Digitale Beweismittel

Digitale Beweismittel: Wie geht man mit digitalen Beweismitteln (richtig) um? Diese Frage ist allgegenwärtig und leider kaum Gegenstand juristischer Auseinandersetzungen: Es gibt nur eine extrem überschaubare Anzahl von Aufsätzen zum Thema, gerichtliche Entscheidungen sind noch seltener. Dabei drängt sich gerade mit der zunehmenden Digitalisierung des Prozesswesens diese Frage auf.

Vor allem eine Frage ist inzwischen ebenso drängend wie vollkommen aus dem Fokus geraten: Was ist ein digitales Beweismittel? In diesem Beitrag gehe ich auf die wesentlichen Problembereiche rund um digitale Beweismittel ein, ich widme dabei einen wesentlichen Teil meines Alltags rund um technische und rechtliche Fragen von IT-Forensik und digitaler Beweismittel.

Digitale Beweismittel – nichts mehr nur für ITler

Wer den Begriff „digitales Beweismittel“ hört, hat unweigerlich die großen Tech-Buzzwords vor Augen: Blockchain, Deepfakes, Hashwerte und IP-Adressen. Den Luxus, dieses Thema derart einzuengen, kann man sich aber (längst) nicht mehr leisten. Und gerade Anwälte, die hier den Anschluss verlieren, riskieren aus meiner Sicht ihre berufliche Zukunft.

Irgendwann Ende der 90er, Anfang der 2000er, war der Umbruch – bis dahin war die prozessuale Welt einfach und klar: Was wichtig war, hatte man auf Papier, legte das im Prozess vor und arbeitete damit. Die ZPO kannte damals nur die privaten und öffentlichen Urkunden, der StPO war gleich ganz egal was da vor dem Richter lag, wenn man es verlesen konnte, war es eine Urkunde, so schlicht die Gedankenwelt des § 249 StPO.

Heute funktioniert es so aber nicht mehr und der Blick in Gerichtssäle zeigt, was dem ITler die Haare zu Berge stehen lässt: Da werden Ausdrucke von Mails vorgelegt, die nicht mal die angebliche Absender- oder Empfängeradresse ausweisen, geschweige denn, dass Mailheader vorhanden sind. Und Vorsitzende verweisen, ohne mit der Wimper zu zucken, darauf, dass auf dem (von Outlook generierten) Ausdruck „doch ganz klar ihr Name steht, Herr Angeklagter“. So in einem meiner Wirtschaftsstrafverfahren in diesem Jahr. Dass man dann Beweisanträge gerichtet auf ein Sachverständigengutachten braucht, weil das Gericht dem Verteidiger schlicht nicht zuhört und selbst die eigene Fortbildung in Form des Lesens eines geeigneten Wikipedia-Artikels verweigert, ist dann einfach nur schlusslogisch.

Um zur Frage zurückzukehren: In der heutigen Zeit funktioniert die damalige Trennung aus digitalem und analogem Beweismittel ebenso wenig, wie die Trennung aus Offline und Online; ich plädiere, auch in meinen Vorträgen, dringend dafür, dass man all das als digitales Beweismittel versteht, was nicht nur im Prozess, sondern vor allem auch schon originär, in digitaler Form vorgelegen hat. Ob es zwischenzeitlich ausgedruckt, eingescannt, abfotografiert und wieder ausgedruckt wurde, ist herzlich belanglos.

Making the Difference: IT-Forensik

Die Frage, wann ein Beweismittel ein digitales Beweismittel ist, ist dabei weder eine rein prozessuale noch eine übertrieben akademische Frage: Es geht vielmehr um die schlichte – und in Gerichtssälen ignorierte – Wahrheit, dass ein Beweismittel umso fehleranfälliger ist, je mehr Stufen der Reproduktion es durchlebt.

Ein abfotografierter, ausgedruckter, eingescannter und dann auf einen Bildschirm geworfener Chatverlauf kann bereits in der Quelle manipuliert worden sein, als Bilddatei bearbeitet worden sein und zu guter Letzt, durch die Auswahl der Anzeige, aus dem Kontext gerissen worden sein. Jede Stufe der Wiedergabe beinhaltet Gefährdungspotenzial, das umso größer wird, je mehr man sich klarmacht, dass auch versehentlich und nicht nur böswillig, Manipulationen auftreten können. Und während ein Sachverständiger in einem originär schriftlichen Dokument durchaus Veränderungen feststellen kann, kann er das bei einer Bilddatei eines abfotografierten angeblichen Chatverlaufs eben nicht.

