Moderne Fahrzeuge sind längst keine rein mechanischen Systeme mehr. Infotainment, Navigation, Telematik, elektronische Steuergeräte, Bluetooth-Verbindungen, Fahrerprofile, Smartphone-Kopplungen und vernetzte Dienste erzeugen digitale Informationen, die bei Unfällen, Fahrzeugdiebstahl, Manipulationsverdacht, unbefugter Nutzung oder rechtlichen Auseinandersetzungen relevant werden können.

Die KFZ-Forensik von LB Forensik befasst sich mit der professionellen Sicherung, Analyse und Bewertung solcher digitalen Fahrzeugdaten. Dabei betrachten wir nicht nur einzelne Steuergeräte oder das Infotainment-System. Abhängig von der Fragestellung können Fahrzeug, Smartphone, Benutzerkonto, Navigationsdaten und weitere digitale Beweismittel gemeinsam untersucht werden.

Gerade diese Verbindung unterschiedlicher Datenquellen kann entscheidend sein. Ein einzelner Fahrzeugeintrag liefert häufig nur einen technischen Hinweis. Wird dieser jedoch mit Standortinformationen eines Smartphones, Geräteverbindungen, Kommunikationsdaten oder anderen zeitbezogenen Artefakten abgeglichen, können sich Ereignisse wesentlich genauer rekonstruieren lassen.

Weitere Informationen zur ergänzenden Untersuchung mobiler Geräte finden Sie unter Mobile-Forensik. Grundlegende Informationen zur beweissicheren Behandlung digitaler Daten erläutern wir außerdem im Beitrag Integrität digitaler Beweismittel.

Was ist KFZ-Forensik?

KFZ-Forensik, Fahrzeugforensik oder Automotive Forensik bezeichnet die forensische Untersuchung digitaler Daten aus Fahrzeugen und mit ihnen verbundenen Systemen.

Moderne Fahrzeuge enthalten zahlreiche elektronische Komponenten, die miteinander kommunizieren und teilweise Informationen speichern. Dazu gehören beispielsweise Infotainment- und Navigationssysteme, Telematikmodule, elektronische Steuergeräte, Diagnosebereiche sowie Schnittstellen zu Smartphones und Cloud-Diensten.

Welche Informationen tatsächlich vorhanden und technisch zugänglich sind, unterscheidet sich jedoch erheblich. Hersteller, Modell, Baujahr, Ausstattung, Softwarestand und konkrete Systemarchitektur können die Untersuchungsmöglichkeiten beeinflussen.

Professionelle Fahrzeugforensik bedeutet deshalb nicht, möglichst viele Daten auszulesen. Entscheidend ist zunächst die Frage:

Welche digitalen Datenquellen können zur Klärung des konkreten Sachverhalts beitragen?

Erst danach wird festgelegt, welche Systeme untersucht und welche Daten gesichert werden sollen.

Welche digitalen Spuren können Fahrzeuge enthalten?

Abhängig vom Fahrzeug und den verbauten Systemen können unterschiedliche digitale Artefakte vorhanden sein. Dabei muss jede Datenquelle hinsichtlich ihrer Herkunft, Entstehung und Aussagekraft separat bewertet werden.

Infotainment-Systeme

Das Infotainment-System gehört bei vielen modernen Fahrzeugen zu den besonders interessanten forensischen Datenquellen.

Abhängig vom System können Informationen über zuvor verbundene Smartphones, Bluetooth-Geräte, USB-Verbindungen, WLAN-Verbindungen, Kontakte, Kommunikationsfunktionen, Mediengeräte oder Benutzerprofile vorhanden sein.

Damit können sich beispielsweise Hinweise darauf ergeben, dass ein bestimmtes Mobilgerät mit einem Fahrzeug gekoppelt oder innerhalb des Fahrzeugs verwendet wurde.

Eine gespeicherte Geräteverbindung beweist allerdings nicht automatisch, welche Person das betreffende Gerät oder Fahrzeug zu diesem Zeitpunkt benutzt hat. Solche Feststellungen müssen mit weiteren Datenquellen abgeglichen werden.

Navigation und Standortinformationen

Navigationssysteme können abhängig vom jeweiligen Fahrzeug gespeicherte Ziele, Favoriten, letzte Ziele oder andere standortbezogene Informationen enthalten.

Bei geeigneten Systemen können weitere Navigations- oder Bewegungsinformationen vorhanden sein.

