IT Forensik: Wann ein Sachverständigenbüro hilft

Ein Mitarbeiter wird verdächtigt, Kundendaten an einen Wettbewerber verkauft zu haben. Die einzigen Spuren liegen auf einem Firmenrechner, einem privaten Smartphone und in einem Cloud-Speicher. Der Anwalt braucht verwertbare Beweise, keine Vermutungen. Genau hier beginnt die Arbeit der digitalen Forensik.

Was digitale Beweise von analogen unterscheidet

Analoge Beweise sind greifbar: ein unterschriebenes Dokument, ein Kassenbon, ein Foto. Digitale Beweise dagegen sind flüchtig, veränderbar und ohne technisches Fachwissen kaum zu interpretieren. Eine E-Mail lässt sich in Sekunden löschen, ein Zeitstempel in den Metadaten einer Datei manipulieren, ein Chat-Verlauf selektiv exportieren.

Für Gerichte zählt deshalb nicht allein der Inhalt eines digitalen Dokuments, sondern der Weg, auf dem es gesichert wurde. Wurde ein Beweis unsachgemäß erhoben, kann er im Verfahren unverwertbar sein. Das Landgericht Köln hat in einem Urteil aus 2022 klargestellt, dass Screenshots ohne nachgewiesene Integritätskette vor Gericht erheblich an Gewicht verlieren. Wer also selbst auf dem Firmenrechner herumsucht oder einen IT-Kollegen bittet, „mal kurz draufzuschauen“, riskiert genau das.

Typische Einsatzfelder im Alltag

Die Bandbreite der Fälle, in denen IT-Forensik relevant wird, ist größer als viele vermuten. Zu den häufigsten gehören:

• Arbeitgeberseitige Kündigungsschutzklagen: Ein Arbeitgeber behauptet, ein Mitarbeiter habe vertrauliche Daten gestohlen. Ohne forensischen Nachweis ist das eine Behauptung.
• Betrug und Untreue: Manipulierte Buchhaltungsdaten, gefälschte Rechnungen oder unautorisierte Überweisungen hinterlassen digitale Spuren in Log-Dateien und Datenbanken.
• Scheidungs- und Unterhaltsverfahren: Versteckte Vermögenswerte werden zunehmend über Kryptowährungen oder verschlüsselte Kommunikation verwaltet. Digitale Forensik kann Transaktionen nachverfolgen.
• Urheber- und Markenschutzverletzungen: Wer hat wann welche Dateien erstellt oder kopiert? Metadaten und Versionsverlauf geben Auskunft.
• Cyberangriffe auf Unternehmen: Nach einem Ransomware-Angriff müssen Eintrittspunkt, Schadensumfang und betroffene Datensätze für Versicherung und Behörden dokumentiert werden.

Das sind keine Randphänomene. Das Bundeskriminalamt verzeichnete 2023 rund 136.000 Fälle von Cyberkriminalität, bei denen digitale Spuren juristisch relevant wurden. Die Dunkelziffer liegt erfahrungsgemäß deutlich höher.

Was ein Sachverständigenbüro konkret leistet

Ein Sachverständigenbüro IT Forensik arbeitet nach anerkannten Standards wie dem BSI-Grundschutz oder den Leitlinien der DFRWS (Digital Forensics Research Workshop). Der erste Schritt ist immer die forensische Sicherung: Das Gerät wird ausgeschaltet, ein bitgenaues Abbild der Datenträger erstellt und kryptografisch gesichert, etwa mit SHA-256-Prüfsummen. Das Original bleibt dabei unangetastet.

Erst auf diesem gesicherten Abbild beginnt die eigentliche Analyse. Gelöschte Dateien, temporäre Systemdateien, Browser-Historien, USB-Geräteanschlüsse, Zeitstempel und Kommunikationsverläufe werden ausgewertet. Ein erfahrener Forensiker kann oft noch nach Monaten nachweisen, wann eine Datei zuletzt geöffnet, verschoben oder kopiert wurde, selbst wenn der Nutzer geglaubt hat, alle Spuren beseitigt zu haben.

