Web-Beweissicherung oder IT-Forensik: Was braucht das Mandat?
Web-Beweissicherung und IT-Forensik lösen unterschiedliche Beweisfragen. So wählen Anwälte den passenden Dienstleister für ihr Mandat.
Der Begriff digitale Beweissicherung führt zu sehr unterschiedlichen Leistungen. Manche Dienstleister dokumentieren Webseiten und Social-Media-Inhalte. Andere untersuchen Computer, Smartphones, Server oder Datenträger. Für das Mandat zählt die Beweisfrage, nicht das Etikett des Anbieters.
Kurzantwort
Web-Beweissicherung passt, wenn ein Beitrag, Kommentar, Profil oder eine andere Online-Fundstelle dokumentiert werden soll. IT-Forensik passt, wenn Daten auf einem Gerät, Server oder Datenträger untersucht, rekonstruiert oder technisch bewertet werden müssen. In gemischten Fällen können beide Leistungen nötig sein. Ein Screenshot-Dienst, ein Berufsdetektiv und ein IT-Sachverständiger übernehmen dabei nicht dieselbe Aufgabe.
Was ist Web-Beweissicherung?
Bei der Web-Beweissicherung wird ein online sichtbarer Zustand dokumentiert. Das kann ein Social-Media-Kommentar, ein Profil, eine Bewertung, ein Blogbeitrag oder eine andere Webseite sein. Neben dem Inhalt gehören Fundstelle, Kontext, sichtbare Kontodaten und Zeitangaben in die Dokumentation.
Das Ziel ist keine Kopie des gesamten Internets. Der Auftrag grenzt ab, welche Aussagen, Konten und Zeiträume für das Mandat relevant sind. Bei mehreren Veröffentlichungen braucht jede Fundstelle eine eigene Zuordnung.
Ein Browserwerkzeug kann einzelne Webseiten aufnehmen und mit technischen Angaben versehen. Eine bearbeitete Beweissicherung geht weiter, wenn jemand die Fundstellen prüft, Kommentare ihren Ausgangsbeiträgen zuordnet und Ergebnisse in einem Bericht zusammenführt.
Was untersucht die IT-Forensik?
IT-Forensik befasst sich typischerweise mit Daten auf technischen Systemen. Dazu gehören Computer, Smartphones, Server, Protokolldaten und Speichermedien. Je nach Auftrag werden Datenträger dupliziert, gelöschte Daten rekonstruiert oder Systemspuren ausgewertet.
Das Bundesamt für Sicherheit in der Informationstechnik beschreibt für forensische Sicherungen unter anderem vollständige Datenträgerkopien, kryptografische Prüfsummen, geschulte Personen und eine Dokumentation des Umgangs mit Originalbeweismitteln. BSI: Vorsorge für die IT-Forensik.
Diese Arbeit ist sinnvoll, wenn die Beweisfrage im Gerät oder System liegt. Für die bloße Dokumentation eines öffentlich sichtbaren Hasskommentars wäre eine vollständige forensische Kopie des Kanzleirechners regelmäßig nicht die passende erste Maßnahme.
Welche Leistung passt zu welcher Frage?
| Beweisfrage | Meist passende Leistung | |---|---| | Was war unter einer bestimmten URL sichtbar? | Web-Beweissicherung | | Welches Profil veröffentlichte einen Kommentar? | Web-Beweissicherung und Profilrecherche | | Welche Person könnte hinter einem anonymen Konto stehen? | Ausforschung, offene Recherche und gegebenenfalls Anbieterauskunft | | Wurde eine Datei auf einem Gerät verändert? | IT-Forensik | | Lassen sich gelöschte Chatdaten auf einem Smartphone wiederherstellen? | IT-Forensik | | Wie werden Hunderte Kommentare einem Shitstorm zugeordnet? | bearbeitete Web-Beweissicherung mit Bericht | | Enthält ein Serverprotokoll Spuren eines Angriffs? | IT-Forensik |
Die Tabelle ist eine Arbeitshilfe. Der konkrete Auftrag kann mehrere Fragen verbinden.
Wann braucht ein Mandat beide Bereiche?
Ein Mandant erhält Drohungen über einen privaten Chat. Die sichtbaren Nachrichten können zunächst mit ihrem Gesprächsverlauf dokumentiert werden. Besteht zusätzlich der Verdacht, dass Nachrichten oder Dateien auf dem Gerät gelöscht oder verändert wurden, kann eine IT-forensische Untersuchung hinzukommen.
Ein anderes Beispiel ist ein kompromittiertes Social-Media-Konto. Die öffentlichen Beiträge werden als Online-Fundstellen gesichert. Ob das Gerät des Kontoinhabers Schadsoftware enthält oder welche Anmeldung einen Beitrag ausgelöst hat, ist eine andere technische Frage.
Solche Übergänge sollten früh benannt werden. Sonst erhält die Kanzlei einen Webbericht, obwohl sie eine Geräteanalyse benötigte, oder ein Datenträgerabbild, obwohl die eigentliche Aufgabe die Zuordnung von Kommentaren war.
Woran erkennt die Kanzlei einen passenden Auftrag?
Vor der Beauftragung sollten fünf Punkte feststehen:
- Welche konkrete Tatsachenfrage soll beantwortet werden?
- Liegt die Quelle online oder auf einem Gerät?
- Welche Inhalte dürfen und sollen untersucht werden?
- Welche Frist besteht und welche Daten könnten vorher verschwinden?
- In welcher Form braucht die Kanzlei das Ergebnis?
Für Social-Media-Mandate ist ein Bericht hilfreich, der jede Feststellung mit Quelle und Anlage verbindet. Die rechtliche Bewertung gehört nicht in den technischen oder tatsächlichen Befund. Aufbau eines Beweismittelberichts.
Wo liegt die Leistung von cyberheld?
cyberheld übernimmt für Anwälte die vereinbarte Sicherung von Beiträgen, Kommentaren und Profilen. Hinzukommen können die Zuordnung größerer Mengen und die Recherche zu den Personen hinter anonymen Konten. Das Ergebnis ist ein PDF-Beweismittelbericht mit zugeordneten Anlagen.
Das ist keine allgemeine Geräte-, Server- oder Datenträgerforensik. Wenn die entscheidende Beweisfrage nur durch eine technische Untersuchung lokaler Systeme beantwortet werden kann, braucht das Mandat einen entsprechend qualifizierten IT-Forensiker oder Sachverständigen.
Die Beweissicherung für Anwälte richtet sich an Kanzleien, die Angriffe im Netz bearbeiten und die Dokumentation sowie Ausforschung abgeben möchten.
Häufige Fragen
Ist ein Screenshot bereits Web-Beweissicherung?
Er kann ein Bestandteil sein. Ohne Fundstelle, Kontext, Profilzuordnung und Erklärung seiner Herkunft bleiben jedoch oft Fragen offen.
Erstellt cyberheld IT-forensische Datenträgerkopien?
Das beschriebene Anwaltsangebot betrifft Beiträge, Kommentare, Profile, deren Zuordnung und die Ausforschung. Es ist keine allgemeine Datenträgerforensik.
Braucht jede Web-Beweissicherung einen Sachverständigen?
Das hängt von der Beweisfrage und dem Verfahren ab. Die anwaltliche Prüfung entscheidet, ob eine Tatsachendokumentation genügt oder ein technisches Gutachten benötigt wird.
Was sollte zuerst gesichert werden?
Flüchtige Online-Inhalte sollten früh dokumentiert werden. Bei einer möglichen Geräteuntersuchung sollte zugleich vermieden werden, durch eigene Eingriffe relevante Daten zu verändern.