Kostenfreie Hotline:
0800 - 11 12 13 14
Autorin:
Svenja Meismann, Mitglied im Board of Directors der World Association of Detectives
Co-Autor und fachliche Prüfung:
Alfons Meismann, Chefdetektiv mit mehr als 50 Jahren Erfahrung sowie Mitglied der WAD, BuDEG und ÖDV
Digitale Forensik · Spurensicherung · Beweisanalyse
Forensische Ermittlungen machen Spuren und digitale Informationen auswertbar, die bei einer normalen Recherche verborgen bleiben.
Dazu gehören beispielsweise die Untersuchung eines Smartphones, die Sicherung digitaler Daten, die Analyse eines Computers, Fingerabdruckuntersuchungen oder weitere kriminaltechnische Verfahren. Welche Methode sinnvoll ist, richtet sich immer nach dem konkreten Beweisproblem.
Kurzantwort: Was sind forensische Ermittlungen?
Forensische Ermittlungen dienen dazu, Spuren systematisch zu sichern, zu untersuchen und nachvollziehbar zu dokumentieren.
Bei digitalen Geräten können beispielsweise Dateien, Kommunikationsdaten, Zeitstempel oder Systemspuren ausgewertet werden. Andere Untersuchungen befassen sich mit Fingerabdrücken, Dokumenten oder materiellen Spuren. Ziel ist eine möglichst objektive Rekonstruktion des Sachverhalts. Ob ein Beweismittel später in einem Gerichtsverfahren verwendet werden kann und welchen Beweiswert es besitzt, beurteilt das zuständige Gericht.
Smartphone
Handy-Forensik
Analyse vorhandener und technisch zugänglicher Daten, Apps, Kommunikationsspuren, Metadaten und möglicher Manipulationen.
Computer
IT-Forensik
Forensische Sicherung und Untersuchung von Rechnern, Datenträgern, Dateien, Protokollen und weiteren digitalen Spuren.
Kriminaltechnik
Physische Spuren
Fingerabdrücke und andere geeignete Spurenträger können gesichert, dokumentiert und fachlich untersucht werden.
Dokumentation
Nachvollziehbare Beweise
Untersuchungsschritte und Ergebnisse werden dokumentiert, damit Herkunft und Bearbeitung eines Beweismittels nachvollzogen werden können.
Sie haben ein Gerät oder einen Gegenstand, der untersucht werden soll?
Schildern Sie uns zunächst, was festgestellt oder bewiesen werden soll. Wir prüfen dann, welche Untersuchung technisch sinnvoll ist und welche Unterlagen, Geräte oder Vergleichsspuren dafür benötigt werden.
Direkt zum gesuchten Thema
Welche forensischen Untersuchungen bietet Condor an?
Forensik ist ein Sammelbegriff. Ein IT-Forensiker arbeitet mit völlig anderen Methoden als ein Sachverständiger für Fingerabdrücke. Deshalb prüfen wir zuerst, welche Spur oder Fragestellung überhaupt untersucht werden soll.
Handy- und Smartphone-Forensik
Untersuchung von Smartphones und Tablets auf gespeicherte oder technisch noch rekonstruierbare Daten, Kommunikationsspuren sowie Hinweise auf Manipulationen oder unerwünschte Software.
Computer- und Datenträgerforensik
Analyse von PCs, Notebooks, Speichermedien und weiteren digitalen Datenquellen. Dabei können unter anderem Dateien, Systemprotokolle, Nutzungsverläufe und Datenspuren untersucht werden.
Fingerabdruckuntersuchungen
Ausgebildete Sachverständige suchen und sichern Fingerspuren auf geeigneten Gegenständen und können diese bei ausreichender Qualität mit Vergleichsabdrücken abgleichen.
Mehr zur Daktyloskopie.
Anonyme Schreiben und Dokumente
Bei anonymen Schreiben kommen je nach Fall sprachwissenschaftliche Untersuchungen, Schriftvergleiche und weitere Ermittlungsansätze in Betracht.
Mehr zu anonymen Briefen.
Spurenkundliche Untersuchungen
Abhängig vom Spurenträger können spezielle Laboruntersuchungen veranlasst werden. Dazu gehört beispielsweise die
Untersuchung von Wäschestücken auf geeignete biologische Spuren.
