ein Medium sicher aufzubewahren; auch der Zustand der Daten muss nachvollziehbar bleiben.

Die Chain of Custody beantwortet daher mehrere Fragen:

• Herkunft: Woher stammen die Daten, von welchem Gerät, Konto oder System?
• Sicherung: Wer hat sie wann, womit und wie gesichert?
• Aufbewahrung: Wo und wie wurden Medien und Kopien gelagert, wer hatte Zugriff?
• Übergaben: Wer hat sie an wen übergeben, mit welchem Zustand?
• Bearbeitung: Welche Schritte wurden an Kopien vorgenommen?
• Integrität: Wie lässt sich belegen, dass die Daten seit der Sicherung unverändert sind?

Bestandteile einer Beweismittelkette

Eindeutige Kennzeichnung. Jedes Medium und jede Kopie erhält eine Kennung, etwa mit Seriennummer, Typ und Beschreibung.

Übernahmeprotokoll. Dokumentiert Datum, Uhrzeit, übergebende und übernehmende Person, Zustand des Geräts und Umstände der Übernahme.

Sicherungsprotokoll. Hält fest, welche Methode und Werkzeuge verwendet wurden, welcher Schreibschutz, welche Einstellungen, und welcher Hashwert berechnet wurde (forensisches Abbild).

Aufbewahrungsnachweis. Wo wird das Original verwahrt, wie ist es gesichert, wer hat Zutritt, wann wurde es entnommen?

Zugriffs- und Bearbeitungsprotokoll. Jede Analyse, jeder Zugriff, jede Weitergabe wird mit Zeit, Person und Zweck erfasst.

Integritätsnachweise. Hashwerte werden zu bestimmten Zeitpunkten erneut geprüft und verglichen (Integritätsprüfung).

Was ein Hashwert leistet und was nicht

Der Hashwert ist ein zentraler Baustein, aber nicht die ganze Kette. Er zeigt, dass zwei Datenstände übereinstimmen. Er zeigt nicht, wer die Daten zwischenzeitlich in der Hand hatte, wo sie lagen oder ob sie schon vor der Sicherung manipuliert waren. Dokumentation und Hashwert gehören zusammen: Die Dokumentation erklärt den Weg, der Hashwert belegt die Unverändertheit auf diesem Weg.

Typische Schwachstellen

• Nachträgliche Rekonstruktion. Wird eine Kette erst später aus der Erinnerung erstellt, ist sie weniger belastbar als eine zeitnah geführte.
• Unklare Zuständigkeiten. Wenn niemand weiß, wer ein Gerät übernommen hat, entstehen Lücken.
• Eigenmächtige Maßnahmen. Wer vor der Sicherung „schon einmal nachsieht“, verändert Daten und dokumentiert es nicht.
• Fehlende Kennzeichnung. Medien ohne eindeutige Zuordnung lassen sich später nicht sicher zuordnen.
• Unzureichende Aufbewahrung. Offene Lagerung, gemeinsamer Zugriff oder fehlende Zutrittsregeln erschweren den Nachweis.
• Vermischung von Original und Arbeitskopie. Analysen sollten an Kopien erfolgen, das Original bleibt unberührt.
• Cloud- und Fernzugriffe ohne Protokoll. Auch hier müssen Zeitpunkt, Methode und Umfang festgehalten werden.

Lücken: Was folgt daraus?

Eine Lücke in der Dokumentation führt nicht automatisch dazu, dass ein Ergebnis unbrauchbar ist. Sie kann aber Fragen aufwerfen, die beantwortet werden müssen, und die Gewichtung eines Befunds beeinflussen. Wie ein Gericht eine Beweismittelkette würdigt, entscheidet es im Einzelfall. Wer vorbereitet ist, kann solche Fragen beantworten.

Deshalb gilt: Lieber zeitnah und strukturiert dokumentieren, als später zu rekonstruieren.

Praktische Hinweise

1. Zuständigkeit festlegen. Wer darf Beweismittel entgegennehmen, sichern und aufbewahren?
2. Vorlagen bereithalten. Übernahme-, Sicherungs- und Aufbewahrungsprotokolle sollten vorbereitet sein.
3. Geräte nicht weiter nutzen. Eine Nutzung verändert Daten und verkompliziert die Dokumentation.
4. Alles protokollieren, auch Fehlversuche und Abweichungen vom Plan.
5. Kopien kontrolliert weitergeben, mit Protokoll und Integritätsnachweis.
6. Rechtsberatung einbeziehen, wenn Verfahren in Sicht sind.

Chain of Custody und Verwertbarkeit

Eine sorgfältige Beweismittelkette verbessert die Nachvollziehbarkeit. Sie garantiert aber weder die Zulassung noch die Würdigung als Beweis. Das hängt von rechtlichen Regeln, Fragestellung und Verfahren ab. Der Begriff „gerichtsfest“ ist deshalb nicht als Eigenschaft einer Sicherung zu verstehen.

Wie ein Verwahrprotokoll aussehen kann (schematisch)

Ein einfaches Beispiel macht die Struktur anschaulich. Es ist schematisch und beschreibt keinen konkreten Vorgang.

Entscheidend ist nicht die konkrete Form, sondern dass jeder Schritt erkennbar ist, ohne dass Lücken entstehen. Ob elektronisch oder auf Papier: Das Protokoll sollte vor Veränderung geschützt sein.

Einordnung

Der Beitrag ist eine allgemeine Information. Er bewertet keinen Einzelfall und ersetzt keine Rechtsberatung. Anforderungen an Dokumentation können je nach Verfahren und Rechtsgebiet unterschiedlich sein.