Für die Rekonstruktion eines Aufenthaltsortes oder eines möglichen Fahrtverlaufs sollten solche Daten möglichst nicht isoliert betrachtet werden.

Besonders aussagekräftig kann ein Abgleich mit Standortinformationen eines Smartphones, Kartenanwendungen, Fotos, Kommunikationsdaten oder anderen zeitbezogenen digitalen Spuren sein.

Bluetooth-, WLAN- und Geräteverbindungen

Die Verbindung zwischen Fahrzeug und Smartphone kann eine eigenständige digitale Spur darstellen.

Je nach System können Gerätebezeichnungen, technische Identifikatoren oder Informationen zu früheren Verbindungen vorhanden sein.

Diese Daten können beispielsweise bei der Frage relevant sein, ob ein bestimmtes Smartphone mit einem Fahrzeug in Verbindung stand.

Apple CarPlay und Android Auto

Die Nutzung von Apple CarPlay oder Android Auto verbindet Smartphone und Fahrzeugsystem besonders eng miteinander.

Welche Spuren einer solchen Nutzung erhalten bleiben, hängt vom konkreten Fahrzeug, Infotainment-System und Smartphone ab.

Bei einer umfassenden Untersuchung kann deshalb sowohl die Fahrzeugseite als auch das betreffende Smartphone relevant sein.

Elektronische Steuergeräte

Elektronische Steuergeräte können technische Zustände, Diagnoseinformationen, Fehlerereignisse und weitere fahrzeugspezifische Daten enthalten.

Welche Informationen dauerhaft gespeichert werden, unterscheidet sich von Steuergerät zu Steuergerät.

Auch Zeitangaben müssen technisch geprüft werden. Nicht jeder gespeicherte Wert verfügt automatisch über einen präzisen und unabhängig überprüfbaren Zeitstempel.

Ein technischer Eintrag darf deshalb nicht ohne weitere Prüfung mit einem exakt bestimmten Ereigniszeitpunkt gleichgesetzt werden.

Diagnose- und OBD-Daten

Diagnoseschnittstellen können den Zugriff auf bestimmte elektronische Fahrzeugbereiche und Fehlerinformationen ermöglichen.

Eine klassische OBD-Auslesung ist jedoch nicht mit einer vollständigen KFZ-forensischen Untersuchung gleichzusetzen.

Diagnosesysteme dienen primär der technischen Fahrzeugdiagnose. Forensisch relevante Daten können dagegen in unterschiedlichen und teilweise herstellerspezifischen Fahrzeugsystemen gespeichert sein.

Die reine Auslesung von Diagnosecodes beantwortet deshalb noch keine forensische Beweisfrage.

Event Data Recorder – EDR

Bei bestimmten Fahrzeugen können Ereignisdatenspeicher, sogenannte Event Data Recorder, eine zusätzliche Datenquelle darstellen.

EDR-Systeme können im Zusammenhang mit bestimmten Ereignissen fahrzeugbezogene Informationen speichern. Welche Daten vorhanden sind und ob sie technisch ausgelesen werden können, muss für das jeweilige Fahrzeug geprüft werden.

Ein Event-Data-Recorder ist nicht mit einem permanenten GPS- oder Fahrtenrekorder gleichzusetzen.

EDR-Daten müssen deshalb klar von Navigations-, Infotainment-, Telematik- und allgemeinen Steuergerätedaten unterschieden werden.

CAN-Bus-Forensik – was tatsächlich untersucht werden kann

Der Controller-Area Network-Bus, kurz CAN-Bus, gehört zu den zentralen Kommunikationssystemen vieler Fahrzeuge.

Über ihn tauschen unterschiedliche elektronische Steuergeräte während des Fahrzeugbetriebs Informationen miteinander aus.

Für die forensische Bewertung ist jedoch eine wichtige Unterscheidung erforderlich:

Der CAN-Bus ist in erster Linie ein Kommunikationssystem und kein dauerhaftes Archiv sämtlicher Fahrzeugaktivitäten.

Nur weil eine Information während des Fahrzeugbetriebs über einen Bus übertragen wurde, bedeutet dies nicht automatisch, dass sie anschließend dauerhaft gespeichert und später ausgelesen werden kann.

Für eine nachträgliche Untersuchung ist deshalb entscheidend, welche beteiligten Steuergeräte oder Systeme relevante Informationen tatsächlich gespeichert haben.

