Forensisches Image – die bitgenaue Kopie als Beweis

Ein forensisches Image ist eine bitgenaue Kopie eines Datenträgers. Es enthält nicht nur die sichtbaren Dateien, sondern auch freie, gelöschte und versteckte Bereiche. Ausgewertet wird die Kopie, damit das Original unverändert bleibt.

Auch: Abbild, Sicherungskopie, physische Kopie, Disk Image
Rechtsgrundlage: § 110 Abs. 3, § 94 StPO
Themenbereich: Ermittlungsmaßnahmen und IT-Forensik

Technischer Hintergrund

Eine gewöhnliche Kopie überträgt Dateien. Ein forensisches Image überträgt den Datenträger Sektor für Sektor. Dadurch bleiben auch Reste gelöschter Dateien, Auslagerungsbereiche und Metadaten des Dateisystems erhalten, die für die Auswertung oft wichtiger sind als die Dateien selbst.

Beim Erstellen wird der Datenträger in der Regel über einen Schreibblocker angeschlossen, damit das Betriebssystem nichts auf das Original schreibt. Anschließend wird ein Hashwert des Originals und des Images gebildet. Stimmen beide überein, ist die Kopie vollständig und unverändert.

Bei Smartphones ist eine vollständige physische Kopie oft nicht möglich. Dann entstehen logische Sicherungen oder Teilextraktionen, die nur einen Ausschnitt des Datenbestands enthalten. Das ist kein Fehler, aber es muss in der Akte stehen, welche Art der Sicherung vorliegt.

Wo es im Verfahren auftaucht

Das Image selbst steht nicht in der Akte, sondern liegt als Datei bei der Polizei. In der Akte finden sich das Sicherungsprotokoll mit Hashwerten und der Auswertungsbericht. Die Verteidigung sieht damit zunächst nur, was die Ermittler aus dem Image herausgesucht haben.

Rechtlicher Rahmen

§ 110 Abs. 3 Satz 3 StPODaten, die für die Untersuchung von Bedeutung sein können, dürfen gesichert werden.

Die Sicherung erfolgt im Rahmen der Durchsicht nach § 110 StPO und der Sicherstellung oder Beschlagnahme nach § 94 StPO. Der Grundsatz der Verhältnismäßigkeit kann dafür sprechen, statt des Geräts nur eine Kopie der Daten zu sichern und das Gerät zurückzugeben. Nach § 147 Abs. 1 StPO darf der Verteidiger amtlich verwahrte Beweisstücke besichtigen. Wie weit daraus ein Anspruch auf eine Kopie des Images folgt, ist in der Praxis umstritten und muss im Einzelfall durchgesetzt werden.

Ansatzpunkte der Verteidigung

Zuerst ist zu klären, ob überhaupt ein Image existiert oder ob am Gerät selbst gearbeitet wurde. Dann ob beim Erstellen ein Hashwert gebildet und protokolliert wurde, mit welchem Verfahren und ob er bei der Auswertung erneut geprüft wurde.

Der zweite Punkt ist die Auswahl. Der Bericht zeigt nur, was gesucht und gefunden wurde. Entlastendes steht dort nur, wenn jemand danach gesucht hat. Wer das Image nicht kennt, kann die Auswahl nicht überprüfen. Deshalb gehört der Antrag auf Einsicht in das Image oder auf eine Kopie früh in das Verfahren.

Fallbeispiele

Der Bericht ohne Rohdaten

Ein Auswertungsbericht zitiert vierzig Chatnachrichten eines Laptops. Das Image umfasst 500 Gigabyte. Ob es weitere Nachrichten gibt, die den Zusammenhang verändern, lässt sich aus dem Bericht nicht erkennen. Erst die Auswertung des Images durch einen eigenen Sachverständigen zeigt, dass mehrere Nachrichten Antworten auf Fragen eines Dritten waren.

Häufige Fragen

Ein forensisches Image ist eine bitgenaue Kopie eines Datenträgers, die auch gelöschte und freie Bereiche enthält. Es wird mit einem Hashwert gesichert, damit sich später nachweisen lässt, dass die Kopie unverändert ist.

Jeder Zugriff auf einen Datenträger kann ihn verändern, schon das Einschalten eines Computers schreibt Daten. Die Auswertung an einer Kopie stellt sicher, dass das Original als Beweismittel unverändert bleibt und die Auswertung jederzeit wiederholt werden kann.