IT-Forensik ist die Sicherung und Auswertung digitaler Spuren für ein Verfahren. Im Strafprozess liefert sie Beweise nicht nur im Computerstrafrecht, sondern in fast jedem Verfahren, in dem ein Smartphone, ein Rechner oder ein Server eine Rolle spielt.
Juristen sind in der Technik Laien, auch wenn sie täglich am Computer arbeiten. Ob eine E-Mail verschickt wurde, wann und von wem, lässt sich aus einem Ausdruck in der Akte so wenig sicher beurteilen wie die Schuldfähigkeit eines Angeklagten. Für die Schuldfähigkeit ziehen Gerichte einen psychiatrischen Sachverständigen hinzu. Für digitale Spuren geschieht das noch immer zu selten.
Von der Sicherstellung bis zum Bericht
- Sicherstellung. Geräte und Datenträger werden bei der Durchsuchung mitgenommen oder vor Ort gesichert (Beschlagnahme und Sicherstellung). Elektronische Speichermedien dürfen die Ermittler zunächst durchsehen und Daten vorläufig sichern (§ 110 Abs. 3 StPO).
- Sicherung. Von jedem Datenträger soll eine bitgenaue Kopie entstehen, das forensische Image. Ein Hashwert belegt, dass die Kopie dem Original entspricht und später unverändert blieb.
- Dokumentation. Die Chain of Custody hält fest, wer das Beweismittel wann und wozu in der Hand hatte.
- Auswertung. Forensische Programme lesen Dateien, gelöschte Bereiche, Metadaten und Zeitstempel aus und stellen die Treffer in Berichten zusammen.
- Bericht. In die Akte gelangt meist nur eine Auswahl. Was die Ermittler für unerheblich hielten, steht dort nicht.
Wo digitale Beweise angreifbar sind
- Wurde das Gerät nach der Sicherstellung eingeschaltet, geladen oder mit einem Netz verbunden?
- Wurde beim Sichern ein Hashwert gebildet, mit welchem Verfahren, und wurde er bei der Auswertung erneut geprüft?
- Welches Programm hat in welcher Version ausgewertet, und in welcher Zeitzone stehen die Zeitstempel?
- Belegt der Befund, wer das Gerät benutzt hat, oder nur, dass es benutzt wurde? Der Bundesgerichtshof hob eine Verurteilung auf, weil die Auswertung sichergestellter Laptops zwar deren Nutzung zeigte, aber keinen Hinweis auf den Eigentümer ergab, und die Beweiswürdigung zur Täterschaft deshalb lückenhaft war (5 StR 153/18).
- Liegen der Verteidigung die Rohdaten vor oder nur die Auswahl im Bericht? Der Verteidiger darf amtlich verwahrte Beweisstücke besichtigen (§ 147 Abs. 1 StPO).
Leitentscheidungen
- Heimliche Infiltration von Computern berührt ein eigenes GrundrechtBVerfG, Urteil vom 27.2.2008 – 1 BvR 370/07
- E-Mails auf dem Server des Providers dürfen nach §§ 94 ff. StPO beschlagnahmt werden, aber nur verhältnismäßigBVerfG, Beschluss vom 16.6.2009 – 2 BvR 902/06
- Ein Urteil wegen Ausspähens von Daten muss die überwundene Zugangssicherung technisch benennenBGH, Beschluss vom 21.7.2015 – 1 StR 16/15
- EncroChat-Daten sind verwertbar, aber nur zur Aufklärung schwerer KatalogtatenBGH, Beschluss vom 2.3.2022 – 5 StR 457/21
- Funkzellenabfrage nur beim Verdacht einer besonders schweren Straftat, sonst sind die Daten unverwertbarBGH, Beschluss vom 10.1.2024 – 2 StR 171/23
- Zwangsweises Entsperren per Fingerabdruck ist zulässig, wenn der richterliche Durchsuchungsbeschluss auf Mobiltelefone zieltBGH, Beschluss vom 13.3.2025 – 2 StR 232/24
- Quellen-TKÜ nur bei besonders schweren Straftaten, die Online-Durchsuchung nach § 100b StPO verletzt das ZitiergebotBVerfG, Beschluss vom 24.6.2025 – 1 BvR 180/23
Weiterlesen
Themenbereich Ermittlungsmaßnahmen und IT-Forensik · Lexikon digitale Beweise · Rechtsprechung · Leitfaden „IT-Forensik“ des BSI unter Quellen
Der ursprüngliche Text dieser Seite aus den Anfangsjahren des Blogs steht weiter unter Was ist IT-Forensik?
Stand September 2026. Rechtsanwalt Thomas Koll, Fachanwalt für Strafrecht. Allgemeine Information, keine Rechtsberatung im Einzelfall.