Impressum
Beweissicherung in IT-Systemen
Jede Handlung in IT-Systemen hinterläßt im Normalfalle Spuren. Die Sicherstellung dieser Spuren und aller anderen relevanten Informationen ist Gegenstand der Beweissicherung zur gerichtlichen Verwertung. Auch wenn der Einsatz eines Beweismittels im juristischen Verfahren nicht direktes Ziel einer Ermittlung ist, so sollten doch auch in allen anderen Fällen die für den gerichtlichen Beweis geltenden Regeln (weitgehend) beachtet und angewandt werden. Denn jeder Beweis, der belastbar und damit nutzbar sein soll, muß zwinged "lege artis", als nach den Regeln der Kunst erhoben werden.
Gleich zu Beginn der Beweiserhebung sind daher bestimmte Mindestvoraussetzungen zu erfüllen. Dies bedeutet, daß die Daten für den Beweis korrekt erhoben und behandelt werden müssen. Wenn schon zu diesem Zeitpunkt Fehler gemacht werden, so ist davon auszugehen, daß jede weitere Information, die aus den erhobenen Beweisdaten gewonnen wird, später wertlos ist. Der Beweis dürfte in diesem Fall angreifbar und vor allem nicht verifizierbar weil unvollständig sein.
Verbot der Alternierung
Wichtigster Grundsatz in diesem Zusammenhang ist, daß Beweise unter keinen Umständen alterniert werden dürfen. Oberstes Gebot ist somit, immer nur an Kopien der beweiserheblichen Daten zu arbeiten. (Anm.: Zur Erstellung einer Kopie siehe dd unter Forensik Tools). Als Standard und damit als Vorgehen lege artis hat sich hierbei die gehashte Vollkopie durchgesetzt.
Damit diese Kopien vor Gericht oder sonst im Beweisverfahren verwertbar sind, ist durch eine Prüfsumme zu belegen, daß die Kopie 1:1 mit dem originären Beweismittel übereinstimmt. Dies wird durch die Erzeugung eines sog. Hashes sichergestellt. Dieser Hash stellt eine Prüfsumme dar, die bei einer späteren Verifikation immer dann identisch ist, wenn die zugrundeliegenden Daten identisch sind. Die Identität bezieht sich dabei sowohl auf die Daten selbst als auch auf deren Abfolge, ein Aspekt, der gerade bei Log-Files nicht zu unterschätzen ist.
Protokollierung
Ein weiterer wichtiger Grundsatz ist, daß ein objektiver Dritter jederzeit in der Lage sein muss, die Untersuchungsvorgänge zu wiederholen und zu gleichen Ergebnissen zu kommen. Aus diesem Grund ist über jeden Schritt der Beweismittelbearbeitung sowie -untersuchung strengstens ein Protokoll zu führen. Darüber hinaus ist ein Beweiszettel zu führen, der Auskunft über den Verbleib des und den Zugriff auf das Beweismittel ermöglicht.
Bei all diesen Bearbeitung sind zu jederzeit die Belange des Persönlichkeitsrechts des Beschuldigten sowie das Datenschutzes zu beachten. Ein Verstoß diese Regelung führt fast unweigerlich zu einem Beweisverwertungsverbot, daß vor allem vor dem Hintergrund der Beweislastregeln des Zivilrechts immense Auswirkungen haben kann.
Vorbereitung ist notwendig!
Es sollte klar geworden sein, daß ein ordentliche digitale Beweisführung nicht ohne Tücken und Herausforderungen ist. Daher ist es aus unserer Sicht unerläßlich, schon vor Eintritt des Schadensfalles sich mit dem Thema zu befassen um im Fall der Fälle vorbereitet zu sein.
Bitte sprechen Sie uns an, wenn wir Sie unterstützen können.
© 1994 - 2005 Henrik Becker, RA Henrik Becker
If you like this fine website you may want to say Thank you! or Good job! Thank you!