Eine seriöse CAN-Bus-Forensik darf deshalb nicht den Eindruck vermitteln, jede Fahrt oder jede einzelne Fahrzeugaktion nachträglich vollständig rekonstruieren zu können.

Fahrzeug und Smartphone gemeinsam untersuchen

Eine besonders interessante Konstellation entsteht, wenn Fahrzeug und Smartphone gemeinsam betrachtet werden können.

Das Fahrzeug kann beispielsweise Hinweise auf ein verbundenes Mobilgerät enthalten. Auf dem Smartphone können wiederum passende Bluetooth-, Standort-, Navigations-, Kommunikations- oder App-Daten vorhanden sein.

Werden beide Datenquellen zeitlich miteinander verglichen, können technische Zusammenhänge erkennbar werden, die bei einer isolierten Untersuchung verborgen bleiben.

Beispielsweise kann geprüft werden, ob:

• ein bestimmtes Smartphone mit dem Fahrzeug verbunden war,
• Standortinformationen des Smartphones zu vorhandenen Fahrzeugdaten passen,
• Navigationsdaten beider Systeme übereinstimmen,
• bestimmte Anwendungen im relevanten Zeitraum genutzt wurden,
• weitere digitale Ereignisse zeitlich miteinander korrelieren.

LB Forensik verbindet deshalb bei geeigneten Fällen Mobile-Forensik und Fahrzeugforensik innerhalb einer gemeinsamen Untersuchungsstrategie.

Fahrzeug-Apps und Cloud-Dienste

Viele moderne Fahrzeuge sind zusätzlich mit Herstellerkonten, Smartphone-Apps oder anderen Online-Diensten verbunden.

Abhängig von Hersteller, Fahrzeug und vorhandenen Benutzerkonto können solche Systeme zusätzliche Informationen über Fahrzeugzustände, Benutzeraktivitäten, Ladevorgänge, Zugriffe oder andere Fahrzeugfunktionen enthalten.

Wenn entsprechende Daten rechtmäßig verfügbar sind und für die Beweisfrage relevant werden, können sie als zusätzliche digitale Datenquelle berücksichtigt werden.

Dadurch entsteht bei komplexen Fällen ein Untersuchungsverbund aus Fahrzeug, Smartphone und gegebenenfalls Cloud- beziehungsweise App-Daten.

Wann ist eine KFZ-forensische Untersuchung sinnvoll?

Fahrzeugforensik kann bei sehr unterschiedlichen Sachverhalten eingesetzt werden.

Typische Fragestellungen können unter anderem sein:

• Verkehrsunfälle und Rekonstruktion digitaler Fahrzeugereignisse
• unbefugte Nutzung eines Fahrzeugs
• Fahrzeugdiebstahl
• Verdacht auf elektronische Manipulation
• Manipulationsverdacht bei Fahrzeugdaten
• Streit über Fahrzeugnutzung oder Aufenthaltsorte
• betriebliche Nutzung von Firmenfahrzeugen
• interne Ermittlungen in Unternehmen
• Versicherungsfälle
• zivilrechtliche Auseinandersetzungen
• strafrechtlich relevante Sachverhalte
• Zuordnung eines Smartphones zu einem Fahrzeug
• Abgleich von Fahrzeug-, Smartphone- und Standortdaten

Entscheidend ist immer die konkrete Untersuchungsfrage.

Unbefugte Fahrzeugnutzung untersuchen

Bei privat oder geschäftlich genutzten Fahrzeugen kann die Frage entstehen, wann ein Fahrzeug benutzt wurde und welche digitalen Spuren dabei entstanden sind.

Die Identität eines Fahrers lässt sich aus Fahrzeugdaten allein jedoch nicht automatisch bestimmen.

Hinweise können beispielsweise aus Benutzerprofilen, verbundenen Smartphones, Navigationsinformationen oder weiteren digitalen Artefakten entstehen.

Erhöht werden kann die Aussagekraft, wenn zusätzliche Beweismittel vorhanden sind.

Smartphone-Daten, Kommunikationsinformationen, Fotos, Standortinformationen oder andere zeitbezogene Daten können mit den Fahrzeugdaten abgeglichen werden.

Fahrzeugdiebstahl und digitale Manipulationsspuren

Moderne Fahrzeuge verfügen über komplexe elektronische Zugangs-, Komfort- und Sicherheitssysteme.