Worauf ich beim Thema „digitale Beweismittel“ hinaus möchte ist: Ohne zumindest absolute Grundlagen in Sachen Forensik wird es nichts in Zukunft. Es geht nicht mehr an, dass Anwälte und Gerichte nicht wissen, was Mail-Header sind (oder sie sogar selber lesen können); Ermittler müssen darauf achten, dass Mails vollständig mit Headern zur Akte gelangen, gleich, ob zur eAkte oder in ausgedruckter Form. Und die Mindestanforderungen an IT-forensische Arbeit müssen erfüllt sein. Dazu gehört primär eine hinreichende Dokumentation der forensischen Tätigkeit – die heute de Facto nicht existiert. Die Verteidigung muss sich mit dem EGMR nicht darauf verweisen lassen, sich mit den Ermittlungsergebnissen zufriedenzustellen. Sollte es hier zu mangelnder Verteidigungsmöglichkeit kommen, steht vielmehr mit dem EUGH ein Beweisverwertungsverbot im Raum!

Ein Anwalt aber, der nicht weiß, worauf es ankommt, kann weder die richtigen Fragen stellen noch das Gericht sensibilisieren. Und so entsteht die geradezu absurde Situation, dass in Strafprozessen zahlreiche Beteiligte sich trittsicher bei der Frage bewegen, was Allele sind und wie man DNA-Gutachten liest, aber bei der einfachen Frage scheitern, ob eine Mail manipuliert ist.

Umgang mit digitalen Beweismitteln

Spannend für mich im letzten Jahr – in dem ich mich vertieft der Frage des Umgangs mit digitalen Beweismitteln gewidmet habe – war, dass scheinbar schon gar keine etablierte Basis existiert, auf der man ein Gerüst zum konkreten Umgang mit digitalen Beweismitteln erarbeitet hat.

Ausgehend von meinem Ansatz, dass es ohne Forensik nicht funktioniert, sollte das Ziel sein, ein Schema zu erarbeiten, das prozessuale und forensische Probleme griffig zusammenfasst. Dies umso mehr im Strafprozess, wo als Urkunde gleich mal alles gilt, was irgendwie einer Verlesung zugänglich ist – und wo die Strafprozessordnung die Frage des Beweisgehalts in den Inbegriff der Hauptverhandlung und die Überzeugung des Richters verschiebt. Hier muss zwingend gefragt werden: Was ist dieses Beweismittel wert.

Und bei dieser Frage plädiere ich für einen dreiteiligen Schritt:

Diese drei Schritte Nachprüfbarkeit, Verfügbarkeit und Verständlichkeit eröffnen eine Brücke zwischen (IT-)Forensik und Prozessführung. Insbesondere ist eine gute Dokumentation rund um das digitale Beweismittel zwingend, wenn man die Nachprüfbarkeit eines digitalen Beweismittels sichern möchte; und erst eine Einheitlichkeit von Verfahren und Standards sichert die Verfügbarkeit des Beweismittels.

Digitale Beweismittel sind ein eigenes Thema für sich, das man nicht unterschätzen darf; viele prozessuale Fragen sind ungeklärt.

Ausgewählte digitale Beweismittel

Die Frage des (richtigen) Umgangs mit digitalen Beweismitteln wird immer virulenter: Erst vor Kurzem habe ich über ein Verfahren berichtet, dass an guter Aufbereitung digitaler Beweise letztlich scheiterte. Und es gibt weitere Verfahren, die deutlich machen, dass dieses Thema aus dem Schattendasein gerissen werden muss, wobei es einige Standard-Themen gibt.