Technische Sicherheitsuntersuchungen
Bei einem Verdacht auf technische Überwachung kann zusätzlich eine
Lauschabwehruntersuchung
sinnvoll sein. Sie gehört fachlich zur technischen Sicherheitsprüfung und ist von der klassischen IT-Forensik zu unterscheiden.
Einordnung von Lügendetektortests
Polygraphische Untersuchungen können bei freiwilliger Teilnahme als private Zusatzuntersuchung durchgeführt werden. Sie besitzen jedoch einen anderen Stellenwert als beispielsweise ein daktyloskopisches Gutachten oder eine forensisch gesicherte digitale Datei. Insbesondere im Strafverfahren hat der Bundesgerichtshof polygraphische Untersuchungen als ungeeignetes Beweismittel eingeordnet.
Forensische Ermittlungen umfassen sehr unterschiedliche Fachgebiete. Methode und Aussagekraft hängen von der konkreten Spur und Fragestellung ab.
Was untersucht die Handy-Forensik?
Kurzantwort
Die Handy-Forensik untersucht Smartphones und Tablets auf digital gespeicherte Informationen und technische Spuren.
Dazu können Nachrichten, Bilder, Dateien, Anrufdaten, App-Daten, Zeitstempel, Kontakte, Standortartefakte oder Systeminformationen gehören. Welche Informationen tatsächlich verfügbar oder rekonstruierbar sind, hängt vom Gerät, Betriebssystem, Verschlüsselung, Speicherzustand und weiteren technischen Faktoren ab.
Ein modernes Smartphone enthält weit mehr als sichtbare Fotos und Nachrichten. Betriebssystem, Apps und Dienste erzeugen Metadaten und Protokolle, aus denen sich Abläufe unter Umständen zeitlich rekonstruieren lassen.
Dabei gilt eine wichtige Grenze: Gelöscht bedeutet weder automatisch endgültig verloren noch automatisch wiederherstellbar. Moderne Smartphones verwenden leistungsfähige Verschlüsselung und Speicherbereinigung. Überschriebene oder kryptografisch nicht mehr zugängliche Daten können auch mit professioneller Forensik verloren sein.
Welche Daten können bei einer Smartphone-Forensik untersucht werden?
Nachrichten und Kommunikation
SMS, technisch zugängliche Chatdaten, E-Mails, Anruflisten und andere Kommunikationsinformationen können je nach Gerät und Datenbestand analysiert werden.
Fotos, Videos und Dateien
Dateien können Metadaten enthalten, etwa Aufnahmezeiten, Dateizeitstempel oder technische Informationen zur Entstehung und Bearbeitung.
Kontakte und Verbindungen
Adressbücher, Kommunikationsbeziehungen, gekoppelte Geräte und weitere Verbindungsinformationen können Hinweise auf einen relevanten Sachverhalt liefern.
Standortartefakte
Einzelne Apps, Fotos, Navigationsfunktionen oder Systemdienste können Standortinformationen oder zeitlich zuordenbare Ortsbezüge gespeichert haben.
App- und Systemdaten
App-Nutzung, Konfigurationen, Berechtigungen, Protokolle und andere technische Artefakte können Bestandteil der Untersuchung sein.
Backups und Speichermedien
Je nach Auftrag können auch vorhandene Sicherungen, Speicherkarten oder andere rechtmäßig bereitgestellte Datenquellen in die Untersuchung einbezogen werden.
Wovon hängt eine Datenwiederherstellung ab?
Gerätemodell und Version des Betriebssystems
Verschlüsselung und vorhandene Zugangsmöglichkeiten
Zeitpunkt und Art der Löschung
Ob Speicherbereiche bereits überschrieben oder kryptografisch gelöscht wurden
Vorhandene lokale oder rechtmäßig zugängliche Backups
Welche forensische Extraktionsmethode technisch zur Verfügung steht
Kann Handy-Forensik Spionage-Apps und Manipulationen erkennen?
Bei einem konkreten Verdacht kann ein Smartphone auf technische Auffälligkeiten untersucht werden. Dazu gehören beispielsweise unbekannte Anwendungen, ungewöhnliche Berechtigungen, Konfigurationen, verdächtige Systemartefakte oder andere Hinweise auf eine Manipulation.