Bei einem Fahrzeugdiebstahl kann deshalb neben der klassischen Spurensicherung auch die Frage relevant sein, ob zugängliche elektronische Systeme Auffälligkeiten oder verwertbare technische Daten enthalten.

Je nach Fahrzeug können Diagnoseinformationen, elektronische Ereignisse oder andere Artefakte untersucht werden.

Dabei muss allerdings streng zwischen einer technischen Auffälligkeit und dem Nachweis einer konkreten Angriffsmethode unterschieden werden.

Nicht jede technische Anomalie beweist eine Manipulation. Gleichzeitig muss nicht jede Manipulation dauerhaft auswertbare Spuren hinterlassen.

Tachomanipulation und widersprüchliche Fahrzeugdaten

Bei einem Verdacht auf manipulierte Laufleistungs- oder Kilometerangaben kann es sinnvoll sein, unterschiedliche elektronische Datenquellen miteinander zu vergleichen.

Abhängig vom Fahrzeug können Kilometer- oder Laufleistungsinformationen in verschiedenen Systemen vorhanden sein.

Widersprüche zwischen mehreren Datenquellen können Hinweise auf Unregelmäßigkeiten ergeben.

Ob daraus tatsächlich eine Manipulation nachgewiesen werden kann, hängt vom Fahrzeug, den vorhandenen Daten und der technischen Gesamtsituation ab.

Ein einzelner abweichender Wert sollte deshalb nicht isoliert bewertet werden.

KFZ-Forensik nach einem Verkehrsunfall

Digitale Fahrzeugdaten können bei der Untersuchung eines Verkehrsunfalls eine zusätzliche technische Informationsquelle darstellen.

Je nach Fahrzeug und System können Daten vorhanden sein, die Rückschlüsse auf bestimmte technische Zustände oder Ereignisse ermöglichen.

Solche Informationen müssen jedoch sorgfältig eingeordnet werden.

Dabei ist unter anderem zu prüfen:

• aus welchem System ein Wert stammt,
• unter welchen Bedingungen er gespeichert wurde,
• ob ein Zeitbezug vorhanden ist,
• welche technische Genauigkeit das betreffende Signal besitzt,
• ob andere Datenquellen die Feststellung bestätigen oder ihr widersprechen.

Digitale Fahrzeugdaten können eine klassische Unfallanalyse ergänzen. Sie ersetzen jedoch nicht automatisch andere technische oder unfallanalytische Untersuchungen.

Gelöschte Fahrzeugdaten – was ist noch möglich?

Gelöscht bedeutet auch bei Fahrzeugdaten nicht automatisch wiederherstellbar.

Ob nicht mehr sichtbare oder gelöschte Informationen noch rekonstruiert werden können, hängt unter anderem vom Speichersystem, vom jeweiligen Datenformat, von einer möglichen Überschreibung und vom technischen Zugriff auf das betreffende System ab.

Eine Wiederherstellung kann deshalb nicht pauschal zugesichert werden.

Wurde ein Fahrzeug zurückgesetzt, ein Benutzerprofil gelöscht oder das Infotainment-System weiter intensiv genutzt, können vorhandene Daten verändert oder überschrieben worden sein.

Forensische Sicherung statt einfacher Fahrzeugdiagnose

Eine KFZ-Werkstatt und ein Fahrzeugforensiker verfolgen unterschiedliche Ziele.

Eine Werkstatt untersucht ein Fahrzeug normalerweise, um technische Fehler zu erkennen und zu beheben.

Die Fahrzeugforensik untersucht dagegen digitale Informationen unter dem Gesichtspunkt ihrer möglichen Beweisrelevanz.

Dabei muss nachvollziehbar dokumentiert werden:

• welches Fahrzeug beziehungsweise System untersucht wurde,
• welche Datenquelle ausgewertet wurde,
• welches Verfahren zum Einsatz kam,
• welche Daten gewonnen wurden,
• wie diese Daten technisch einzuordnen sind,
• welche Schlussfolgerungen zulässig sind,
• wo die Grenzen der Untersuchung liegen.

Die Integrität digitaler Beweismittel ist dabei ein wesentlicher Bestandteil der Untersuchung.