Am Ende steht ein schriftliches Gutachten, das für Gerichte, Versicherungen oder Strafverfolgungsbehörden verständlich aufbereitet ist. Entscheidend ist dabei, dass der Sachverständige auch als Zeuge vor Gericht aussagen kann und seinen Methodenweg lückenlos dokumentiert hat.

Wann Sie handeln sollten und wann nicht

Timing ist in der digitalen Forensik kritisch. Jede weitere Nutzung eines Geräts nach einem vermuteten Vorfall überschreibt potenziell Beweise. Besonders flüchtig sind RAM-Inhalte, temporäre Dateien und Systemlogs, die automatisch rotieren. Wer nach einem Betrugsfall den betreffenden Rechner noch drei Wochen im Alltagsbetrieb lässt, verschlechtert die Beweislage erheblich.

Gleichzeitig gilt: Nicht jeder Verdacht rechtfertigt sofortige forensische Maßnahmen. Vor dem Einschalten eines Sachverständigen sollten Sie prüfen, ob ein konkreter rechtlicher oder wirtschaftlicher Schaden vorliegt oder unmittelbar droht, ob der Aufwand in einem vertretbaren Verhältnis zum möglichen Erkenntnisgewinn steht und ob arbeitsrechtliche oder datenschutzrechtliche Voraussetzungen für die Untersuchung erfüllt sind. Ein Gutachten für einen Rechner kostet je nach Umfang zwischen 1.500 und 8.000 Euro. Das ist kein Instrument für Bagatellverdächtigungen.

Der rechtliche Rahmen: Was erlaubt ist

In Deutschland ist die forensische Untersuchung von Geräten an strenge Voraussetzungen geknüpft. Arbeitgeber dürfen Dienstgeräte grundsätzlich untersuchen lassen, wenn es eine klare Zweckbindung und eine Rechtsgrundlage gibt, zum Beispiel eine Betriebsvereinbarung oder den begründeten Verdacht einer Straftat. Bei privaten Endgeräten oder bei Mitarbeitern, die auch private Nutzung genehmigt bekommen haben, ist die Lage deutlich komplizierter.

Datenschutzrechtlich relevant ist außerdem, wer die Untersuchung durchführt. Ein internes IT-Team ist nicht automatisch befugt, personenbezogene Kommunikationsdaten einzusehen. Ein zertifizierter externer Sachverständiger kann dagegen im Auftrag des Unternehmens tätig werden und dabei den Rahmen der DSGVO einhalten, sofern ein Auftragsverarbeitungsvertrag geschlossen wird.

Zusammenfassung: Fünf Fragen vor dem ersten Anruf

• Liegt ein konkreter Schadensfall oder ein begründeter Verdacht vor?
• Ist das betreffende Gerät ein Dienst- oder ein Privatgerät?
• Wurde das Gerät seit dem Vorfall noch weiter genutzt?
• Gibt es eine rechtliche Grundlage für die Untersuchung?
• Soll das Ergebnis gerichtsfest sein oder dient es nur internen Zwecken?

Wer diese Fragen im Vorfeld klärt, spart Zeit, Geld und vermeidet Fehler, die später vor Gericht zum Problem werden.

Fazit

Digitale Spuren sind überall, aber verwertbar sind sie nur dann, wenn sie korrekt gesichert und dokumentiert wurden. Ein spezialisiertes Sachverständigenbüro ist kein Luxus für Konzerne, sondern ein praktisches Werkzeug für Privatpersonen, Freiberufler und Mittelständler, die in Streitfällen auf belastbare Fakten angewiesen sind. Der Moment, in dem Sie das erkennen, sollte nicht der sein, in dem Ihr Anwalt Sie darauf aufmerksam macht, dass die Beweise nicht mehr vorhanden sind.