Digitale Beweismittel und Authentizität

Inhalt und Herkunft digitaler Beweise

Bei digitalen Beweisen sind Inhalt, Herkunft, Unverändertheit und persönliche Zuordnung zu unterscheiden. Ein Screenshot zeigt eine Darstellung, aber nicht zwingend den vollständigen Verlauf oder den tatsächlichen Autor. Auch digital gespeicherte Daten bedürfen einer nachvollziehbaren Beweiswürdigung.

Aussagekraft von Export und Hashwert

Sicherstellung und Durchsicht richten sich nach den jeweiligen Eingriffsgrundlagen. Exportweg, Zeitzone, Zeitstempel und Nutzerzugriffe können die Bewertung verändern. Ein Hashwert dokumentiert unter geeigneten Bedingungen Datengleichheit, nicht Wahrheit des Inhalts oder rechtmäßige Gewinnung. Technische und rechtliche Fragen dürfen nicht vermischt werden.

§§ 94 und 98 StPO regeln Sicherstellung und Beschlagnahme. § 110 Abs. 3 erlaubt bei einer Durchsuchung unter besonderen Voraussetzungen die Durchsicht erreichbarer räumlich getrennter Speicher, wenn andernfalls Verlust der gesuchten Daten droht. Die Norm ist keine allgemeine Ermächtigung zu jeder Fernüberwachung. Bei EncroChat hat der BGH die Verwendung aus Frankreich übermittelter Daten am deutschen Verwertungsrecht und dem besonders strengen Maßstab des § 100e Abs. 6 StPO geprüft. Diese Verwertungsfrage ersetzt den Nachweis der Zuordnung einer Nachricht zu einer Person nicht.

Gemeinsam genutztes Gerät

Beispiel: Eine Nachricht stammt von einem Konto des Beschuldigten; mehrere Personen nutzten das Gerät. Kontoinhaberschaft belegt noch nicht die konkrete Autorenschaft. Fehlen vorherige Nachrichten, kann ein scheinbares Eingeständnis aus dem Zusammenhang gerissen sein.

Originalbestand und Auswertung sichern

Für eine nachvollziehbare Sicherung werden Datenträger, Erfassungszeit, Sicherungsmethode, Werkzeugversion, Integritätswerte und jeder Übergang der Beweismittel dokumentiert. Bei dafür geeigneten physischen Datenträgern kann ein forensisches Abbild gefertigt und die Analyse auf einer Arbeitskopie durchgeführt werden. Logischer Export oder eine Live-Sicherung können technisch anders aussehen. Dann sind Umfang, Auslassungen und unvermeidliche Systemveränderungen kenntlich zu machen. Ein Hashvergleich prüft, ob genau die bezeichneten Daten seit der dokumentierten Sicherung übereinstimmen.

Zeitstempel nicht ungeprüft als Tatzeit lesen

Ein Dateidatum kann Erzeugung, Kopie, Export oder spätere Bearbeitung bezeichnen. Ein in einer Anzeige sichtbarer Zeitpunkt kann zusätzlich von Zeitzone und Geräteeinstellung abhängen. Diese Möglichkeiten beweisen noch keine Manipulation, markieren aber konkrete Prüfaufträge. Wenn Tatort oder Alibi von Minuten abhängen, sollten Originalmetadaten, Systemumgebung und Sicherungsweg zusammen ausgewertet werden. Eine selbst erstellte chronologische Tabelle ist als Auswertung zu kennzeichnen und ersetzt den Originalbestand nicht.