Digitale Beweiskette und nachvollziehbare Dokumentation

Technische Daten erhalten ihre Aussagekraft nicht allein dadurch, dass sie aus einem Fahrzeug ausgelesen wurden.

Ebenso wichtig sind Herkunft, Untersuchungsmethode und Dokumentation.

Abhängig von der Art der Sicherung können geeignete technische Verfahren eingesetzt werden, um gesicherte Datenbestände nachvollziehbar zu dokumentieren und spätere Veränderungen erkennbar zu machen.

Auch die Behandlung des Untersuchungsobjekts kann im Rahmen einer dokumentierten Beweismittelkette festgehalten werden.

Dadurch kann nachvollzogen werden, wann das Fahrzeug oder ein ausgebautes System übernommen, untersucht und gegebenenfalls weitergegeben wurde.

Unser Ablauf bei einer KFZ-forensischen Untersuchung

1. Untersuchungsfrage definieren

Zunächst wird geklärt, welcher konkrete Sachverhalt untersucht werden soll.

Eine präzise Beweisfrage verhindert unnötige Untersuchungen und ermöglicht die gezielte Auswahl relevanter Datenquellen.

2. Fahrzeug und Systeme identifizieren

Hersteller, Modell, Baujahr, Ausstattung und verbaute Systeme werden soweit erforderlich erfasst.

Anschließend wird geprüft, welche Systeme für den konkreten Fall relevant sein können.

3. Weitere digitale Beweismittel berücksichtigen

Bei Bedarf werden weitere Datenquellen einbezogen.

Dazu können insbesondere Smartphones, Benutzerkonten, Navigationsdaten oder weitere elektronische Beweismittel gehören.

4. Geeignete Sicherungsmethode bestimmen

Die konkrete Vorgehensweise richtet sich nach dem Fahrzeug und dem zu untersuchenden System.

Nicht jede Methode eignet sich für jedes Fahrzeug.

Ziel ist eine technisch angemessene Sicherung unter möglichst weitgehender Erhaltung des vorhandenen Ausgangszustands.

5. Daten analysieren

Die gewonnenen Informationen werden strukturiert untersucht und hinsichtlich der konkreten Fragestellung bewertet.

6. Datenquellen korrelieren

Bei komplexeren Sachverhalten können unterschiedliche Datenquellen zeitlich und technisch miteinander verglichen werden.

Dadurch lassen sich Übereinstimmungen, Widersprüche und mögliche Zusammenhänge erkennen.

7. Ergebnisse dokumentieren

Je nach Auftrag werden Untersuchungsschritte, technische Feststellungen und Bewertungen in einem strukturierten Untersuchungsbericht oder im Rahmen einer sachverständigen Ausarbeitung dokumentiert.

Weitere Informationen hierzu finden Sie bei unserem Sachverständigenbüro für IT- und Mobile-Forensik.

Was sollte vor einer Fahrzeuguntersuchung vermieden werden?

Wenn ein Fahrzeug möglicherweise später forensisch untersucht werden soll, sollte der vorhandene digitale Zustand möglichst wenig verändert werden.

Nach Möglichkeit sollten insbesondere folgende Maßnahmen nicht ohne vorherige Abstimmung durchgeführt werden:

• Infotainment-System zurücksetzen
• Fahrzeugprofile löschen
• gekoppelte Smartphones oder Geräte entfernen
• Navigationsziele oder Historien löschen
• Werkseinstellungen herstellen
• unnötige Softwareupdates durchführen
• Systeme ohne Not neu konfigurieren

Auch eine intensive weitere Nutzung kann dazu führen, dass ältere Informationen verändert oder überschrieben werden.

Bei einem möglichen Beweisfall sollte deshalb frühzeitig geklärt werden, wie das Fahrzeug bis zur Untersuchung behandelt werden soll.

Fahrzeugforensik für Unternehmen

Unternehmen verfügen häufig über größere Fuhrparks, Dienstwagen oder Fahrzeuge mit wechselnden Nutzern.

Fahrzeugforensik kann deshalb auch bei internen Untersuchungen relevant sein.

Mögliche Fragestellungen betreffen beispielsweise die unbefugte Nutzung eines Firmenfahrzeugs, Manipulationsverdacht oder die Verbindung eines Fahrzeugs mit weiteren digitalen Beweismitteln.

Bei komplexeren unternehmensinternen Fällen können Fahrzeugdaten gemeinsam mit Smartphones, Computern oder anderen digitalen Systemen untersucht werden.

