Sicherstellung ist der Oberbegriff für die amtliche Inverwahrnahme eines Beweismittels. Wird ein Gegenstand nicht freiwillig herausgegeben, bedarf es der Beschlagnahme, die grundsätzlich ein Gericht anordnet. Bei Smartphones und Computern entscheidet die Unterscheidung über Rechtsschutz und Rückgabe.

Bestandsdaten sind die Vertragsdaten eines Telekommunikations- oder Internetkunden, etwa Name, Anschrift, Geburtsdatum und Rufnummer. Sie zeigen, wem ein Anschluss oder Konto gehört, nicht wann und mit wem kommuniziert wurde.

Die Chain of Custody ist die lückenlose Dokumentation, wer ein Beweismittel wann, wo und zu welchem Zweck in der Hand hatte. Bei digitalen Spuren belegt sie, dass die ausgewerteten Daten dieselben sind, die sichergestellt wurden.

Ein forensisches Image ist eine bitgenaue Kopie eines Datenträgers einschließlich freier und gelöschter Bereiche. Ausgewertet wird die Kopie, damit das Original unverändert bleibt.

Bei der Funkzellenabfrage erheben die Ermittler alle Verkehrsdaten, die in einer bestimmten Funkzelle zu einer bestimmten Zeit angefallen sind. Erfasst werden damit die Mobiltelefone, die in dieser Zeit über die Zelle kommuniziert haben. Betroffen sein können dabei viele Unbeteiligte.

Ein Hashwert ist eine kurze Prüfsumme, die aus einem Datenbestand berechnet wird. Schon eine geänderte Stelle ergibt einen völlig anderen Wert. In der IT-Forensik belegt der Hashwert, dass ausgewertete Daten unverändert sind.

Eine IP-Adresse ist die numerische Adresse, unter der ein Anschluss oder Gerät im Internet erreichbar ist. Über sie ermitteln Strafverfolger den Inhaber eines Internetanschlusses. Sie führt zu einem Anschluss, nicht zu einer Person.

Metadaten sind Daten über Daten, etwa Erstellungszeit, Autor, Gerät oder Aufnahmeort einer Datei. Im Strafverfahren sollen sie oft belegen, wer wann was getan hat, und sind dabei leichter zu verändern und schwerer zu deuten, als ihr nüchternes Aussehen vermuten lässt.

Bei der Quellen-TKÜ spielen die Ermittler eine Software auf das Gerät des Betroffenen, um Kommunikation vor der Verschlüsselung oder nach der Entschlüsselung abzugreifen. Das Bundesverfassungsgericht hat die Regelung 2025 für Straftaten mit einer Höchststrafe von drei Jahren oder weniger für nichtig erklärt.

Die Telekommunikationsüberwachung (TKÜ) ist das heimliche Mithören und Aufzeichnen von Telefonaten, Nachrichten und Datenverkehr nach § 100a StPO. Sie setzt den Verdacht einer schweren Katalogtat voraus und wird in der Regel vom Gericht angeordnet.

Inhaltsdaten sind das, was kommuniziert wird. Verkehrsdaten sind die Umstände der Kommunikation, also wer mit wem, wann, wie lange und von wo. An dieser Unterscheidung hängen Eingriffsschwellen und Rechtsgrundlagen.

Ein Zeitstempel ist die Angabe von Datum und Uhrzeit, die ein System einem Ereignis zuordnet. Im Strafverfahren tragen Zeitstempel Tatzeiten und Chronologien und sind zugleich eine der häufigsten und am meisten übersehenen Fehlerquellen.

Ein Zufallsfund ist ein Beweismittel, das bei einer Ermittlungsmaßnahme gefunden wird, aber eine andere Straftat betrifft als die, derentwegen ermittelt wurde. Bei der Durchsuchung regelt § 108 StPO, was damit geschieht. Bei heimlichen Maßnahmen wie der TKÜ gelten engere Grenzen.