Was eine Untersuchung zeigen kann
Verdächtige Apps oder Prozesse
Auffällige Berechtigungen
Ungewöhnliche Konfigurationen
Technische Indikatoren einer Manipulation
Wo Grenzen bestehen
Ein unauffälliges Untersuchungsergebnis beweist nicht, dass ein Gerät zu keinem früheren Zeitpunkt manipuliert wurde. Schadsoftware kann entfernt worden sein, Spuren können überschrieben sein oder eine verwendete Angriffsmethode hinterlässt auf dem untersuchten Gerät keine ausreichend auswertbaren Artefakte.
Weitere Hinweise zu dieser Fragestellung finden Sie in unserem Ratgeber
Wird mein Handy ausspioniert?.
Computer- und IT-Forensik: Was wird untersucht?
Computer-Forensik befasst sich mit der Sicherung und Auswertung digitaler Spuren auf Rechnern und Datenträgern. Besonders bei internen Unternehmensfällen kann daraus eine detaillierte zeitliche Rekonstruktion entstehen.
Dateien und Dateisystem
Vorhandene Dateien, Metadaten, Verzeichnisse und gegebenenfalls rekonstruierbare Dateireste können untersucht werden.
System- und Ereignisprotokolle
Logdaten können Hinweise auf Anmeldung, Nutzung, Programme, Fehler oder andere relevante Systemereignisse enthalten.
E-Mail und Kommunikation
Rechtmäßig bereitgestellte E-Mail-Daten und Kommunikationsartefakte können zeitlich und technisch analysiert werden.
Externe Datenträger
USB-Datenträger, Speichermedien oder andere angeschlossene Geräte können je nach System entsprechende Spuren hinterlassen.
Browser- und Nutzungsartefakte
Verläufe, Downloads, temporäre Dateien oder andere lokale Daten können einen zeitlichen Zusammenhang ergänzen.
Schadsoftware und Manipulation
Bei einem IT-Sicherheitsvorfall können verdächtige Dateien, Prozesse, Persistenzmechanismen und weitere technische Indikatoren untersucht werden.
Typische Fragestellungen in Unternehmen
• Wurden vertrauliche Dateien kopiert oder verändert?
• Lassen sich relevante Zugriffe zeitlich zuordnen?
• Welche Geräte oder Datenträger wurden verwendet?
• Gibt es Spuren eines unberechtigten Datenabflusses?
• Welche digitalen Spuren bestehen nach einem Sicherheitsvorfall?
• Welche Informationen lassen sich für interne Ermittlungen sichern?
Bei einem Verdacht auf den Abfluss von Unternehmensinformationen können digitale Untersuchungen mit klassischen
Ermittlungen bei Werksspionage
kombiniert werden.
Wie werden digitale Beweise forensisch gesichert?
Bei einer professionellen Untersuchung zählt neben dem gefundenen Inhalt auch der Weg dorthin. Es muss nachvollziehbar bleiben, welches Gerät untersucht wurde, mit welchen Methoden gearbeitet wurde und welche Veränderungen während der Untersuchung entstanden sein könnten.
1
Fragestellung definieren
Zuerst wird festgelegt, was untersucht werden soll. So lässt sich die Sicherung auf relevante Datenquellen und Spuren ausrichten.
2
Original möglichst schonen
Soweit technisch möglich wird mit forensischen Kopien oder Extraktionen gearbeitet, um unnötige Veränderungen am Originaldatenträger zu vermeiden.
3
Integrität dokumentieren
Bei geeigneten Datenträgern können kryptografische Prüfsummen verwendet werden, um die Identität und Unverändertheit einer gesicherten Datenkopie nachvollziehbar zu dokumentieren.
4
Analyse durchführen
Die relevanten Daten und Spuren werden mit geeigneten forensischen Werkzeugen untersucht und in ihrem Zusammenhang bewertet.
5
Ergebnisse dokumentieren
Untersuchungsmethode, wesentliche Feststellungen und relevante Beweismittel werden nachvollziehbar beschrieben und für den Auftraggeber aufbereitet.
Sind solche Beweise automatisch „gerichtsfest“?