KFZ-Forensik für Rechtsanwälte

Bei rechtlichen Auseinandersetzungen kann bereits vor einer umfassenden Untersuchung entscheidend sein, welche Fahrzeugdaten grundsätzlich vorhanden sein könnten.

LB Forensik unterstützt Rechtsanwälte bei der technischen Einordnung digitaler Fahrzeugspuren und kann untersuchen, welche Datenquellen für eine konkrete Beweisfrage relevant sind.

Technische Befunde werden dabei von weitergehenden Interpretationen getrennt.

Das ist insbesondere wichtig, wenn aus einem einzelnen digitalen Artefakt nicht mehr abgeleitet werden darf, als die technische Datenlage tatsächlich zulässt.

Fahrzeugforensik für Versicherungen und Sachverständige

Auch bei Versicherungsfällen können digitale Fahrzeugdaten eine zusätzliche Informationsquelle darstellen.

Welche Daten sinnvoll ausgewertet werden können, hängt vom Schadenereignis und vom konkreten Fahrzeug ab.

LB Forensik kann digitale Fahrzeugdaten dabei als eigenständigen forensischen Untersuchungsbereich bearbeiten oder mit weiteren technischen Datenquellen verbinden.

KFZ-Forensik für Privatpersonen

Auch Privatpersonen können Fahrzeugdaten untersuchen lassen, wenn eine konkrete technische oder rechtliche Fragestellung besteht.

Hierzu können beispielsweise Manipulationsverdacht, unbefugte Fahrzeugnutzung, Fahrzeugdiebstahl, Streitigkeiten über die Nutzung eines Fahrzeugs oder der Zusammenhang zwischen Fahrzeug und Smartphone gehören.

Vor Beginn einer umfangreichen Untersuchung wird zunächst geprüft, welche Daten für die konkrete Fragestellung überhaupt relevant sein können.

KFZ-Forensik deutschlandweit

LB Forensik unterstützt Unternehmen, Rechtsanwälte, Organisationen und Privatpersonen bundesweit bei der Untersuchung digitaler Beweismittel.

Abhängig vom Fahrzeug, dem Untersuchungsumfang und der technischen Ausgangssituation kann festgelegt werden, ob eine Untersuchung am Fahrzeugstandort oder unter kontrollierten Untersuchungsbedingungen erfolgen sollte.

Regionale Informationen finden Sie unter anderem bei IT-Forensik für Stuttgart, IT-Forensik für Düsseldorf und IT-Forensik für Hannover.

Zertifizierte Prozesse und Sachverständigenkompetenz

Bei digitalen Beweismitteln entscheidet nicht allein die eingesetzte Software über die Qualität einer Untersuchung.

Ebenso wichtig sind definierte Prozesse, geeignete Untersuchungsmethoden, fachliche Bewertung und eine nachvollziehbare Dokumentation.

Die LB Detektive GmbH verfügt über ein durch TÜV NORD zertifiziertes Qualitätsmanagementsystem nach DIN EN ISO 9001, dessen Geltungsbereich unter anderem die IT-Forensik umfasst.

Davon zu unterscheiden ist die Personenzertifizierung des Sachverständigen nach DIN EN ISO/IEC 17024. Sie betrifft die entsprechend zertifizierte Person und deren Kompetenz innerhalb des jeweiligen Zertifizierungsprogramms.

Damit werden organisatorisch definierte Qualitätsprozesse mit personenbezogener Sachverständigenkompetenz verbunden.

Gerade bei komplexen Fahrzeugdaten ist diese Trennung relevant: Ein forensisches Werkzeug kann Daten erfassen und strukturieren. Die fachliche Leistung besteht darin, ihre Herkunft zu prüfen, Zusammenhänge korrekt einzuordnen und die Grenzen eines technischen Befunds transparent darzustellen.

Grenzen der Fahrzeugforensik

Auch moderne Kfz‑Forensik kann nicht jede Frage beantworten.

Welche Daten verfügbar sind, hängt vom konkreten Fahrzeug und den noch vorhandenen Informationen ab.

Eine professionelle Untersuchung muss deshalb auch klar benennen, was technisch nicht festgestellt werden kann.