Beweisführung durch Screenshot

Beim OLG Jena (2 U 524/17) etwa ging es um die Beweisführung durch Ausdrucke von Screenshots, wo man einzelne Aspekte herausgearbeitet hatte, die zu einer Schwächung des Beweiswerts eines ausgedruckten Screenshots führen:

• Wenn sich aus dem Screenshot ergibt, dass möglicherweise Daten aus dem Cache verwendet wurde
• Wenn Text nicht bündig abschließt auf dem Ausdruck, was an der Stelle aber zu erwarten wäre
• Wenn Details aus dem Screenshot nicht zu den Gesamtumständen des Falls sprechen (hier: Auf Ausdruck von eBay-Verkäuferseite waren Links, die nicht zum Verkäufernamen passten)

Der Bundesgerichtshof (XI ZB 1/23) hat die Entscheidung des OLG Jena inzwischen in anderem Kontext aufgegriffen und dabei hervorgehoben, dass es sich bei Screenshots um ein Augenscheinsobjekt im Sinne von § 371 Abs. 1 ZPO handelt. Dabei wird man im Zivilprozess bei Vorlage eines Screenshots einer Webseite als Gericht die Webseite selbst – wenn sie frei zugänglich ist – als offenkundige Tatsache im Sinne des §291 ZPO betrachten und berücksichtigen können (LG Essen, 6 O 111/22).

Screenshot als digitales Beweismittel

Die Entscheidung machte zugleich deutlich, wie man mit Screenshots umzugehen hat, die als Gegenstand des Augenscheins (§ 371 Abs.1 ZPO) einzustufen sind.

Hier trifft den Verfahrensgegner die Vortragslast hinsichtlich von Umständen, die zu Zweifeln an der Echtheit oder Beweiseignung führen können – die weitere Beweislast für das digitale Beweismittel landet dann natürlich wieder bei dem, der sich auf die Dokumente berufen möchte. Diese Rechtsprechung hat insgesamt Anklang gefunden, eine der wenigen ausführlichen Entscheidungen dazu findet sich beim Sozialgericht Darmstadt, das nochmals zusammenfasst:

Der Kläger hat die E-Mail in Form ihres Ausdrucks als Augenscheinsurrogat vorgelegt. Der Ausdruck einer elektronischen Datei auf Papier ist kein elektronisches Dokument und grundsätzlich auch keine Urkunde (Feskorn, in: Zöller, ZPO, 33. Aufl. 2020, Vorbemerkungen zu §§ 415-444, Rn. 5; a.A. Sander, CR 2014, 292, 294), sondern ein Augenscheinobjekt i.S.d. § 371 Abs. 1 Satz 1 ZPO, das in Form eines Augenscheinsurrogats als Beweismittel dienen kann (OLG Thüringen v. 28.11.2018 – 2 U 524/17).

Die Urkundseigenschaft ist deshalb nicht gegeben, weil der Ausdruck regelmäßig nicht selbst dazu dient, die in dem elektronischen Dokument verkörperte Gedankenerklärung in den Rechtsverkehr zu bringen, sondern nur eine Information über die elektronische Gedankenerklärung zu erlangen (MüKoZPO/Schreiber, 5. Aufl. 2016, ZPO § 415 Rn. 9).

SG Darmstadt, 17.08.2020 – S 13 KR 524/16

Anzweifeln von Screenshots

Aus der Rechtsprechung des EUGH ergeben sich einige Anhaltspunkte, wie man prozessual zu agieren hat, wenn man die Glaubhaftigkeit eines Screenshots anzweifeln möchte. So macht der EUGH deutlich, dass das Datum im Internet dann als zuverlässig gilt, wenn einer der folgenden vier Fälle vorliegt:

• Die betreffende Website hat Zeitstempel‑Informationen zur Änderungshistorie einer Datei oder Webseite (solche gibt es zum Beispiel für Wikipedia oder als automatischen Anhang zum Inhalt, etwa zu Beiträgen in Foren oder Blogs);
• Die Webseite wird durch Suchmaschinen mit Indexierungsdaten versehen;
• Es gibt einen Screenshot der Webseite mit Datumsangabe
• Angaben über die Updates zu einer Webseite können bei einem Internet-Archivierungsdienst wie der Wayback Machine angefordert werden.

Dabei stellt die rein abstrakte Möglichkeit, dass Inhalt oder Datum einer Website manipuliert werden, keinen hinreichenden Grund für den EUGH dar, um die Glaubhaftigkeit des Beweises in Form eines Screenshots dieser Website infrage zu stellen! Diese Glaubhaftigkeit für digitale Beweismittel kann nur durch die Berufung auf Tatsachen infrage gestellt werden, die in konkreter Weise auf eine Manipulation schließen lassen.