Eine seriöse Forensik kann Integrität, Herkunft und Untersuchungsschritte möglichst nachvollziehbar dokumentieren. Eine Garantie für die spätere gerichtliche Verwertung gibt es dennoch nicht.
Im Zivilprozess würdigt das Gericht nach § 286 ZPO den gesamten Inhalt der Verhandlung und das Ergebnis der Beweisaufnahme. Deshalb vermeiden wir pauschale Versprechen über eine „uneingeschränkte“ Verwertbarkeit.
Fingerabdrücke und andere physische Spuren
Forensische Ermittlungen finden nicht ausschließlich am Computer statt. Gerade Gegenstände, Schreiben oder Textilien können Spuren tragen, die für die Sachverhaltsaufklärung relevant sind.
Fingerabdrücke
Auf geeigneten Oberflächen können latente Fingerspuren sichtbar gemacht und gesichert werden. Sind sie qualitativ ausreichend, kommt ein Vergleich mit vorhandenen Vergleichsabdrücken in Betracht.
Anonyme Briefe
Schreiben können abhängig vom Fall auf sprachliche Besonderheiten, Handschrift, physische Spuren und weitere Hinweise zum möglichen Verfasser untersucht werden.
Welche rechtlichen Grenzen gelten bei digitaler Forensik?
Eine technische Möglichkeit ist noch keine rechtliche Befugnis. Deshalb wird vor einer digitalen Untersuchung geklärt, wem das Gerät gehört, wer über die Daten verfügen darf und auf welcher Grundlage die Auswertung erfolgen soll.
Fremde Smartphones oder Computer dürfen nicht einfach ausgelesen werden
Wer unbefugt eine Zugangssicherung überwindet und sich Zugriff auf besonders geschützte fremde Daten verschafft, kann sich nach § 202a StGB strafbar machen. Eine Untersuchung setzt deshalb eine tragfähige Berechtigung zum Zugriff voraus.
Privatpersonen
Untersucht werden beispielsweise eigene Geräte oder Geräte, für deren Untersuchung eine wirksame Zustimmung beziehungsweise andere rechtliche Berechtigung besteht. Das heimliche Auslesen des Smartphones eines Partners ist kein zulässiger Standardauftrag.
Unternehmen
Bei Mitarbeiterdaten müssen Datenschutz, Zweck, Erforderlichkeit und Verhältnismäßigkeit geprüft werden. Zur Aufdeckung von Straftaten im Beschäftigungsverhältnis stellt § 26 BDSG besondere Anforderungen an die tatsächlichen Verdachtsmomente und deren Dokumentation.
Umfang der Untersuchung
Der Untersuchungsauftrag sollte möglichst konkret festgelegt werden. Dadurch lassen sich für die Fragestellung irrelevante Daten von vornherein ausklammern und unnötige Eingriffe vermeiden.
Was sollten Sie vor einer forensischen Untersuchung tun?
Wenn ein Smartphone oder Computer Beweismittel sein könnte:
Keine Dateien löschen oder verändern.
Auch gut gemeinte Aufräumarbeiten können relevante Spuren vernichten.
Auch gut gemeinte Aufräumarbeiten können relevante Spuren vernichten.
Keinen Werksreset durchführen.
Das gilt besonders bei einem Verdacht auf Schadsoftware oder Manipulation.
Das gilt besonders bei einem Verdacht auf Schadsoftware oder Manipulation.
Keine zusätzlichen Analyse- oder Reinigungsprogramme installieren.
Jede Installation verändert Daten auf dem Gerät.
Jede Installation verändert Daten auf dem Gerät.
Gerät und Zubehör sichern.
Notieren Sie, wann und unter welchen Umständen das Gerät übernommen oder aufgefunden wurde.
Notieren Sie, wann und unter welchen Umständen das Gerät übernommen oder aufgefunden wurde.
Vor Änderungen an Stromversorgung oder Netzwerkverbindung Rücksprache halten.
Die passende Vorgehensweise hängt vom konkreten Gerät und Untersuchungsziel ab.
Die passende Vorgehensweise hängt vom konkreten Gerät und Untersuchungsziel ab.
Sie benötigen eine forensische Untersuchung?