Insbesondere gilt:

• Nicht jedes Fahrzeug speichert dieselben Daten.
• Nicht jede Fahrt lässt sich vollständig rekonstruieren.
• Nicht jede Geräteverbindung lässt sich einer bestimmten Person zuordnen.
• Nicht jeder Zeitstempel besitzt dieselbe Genauigkeit.
• Nicht jede Manipulation hinterlässt dauerhaft verwertbare Spuren.
• Nicht alle gelöschten Daten lassen sich wiederherstellen.
• Eine CAN-Bus-Kommunikation bedeutet nicht automatisch, dass die übertragenen Daten dauerhaft gespeichert wurden.

Diese Grenzen offen zu dokumentieren gehört zu einer belastbaren forensischen Bewertung.

Häufige Fragen zur KFZ-Forensik

Welche Fahrzeuge können forensisch untersucht werden?

Das hängt vom Hersteller, Modell, Baujahr, der Ausstattung und den verbauten elektronischen Systemen ab. Vor einer Untersuchung wird deshalb geprüft, welche Datenquellen beim konkreten Fahrzeug vorhanden und für die jeweilige Fragestellung relevant sein können.

Welche Daten können aus einem Fahrzeug ausgelesen werden?

Je nach Fahrzeug können beispielsweise Informationen aus Infotainment, Navigation, Telematik, elektronischen Steuergeräten, Diagnosebereichen oder verbundenen Mobilgeräten vorhanden sein. Nicht jedes Fahrzeug speichert sämtliche dieser Informationen.

Kann festgestellt werden, welches Smartphone mit einem Fahrzeug verbunden war?

Bei geeigneten Infotainment-Systemen können Informationen über zuvor gekoppelte oder verbundene Geräte vorhanden sein. Ob sich zusätzlich Zeitpunkt und Art einer Verbindung bestimmen lassen, hängt vom jeweiligen Fahrzeugsystem und dem noch vorhandenen Datenbestand ab.

Kann nachvollzogen werden, wo sich ein Fahrzeug befunden hat?

Unter bestimmten Voraussetzungen können Navigations- oder Standortinformationen Hinweise auf frühere Aufenthaltsorte geben. Eine vollständige Fahrthistorie ist jedoch nicht bei jedem Fahrzeug vorhanden.

Kann eine komplette gefahrene Route rekonstruiert werden?

Das lässt sich nicht pauschal beantworten. Einige Systeme enthalten umfangreichere Navigationsinformationen, andere nur einzelne Ziele oder Ereignisse. Zusätzliche Smartphone- oder andere Standortdaten können die Rekonstruktion verbessern.

Kann festgestellt werden, wer das Fahrzeug gefahren hat?

Fahrzeugdaten allein beweisen normalerweise nicht automatisch die Identität des Fahrers. Benutzerprofile, gekoppelte Smartphones und weitere digitale Spuren können jedoch Hinweise liefern. Für eine belastbare Zuordnung können zusätzliche Beweismittel erforderlich sein.

Können gelöschte Fahrzeugdaten wiederhergestellt werden?

Unter bestimmten Voraussetzungen können nicht mehr unmittelbar sichtbare Daten noch vorhanden sein. Ob eine Rekonstruktion möglich ist, hängt vom Speichersystem, einer möglichen Überschreibung und dem technischen Zugriff auf das betreffende System ab. Eine Wiederherstellung kann nicht garantiert werden.

Kann ein manipulierter Kilometerstand festgestellt werden?

Je nach Fahrzeug können Laufleistungsinformationen in unterschiedlichen elektronischen Systemen vorhanden sein. Abweichungen können Hinweise auf Unregelmäßigkeiten ergeben. Ob daraus eine Manipulation nachgewiesen werden kann, muss im Einzelfall technisch bewertet werden.

Kann KFZ-Forensik bei einem Verkehrsunfall helfen?

Ja. Abhängig vom Fahrzeug können digitale Daten zusätzliche Informationen zu technischen Zuständen oder Ereignissen liefern. Dabei müssen Infotainment-, Steuergeräte-, Telematik- und gegebenenfalls EDR-Daten voneinander unterschieden werden.

Was ist ein Event Data Recorder?

Ein Event Data Recorder ist ein Ereignisdatenspeicher, der bei dafür ausgelegten Fahrzeugen bestimmte Daten im Zusammenhang mit einem auslösenden Ereignis speichern kann. Er ist nicht mit einem permanenten GPS- oder Fahrtenrekorder gleichzusetzen.