Hierzu können eindeutige Hinweise auf Verfälschungen, unbestreitbare Widersprüche in den angegebenen Informationen oder offensichtliche Unstimmigkeiten gehören, die vernünftigerweise Zweifel an der Authentizität der Screenshots der betreffenden Websites rechtfertigen können (siehe EUGH, T‑823/19).

Fazit zum prozessual wirksamen Anzweifeln von Screenshots also: Auf keinen Fall ausreichend ist es, darauf zu verweisen, dass die rein abstrakte Möglichkeit besteht, dass Inhalt oder Datum einer Website manipuliert werden können, um hiermit dann die Glaubhaftigkeit des Beweises in Form eines Screenshots dieser Website infrage zu stellen. Die Glaubhaftigkeit von Screenshots kann nur durch die Berufung auf Tatsachen infrage gestellt werden, die in konkreter Weise auf eine Manipulation schließen lassen. Es müssen also ernsthafte und konkrete Anhaltspunkte vorgebracht werden, die Zweifel an der Glaubhaftigkeit von Screenshots aufwerfen können (siehe EUGH, T‑823/19). Andererseits muss genau hingesehen werden, ob der Screenshot wirklich als Tatsache belegt, worum man streitet – oder ob nicht doch am Ende nur eine über den Screenshot hinausgehende Wertung des Vortragenden im Raum steht (EUGH, T‑609/15).

Wikipedia als digitales Beweismittel

Bei einem Auszug aus Wikipedia handelt es sich um eine nicht gesicherte Information, da dies aus einer Kollektiv-Enzyklopädie im Internet kommt, deren Inhalt jederzeit und in bestimmten Fällen von jedem Besucher, selbst anonym, geändert werden kann (siehe EUGH, T‑614/14).

Diese Rechtsprechung kann aber nicht auf Blogs übertragen werden: Der Inhalt von Blogs kann im Gegensatz zum Inhalt einer Wikipedia-Website, die jederzeit von ihren Nutzern bearbeitet werden kann, nur von ihren Autoren und nicht von Dritten bearbeitet werden. Mit Blick auf die wesentlich geringere Möglichkeit, den Inhalt von Blogs im Vergleich zum Inhalt der Wikipedia-Website zu ändern, kann insoweit keine begrenzte Beweiskraft von Screenshots von Blog-Beiträgen herbei diskutiert werden. Um dies zu erreichen, müssen ernsthafte und konkrete Anhaltspunkte vorgebracht werden, die Zweifel an der Glaubhaftigkeit von Screenshots als digitale Beweismittel aufwerfen können (siehe EUGH, T‑823/19).

Hinweis: In der deutschen Rechtsprechung gibt es keinen ernsthaften Streit um die grundsätzliche Zulässigkeit bzw. Verwertbarkeit, vielmehr nutzen die Gerichte schlicht kommentarlos entsprechende Ausdrucke als Beweis.

Wayback-Machine als digitales Beweismittel

Soweit mitunter vorgebracht wird, dass die Heranziehung der Wayback-Machine als Instrument zum Nachweis gewisse Unsicherheiten aufwerfe, insbesondere in Bezug auf die Bilder, die auf den in der Wayback-Machine archivierten Websites veröffentlicht worden seien, sieht der EUGH dies nicht so kritisch.

Hintergrund der Kritik ist, dass Unsicherheiten sich daraus ergeben können, dass sich das angegebene Datum der Versionen der in der Wayback-Machine archivierten Websites nur auf den Inhalt der HTML‑Datei dieser Websites beziehe und nicht auf die Bilder, die als externer Inhalt mit diesen Websites verknüpft seien. Somit kann es denktheoretisch sein, dass die Bilder auf dem Screenshot einer Website nicht am selben Tag wie die HTML‑Datei archiviert worden sind.

Daraus folgt, dass es für die Feststellung, wann ein Bild archiviert worden sei, erforderlich ist, seine URL‑Adresse zu überprüfen. Im Übrigen kommt es auch vor, dass das Datum eines Bildes z. B. dann nicht angezeigt wird, wenn dieses Bild nicht archiviert sei; alle diese Bedenken sind zwar nicht von der Hand zu weisen, können aber in einer Gesamtbetrachtung mit anderen Beweismitteln untergehen (siehe EUGH, T‑823/19).