Teilen Sie uns mit, welches Gerät, Dokument oder Beweismittel vorliegt und welche Frage geklärt werden soll. Wir erläutern Ihnen anschließend, welche Untersuchung dafür in Betracht kommt.
Häufige Fragen zu forensischen Ermittlungen
Was sind forensische Ermittlungen bei einer Detektei?
Forensische Ermittlungen nutzen technische, wissenschaftliche oder kriminaltechnische Methoden zur Sicherung und Untersuchung von Beweismitteln. Dazu zählen beispielsweise digitale Forensik, Handy- und Computer-Forensik sowie Fingerabdruck- und Spurenuntersuchungen.
Können gelöschte WhatsApp-Nachrichten oder andere Chats wiederhergestellt werden?
Das ist vom Einzelfall abhängig. Gerät, Betriebssystem, Verschlüsselung, Zeitpunkt der Löschung, Speicherzustand und vorhandene Backups beeinflussen die Möglichkeiten. Eine pauschale Garantie auf die Wiederherstellung gelöschter Chatdaten wäre technisch unseriös.
Welche Daten können auf einem Smartphone untersucht werden?
Abhängig von Gerät und Zugriffsmöglichkeiten können beispielsweise Nachrichten, Fotos, Videos, Dateien, Kontakte, Anruflisten, App-Daten, Metadaten, Systeminformationen und bestimmte Standortartefakte ausgewertet werden.
Kann eine Smartphone-Untersuchung Spionage-Software feststellen?
Eine forensische Untersuchung kann nach verdächtigen Anwendungen, Konfigurationen, Berechtigungen und technischen Indikatoren suchen. Ein unauffälliges Ergebnis beweist jedoch nicht, dass das Gerät zu keinem früheren Zeitpunkt kompromittiert war.
Sind forensisch gesicherte Daten automatisch vor Gericht verwertbar?
Nein. Eine fachgerechte Sicherung und Dokumentation schafft eine möglichst nachvollziehbare Grundlage. Über die Verwertung und den Beweiswert im konkreten Verfahren entscheidet das zuständige Gericht.
Darf ich das Smartphone meines Partners untersuchen lassen?
Allein der Besitz eines fremden Smartphones berechtigt nicht automatisch zum Auslesen der darauf gespeicherten Daten. Vor einer Untersuchung muss geklärt sein, dass eine rechtliche Berechtigung zum Zugriff und zur Analyse besteht.
Wie sollte ich ein möglicherweise relevantes Gerät aufbewahren?
Verändern Sie möglichst nichts am Datenbestand. Löschen Sie keine Dateien, führen Sie keinen Werksreset durch und installieren Sie keine zusätzlichen Programme. Die weitere Behandlung des Geräts sollte mit dem Forensiker abgestimmt werden.
Werden auch Fingerabdrücke untersucht?
Ja. Geeignete Gegenstände können auf Fingerabdruckspuren untersucht werden. Sind verwertbare Spuren vorhanden, können speziell ausgebildete Daktyloskopen diese sichern und bei vorhandenen Vergleichsabdrücken einen fachlichen Vergleich durchführen.
Ermittlungspraxis hinter diesem Beitrag
Svenja Meismann
ist seit 2016 als Detektivin bei Condor tätig und gehört zur dritten Generation der Detektivfamilie. Als Mitglied im Board of Directors der World Association of Detectives befasst sie sich unter anderem mit Fallanalyse, Ermittlungsplanung und der Koordination spezialisierter Untersuchungen.
Alfons Meismann
verfügt über mehr als fünf Jahrzehnte praktische Erfahrung in Privat- und Wirtschaftsermittlungen. Als Chefdetektiv begleitet er die fachliche Bewertung von Ermittlungsansätzen und Beweissicherungsmaßnahmen.
Quellen und fachliche Grundlagen
Die rechtlichen Hinweise dienen der allgemeinen Information. Bei arbeitsrechtlichen, datenschutzrechtlichen oder gerichtlichen Fragen empfiehlt sich eine Prüfung des konkreten Sachverhalts durch einen entsprechend qualifizierten Rechtsanwalt.
Sofortkontakt
[[[["field5","contains",""]],[["show_fields","field3,field4,field2"]],"and"],[[["field5","contains"]],[["hide_fields","field16"]],"and"]]
1
Step 1