Kann der CAN-Bus die gesamte Fahrzeughistorie zeigen?

Nein. Der CAN-Bus dient hauptsächlich der Kommunikation zwischen elektronischen Steuergeräten. Er speichert nicht automatisch sämtliche übertragenen Informationen dauerhaft. Für eine nachträgliche Untersuchung ist entscheidend, welche Daten einzelne Systeme tatsächlich gespeichert haben.

Was ist der Unterschied zwischen einer OBD-Diagnose und KFZ-Forensik?

Eine OBD- oder Werkstattdiagnose dient in erster Linie der technischen Fehlersuche. Fahrzeugforensik untersucht dagegen digitale Daten im Hinblick auf eine konkrete Beweisfrage und berücksichtigt zusätzlich Datenherkunft, Sicherung, technische Aussagekraft und Dokumentation.

Kann das Smartphone des Fahrers zusätzlich untersucht werden?

Ja. Gerade die Verbindung von Fahrzeug- und Smartphone-Daten kann besonders aussagekräftig sein. Standortinformationen, Bluetooth-Verbindungen, Apps, Navigation und weitere digitale Artefakte können mit den Fahrzeugdaten abgeglichen werden.

Können Fahrzeugdaten mit App- oder Cloud-Daten kombiniert werden?

Wenn entsprechende Daten rechtmäßig verfügbar und für die Untersuchung relevant sind, können unterschiedliche digitale Datenquellen miteinander verglichen werden. Dadurch können Zusammenhänge sichtbar werden, die aus einer einzelnen Quelle nicht hervorgehen.

Werden bei einer Fahrzeuguntersuchung Daten verändert?

Ziel einer forensischen Untersuchung ist es, den vorhandenen Zustand möglichst weitgehend zu erhalten und notwendige Untersuchungsschritte nachvollziehbar zu dokumentieren. Bei bestimmten Fahrzeugsystemen können technische Zugriffe jedoch Auswirkungen auf den Systemzustand haben. Deshalb wird die Vorgehensweise auf das jeweilige Fahrzeug abgestimmt.

Sind die Ergebnisse für ein Gerichtsverfahren verwendbar?

Ob und welchen Beweiswert ein technischer Befund in einem konkreten Verfahren besitzt, entscheidet letztlich nicht der Forensiker. Entscheidend für die technische Nachvollziehbarkeit sind jedoch insbesondere eine dokumentierte Datenherkunft, eine geeignete Sicherungsmethode, eine nachvollziehbare Untersuchung und die fachliche Bewertung der gewonnenen Informationen.

Was sollte vor einer Fahrzeuguntersuchung nicht gemacht werden?

Infotainment-Systeme, Benutzerprofile und Navigationsinformationen sollten möglichst nicht zurückgesetzt oder gelöscht werden. Auch unnötige Softwareupdates oder Veränderungen an relevanten Systemeinstellungen sollten vor einer möglichen Beweissicherung vermieden werden.

Welche Informationen benötigen Sie für eine erste Einschätzung?

Hilfreich sind insbesondere Fahrzeughersteller, Modell, Baujahr und möglichst Informationen zum verbauten Infotainment- oder Navigationssystem. Zusätzlich sollte die konkrete Fragestellung beschrieben werden, beispielsweise Unfall, unbefugte Fahrzeugnutzung, Manipulationsverdacht, Fahrzeugdiebstahl oder die Zuordnung eines Smartphones zum Fahrzeug.

KFZ-Forensik durch LB‑Forensik anfragen

Wenn digitale Fahrzeugdaten bei einem Unfall, Fahrzeugdiebstahl, Manipulationsverdacht, einer unbefugten Nutzung oder einer anderen rechtlichen Fragestellung relevant sein könnten, sollte zunächst geprüft werden, welche Systeme und weiteren digitalen Beweismittel vorhanden sind.

Eine frühzeitige technische Einschätzung kann verhindern, dass relevante Daten durch Zurücksetzen, Löschen oder weitere intensive Nutzung verloren gehen.

LB Forensik verbindet bei geeigneten Fällen Fahrzeugforensik, Mobile-Forensik und weitere Bereiche der digitalen Forensik innerhalb einer gemeinsamen Untersuchungsstrategie.

Ziel ist nicht die größtmögliche Menge an Fahrzeugdaten, sondern eine nachvollziehbare Antwort auf die konkrete technische Beweisfrage.