Hinweis: In der deutschen Rechtsprechung gibt es keinen ernsthaften Streit um die grundsätzliche Zulässigkeit bzw. Verwertbarkeit, vielmehr nutzen die Gerichte schlicht kommentarlos entsprechende Ausdrucke als Beweis.

Car-Forensik

Wenn man über digitale Beweismittel spricht, dürfen die Daten, die aus modernen Pkw gewonnen werden, nicht vergessen sein: Es ist eine Binsenweisheit, die allzu oft vergessen wird, dass moderne Pkw nichts anderes als fahrende Computer sind.

Dabei gilt hier zuvorderst der allgemeine Grundsatz, dass Daten für sich nichts aussagen: Im Allgemeinen ist zu raten, bei aus einem Pkw erhobenen Daten darauf zu achten, dass eine zwingende Verifizierung im Abgleich mit dem Gesamtspurenbild am Ereignisort, den Fahrzeugschäden und eventuell vorhandenen Verletzungen erfolgt (dazu Arnold, „Digitale Spuren in Fahrzeugen, die Zukunft ist bereits Realität; Verkehrsunfalluntersuchung – neue Technologien und der EventDataRecorder“ in Kriminalistik 2015, S. 742). 

Während dabei zunehmend umfassende Sensoren vorhanden sind, wie Beschleunigungssensoren und natürlich GPS-Daten, werden Pkw spätestens ab 2024 zwingend einen Unfalldatenspeicher („Blackbox“) samt Fahrer-Überwachung bieten. Dazu gehört etwa eine „kontinuierliche Aufzeichnung von Augen- bzw. Lidbewegungen“. Ich empfehle dazu die Zusammenfassung bei TÜV-Nord.

Mehr zur Car-Forensik von mir findet man in meiner Kommentierung unter: Ferner/Beck-OK StPO, §2 TTDSG, Rn.18.1ff.

Digitale Beweismittel: Fazit

Es geht nicht mehr ohne digitale Beweismittel, Anwälte und Gerichte können – und dürfen – sich Unkenntnis nicht mehr leisten. Man muss natürlich kein IT-Forensiker werden, um als Anwalt zu bestehen und seinen Mandanten gute Dienste zu leisten! Aber man muss die Schwächen von Beweismitteln kennen, um auf die Angriffsmomente im Prozess einzugehen.

Hinweis: Wer Spaß an Technik hat, sollte sich „Learn Computer Forensics“ von Oettinger oder „Computer Forensik“ von Geschonneck ansehen – ich selber besuche regelmässig Forensik-Fortbildungen, auch um mit KALI-Linux trittsicher zu arbeiten. Wie viel man am Ende hier an Zeit und Geld investiert ist dann wohl eher eine Frage des Geschmacks und eigenen Interesses. Komplett ohne aber geht es nicht mehr.

• Über
• Letzte Artikel

Rechtsanwalt Jens Ferner (Fachanwalt für IT- & Strafrecht)

Fachanwalt für Strafrecht & IT-Recht bei Anwaltskanzlei Ferner Alsdorf

Ich bin Fachanwalt für Strafrecht + Fachanwalt für IT-Recht und widme mich beruflich ganz der Tätigkeit als Strafverteidiger und dem IT-Recht. Vor meinem Leben als Anwalt war ich Softwareentwickler. Ich bin Autor sowohl in einem renommierten StPO-Kommentar als auch in Fachzeitschriften.

Unsere Kanzlei ist spezialisiert auf Starke Strafverteidigung, seriöses Wirtschaftsstrafrecht, Arbeitsrecht und IT-Recht / Technologierecht. Beachten Sie unsere Tätigkeit im Steuerstrafrecht, digitaler gewerblicher Rechtsschutz, IT-Sicherheitsrecht sowie Softwarerecht.

Letzte Artikel von Rechtsanwalt Jens Ferner (Fachanwalt für IT- & Strafrecht) (Alle anzeigen)

• PQC: Quanten-Algorithmen für Gitterprobleme - 19. April 2024
• Meinungsfreiheit und Kritik an der Bundesregierung - 18. April 2024
• UniVaR – Ein neuer Ansatz zur Wertedarstellung in großen Sprachmodellen - 18. April 2024